Настройка Cisco PIX Firewall / ASA - [11] :: В помощь системному администратору :: Компьютерный форум Ru.Board

Перейти из форума на сайт.

Новости • Файловые архивы
Поиск • Активные темы • Топ лист
Правила • Кто в on-line?

Вход • Забыли пароль? • Первый раз на этом сайте? • Регистрация

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Настройка Cisco PIX Firewall / ASA

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

Открыть новую тему

Написать ответ в эту тему

era

Newbie

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Cisco PIX Firewall / ASA

Cisco PIX Firewall / ASA - OS ищем тут !

Полезные ссылки
http://cisco.com - тут как гворится есть всё !
http://ciscolab.ru - CiscoLab Лаборатория Сетей
http://www.opennet.ru/mp/cisco/ - Мини-портал Cisco на opennet.ru
http://faq-cisco.ru/ - cisco на русском
http://ru.wikipedia.org/wiki/Cisco - cisco на Wikipedia
http://dreamcatcher.ru -
http://ods.com.ua/win/rus/rfc/faq/c_faq.html - FAQ по маршрутизаторам cisco

Уже обсуждалось
CISCO PIX 7.04 форвардинг портов. КАК?
Сброс пароля на Cisco PIX 501
cisco pix 501 config помогите
Помогите настроить PIX
Cisco ASA 55x0 Remote Access VPN

Родственные темы
Настройка Cisco оборудования.

FAQ

Всего записей: 1 | Зарегистр. 07-08-2002 | Отправлено: 10:41 07-08-2002 | Исправлено: slech, 09:30 11-06-2008

slech Silver Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору skirix удали последний установленный апдейт JRE 11 или 10 http://the-network-guy.blogspot.com/2008/10/asdm-error-unconnected-sockets-not.html
	Всего записей: 4893 \| Зарегистр. 10-11-2004 \| Отправлено: 11:30 16-03-2009 \| Исправлено: slech, 11:31 16-03-2009

Kwasti

Junior Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:

route-map, чтобы определенный трафик уходил к другому провайдеру, я правильно понял?
а nat как настроен? покажите конфиг, пожалуйста.

до NAT пока еще не дошло т.к. еще route-map не настроен..
а без настройки route-map Только на правилах NAT не работало..
т.к. при обращении к внешнему ресурсу сначала определялся шлюз а по метрике это шлюз основногопроайдера..и далее по правилам NAT покет шел на интерфейс резервного провайдера в котором этого шлюза коненчо нет..
т.е. тут сначала нужно как торазрулить с route-map
чет читал что стандартного как на маршрутизаторах на ASA нет route-map
делается там мол все ч/з энное место, но возможно...типа OSPRF или RIP но ч/з них не пойму как сделать т.к. как я понял они для VPN нужны..
хотя жаль иметь столько интерфейсов и не иметь нормального route-map информаци очень мало в интернете. если я не прав, помогите разобраться пожалуйста..

Всего записей: 47 | Зарегистр. 04-03-2008 | Отправлено: 12:10 16-03-2009 | Исправлено: Kwasti, 12:24 16-03-2009

ESX091

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

может я чего-т не понимаю...
пример, который я привел показывает, как напралять с помощью nat+acl трафик с внутреннего интерфейса 1 через провайдера 1, а трафик с внутреннего интерфейса 2 через провайдера 2.
дальше нужно отплясывать от ваших желаний и возможностей оборудования.
как найду очередность того, как обрабатывает pix входящий трафик - скину инфу.

Всего записей: 282 | Зарегистр. 23-04-2008 | Отправлено: 01:49 18-03-2009

aRMAN

Newbie

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Все привет!
помогите разобраться есть PIX с тремя интерфейсами:
1. смотрит к провайдеру
2. смотрит в локалку
3. DMZ (Mail,WEB)
Бывают моменты не могу отправить или принять почту по причине не возможности подключения к Mail серверу помогает комманда на PIX-e clear xlate.
Выход в инет в это время доступен.
Помогите разобраться.

