Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

VPN Passthrough mit Cisco PIX 501

Frage Sicherheit Firewall

Mitglied: swordfall

swordfall (Level 1) - Jetzt verbinden

07.06.2011, aktualisiert 18.10.2012, 3610 Aufrufe, 13 Kommentare

Eine PPTP VPN Verbindung vom Netz hinter der PIX durch die PIX durch mit dem MS VPN Client bricht immer ab.

Hallo Leute,
seit 3 Tagen bin ich nun schon am probieren und komm nicht drauf wie ich es zusammenbringen kann, dass ich vom interen Netz gesichert mit einer Cisco PIX 501 IOS Version 6.3 einen VPN Tunnel durch die PIX zu einem anderen Host aufbauen kann.

Nun zu meiner derzeitigen Konfiguration:

8bdaeb5eb7dcec6481c5346e677c895e - Klicke auf das Bild, um es zu vergrößern

Auch das hinzufügen der Zeilen
fixup protocol esp-ike
fixup protocol pptp 1723

hat leider nichts geholfen.

Hier ist der Auszug aus meiner PIX Config:

01.
: Saved 
02.
: Written by enable_15 at 08:11:09.550 CEDT Tue Jun 7 2011 
03.
PIX Version 6.3(5) 
04.
interface ethernet0 100full 
05.
interface ethernet1 100full 
06.
nameif ethernet0 outside security0 
07.
nameif ethernet1 inside security100 
08.
enable password jnrxwG8MU/Gzkb/7 encrypted 
09.
passwd 2KFQbbNIdI.2KY7U encrypted 
10.
hostname Firewall1 
11.
domain-name Arbeitsgruppe 
12.
clock timezone CEST 1 
13.
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00 
14.
fixup protocol dns maximum-length 512 
15.
fixup protocol esp-ike 
16.
fixup protocol ftp 21 
17.
fixup protocol h323 h225 1720 
18.
fixup protocol h323 ras 1718-1719 
19.
fixup protocol http 80 
20.
fixup protocol pptp 1723 
21.
fixup protocol rsh 514 
22.
fixup protocol rtsp 554 
23.
fixup protocol sip 5060 
24.
fixup protocol sip udp 5060 
25.
fixup protocol skinny 2000 
26.
fixup protocol smtp 25 
27.
fixup protocol sqlnet 1521 
28.
fixup protocol tftp 69 
29.
names 
30.
access-list inside_outbound_nat0_acl permit ip any 192.168.6.224 255.255.255.240  
31.
access-list outside_access_in permit icmp any any echo-reply  
32.
access-list services permit gre any host 192.168.0.10  
33.
access-list services permit tcp any host 192.168.0.10 eq pptp  
34.
pager lines 24 
35.
logging on 
36.
mtu outside 1500 
37.
mtu inside 1500 
38.
ip address outside dhcp setroute retry 4 
39.
ip address inside 192.168.6.1 255.255.255.0 
40.
ip audit info action alarm 
41.
ip audit attack action alarm 
42.
ip local pool VPN-IP_POOL 192.168.6.230-192.168.6.239 
43.
pdm location 192.168.6.224 255.255.255.240 outside 
44.
pdm location 192.168.6.1 255.255.255.255 outside 
45.
pdm location 192.168.6.0 255.255.255.255 inside 
46.
pdm location 192.168.6.40 255.255.255.255 inside 
47.
pdm location 192.168.6.8 255.255.255.255 inside 
48.
pdm location 192.168.0.0 255.255.0.0 inside 
49.
pdm logging informational 100 
50.
pdm history enable 
51.
arp timeout 14400 
52.
global (outside) 10 interface 
53.
nat (inside) 0 access-list inside_outbound_nat0_acl 
54.
nat (inside) 10 0.0.0.0 0.0.0.0 0 0 
55.
access-group outside_access_in in interface outside 
56.
timeout xlate 0:05:00 
57.
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 
58.
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 
59.
timeout sip-disconnect 0:02:00 sip-invite 0:03:00 
60.
timeout uauth 0:05:00 absolute 
61.
aaa-server TACACS+ protocol tacacs+  
62.
aaa-server TACACS+ max-failed-attempts 3  
63.
aaa-server TACACS+ deadtime 10  
64.
aaa-server RADIUS protocol radius  
65.
aaa-server RADIUS max-failed-attempts 3  
66.
aaa-server RADIUS deadtime 10  
67.
aaa-server LOCAL protocol local  
68.
aaa authentication telnet console LOCAL 
69.
http server enable 
70.
http 192.168.6.0 255.255.255.0 inside 
71.
no snmp-server location 
72.
no snmp-server contact 
73.
snmp-server community public 
74.
no snmp-server enable traps 
75.
floodguard enable 
76.
sysopt connection permit-ipsec 
77.
sysopt connection permit-pptp 
78.
sysopt connection permit-l2tp 
79.
telnet 192.168.6.40 255.255.255.255 inside 
80.
telnet timeout 5 
81.
ssh 192.168.6.40 255.255.255.255 inside 
82.
ssh 192.168.6.0 255.255.255.0 inside 
83.
ssh timeout 5 
84.
console timeout 0 
85.
vpdn group PPTP-VPDN-GROUP accept dialin pptp 
86.
vpdn group PPTP-VPDN-GROUP ppp authentication pap 
87.
vpdn group PPTP-VPDN-GROUP ppp authentication chap 
88.
vpdn group PPTP-VPDN-GROUP ppp authentication mschap 
89.
vpdn group PPTP-VPDN-GROUP client configuration address local VPN-IP_POOL 
90.
vpdn group PPTP-VPDN-GROUP client configuration dns 213.153.32.1 213.153.32.129 
91.
vpdn group PPTP-VPDN-GROUP pptp echo 60 
92.
vpdn group PPTP-VPDN-GROUP client authentication local 
93.
vpdn username user1 password *******  
94.
vpdn enable outside 
95.
dhcpd address 192.168.6.250-192.168.6.254 inside 
96.
dhcpd dns 213.153.32.1 213.153.32.129 
97.
dhcpd lease 3600 
98.
dhcpd ping_timeout 750 
99.
dhcpd domain Arbeitsgruppe 
100.
dhcpd auto_config outside 
101.
dhcpd enable inside 
102.
username user1 password I4BFEpJ1TPjQWLxJ encrypted privilege 15 
103.
terminal width 80 
104.
Cryptochecksum:936c6e2131c6d1b097673e7c5bfd38cd 
105.
: end
Der Router des Internetbetreibers lässt die Ports durch das hab ich schon getestet nur die PIX will nicht so mitspielen wie sie soll.

