Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

VPN mit PIX 501

Frage Sicherheit Firewall

Mitglied: pastor

pastor (Level 1) - Jetzt verbinden

15.09.2006, aktualisiert 25.09.2006, 7809 Aufrufe, 5 Kommentare

Brauche irgendeine VPN-verbindung meinem Netzwerk

Hallo Leutz,
ich habe hier vollgende Konfiguration,
ich bekomme weder über IPSEC noch über pptp eine VPN-verbingung hin.

Könnte mir jemand helfen?

ich weiß echt nicht mehr weiter... Und mit der Pix habe ich absolut keine erfahrung.

Danke.

Building configuration...
Saved
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxx encrypted
passwd xxxx encrypted
hostname pixfirewall
domain-name con.de
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 10.200.10.53 ffmdc01
name 10.200.10.0 Server
object-group service ServiceWWW tcp
port-object eq www
object-group service ServiceMail tcp
port-object eq smtp
port-object eq https
object-group service ServiceDNS udp
port-object eq domain
access-list inside_access_in permit ip any any
access-list inside_access_in permit icmp any any
access-list inside_access_in permit udp host ffmdc01 any object-group ServiceDNS
access-list outside_access_in permit tcp any interface outside object-group ServiceMail
access-list outside_access_in remark POP3 und SMTP auf den Exchange
access-list outside_access_in remark HTTPS und SMTP auf den Exchange
pager lines 24
logging on
logging trap debugging
logging host inside 10.200.20.2
mtu outside 1500
mtu inside 1500
ip address outside xxx.94.72.138 255.255.255.0
ip address inside 10.200.1.1 255.0.0.0
ip audit info action alarm
ip audit attack action alarm
ip local pool -vpn 10.200.20.115-10.200.20.120
pdm location ffmdc01 255.255.255.255 inside
pdm location 10.200.0.0 255.255.0.0 inside
pdm location 10.200.20.8 255.255.255.255 inside
pdm location 10.200.20.7 255.255.255.255 inside
pdm location 10.200.20.2 255.255.255.255 inside
pdm location 10.200.30.0 255.255.255.240 outside
pdm location 10.200.20.112 255.255.255.240 outside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface smtp ffmdc01 smtp netmask 255.255.255.255 0 0
static (inside,outside) tcp interface https ffmdc01 https netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 xxx.94.72.125 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
aaa authentication ssh console LOCAL
http server enable
http 10.0.0.0 255.0.0.0 inside
no snmp-server location
no snmp-server contact
snmp-server community con
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
sysopt connection permit-l2tp
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 mode transport
isakmp enable outside
isakmp enable inside
isakmp identity address
telnet timeout 5
ssh 10.200.0.0 255.255.0.0 inside
ssh timeout 5
console timeout 0
vpdn group con accept dialin pptp
vpdn group con ppp authentication chap
vpdn group con ppp authentication mschap
vpdn group con client configuration address local -vpn
vpdn group con client configuration dns ffmdc01
vpdn group con client configuration wins ffmdc01
vpdn group con pptp echo 60
vpdn group con client authentication local
vpdn username pastor password *
vpdn enable outside
vpdn enable inside
dhcpd address 10.200.20.1-10.200.20.30 inside
dhcpd dns ffmdc01 xxx.25.0.69
dhcpd wins ffmdc01
dhcpd lease 36000
dhcpd ping_timeout 750
dhcpd domain xxx.local
dhcpd auto_config outside
dhcpd enable inside
username pastor password xxxx encrypted privilege 15
vpnclient mode client-mode
vpnclient vpngroup xxx password
vpnclient username xxx password
terminal width 80
Cryptochecksum:xxxx
: end
[OK]
Mitglied: Rafiki
15.09.2006 um 21:43 Uhr
Hi Pastor,

ich halte den Cisco VPN Client für besser geeignet als eine PPTP Verbindung. Aber das ist halt meine Meinung.

