Cisco 837 met BVI -> Access-list probleem

[Verwijderd]

Nu ben ik niet echt een Cisco-n00b, maar kom op mijn mooie fonkelnieuwe 837 toch een raar probleem tegen.

Situatie:
- Ik heb een Cistron 2Mbit ADSL-lijn, en heb nu mijn 837 voor deze lijn geconfigureerd. So far so good.
- De config gebruikt een bridged config d.m.v. een BVI-interface. Werkt ook prima.
- NAT is geconfigureerd met de BVI als outside, werkt ook als een zonnetje.

Probleem:
Ik wil een access-list aan de BVI interface hangen om er voor te zorgen dat ik niet aan alle kanten open sta. Ik heb een DNS-, web-, FTP- en mailserver op mijn LAN staan die direct benaderbaar moet zijn. Daarvoor heb ik netjes de NAT-entries toegevoegd:

code:

ip nat inside source static udp 192.168.1.2 53 interface BVI1 53
ip nat inside source static tcp 192.168.1.2 80 interface BVI1 80
ip nat inside source static tcp 192.168.1.2 20 interface BVI1 20
ip nat inside source static tcp 192.168.1.2 21 interface BVI1 21
ip nat inside source static tcp 192.168.1.2 110 interface BVI1 110
ip nat inside source static tcp 192.168.1.2 25 interface BVI1 25

Als ik nu de access-list voor de BVI interface verander om alleen het juiste verkeer voor deze server toe te laten, laat hij niets meer toe. De access-list zou zo iets moeten zijn:

code:

access-list 102 permit udp any host 192.168.1.2 eq domain
access-list 102 permit tcp any host 192.168.1.2 eq www
access-list 102 permit tcp any host 192.168.1.2 eq ftp-data
access-list 102 permit tcp any host 192.168.1.2 eq ftp
access-list 102 permit tcp any host 192.168.1.2 eq pop3
access-list 102 permit tcp any host 192.168.1.2 eq smtp
access-list 102 permit icmp any any

Als ik bovenstaande access-list instel, komt er geen verkeer meer door naar de server...als ik de access-list helemaal open stel doet 'ie het wel:

code:

access-list 102 permit ip any any
access-list 102 permit icmp any any

....iemand een idee? Wat zie ik over het hoofd?

[Verwijderd]

omdat er geen enkel pakket op je bvi interface binnen komt voor je rfc 1918 adres, verander alle host statements in any dit maakt niet uit omdat je toch alleen de betreffende poorten mapt.

Je zult zien dat het zo werkt,

eerst wordt namelijk de access-group afgehandeld, later wordt er pas genat.

DIt betekend ook dat er dus niets anders naar binnen mag.

ik denk dat dan een permit any any gt 1024 bij hoort, maar dan is reflexive natuurlijk nog veel mooier.

http://www.cisco.com/univ...cur_c/scprt3/screflex.htm

[ Voor 33% gewijzigd door Verwijderd op 13-09-2004 14:12 ]

[Verwijderd]

I see...hrm, wel raar dat eerst de access-list en dan pas de NAT wordt geregeld, voorheen nog nooit problemen mee gehad.
Ik ga ff testen, bedankt!

[Verwijderd]

Verwijderd schreef op 13 september 2004 @ 15:14:
I see...hrm, wel raar dat eerst de access-list en dan pas de NAT wordt geregeld, voorheen nog nooit problemen mee gehad.
Ik ga ff testen, bedankt!

No problem, suc6

De access list voor nat afhandelen heeft een specifiek doel en is altijd al zo geweest.

elke nat sessie kost resources (160 bytes memory in een cisco) dus als je een dmz host gebruikt komen alle onbekende mappings op deze hosts uit en wordt je nat tabel al groter dan de meeste routers leuk vinden. Een dos attack van een direct internet geconnecte host is da echt een koud kunstje geworden, een port scan is dan in princiepe al voldoende.

[ Voor 65% gewijzigd door Verwijderd op 14-09-2004 08:44 ]

[_nethack]

Verwijderd schreef op 13 september 2004 @ 14:06:
ik denk dat dan een permit any any gt 1024 bij hoort, maar dan is reflexive natuurlijk nog veel mooier.

http://www.cisco.com/univ...cur_c/scprt3/screflex.htm

Die permit hoeft niet als je ook de firewall (ip inspect) gebruikt, dan doet ie dat automagisch al.

Reflexive access-lists is inderdaad ook wel netjes.

(Mark, ik kan je de rest van m'n config ook wel ff mailen, daar staat dat ook in. Tevens voorbeeld van named access lists, dat werkt wat makkelijker als ie wat groter zou worden)

[Verwijderd]

_nethack schreef op 13 september 2004 @ 23:41:
[...]

Die permit hoeft niet als je ook de firewall (ip inspect) gebruikt, dan doet ie dat automagisch al.

Reflexive access-lists is inderdaad ook wel netjes.

(Mark, ik kan je de rest van m'n config ook wel ff mailen, daar staat dat ook in. Tevens voorbeeld van named access lists, dat werkt wat makkelijker als ie wat groter zou worden)

idd, maar ik weet niet of hij een firewall feature set heeft, reflexive zit in alle software.