Frage Netzwerke Router & Routing
gelöst Cisco Pix 501 Config modifizieren

30.06.2008, aktualisiert 19:56 Uhr, 3283 Aufrufe, 4 Kommentare

Ich habe eine Cisco Pix 501 im Einsatz, wenn wir unterwegs sind dann bauen wir vpn tunnel die verbindung zu unserem server auf. wenn der tunnel steht kann ich aber nichtmehr ins internet. wie muss ich die pix umkonfigurieren.

PIX Version 6.3(4)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxxxxxxxxxxxx encrypted
passwd xxxxxxxxxxxx encrypted
hostname xxxxxxxxxxx
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list outgoing permit ip any any
access-list outgoing permit icmp any any
access-list incoming permit icmp any any echo-reply
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq https
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 3389
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq smtp
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq pop3
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq domain
access-list incoming permit udp any host xxx.xxx.xxx.xxx eq domain
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 1272
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 1273
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN permit ip any 192.168.98.0 255.255.255.0
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN permit ip any 192.168.99.0 255.255.255.0
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN remark NO NAT LAN
access-list noNATLAN remark NO NAT LAN
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside xxx.xxx.xxx.xxx 255.255.255.240
ip address inside 192.168.10.1 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip audit info action alarm
ip audit attack action alarm
ip local pool dynVPN 192.168.98.1-192.168.98.10
pdm logging informational 100
no pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list noNATLAN
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx https 192.168.10.200 https netmask 255
.255.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx 3389 192.168.10.200 3389 netmask 255.2
55.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx smtp 192.168.10.200 smtp netmask 255.2
55.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx pop3 192.168.10.200 pop3 netmask 255.2
55.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx domain 192.168.10.200 domain netmask 2
55.255.255.255 0 0
static (inside,outside) udp xxx.xxx.xxx.xxx domain 192.168.10.200 domain netmask 2
55.255.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx 1272 192.168.10.200 1272 netmask 255.2
55.255.255 0 0
static (inside,outside) tcp xxx.xxx.xxx.xxx 1273 192.168.10.190 1273 netmask 255.2
55.255.255 0 0
access-group incoming in interface outside
access-group outgoing in interface inside
route outside 0.0.0.0 0.0.0.0 81.223.206.81 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
crypto ipsec transform-set xxxxxxxxxxxxxxxxxxxxxx esp-des esp-md5-hmac
crypto dynamic-map xxxxxxxxxxxxxxxxxx 20 set transform-set xxxxxxx
crypto map newmap 20 ipsec-isakmp dynamic xxxxxxxxxxxxxxxxxxxxxxxxx
crypto map newmap interface outside
isakmp enable outside
isakmp key ******** address xxx.xxx.xxx.xxx netmask 255.255.255.255 no-xauth no-co
nfig-mode
isakmp identity address
isakmp policy 20 authentication pre-share