Leider wurde keine Fehlermeldung angegeben für die erfolglosen PPTP und Cisco VPN Client Versuche. Darf ich mal vermuten, dass es zu einem Timeout kommt und die Firewall scheinbar nicht antwortet?

access-list outside_access_in permit tcp any interface outside object-group ServiceMail
Diese access-liste erlaubt nur TCP zum Exchange Server. Da kommt der Versuch eine VPN Verbindung aufzubauen leider nicht an der Firewall an. Das muss berichtigt werden.

Damit ein Cisco VPN Client von draußen auf das Netz zugreifen darf fehlt noch die Konfiguration für den remote VPN Client. Bitte beachte die Beispiele in "Document ID: 14095" von Cisco, für Pix 6.3 und Cisco VPN Client. Folgender Link sollte sogar ohne Login funktionieren.
http://www.cisco.com/warp/public/110/pptpcrypto3.pdf
Wenn du möchtest, passe ich dir das Beispiel aus dem Dokument für deine Pix an, melde dich mal.

ip local pool -vpn 10.200.20.115-10.200.20.120
Ich finde den Namen mit einem - am Anfang unglücklich gewählt. Wie wäre es mit ffmvpnpool?

snmp-server community con
Warnung die SNMPcommunity ist zukurz und könnte mit brute force erraten werden! Besser ist eine 10 Zeichen lange zufällige a-z,A-Z,0-9 Kombination.


Gruß Rafiki
PS: Ich freue mich immer, wenn jemand im Forum kurz berichtet ob eine angebotene Lösung erfolgreich war oder auch nicht.
Bitte warten ..
Mitglied: pastor
17.09.2006 um 17:24 Uhr
Hallo Rafiki,
ersteinmal Danke für die schnelle Antwort.

Du hast recht, es war ein TimeOut. Der mich hinderte mich zu Authentifizieren.

Wie gesagt, ich habe keine Ahnung von der PIX. Und ich wäre Dir sehr dankbar, wenn Du mir die entsprechenden Stellen anpassen könntest.

Mir persönlich wäre es auch lieber mit dem Ciscoclient ein VPN zu machen, aber der kostet ja wieder Geld. Und wenn es eine Lösung geben würde trotzdem mit IPSEC ein VPN herzustellen
wäre ich noch glücklicher. Wenn es aber einfacher ist, dieses mit dem Ciscoclient 4.x zu veranstalten, muß ich wohl oder über das Geld ausgeben.

Das VPN sollte so freigeschaltet werden, das es egal ist, ob ich direkt im lokalen Netz bin oder als VPNuser eingeloggt.

Vielen Dank für deine Hilfe schon im Vorraus.

Gruß
Pastor
Bitte warten ..
Mitglied: Rafiki
18.09.2006 um 22:01 Uhr
Hi Pastor.

Die PIX 501 kommt, nach meinem Verständnis der Produktbeschreibung von Cisco, mit mindestens einer 10 Benutzerlizenz daher. Das beinhaltet für 10 Benutzer den VPN Client.
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_data_she ...

Aber ich kann mich natürlich auch täuschen. Eine verbindliche Antwort gibt der Vertrieb von Cisco oder dein Cisco Partner.
http://www.cisco.com/global/DE/local_offices/hallbergmoos.shtml

PPTP mag ich nicht so gerne da es nach meiner Erfahrung nicht so zuverlässig ist. Insbesondere von einigen NAT Routern (z.B. T-Com hotspot
oder von Zuhause) funktioniert der Tunnelaufbau einfach nicht. Es ist dann schwer den Benutzer klarzumachen das es nicht an deiner Firewall
liegt sondern eine Eigenart des PPTP ist. Dann gibt es noch eine theoretische Möglichkeit eine "man in the middle attacke" durchzuführen und das Passwort abzufangen. http://www.heise.de/security/artikel/71967/3

Eine IPsec Verbindung zwischen einer PIX und einem Windows Client ohne Cisco VPN Client müsste wohl auch möglich sein, aber das übersteigt meine Kenntnisse gegenwärtig. Das Problem dabei ist das die die IP Adresse von dem Benutzer dynamisch ist. Wenn beide Seiten eine feste IP Adresse haben, dann würde eine statische LAN to LAN (l2l) Verbindung Sinn machen.

