URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 16285
[ Назад ]
Исходное сообщение
"map портов на PIX 506E. Помогите чайнику, пожалуйста."
Отправлено ElvisPresley2 , 16-Май-08 14:34 
Люди добрые, помогите чайнику настройить мап портов на PIX 506E.
Внутри локальной сети есть сервер Kerio, на котором поднят Kerio VPN. Порты этот VPN использует TCP 4090 и UDP 4090.

схема подключения к интернету выглядит следующим образом:

Интернет <-> 195.195.195.195 (Cisco1 PIX 506E) 195.195.196.196 <-> DMZ (всякие внешние сервера) <-> 195.195.196.197 (Cisco2 PIX 506E) 192.168.1.1 <-> Локальная сеть 192.168.1.0

Подскажите плиз команды для CISCO2, чтобы сделать на ней мап портов входящих на нее откуда-угодно TCP 4092 и UDP 4092 на порты TCP 4090 и UDP 4090 внутренний сервер Kerio с IP 192.168.1.2.

Это нужно для того, чтобы пользователи снаружи (из Интернета) могли подключиться к ВПН серверу Kerio. Лучше у меня не спрашивать причину такого подключения из Инета к локалке по ВПН-каналу. Начальство сказало - я и пытаюсь сделать.

Всем откликнувшимся на призыв о помощи - заранее большущее спасибо!

Содержание
Сообщения в этом обсуждении
"map портов на PIX 506E. Помогите чайнику, пожалуйста."
Отправлено ElvisPresley2 , 16-Май-08 22:52 
Господа, подскажите, хотя бы плиз в какую сторону копать!
Уже несколько часов парюсь с этой задачей!

"map портов на PIX 506E. Помогите чайнику, пожалуйста."
Отправлено Nataliya , 17-Май-08 00:28 
>Господа, подскажите, хотя бы плиз в какую сторону копать!
>Уже несколько часов парюсь с этой задачей!

Честно говоря, что-то не очень понятна Ваша схема.

Проброска портов делается так:
Задается правило NAT.
Пробрасываем порты TCP 4092 и UDP 4092 с адреса 195.195.195.195 на порты TCP 4090 и UDP 4090 и адрес 192.168.1.2:
static (dmz,outside) tcp 195.195.195.195 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0

static (dmz,outside) udp 195.195.195.195 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0

Это при условии, что адрес 195.195.195.195 у Вас на outside  интерфейсе (на который обращаются пользователи), а сервер с адресом 192.168.1.2 -- на dmz интерфейсе.

Но не забывайте еще о том, что у Вас ACL должен пропускать этот трафик.

"map портов на PIX 506E. Помогите чайнику, пожалуйста."
Отправлено ElvisPresley2 , 17-Май-08 00:55 
>[оверквотинг удален]
>static (dmz,outside) tcp 195.195.195.195 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0
>
>static (dmz,outside) udp 195.195.195.195 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0
>
>Это при условии, что адрес 195.195.195.195 у Вас на outside  интерфейсе
>(на который обращаются пользователи), а сервер с адресом 192.168.1.2 -- на
>dmz интерфейсе.
>
>Но не забывайте еще о том, что у Вас ACL должен пропускать
>этот трафик.

Спасибо, что откликнулись!
Но дело в том, что на циско Cisco1, которая стоит перед DMZ я временно делаю permit from any to any. А проброс портов мне нужен на Cisco2.
Мне нужно коннектиться к внешнему интерфейсу Cisco2 по порту 4092 (tcp+udp) клинентом Kerio VPN и попасть внутрь локальной сети на сервер 192.168.1.2 (Kerio server) на порт 4090 (tcp+udp). На Cisoc2 тоже делаю веременно "permit from any to any", добавляю проброс портов
static (inside,outside) udp 195.195.196.197 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0
static (inside,outside) tcp 195.195.196.197 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0

Из дома пытаюсь сделать telnet 195.195.196.197 4092 - и тишина "Не удалось открыть подключение к этому узлу, на порт 4092: Сбой подключения"

В чем проблема - не могу понять!


"map портов на PIX 506E. Помогите чайнику, пожалуйста."
Отправлено ElvisPresley2 , 17-Май-08 01:04 
static (inside,outside) udp 195.195.196.197 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0
static (inside,outside) tcp 195.195.196.197 4092 192.168.1.2 4090 netmask 255.255.255.255 0 0

Вопрос закрыт! Вот правильный ответ!
СОРРИ! Пока писал сюда ответ нашел ошибку - перепутал порты местами!
Всем спасибо за терпение!!!