Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Cisco PIX 501 Konfiguration und Portforwarding

Frage Sicherheit Firewall

Mitglied: Rambay

Rambay (Level 1) - Jetzt verbinden

13.03.2006, aktualisiert 14.03.2006, 19118 Aufrufe, 6 Kommentare

Hallo an alle !

Habe hier ein Cisco PIX 501 auf meinem Tisch liegen, habe hier schon alles durchgelsen, aber nichts passendes gefunden. Folgendes Problem:

Da wir eigentlich keine Cisco Produkte vertreiben, könnt ihr euch vorstellen, das hier niemand eine Ahnung hat wie man sie konfiguriert. Und ich hab jetzt die A Karte und muss sie zum laufen bringen. Beschäftige mich jetzt 3 Tage damit und komme irgendwie nicht wirklich weiter. Das Internet ging schon mal, das war ziemlich schnell gelöst. Aber sobald ich angefangen hab Ports frei zu geben, ging gar nix mehr Ums kurz zu fassen, bräuchte ich folgende Config:

Das interne Netzwerk hat den Bereich 192.168.1.0
Das Internet läuft über eine feste IP 195.23x.xx.xx

Von innen nach aussen soll alles erlaubt sein
und von aussen nach innen wird der Port 80 und der Port 3389 benötigt
beide auf den Server sprich auf die IP 192.168.1.80

Habe schon alles mögliche versucht aber irgendwas mach ich immer falsch.
Habe die PIX jetzt wieder auf Werkseinstellung. Für jemanden der sich auskennt
müssten die paar Befehle für die kleine Config hoffentlich eine Kleinigkeit sein und
ich hoffe ihr teilt Sie mir mit :D Nachstehend noch die aktuelle Config, sollte auf Werkseinstellung sein. In der Regel gibt es da aber auch meistens Sachen die unnötig
drin stehen oder behindern. Also raus damit ;) Vielen Dank schonmal im voraus !!!


Saved
Written by enable_15 at 12:11:17.761 UTC Mon Mar 13 2006
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password encrypted
passwd encrypted
hostname pixfirewall
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside dhcp setroute
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0
nat (inside) 1 0.0
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.129 inside
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
dhcpd enable inside
terminal width 80
Cryptochecksum:5f0adef75efaf978559a696d8c37a693
Mitglied: gemini
13.03.2006 um 15:55 Uhr
Hallo Rambay,

zunächst, die aktuelle PixWare ist 6.3(5)

Damit sollten der RDP und der Webserver von außen ansprechbar sein.

01.
access-list 102 permit tcp interface outside eq 3389 host 192.168.1.80 eq 3389 
02.
access-list 102 permit tcp interface outside eq 80 host 192.168.1.80 eq 80 
03.
static (inside,outside) tcp interface 3389 192.168.1.80 3389 netmask 255.255.255.255 0 0 
04.
static (inside,outside) tcp interface 80 192.168.1.80 80 netmask 255.255.255.255 0 0 
05.
access-group 102 in interface outside
Sei dir aber bewußt, dass JEDER über den Port 3389 direkt an der Anmeldemaske steht.
Günstiger wäre es, wenn du das auf best. IP-Adressen einschränken, oder, noch besser, den Cisco VPN-Client einsetzen könntest.

Gruß
H.
Bitte warten ..
Mitglied: Rambay
14.03.2006 um 11:00 Uhr
Hallo Gemini,

vielen Dank für die Antwort. Werde die PIX Ware gleich mal auf den neuen Stand bringen.
Mit der RDP Anmeldung hast du Recht, man muss zwar dann noch Benutzernamen und Passwort herausfinden, aber das geht teilweise recht schnell. Normalerweise läuft das bei uns immer über VPN, der Port 3389 ist in der Regel nicht von aussen erreichbar. Aber wie gesagt, hab ich so gut wie null Ahnung von der Pix, werd mir da noch was einfallen lassen.
Geht in der Standard Config der Pix eigentlich das Internet bzw. alle Anfragen von Innen nach Aussen ?

Gruß,

Rambay
Bitte warten ..
Mitglied: gemini
14.03.2006 um 11:29 Uhr
Hi Rambay,

ich setz bei mir, wann immer möglich, den Cisco-VPN-Client ein.
Einzige Ausnahme sind 3 Fernwartungszugänge und die Banken, die aber alle auf best. IPs beschränkt sind.

Die 501 hat, im Gegensatz zu den größeren PIXen, eine Standardkonfig: Nach außen alles, nach innen nichts.

Zum updaten der Software wirst du einen TFTP brauchen, gabs mal von Cisco haben sie aber, glaub ich, eingestellt.
Ich benutze den <a href="ftp://ftp.3com.com/pub/utilbin/win32/3ts01_04.exe" target="_new">TFTP von 3com</a>.

Gruß
H.
Bitte warten ..
Mitglied: Rambay
14.03.2006 um 12:20 Uhr
Gut zu wissen, aber zum Updaten bin ich noch gar nicht gekommen. Wollte die Configuration so schon mal testen. Bevor ich zum Kunden fahre will ich mir sicher sein das es funktioniert :D Hab also im Büro alles Nachgestellt:

Ein Win Server 2003 mit ip 192.168.1.80/255.255.255.0
und ein Client Win XP mit ip 192.168.2.20/255.255.255.0

die Pix hat fürs Lan die 192.168.1.1/255.255.255.0
und fürs Wan hat sie die 192.168.2.1/255.255.255.0

am WAN Port ist nun der Client angeschlossen. Soll also einen PC der von aussen zugreifen will darstellen.