Deshalb schlage ich vor, du versucht den VPN Client einzusetzen. Der VPN Client hat zudem noch eine nette Funktion: Bei einem Notebook, das eine VPN Verbindung von unterwegs in dein Netzwerk aufgebaut hat, wird alles andere an Netzwerkverkehr unterbunden. Das funktioniert sogar ziemlich gut und ist für normale Anwender, Viren oder Trojaner nicht zu umgehen.

So nun zu der Konfig. Die Befehle sind für copy & paste vorgesehen, jeweils in den Böcken wie ich das hier so schreibe.
Ich habe gerade keine PIX mit einer 6.3'er Version zur Hand, deshalb alles ungetestet. Wenn ich mich vertippt habe oder du unerwartete Fehlermeldungen bekommst dann bitte melden!

Zuerst möchte ich gerne die Konfiguration kleiner und übersichtlicher machen. Den PPTP Teil löschen:
clear vpdn all
no sysopt connection permit-pptp
no sysopt connection permit-l2tp

VPN von inside macht keinen Sinn, löschen:
no isakmp enable inside

Den IP pool umbenennen:
no ip local pool -vpn 10.200.20.115-10.200.20.120
no ip local pool ffmvpnpool 10.200.20.115-10.200.20.120

Ein neuer Name für das Transformset
no crypto ipsec transform-set ESP-3DES-MD5
no crypto ipsec transform-set TRANS_ESP_3DES_MD5
crypto ipsec transform-set ffmTS esp-3des esp-md5-hmac

crypto dynamic-map dynmap 10 set transform-set ffmTS
crypto map ffmCM 10 ipsec-isakmp dynamic dynmap
crypto map ffmCM client configuration address initiate
crypto map ffmCM client configuration address respond
crypto map ffmCM interface outside


Für dynamische Clients (0.0.0.0) einen Key festlegen. Dieser wird später in das Feld Group Authentication im VPN Client eingetragen.
isakmp key mEin0verDammt1lAnGer3GuTer4KEY address 0.0.0.0 netmask 0.0.0.0
isakmp identity address
isakmp client configuration address-pool local ffmvpnpool outside

Zwischen einem VPN Client und dem Netzwerk soll kein NAT stattfinden:
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.115
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.116
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.117
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.118
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.119
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.120
nat (inside) 0 access-list 80

So hier endet mein Bildflug. Versuche jetzt mal mit dem VPN Client eine Verbindung von draußen aufzubauen.
Wenn das noch nicht funktioniert, dann schicke mir die aktuelle Konfiguration am besten über die Nachrichtenfunktion hier im Forum. (Oben rechts auf der Webseite.)

Gruß Rafiki
Bitte warten ..
Mitglied: pastor
18.09.2006 um 23:30 Uhr
So ich bekomme eine Fehlermeldung diverse Fehlermeldungen....

habe dir eine PM geschickt.
gruß
Pastor
Bitte warten ..
Mitglied: pastor
25.09.2006 um 15:51 Uhr
So nach langen hin und herprobieren mit einzweimal reseten der PIX habe ich eine Funktionierende konfig.Jedenfalls alles notwendige für das VPN...
( könnte sogar zu viel drinnen stehen)