Für Hilfe bin ich sehr dankbar.

gruß swordfall
Mitglied: aqui
08.06.2011 um 09:11 Uhr
Deine Fixup Kommandos sind auch Unsinn. Erstens haben sie nichts miteinander zu tun, denn du würfelst hier fröhlich PPTP und IPsec Protokoll durcheinander.
Zweitens solltest du denn einmal wirklich klären WELCHES der zahllosen VPN Protokolle du denn durch die PIX durchschleifen willst ??
PPTP = TCP 1723 und das GRE Protokoll (IP Nummer 47)
IPsec = UDP 500, UDP 4500, ESP Protokoll (IP Nummer 50)
oder was sonst ??
So können wir dann hier nur im freien Fall weiterraten... Um das zu bewerkstelligen musst du übrigens einen permit Access Liste anlegen sonst kommen diese Pakete nie durch die Firewall !
Die finale Frage die sich auftut ist warum du das VPN nicht gleich auf der PIX terminierst. Aus Sicherheitsgründen ist das deiner Lösung immer vorzuziehen !
Bitte warten ..
Mitglied: swordfall
08.06.2011 um 10:07 Uhr
Danke @aqui für die rasche Antwort,

zu deinen Fragen: ich will PPTP und IPsec durch die Firewall durchschleifen.

Wie gesagt ich habe vorher nur Watchguard Firewalls konfiguriert und keine PIXen. Bin echt froh, dass ich es zusammengebracht habe die PIX als VPN Server fürs PPTP Protokol zu konfigurieren. Die Firewall ist für mich privat, da mich die Cisco Firewalls schon interessieren. Ich habe derzeit nur Erfahrung mit Cisco Switches sammeln dürfen, musste jedoch sehr schnell feststellen dass die Befehle auf der Firewall sich zu den Switches unterscheiden. Mir wäre daher sehr geholfen, wenn ihr mir die Befehle im Klartext gebt die für meine Konfig passen.

Danke & Gruß swordfall
Bitte warten ..
Mitglied: brammer
08.06.2011 um 11:19 Uhr
Hallo,

nur auf die wesentliche Frage von aqui gehst du nicht ein!

Die finale Frage die sich auftut ist warum du das VPN nicht gleich auf der PIX terminierst. Aus Sicherheitsgründen ist das deiner Lösung immer vorzuziehen !

Wieso willst du die VPN Tunnnel, und wieso zwei verschiedene, durchschleifen anstatt die Tunnel direkt auf der Pix zu terminieren?

Hier noch der Link zu Cisco

und der Link zu den Config examples

brammer
Bitte warten ..
Mitglied: swordfall
08.06.2011 um 13:01 Uhr
Hallo, ich möchte zum einen den PPTP Zugang von extern auf die PIX haben, und zum anderen von intern durch die PIX durch auf andere VPN Hosts kommen.
Der Tunnel soll ja nicht auf der PIX terminiert werden da ich ja sonst von extern nicht in mein LAN komme oder versteh ich da was falsch???