isakmp policy 20 encryption des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx address-pool dynVPN
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx dns-server 192.168.10.200
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx idle-time 1800
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx password ********
telnet 192.168.10.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
management-access inside
console timeout 0
terminal width 80
Cryptochecksum:
end01.
PIX Version 6.3(4) 
02.
interface ethernet0 auto 
03.
interface ethernet1 100full 
04.
nameif ethernet0 outside security0 
05.
nameif ethernet1 inside security100 
06.
enable password xxxxxxxxxxxxxx encrypted 
07.
passwd xxxxxxxxxxxx encrypted 
08.
hostname xxxxxxxxxxx 
09.
fixup protocol dns maximum-length 512 
10.
fixup protocol ftp 21 
11.
fixup protocol h323 h225 1720 
12.
fixup protocol h323 ras 1718-1719 
13.
fixup protocol http 80 
14.
fixup protocol ils 389 
15.
fixup protocol rsh 514 
16.
fixup protocol rtsp 554 
17.
fixup protocol sip 5060 
18.
fixup protocol sip udp 5060 
19.
fixup protocol skinny 2000 
20.
fixup protocol smtp 25 
21.
fixup protocol sqlnet 1521 
22.
fixup protocol tftp 69 
23.
names 
24.
access-list outgoing permit ip any any 
25.
access-list outgoing permit icmp any any 
26.
access-list incoming permit icmp any any echo-reply 
27.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq https 
28.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 3389 
29.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq smtp 
30.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq pop3 
31.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq domain 
32.
access-list incoming permit udp any host xxx.xxx.xxx.xxx eq domain 
33.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 1272 
34.
access-list incoming permit tcp any host xxx.xxx.xxx.xxx eq 1273 
35.
access-list noNATLAN remark NO NAT LAN 
36.
access-list noNATLAN permit ip any 192.168.98.0 255.255.255.0 
37.
access-list noNATLAN remark NO NAT LAN 
38.
access-list noNATLAN permit ip any 192.168.99.0 255.255.255.0 
39.
access-list noNATLAN remark NO NAT LAN 
40.
access-list noNATLAN remark NO NAT LAN 
41.
access-list noNATLAN remark NO NAT LAN 
42.
access-list noNATLAN remark NO NAT LAN 
43.
access-list noNATLAN remark NO NAT LAN 
44.
access-list noNATLAN remark NO NAT LAN 
45.
pager lines 24 
46.
mtu outside 1500 
47.
mtu inside 1500 
48.
ip address outside xxx.xxx.xxx.xxx 255.255.255.240 
49.
ip address inside 192.168.10.1 255.255.255.0 
50.
ip verify reverse-path interface outside 
51.
ip verify reverse-path interface inside 
52.
ip audit info action alarm 
53.
ip audit attack action alarm 
54.
ip local pool dynVPN 192.168.98.1-192.168.98.10 
55.
pdm logging informational 100 
56.
no pdm history enable 
57.
arp timeout 14400 
58.
global (outside) 1 interface 
59.
nat (inside) 0 access-list noNATLAN 
60.
nat (inside) 1 0.0.0.0 0.0.0.0 0 0 
61.
static (inside,outside) tcp xxx.xxx.xxx.xxx https 192.168.10.200 https netmask 255 
62.
.255.255.255 0 0 
63.
static (inside,outside) tcp xxx.xxx.xxx.xxx 3389 192.168.10.200 3389 netmask 255.2 
64.
55.255.255 0 0 
65.
static (inside,outside) tcp xxx.xxx.xxx.xxx smtp 192.168.10.200 smtp netmask 255.2 
66.
55.255.255 0 0 
67.
static (inside,outside) tcp xxx.xxx.xxx.xxx pop3 192.168.10.200 pop3 netmask 255.2 
68.
55.255.255 0 0 
69.
static (inside,outside) tcp xxx.xxx.xxx.xxx domain 192.168.10.200 domain netmask 2 
70.
55.255.255.255 0 0 
71.
static (inside,outside) udp xxx.xxx.xxx.xxx domain 192.168.10.200 domain netmask 2 
72.
55.255.255.255 0 0 
73.
static (inside,outside) tcp xxx.xxx.xxx.xxx 1272 192.168.10.200 1272 netmask 255.2 
74.
55.255.255 0 0 
75.
static (inside,outside) tcp xxx.xxx.xxx.xxx 1273 192.168.10.190 1273 netmask 255.2 
76.
55.255.255 0 0 
77.
access-group incoming in interface outside 
78.
access-group outgoing in interface inside 
79.
route outside 0.0.0.0 0.0.0.0 81.223.206.81 1 
80.
timeout xlate 3:00:00 
81.
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 
82.
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 
83.
timeout uauth 0:05:00 absolute 
84.
aaa-server TACACS+ protocol tacacs+ 
85.
aaa-server TACACS+ max-failed-attempts 3 
86.
aaa-server TACACS+ deadtime 10 
87.
aaa-server RADIUS protocol radius 
88.
aaa-server RADIUS max-failed-attempts 3 
89.
aaa-server RADIUS deadtime 10 
90.
aaa-server LOCAL protocol local 
91.
http server enable 
92.
http 192.168.1.0 255.255.255.0 inside 
93.
no snmp-server location 
94.
no snmp-server contact 
95.
snmp-server community public 
96.
no snmp-server enable traps 
97.
floodguard enable 
98.
sysopt connection permit-ipsec 
99.
crypto ipsec transform-set xxxxxxxxxxxxxxxxxxxxxx esp-des esp-md5-hmac 
100.
crypto dynamic-map xxxxxxxxxxxxxxxxxx 20 set transform-set xxxxxxx 
101.
crypto map newmap 20 ipsec-isakmp dynamic xxxxxxxxxxxxxxxxxxxxxxxxx 
102.
crypto map newmap interface outside 
103.
isakmp enable outside 
104.
isakmp key ******** address xxx.xxx.xxx.xxx netmask 255.255.255.255 no-xauth no-co 
105.
nfig-mode 
106.
isakmp identity address 
107.
isakmp policy 20 authentication pre-share 
108.
 
