Доброго времени суток.Ситуация такова: при реорганизации сети (после покупки PIX 515Е) сервер
на котором крутится mail, web и DNS,поставили в DMZ.
Все эти сервисы стали недоступны :(
Сегодня уже третий день как мучаем циску примеры с cisco.com
не помогли.
Надо как то сделать их доступными и из inside, и из outside, но нифига не получается...
Может кто что подскажет? Очень надо....
заранее спасибо. Вот конфиг:: Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50hostname lan-pix
domain-name .spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
no fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
no fixup protocol sqlnet 1521
fixup protocol tftp 69
namesip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
global (outside) 1 x.x.85.254 netmask 255.255.255.255
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
вот этот сервер--------------^^^^^^^^^access-list out-dmz permit udp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq www
access-list out-dmz permit tcp any host x.x.x.5 eq smtp
access-list out-dmz permit tcp any host x.x.x.5 eq ftpaccess-list dmz-out permit udp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq www
access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
access-list dmz-out permit tcp host 192.y.1.5 any eq ftppager lines 24
logging on
logging monitor debuggingmtu outside 1500
mtu inside 1500
mtu dmz 1500ip verify reverse-path interface outside
ip verify reverse-path interface dmz
ip audit info action alarm
ip audit attack action alarm
pdm location 172.19.0.7 255.255.255.255 insidepdm logging informational 100
pdm history enable
arp timeout 14400
access-group out-dmz in interface outside
access-group dmz-out in interface dmzroute outside 0.0.0.0 0.0.0.0 217.195.85.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolutentp server 172.15.0.57 source inside prefer
http server enable
http 172.19.0.0 255.255.0.0 insideno snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable trapsfloodguard enable
telnet 172.19.0.0 255.255.0.0 inside
telnet timeout 10console timeout 0
terminal width 80
: end
да вроде работает у вас mail....
даже отвечает :))
>да вроде работает у вас mail....
>даже отвечает :))угу ... отвечает(мдя заметил косячок =))), даже письмо можно написать с консоли
тока у меня там ящик и я нифига почту не получаю
может надо РОР открыть?
и сайтец как то криво работает из нутри виден а снаружи нет =(
а вы его откуда не получаете?
>а вы его откуда не получаете?его это в смысле почту ??
если так то
моя рабочая станция стоит в inside почтовый сервер в DMZ отправляю себе почту с яндекса и ничего не получаю....
ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0 ???
>ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки
>пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0
>???
на самом деле хрен с ним с мылом.....
сайт надо видеть... а его не видно =(
Я снаружи вижу...
А где трансляция (inside, dmz)? Или она не нужна? :)
Именно поэтому доступ снаружи есть, а изнутри нету
>Я снаружи вижу...
каким образом и что Вы видите если не секрет?
http://217.195.85.5
Но сейчас не видно. Видимо, Вы что-то подправили... :)
опишите схему и что хотите сделать...
>опишите схему и что хотите сделать...есть PIX 515Е у него три интерфейса:
inside 172.19.0.0
outside 217.195.x.x
DMZ 192.168.1.1на outside висит cisco1601 которая смотрит в инет(тупо- без аксесс листов)
в inside локальная сеть
в DMZ сервер с FreeBSD на нем web, mail и DNS.необходимо чтоб все эти сервисы были доступны и из нутри и с наружи.
Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50hostname lan-pix
no domain-name .spb.ru
no domain-name spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol http 80
no fixup protocol smtp 25ip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
global (outside) 1 x.x.85.254 netmask 255.255.255.255
nat (inside) 1 172.19.0.9 255.255.0.0
static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0no access-list out-dmz permit udp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq www
no access-list out-dmz permit tcp any host x.x.x.5 eq smtp
no access-list out-dmz permit tcp any host x.x.x.5 eq ftpno access-list dmz-out permit udp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq www
no access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
no access-list dmz-out permit tcp host 192.y.1.5 any eq ftpaccess-list OUTSIDE-IN permit udp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq www
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq smtp
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq ftp
access-group OUTSIDE-IN in interface outside
no access-group out-dmz in interface outside
no access-group dmz-out in interface dmz
route outside 0.0.0.0 0.0.0.0 217.195.85.1 1
упс... acl не тот...должен быть вот этот..
access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp
>упс... acl не тот...