Всего записей: 31 | Зарегистр. 30-09-2003 | Отправлено: 10:10 27-03-2009

ESX091 Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору to aRMAN в логах есть что-нибудь? в критические моменты скиньте show memory show xlate show conn
	Всего записей: 282 \| Зарегистр. 23-04-2008 \| Отправлено: 18:08 29-03-2009

Junior Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

to aRMAN

Цитата:

Бывают моменты не могу отправить или принять почту по причине не возможности подключения к Mail серверу помогает комманда на PIX-e clear xlate.
Выход в инет в это время доступен

В этот момент нет доступа из локалки в ДМЗ?
Возможно кривовато настроен nat.
По-идее в направлении Локалка - ДМЗ можно nat отключить.

Всего записей: 36 | Зарегистр. 25-04-2006 | Отправлено: 13:31 03-04-2009 | Исправлено: schukin, 13:35 03-04-2009

slech

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

ответ на вопрос Sterh84

Цитата:

2. Надо ли писать правила на исходящий траффик с интерфеса с уровнем защищенности 0 ?

нет, не надо. только на входящий.

Всего записей: 4893 | Зарегистр. 10-11-2004 | Отправлено: 12:45 11-04-2009 | Исправлено: slech, 12:46 11-04-2009

Sterh84

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Возникает вопрос, возможно ли закрыть траффик( для защиты от обратного соединения ) ?
И как защититься от ДДОСа ? Я понимаю что это не спасет от истощения канала, во как запретить пакетам проходить до сервера ?

Всего записей: 320 | Зарегистр. 03-10-2006 | Отправлено: 20:22 12-04-2009

dfalc

Newbie

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

А помогите кто может!!!
local net LN1(192.168.0.0/24) -> 192.168.0.1(Cisco C1)192.168.1.1 - VPN Site-To-Site(Internet) - 192.168.3.1(Cisco C2)192.168.4.1 -> localnet LN2(192.168.4.0/24) -> tftpserver(192.168.4.2)
cisco asa5505. На обоих 2 интерфейса inside outside

1.C2 -> tftp все OK
2.VPN работает. LN1 ping LN2 и наоборот
3. Но с самой C1 не могу ping LN2
4. C LN2 ping 192.168.0.1 OK!
На C1 и C2
tftp-server inside 192.168.4.2 file

Вопрос: Не хочется поднимать в каждой локальной сети tftp сервер.
Как настроить чтобы можно было сохранять конфиг на одном tftp серевре. Через Internet естественно не подходит.

на c1:
write net tftp:xxx - time out!!!

===============================
Тема закрыта. Проблема сохранения через ASDM. Если зайти через ssh все прекрасно работает.

Всего записей: 3 | Зарегистр. 28-06-2007 | Отправлено: 13:11 13-04-2009 | Исправлено: dfalc, 14:48 13-04-2009

slech

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Sterh84
значит в твоём случае соединение будет исходить из интерфейса с уровнем 100 скажем.
ты вот на нём и создай правила:
1. всё что можно и куда можно
2. запретить всем и всё

Всего записей: 4893 | Зарегистр. 10-11-2004 | Отправлено: 13:52 13-04-2009

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Доброе время суток. Может, кто подскажет, как увидеть на PIX 501 имя удаленного пользователя, который подключился по VPN, если база пользователей локальная или для этого надо обязательно аутентификация RADIUS Server. Сейчас делаю так:
show isakmp sa
а в ответ:
dst src state pending created
100.100.100.100 200.200.200.200 QM_IDLE 0 1

А как узнать имя удаленного пользователя, ведь IP c которого он подключается в 70% динамическое. Имя мне надо и для статистики да и с точки зрения безопасности тоже было бы не плохо его видеть.