109.
isakmp policy 20 encryption des 
110.
isakmp policy 20 hash md5 
111.
isakmp policy 20 group 2 
112.
isakmp policy 20 lifetime 86400 
113.
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx address-pool dynVPN 
114.
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx dns-server 192.168.10.200 
115.
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx idle-time 1800 
116.
vpngroup xxxxxxxxxxxxxxxxxxxxxxxx password ******** 
117.
telnet 192.168.10.0 255.255.255.0 inside 
118.
telnet timeout 5 
119.
ssh timeout 5 
120.
management-access inside 
121.
console timeout 0 
122.
terminal width 80 
123.
Cryptochecksum: 
124.
end

4 Antworten

LÖSUNG Dani schreibt am 30.06.2008 um 18:39:29 Uhr
LÖSUNG aqui schreibt am 30.06.2008 um 18:40:37 Uhr
- LÖSUNG meister00 schreibt am 30.06.2008 um 18:49:14 Uhr
  - LÖSUNG spacyfreak schreibt am 30.06.2008 um 19:56:30 Uhr

Dani (Level 5) - Jetzt verbinden

LÖSUNG 30.06.2008 um 18:39 Uhr

Hi,
ich frag mich grad, warum man *immer* die 100 Seiten Konfiguartion dazu posten muss?! Falls einer die Antwort kennt, weiß er eine Seite bzw. die Config dazu auswendig.

Verwendet ihr den Cisco VPN Client?

Gruss,
Dani

aqui (Level 5) - Jetzt verbinden

LÖSUNG 30.06.2008 um 18:40 Uhr

Die PIX gar nicht, sondern deinen VPN Client. Da du es aber leider versäumst uns mitzuteilen welchen VPN Client du benutzt ist eine qualifizierte Antwort nicht möglich

Nur soviel: Ist es der Windows PPTP VPN Clinet hilft ein Haken in den erweiterten Eigenschaften von TCP in den Client Eigenschaften, das der Tunnel nicht gleich Standardgateway ist. Damit laufen lokale Internetverbindungen nicht mehr in den Tunnel sondern werden lokal bedient.

Hast du einen Cisco VPN Client ist das nicht möglich, da Cisco bei Enterprise Kunden auf seinem VPN Client diese Option nicht zulässt. Aus Sicherheitsgründen geht dann immer alles in den Tunnel und wenn eure Fa. den VPN Usern keinen Internet Zugang über das VPN erlaubt hast du keine Chance !

meister00 (Level 1) - Jetzt verbinden

LÖSUNG 30.06.2008 um 18:49 Uhr

Wir verwenden den Cisco VPN Client.
Aber ein Kollege von mir verwendet auch den Cisco Client und der kann mit seinem NB ins Internet.

spacyfreak (Level 2) - Jetzt verbinden

LÖSUNG 30.06.2008 um 19:56 Uhr

Eine Möglichkeit...
Falls ihr nen Firmenproxy verwendet muss man nach Tunnelaufbau den Proxyserver im Browser eintragen.