Aber trotzdem danke für die Antworten.

gruß swordfall
Bitte warten ..
Mitglied: brammer
08.06.2011 um 14:30 Uhr
Hallo,

natürlich kommst du dann in dein LAN.

Ein VPN Tunnel der im VPN Device endet ist sinnlos!
Das ist doch der Sinn der Tunnels, er verbindet 2 oder mehrere Netze!

brammer
Bitte warten ..
Mitglied: swordfall
08.06.2011 um 15:04 Uhr
Hallo,

Wofür VPN da ist, ist mir schon klar.
Nur ich seh keinen Unterschied ob der Tunnel an der PIX terminiert wird oder im LAN oder ist das eine sicherheitstechnische Frage?

gruß swordfall
Bitte warten ..
Mitglied: brammer
08.06.2011 um 15:42 Uhr
Hallo,

ganz einfache Gegenfrage.

Ist dein Windowsbetriebssystem sicher?
Oder vertraust du in dem Zusammenhang eher dem Cisco IOS das speziell für solche Zwecke konzipiert wurde?

brammer
Bitte warten ..
Mitglied: swordfall
08.06.2011 um 16:17 Uhr
Das System ansich schon nur die Schwachstellen sind meist die Applikationen die zusätzlich zum OS installiert worden sind. Das heißt ich vertrau dem Cisco IOS nur weiß ich nicht wie mir das mit meinem Problem weiterhilft.

gruß swordfall

PS: Danke dass du dir Zeit nimmst mir mit meinem Problem zu helfen, wie gesagt bin ein Anfänger.
Bitte warten ..
Mitglied: brammer
08.06.2011 um 16:47 Uhr
Hallo,

was mir noch nicht ganz klar ist, wies willst du einen PPTP Zugang af die Pix haben?
Um von Extern darauf zuzugreifen?
Dann nimm eine ssh Verbindung mit entsprechendem Password.

Und den IPSec Tunnel kannst du dir dann mit diesem Link noch mal ansehen.

brammer
Bitte warten ..
Mitglied: swordfall
08.06.2011 um 20:47 Uhr
Hallo, ich möchte folgendes:

1) von Extern auf mein LAN zugreifen per PPTP -> funktioniert ja bereits.
2) von Intern auf einen Externen Host per PPTP und IPSec zugreifen -> funktioniert nicht (Wenn ich den PC am Internetprovider Router anschließe, dann kann ich auf jeden x-beliebigen VPN Host zugreifen. Wenn ich jedoch den PC an der PIX anhänge dann kann ich mit dem PC keinen VPN-Host erreichen, da ja die VPN Pakete durch die PIX durch geblockt werden.)

gruß swordfall
Bitte warten ..
Mitglied: aqui
10.06.2011 um 16:56 Uhr
Punkt 2 ist schwierig und scheitert vermutlich in deinem Umfeld !
Der Grund ist klar: Die PIX antewortet ja selber schon auf PPTP sprich GRE Paketet da sie selber einen PPTP Prozess betreibt weil sie selber VPN Server ist.
Zusätzlich kannst du ja jetzt nicht auch noch ein Port Forwarding für die PPTP Protokolle auf eine interne VPN Server Adresse einrichten.
Wie soll die PIX denn nun unterscheiden ob der PPTP Request für sie selber oder den internen Server bestimmt ist.
Das scheitert in einer Standard Konfig also.
Die Frage ist ob man das ggf. mit einer Policy Based Route lösen kann. Dazu musst du aber ganz genau wissen von welchen öffentlichen Source IP Adressen die PPTP Requests kommen die an den internen Server geforwardet werden sollen.
Mit einer ACL und einer darauf aufbauenden NAT Regel könnte man das lösen...theoretisch. Die Ferage ist ob die PIX so etwas supportet.
So oder so ist diese Lösung aber erheblcih aufwendig so sie denn überhaupt klappt ?!
Bitte warten ..
Mitglied: swordfall
21.06.2011 um 14:04 Uhr
Hallo,
sorry war im Ausland konnte mich eher nicht melden.
Wie würde das mit einer ACL funktionieren?

Danke

gruß swordfall
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
DSL, VDSL
gelöst VPN-Probleme (CISCO AnyConnect) in Zusammenhang mit Router "Vodafone EasyBox" (7)

Frage von donnyS73lb zum Thema DSL, VDSL ...

LAN, WAN, Wireless
gelöst VPN Router Cisco oder Andere (5)

Frage von PharIT zum Thema LAN, WAN, Wireless ...

Router & Routing
Cisco 800 Series und VPN over Fritzbox und Telekom VDSL (4)

Frage von Ra1976 zum Thema Router & Routing ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

SAN, NAS, DAS
gelöst HP-Proliant Microserver Betriebssystem (14)

Frage von Yannosch zum Thema SAN, NAS, DAS ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Windows 7
Verteillösung für IT-Raum benötigt (12)

Frage von TheM-Man zum Thema Windows 7 ...