Und an einem Lan Port ist der Server angeschlossen der erreicht werden soll.

Also so war zumindest meine Überlegung. An sich müsste ich doch jetzt mit dem Client auf den Server kommen. MSTSC und Externe IP von der PIX also 192.168.2.1 oder bin ich jetzt schon so durcheinander vor lauter rumprobiererei das ich da grad Mist mach ?? Es klappt nämlich nicht Vielleicht fällt dir ja nochmal was ein oder auf was ich falsch gemacht hab.

Hier die Config die jetzt drin ist:

Building configuration...
Saved
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password encrypted
passwd encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list 102 permit tcp interface outside eq 3389 host 192.168.1.80 eq 3389
access-list 102 permit tcp interface outside eq www host 192.168.1.80 eq www
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 192.168.2.1 255.255.255.0
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm location 192.168.1.80 255.255.255.255 inside
pdm location 192.168.2.1 255.255.255.255 outside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface 3389 192.168.1.80 3389 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface www 192.168.1.80 www netmask 255.255.255.255 0 0
access-group 102 in interface outside
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.129 inside
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
dhcpd enable inside
terminal width 80
Cryptochecksum:8134723923fcba354443bb8e928913e9
: end
[OK]
Bitte warten ..
Mitglied: gemini
14.03.2006 um 19:42 Uhr
Moin Rambay,

ersetz mal die beiden Zeilen und versuchs nochmal.
01.
access-list 102 permit tcp any host 192.168.2.1 eq 3389 
02.
access-list 102 permit tcp any host 192.168.2.1 eq 80
Außerdem solltest du, wenn das System mal produktiv ist, das logging einschalten und einen Syslog-Server auf dem 80er aufsetzen, bspw. den <a href="http://www.kiwisyslog.com/products-german.htm" target="_new">Kiwi Syslog Daemon</a>.
Die PIX schreibt ihre Meldungen dann in das Syslog und du kannst auch nachvollziehen was so abgeht.
01.
logging on 
02.
logging trap notifications 
03.
logging host inside 192.168.1.80
Außerdem solltest du dann auch icmp-Requests blocken.
01.
icmp deny any outside
Die PIX kann übrigens auch ein Modem ansteuern, funktioniert bei uns seit 1½ Jahren einwandfrei.

Gruß
H.

PS: Ich seh grad, du hast den DHCP eingeschaltet.
01.
dhcpd address 192.168.1.2-192.168.1.129 inside  
02.
... 
03.
dhcpd enable inside
Dein Webserver hat eine feste IP, nehme ich mal an. Diese liegt allerdings im Range des DHCP. Das ist suboptimal.
Wenn du den DHCP der PIX nicht brauchst würde ich ihn abschalten, ansonsten den Range so abändern, dass dein Server außen vor ist.
Bitte warten ..
Mitglied: fabio84
03.06.2010 um 16:58 Uhr
Hallo Leute, möchte mich kurz an diesen alten Beitrag hängen:

Habe hier einen Kunden der Ebenfalls den Pix 501 im EInsatz hat.
dieser war als Router / Internetgateway im Einsatz
der Kunde hat sich per Cisco Client direkt verbunden.
der 501 hat über ein DSL Modem eine Internetverbindung aufgebaut.

Nun kam ein Standortwechsel mit dem sich ein paar Bedingungen geändert haben.


a) Neue Bedingungen sind;
der Ciscorouter befindet sich nun hinter einer Firewall und baut keine eigene Internetverbindung auf.
Er soll nur also VPN gateway fungieren.

b) Wir können wir uns die Konfiguration anschauen ? erfolgt diese über Telnet ist das korrekt ? Oder gibt es eine Konfigurationsoberfläche / Konfigsoftware ?
-> Bisher haben wir den 501 noch nie Konfigurieren müssen...

c) reicht es aus wenn man im Router/Firwall die Ports UDP 500,4500 und TCP 10.000 freigibt und diese an den 501 weiterleitet ?

Grüße
und danke für eure Antworten
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
Router & Routing
Konfiguration Cisco ASA5505 (7)

Frage von Yannosch zum Thema Router & Routing ...

TK-Netze & Geräte
Konfiguration einen Cisco SPA122 an einer Auerswald COMpact 5000 (4)

Frage von SarekHL zum Thema TK-Netze & Geräte ...

Router & Routing
Übungen zu Cisco Router Konfiguration (3)

Frage von M.Marz zum Thema Router & Routing ...

Heiß diskutierte Inhalte
Router & Routing
gelöst Ipv4 mieten (22)

Frage von homermg zum Thema Router & Routing ...

Windows Server
DHCP Server switchen (20)

Frage von M.Marz zum Thema Windows Server ...

Exchange Server
gelöst Exchange 2010 Berechtigungen wiederherstellen (20)

Frage von semperf1delis zum Thema Exchange Server ...

Hardware
gelöst Negative Erfahrungen LAN-Karten (19)

Frage von MegaGiga zum Thema Hardware ...