Frage Netzwerke Router & Routing

Ähnliche Inhalte

Cisco PIX 501 Firewall und Putty

gelöst Frage von User85aFirewall6 Kommentare

Schönen Guten Abend Ich Weiß einfach nicht mehr weiter ist zwar ne Blöde frage aber irgendwie bekomme ich das ...

Cisco Pix 501 - Fehler Unable to launch device manager !!?

Frage von babyloniaFirewall7 Kommentare

Hi, Cisco Pix 501 Version 6.3(5) Ich habe den PIX Device Manager pdm304.bin installiert. Dann habe ich versucht den ...

Cisco Config nur im Flash

gelöst Frage von YannoschLAN, WAN, Wireless10 Kommentare

Hallo zusammen, hier nochmal eine Frage vom alten Cisco-Profi immer wenn ich bisschen was Configuriere und die ASA dann ...

Keine PDM-Konfiguration meiner guten alten pix 501

Frage von rabo001Router & Routing1 Kommentar

Hallo, ich weis es ist ein Uraltteil aber ich möchte sie weiter nutzen meine pix501. Nur jetzt gibt es ...

Neue Wissensbeiträge

IoT-Gefahr: Smartes Aquarium leckt!

Information von Lochkartenstanzer vor 2 TagenHumor (lol)3 Kommentare

Moin, Die IoT-Manie hat weitere Opfer gefunden. Ein Casino-Leck durch ein smartes Aquarium: Allerdings haben sie kein Wasser, sondern ...

Alte Fritzbox 7270 mit VPN und SIP-Telefonie hinter O2 Homebox 6641 als "Modem"

Erfahrungsbericht von the-buccaneer vor 3 TagenRouter & Routing3 Kommentare

Nun war es soweit: Auch O2 hat mich mit VOIP zwangsbeglückt. Heute am Privatanschluss, in 2 Wochen ist das ...

Ungepatchte Remote Code Execution-Lücke in LG NAS

Information von kgborn vor 3 TagenSicherheit

Nutzt wer LG NAS-Einheiten? In den NAS-Einheiten der LG Network Storage-Einheiten gibt es eine sehr unschöne Schwachstelle, die einen ...

Neue Version KB4099950 NIC Einstellungen gehen verloren

Information von sabines vor 3 TagenWindows Update2 Kommentare

Es ist eine neue Version des KB4099950 verfügbar, die das Problem mit den verlorenen Netzwerkeinstellungen lösen soll. Das Datum ...

Heiß diskutierte Inhalte

Netzwerkmanagment im Haus mit Switch, Panel und pfsense

gelöst Frage von CorraggiounoNetzwerkmanagement19 Kommentare

hi zusammen, wir sind gerade dabei das ganze Haus bzw. die einzelnen Zimmer mit netzwerkdosen zu versorgen. Vom Keller ...

VLAN - Offene Fragen

Frage von KnettenbrechNetzwerkgrundlagen17 Kommentare

Hallo zusammen, ich befasse mich derzeit mit dem Thema VLAN. Hierzu habe ich schon einige Guides gelesen, einschließlich des ...

Empfehlung: Android Ortungsapp

gelöst Frage von certifiedit.netGoogle Android13 Kommentare

Guten Morgen, grundsätzlich vorweg, ich wollte mich eben schlau machen, bzgl einer Ortungsapp, welche Androidbasiert einem anderen Androidsmartphone mitteilt, ...

VPN hinter zweiter Fritzbox nutzen im Nachbarhaus

gelöst Frage von georg2204Router & Routing11 Kommentare

Hallo zusammen, ich blicke hier leider nicht mehr so ganz durch. In Haus 1 steht eine Fritzbox 7390, diese ...

Frage Netzwerke Router & Routing gelöst Cisco Pix 501 Config modifizieren