>
>должен быть вот этот..
>
>access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftpСпасибо, попробую.
Может через асю пообщаемся? (177320233)
А logging что выдает?
ничего не получилось.... как тока ставим хост в дмз доступ пропадает...>no domain-name .spb.ru
>no domain-name spb.ru
почему не нужны эти строки??
>no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
а зачем это убирать?>static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0
это тоже не понятная трансляция..причем show xlate трансляцию адреса показывает а доступа нет =(
покажите конфиг, который получился...
Попробуй что-то типа этого конфига... У меня ситуация была аналогичная тебе. Так что такой конфиг должен подойти...
PIX Version 6.3(4)
interface ethernet0 10full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
hostname xray
domain-name example.ru
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
fixup protocol rtsp 554
no fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol tftp 69
namesaccess-list dmz-out permit tcp any host 217.195.85.5 eq www
access-list dmz-out permit tcp any host 217.195.85.5 eq ssh
access-list dmz-out permit tcp any host 217.195.85.5 eq https
access-list dmz-out permit tcp any host 217.195.85.5 eq 993
access-list dmz-out permit tcp any host 217.195.85.5 eq 995
access-list dmz-out permit tcp any host 217.195.85.5 eq domain
access-list dmz-out permit udp any host 217.195.85.5 eq domain
access-list dmz-out permit tcp any host 217.195.85.5 eq smtpaccess-list dmz-out permit tcp host 192.y.1.2 any
access-list vip-acl permit tcp any host 192.y.1.2 eq www
access-list vip-acl permit tcp any host 192.y.1.2 eq https
access-list vip-acl permit tcp any host 192.y.1.2 eq smtp
access-list vip-acl permit tcp any host 192.y.1.2 eq domain
access-list vip-acl permit tcp any host 192.y.1.2 eq 995
access-list vip-acl permit tcp any host 192.y.1.2 eq 993
access-list vip-acl permit udp any host 192.y.1.2 eq domain
### Делай IP сервера в DMZ без трансляции со стороны inside!!!!! т.е. dmzint=192.y.1.1 serverint=192.y.1.2pager lines 24
logging monitor warnings
logging history debugging
logging facility 17
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 217.195.85.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip verify reverse-path interface dmz
ip audit name syn attack action drop
ip audit interface outside syn
ip audit interface dmz syn
ip audit info action alarm
ip audit attack action alarm
arp timeout 14400
global (dmz) 1 192.y.1.50-192.y.1.254 #Этими адресами будут подменятся IP inside сетки при входе в DMZ
nat (inside) 1 179.19.0.0 255.255.255.0 0 0
nat (dmz) 1 192.y.1.0 255.255.255.0 0 0static (dmz,outside) 217.195.85.2 192.y.1.2 netmask 255.255.255.255 0 0 #Трансляция Internet в DMZ или наоборот....
access-group dmz-out in interface outside
access-group vip-acl in interface inside
route outside 0.0.0.0 0.0.0.0 212.57.183.1 1
timeout xlate 1:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection timewait
telnet timeout 60
console timeout 0
terminal width 80Также не забудь прописать маршруты для каждой сети... Удачи!
Кстати, не забудь прописать global(outside) чтобы в инет ходить и подменять IP глобальными....
Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков, о потом смотреть какой код получается в консоле. PDM - приятная штучка.
>Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков,
>о потом смотреть какой код получается в консоле. PDM - приятная
>штучка.
Надо-то надо, вот только policy NAT PDM нераспознает! :((
У меня стоит анологичный девайс с таким же раскладом (все итернетовские серваки размещены в DMZ).
Логика конфигурации простая:
1. три аксесс-листа по одному на каждый интерфейс, на вход.
2. для серваков в ДМЗ статическая трансляция outside-dmz или nat0
3. nat для inside в напралении DMZ и/или outside (зависит от потребностей).
4. policy nat по необходимости.Могу поделиться кусками конфига. У меня все работает.