01.
// interface 
02.
interface ethernet0 auto 
03.
interface ethernet1 100full 
04.
nameif ethernet0 outside security0 
05.
nameif ethernet1 inside security100 
06.
enable password ###### encrypted 
07.
passwd ###### encrypted 
08.
hostname pixfirewall 
09.
domain-name domain.de 
10.
names 
11.
access-list 101 permit ip 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0  
12.
access-list 101 permit tcp 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0  
13.
access-list inside_access_in permit ip 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0  
14.
pager lines 24 
15.
icmp permit any outside 
16.
icmp permit any inside 
17.
mtu outside 1500 
18.
mtu inside 1500 
19.
ip address outside ###.##.72.238 255.255.255.0 
20.
ip address inside 10.200.1.1 255.0.0.0 
21.
ip audit info action alarm 
22.
ip audit attack action alarm 
23.
ip local pool ippool 192.168.1.1-192.168.1.254 
24.
global (outside) 1 interface 
25.
nat (inside) 0 access-list 101 
26.
nat (inside) 1 0.0.0.0 0.0.0.0 0 0 
27.
access-group outside_access_in in interface outside 
28.
access-group inside_access_in in interface inside 
29.
route outside 0.0.0.0 0.0.0.0 ###.##.72.225 1 
30.
timeout xlate 0:05:00 
31.
timeout conn 1:00:00 half-closed 0:10:00 udp 0:05:00 rpc 0:10:00 h225 1:00:00 
32.
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:05:00 
33.
timeout uauth 0:05:00 absolute 
34.
aaa-server TACACS+ protocol tacacs+  
35.
aaa-server RADIUS protocol radius  
36.
aaa-server LOCAL protocol local  
37.
aaa authentication ssh console LOCAL 
38.
sysopt connection permit-ipsec 
39.
sysopt noproxyarp outside 
40.
sysopt noproxyarp inside 
41.
crypto ipsec transform-set FFMVPN esp-des esp-md5-hmac  
42.
crypto dynamic-map dynmap 10 set transform-set FFMVPN 
43.
crypto map FFMVPN 10 ipsec-isakmp dynamic dynmap 
44.
crypto map FFMVPN client configuration address initiate 
45.
crypto map FFMVPN client configuration address respond 
46.
crypto map FFMVPN client authentication LOCAL 
47.
crypto map FFMVPN interface outside 
48.
isakmp enable outside 
49.
isakmp key ******** address 0.0.0.0 netmask 0.0.0.0  
50.
isakmp identity address 
51.
isakmp client configuration address-pool local ippool outside 
52.
isakmp policy 20 authentication pre-share 
53.
isakmp policy 20 encryption des 
54.
isakmp policy 20 hash md5 
55.
isakmp policy 20 group 2 
56.
isakmp policy 20 lifetime 86400 
57.
vpngroup vpn3000-all address-pool bigpool 
58.
vpngroup vpn3000-all dns-server 10.200.53.1 
59.
vpngroup vpn3000-all wins-server 10.200.53.1 
60.
vpngroup vpn3000-all default-domain domain.local 
61.
vpngroup vpn3000-all idle-time 1800 
62.
vpngroup vpn3000-all password ******** 
63.
console timeout 0 
64.
username user1 password ##### encrypted privilege 3 
65.
username user2 password ##### encrypted privilege 3 
66.
username user3 password ##### encrypted privilege 3 
67.
terminal width 80 
68.
Cryptochecksum:######
Bitte warten ..
Neuester Wissensbeitrag
CPU, RAM, Mainboards

Angetestet: PC Engines APU 3a2 im Rack-Gehäuse

(1)

Erfahrungsbericht von ashnod zum Thema CPU, RAM, Mainboards ...

Ähnliche Inhalte
Windows Netzwerk
Direct Access mit VPN aufbau (6)

Frage von geocast zum Thema Windows Netzwerk ...

Windows Server
Windows Server 2016 VPN richtig konfigurieren (1)

Frage von junior zum Thema Windows Server ...

Windows Server
gelöst Windows Server 2012 mit Fritzbox per VPN verbinden (13)

Frage von StefanT81 zum Thema Windows Server ...

Windows Netzwerk
Kein RDP über VPN per MS-TSC möglich (9)

Frage von survial555 zum Thema Windows Netzwerk ...

Heiß diskutierte Inhalte
Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

DSL, VDSL
DSL-Signal bewerten (13)

Frage von SarekHL zum Thema DSL, VDSL ...

Switche und Hubs
Trunk für 2xCisco Switch. Wo liegt der Fehler? (9)

Frage von JayyyH zum Thema Switche und Hubs ...

Windows Server
Mailserver auf Windows Server 2012 (9)

Frage von StefanT81 zum Thema Windows Server ...