Всего записей: 207 | Зарегистр. 28-10-2002 | Отправлено: 21:40 18-04-2009

rakis

Member

Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Есть два PIX-525 в кластере и необходимость обновиться с 6.3(3) до 7.2(4). Документацию на сайте читал. В принципе все понятно, но промежуток времени, который необходимо потратить на обновление рекомендуемым способом, слишком велик.
В итоге есть мысль сделать следующее:
1. Убрать из схемы primary
2. Обновить primary 6.3(3) -> 6.3(5) -> 7.0(4) -> 7.2(4)
3. Сделать обмен - убрать secondary, вернуть primary
4. Обновить secondary 6.3(3) -> 6.3(5) -> 7.0(4) -> 7.2(4)
5. Вернуть secondary
Как результат - 2 перерыва в сервисе максимум по одной минуте.

Может есть более простой/правильный способ? Или так, как описано выше, тоже возможно?

Всего записей: 379 | Зарегистр. 17-01-2006 | Отправлено: 00:57 28-04-2009

yarasha Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору Я так понял ответить на мой вопрос к сожалению никто не может, как увидеть имя пользователя подключенного по VPN
	Всего записей: 207 \| Зарегистр. 28-10-2002 \| Отправлено: 21:34 29-04-2009

slut Advanced Member	Редактировать \| Профиль \| Сообщение \| ICQ \| Цитировать \| Сообщить модератору yarasha а sh users не показывает?
	Всего записей: 1813 \| Зарегистр. 31-10-2002 \| Отправлено: 10:37 01-05-2009

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

slut

Показывает, но к сожалению не то, что надо. Это команда показывает, какие учетные записи существуют в конфигурации .

cisco# sh user
username remote1 password XXXX encrypted privilege 1
username remote2 password YYYYY encrypted privilege 1

А я ищу,что то типа юниксовых команд who или last
причем who в случае с PIX показывает только активные сессии Telnet. А мне очень желательно увидеть имя пользователя, создавшего VPN соединение. А в идеале еще и статистику переслать на сислогсервер.

Всего записей: 207 | Зарегистр. 28-10-2002 | Отправлено: 19:32 01-05-2009

rakis

Member

Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

yarasha

Цитата:

А мне очень желательно увидеть имя пользователя, создавшего VPN соединение. А в идеале еще и статистику переслать на сислогсервер.

Походу 501-й этого не умеет (точнее PIX OS 6.x), как замену можно использовать radius.

Всего записей: 379 | Зарегистр. 17-01-2006 | Отправлено: 17:53 02-05-2009

Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

rakis

Цитата:

Походу 501-й этого не умеет (точнее PIX OS 6.x), как замену можно использовать radius.

Жаль, очень жаль. Я в принципе это уже и подозревал. Последний вопрос на эту тему. А с какого IOS есть данная фича, как это можно увидеть и могу ли проапдейтить свой старый PIX до нужной версии OS. Хотя судя по всему, таки мне нужен RADIUS

Всего записей: 207 | Зарегистр. 28-10-2002 | Отправлено: 21:36 03-05-2009

rakis

Member

Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

yarasha

Цитата:

А с какого IOS есть данная фича, как это можно увидеть и могу ли проапдейтить свой старый PIX до нужной версии OS

В 7.2 есть, show vpn-sessiondb ..., (есть ли в более ранних 7.х не знаю)
На 501-й стандартными способами 7-ю не поставить.

Всего записей: 379 | Зарегистр. 17-01-2006 | Отправлено: 22:59 03-05-2009

slech

Silver Member

Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

можно ли без перезагрузки обновить версию ASDM ?
кто то такое делал ? железка в продакшене просто эксперементирвать нехочу.

т.е. заливаем новую версию ASMD правим конфиг и подключаемся.
сработает ли так ?

спасибо.

Всего записей: 4893 | Зарегистр. 10-11-2004 | Отправлено: 16:47 08-05-2009

slech Silver Member	Редактировать \| Профиль \| Сообщение \| Цитировать \| Сообщить модератору если верить этому Upgrade an ASDM Image with ASDM 6.x то тут как раз только ASDM и обновляют, т.е. должно пройти.
	Всего записей: 4893 \| Зарегистр. 10-11-2004 \| Отправлено: 22:57 08-05-2009

Открыть новую тему

Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Настройка Cisco PIX Firewall / ASA

Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC