AndreySergeevich Junior Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору гайз, есть у кого инфа как на ASA (5505) сделать NAT для VPN клиентов? Через ASDM потыкался безуспешно. Всего записей: 178 | Зарегистр. 21-02-2007 | Отправлено: 18:00 05-05-2014

Daeno Newbie Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Доброго времени суток! Прошу прощения, за скорее всего избитый вопрос, но увы не очень понимаю.   Ситуация: Есть сеть офиса 192.168.1.0. Спрятанная за CISCO ASA 5505. На кошке поднят VPN, проброшены порты для сервера видеонаблюдения в офисе (доступ из вне есть, всё ок, порты проброшены (не http)). VPN работает нормально. С удалённой точки по VPN подключается клиент (сервер видеонаблюдения удалённой точки). Он прекрасно виден из локальной сети офиса, всё пашет (обращение идёт по IP, выданному VPN-Server, по 80-му порту). В офисе естественно есть выделенный IP и привязан он к внешнему интерфейсу кошки.   Вопрос: Из случайных мест необходимо предоставить доступ к удалённому серверу видеонаблюдения (с внутриофисным сервером видеонаблюдения, опять таки всё ок), а он не даётся.  Уважаемые гуру, подскажите, пожалуйста, в какую сторону копать?     Сеть наглядно:   Небольшое пояснение: НЕТ ДОСТУПА ТОЛЬКО ОТ УДАЛЁННОГО КЛИЕНТА К УДАЛЁННОМУ СЕРВЕРУ   ACL: NAT: Packet Tracer:   Текущий конфиг: Код:   ASA Version 8.2(5)   ! hostname ciscoasa domain-name trgp.local enable password KfJhcv8A0NCmwwuF encrypted passwd 2KFQnbNIdI.2KYOU encrypted names name 192.168.1.100 Video_Msk name 192.168.1.12 Video_Piter name XXX.XXX.XXX.230 www name XXX.XXX.XXX.229 GateAway ! interface Ethernet0/0  switchport access vlan 2 ! interface Ethernet0/1 ! interface Ethernet0/2 ! interface Ethernet0/3 ! interface Ethernet0/4 ! interface Ethernet0/5 ! interface Ethernet0/6 ! interface Ethernet0/7 ! interface Vlan1  nameif inside  security-level 100  ip address 192.168.1.1 255.255.255.0   ! interface Vlan2  nameif outside  security-level 0  ip address www 255.255.255.0   ! ftp mode passive dns server-group DefaultDNS  domain-name YYY.local object-group network Video_Msk access-list outside_access_in extended permit ip any any   access-list inside_nat0_outbound extended permit ip any 192.168.1.96 255.255.255.240   access-list inside_access_in extended permit ip any any   pager lines 24 logging asdm informational mtu inside 1500 mtu outside 1500 ip local pool vpn_pool Video_Msk-192.168.1.109 mask 255.255.255.0 icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 global (outside) 1 interface nat (inside) 0 access-list inside_nat0_outbound nat (inside) 1 0.0.0.0 0.0.0.0 static (inside,outside) tcp interface 111 Video_Piter 111 netmask 255.255.255.255   static (inside,outside) tcp interface 112 Video_Piter 112 netmask 255.255.255.255   static (inside,outside) tcp interface www Video_Msk www netmask 255.255.255.255   access-group inside_access_in in interface inside access-group outside_access_in in interface outside route outside 0.0.0.0 0.0.0.0 GateAway 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 timeout floating-conn 0:00:00 dynamic-access-policy-record DfltAccessPolicy http server enable http 192.168.1.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart crypto ipsec transform-set TRANS_ESP_3DES_SHA esp-3des esp-sha-hmac   crypto ipsec transform-set TRANS_ESP_3DES_SHA mode transport crypto ipsec transform-set ESP-AES-256-MD5 esp-aes-256 esp-md5-hmac   crypto ipsec transform-set ESP-DES-SHA esp-des esp-sha-hmac   crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac   crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac   crypto ipsec transform-set ESP-AES-192-MD5 esp-aes-192 esp-md5-hmac   crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac   crypto ipsec transform-set ESP-AES-256-SHA esp-aes-256 esp-sha-hmac   crypto ipsec transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac   crypto ipsec transform-set ESP-AES-192-SHA esp-aes-192 esp-sha-hmac   crypto ipsec transform-set ESP-AES-128-MD5 esp-aes esp-md5-hmac   crypto ipsec security-association lifetime seconds 28800 crypto ipsec security-association lifetime kilobytes 4608000 crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set transform-set TRANS_ESP_3DES_SHA ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESP-AES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP-3DES-MD5 ESP-DES-SHA ESP-DES-MD5 crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set reverse-route crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP crypto map outside_map interface outside crypto map inside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP crypto map inside_map interface inside crypto isakmp enable inside crypto isakmp enable outside crypto isakmp policy 10  authentication pre-share  encryption 3des  hash sha  group 2  lifetime 86400 telnet timeout 5 ssh timeout 5 console timeout 0 dhcpd dns XXX.XXX.225.4 XXX.XXX.224.4 dhcpd auto_config outside vpnclient-wins-override ! dhcpd address 192.168.1.30-192.168.1.50 inside dhcpd enable inside !   threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept webvpn group-policy DefaultRAGroup internal group-policy DefaultRAGroup attributes  vpn-tunnel-protocol l2tp-ipsec    default-domain value YYY.local username admin password HbelpnGMU25oVew8 encrypted username vpnuser password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0 username vpnuser attributes  vpn-group-policy DefaultRAGroup username vpnuser2 password ZRy81hueAT36R2mmOid9bg== nt-encrypted privilege 0 username vpnuser2 attributes  vpn-group-policy DefaultRAGroup tunnel-group DefaultRAGroup general-attributes  address-pool vpn_pool  default-group-policy DefaultRAGroup tunnel-group DefaultRAGroup ipsec-attributes  pre-shared-key ***** tunnel-group DefaultRAGroup ppp-attributes  authentication ms-chap-v2 ! class-map inspection_default  match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map  parameters   message-length maximum client auto   message-length maximum 512 policy-map global_policy  class inspection_default   inspect dns preset_dns_map     inspect ftp     inspect h323 h225     inspect h323 ras     inspect rsh     inspect rtsp     inspect esmtp     inspect sqlnet     inspect skinny     inspect sunrpc     inspect xdmcp     inspect sip     inspect netbios     inspect tftp     inspect ip-options   ! service-policy global_policy global prompt hostname context   no call-home reporting anonymous Cryptochecksum:3f755f18e829ce7b83c7bf0b07e69303 : end   С уважением, Олаф. Всего записей: 5 | Зарегистр. 18-04-2014 | Отправлено: 16:34 27-05-2014

q3gor Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Есть асашка в мультиконтексте, и пара контекстов являются транзитными. Т.е. у них на инсайд и аутсайд настроен EIGRP и через них ходит трафик(~30Мбит). Так вот если происходит переход с актив на стендбай, то после перехода в логах сыпится Duplicate TCP SYN. Складывается впечатление что после перехода контекста на standbuy юнит у контекста нет никакой информации о соединениях и он рубит все старые. При этом конечно связь падает полностью, т.е. даже новые пинги не ходят. В чем трабл? EIGRP? или что? дайте направление! Всего записей: 271 | Зарегистр. 27-03-2008 | Отправлено: 11:36 06-08-2014

AnReykfi Newbie Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Здравствуйте все!   Поставило тут задачку начальство сделать так, чтобы пользователи авторизировались с помощью AD и ходили в интернет. Дано Cisco ASA 5505. На контроллере домена стоит AD agent (который говорит что dc - up и client - up), АСА спокойно забирает логины пользователей. IP-адреса в сети раздаются по DHCP, который поднят на контроллере домена.   Суть проблемы такова, что после ауторизации пользователя интернет отваливается спустя некоторое время. То есть Пользователь зашел на комп, потом открыл браузер, открыл пару сайтов, потом прошло от 5 и 7 минут простоя и далее интернет недоступен. Интернет появляется тогда, когда пользователь заново перезайдёт на компьютер, либо на некоторое время выключит "Сетевое подключение по локальной сети" на 1 минуту. Куда тут копать?   Конфиг сего безобразия на АСЕ таков:     Код:     Код:   object-group user ACTIVE_ALLOW  user-group DCU\\CASA61_Allow  user DCU\User1  user DCU\User2   access-list inside_access_in_1 extended permit ip object-group-user ACTIVE_ALLOW 192.168.1.0 255.255.255.0 any log debugging   aaa-server ADA protocol radius  ad-agent-mode  interim-accounting-update  reactivation-mode depletion deadtime 1  merge-dacl after-avpair aaa-server ADA (inside) host dc61-01  key *****  radius-common-pw *****  no mschapv2-capable aaa-server AD protocol ldap  reactivation-mode depletion deadtime 1 aaa-server AD (inside) host dc61-01  ldap-base-dn dc=DCU,dc=local  ldap-scope subtree  ldap-naming-attribute sAMAccountName  ldap-login-password *****  ldap-login-dn CN=CISCOASA61,OU=Users_MC,dc=DCU,dc=local  server-type microsoft user-identity domain DCU aaa-server AD user-identity domain DC61-01 aaa-server AD user-identity default-domain DCU user-identity action domain-controller-down DCU disable-user-identity-rule no user-identity action mac-address-mismatch remove-user-ip no user-identity inactive-user-timer user-identity logout-probe netbios local-system probe-time minutes 60 retry-interval seconds 5 retry-count 5 match-any user-identity poll-import-user-group-timer hours 12 user-identity ad-agent active-user-database full-download user-identity ad-agent aaa-server ADA user-identity user-not-found enable       В данный момент времени пока писала это сообщение сюда (20 мин), 1 раз из интернета вышвернуло. Всего записей: 5 | Зарегистр. 28-02-2009 | Отправлено: 11:52 17-09-2014

vlary Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору artclub Цитата: Где можно найти инструкцию как настроить pix515E На цискодроме есть все. Остальное на http://www.anticisco.ru/ Цитата: Нужно настроить удаленное управления через telnet   Лучше telnet не использовать вообще, а все делать через SSH Цитата: может есть у кого инструкция ? В интернете есть все. Если не забанен на Гугле, конечно. Cisco PIX 515E Security Appliance Getting Started Guide ---------- Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 14:25 29-09-2014 | Исправлено: vlary, 14:35 29-09-2014

vlary Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Решил поковыряться с ASA, поднял ее на  .VmWare До этого работал только с цискиными роутерами и свичами. Сразу же вспомнил поговорку, что обезьяна уродлива потому, что очень сильно похожа на человека. Вроде бы такие же команды, но результат часто непохож на ожидаемый. Очень озадачило меня  enable в telnet сессии. Оказалось, мало ввести  enable пароль, потом надо еще ввести и обычный. А нельзя ли это дело как-то привести к такой же процедуре, как на роутере? ---------- Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 23:44 07-10-2014

ginger Рыжик Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору vlary enable password пароль username имя_пользователя password пароль aaa authentication ssh console LOCAL   А вообще, необходимо увидеть, что у вас там в конфиге) ---------- Кто людям помогает, тот тратит время зря... Хорошими делами прославиться нельзя... Всего записей: 854 | Зарегистр. 03-09-2001 | Отправлено: 14:35 08-10-2014

vlary Platinum Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору ginger Все поправил. Убрал из конфига строчку aaa authentication enable console LOCAL Теперь пускает в привилегированный режим сразу после ввода пароля для enable ---------- Заслуженный SCOтовод, почетный SUNтехник и любитель Кошек Всего записей: 17282 | Зарегистр. 13-06-2007 | Отправлено: 17:22 08-10-2014

niask Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору Ребят, нужна помощь. На рабочем ноуте есть Cisco AnyConnect VPN 3.1. Нужно выдрать оттуда адреса VPN-серверов, к которым он подключается. В списке перечислены только имена гейтов, а мне нужны именно адреса. Где они хранятся? В реестре бегло искал, не нашёл... Всего записей: 345 | Зарегистр. 20-09-2007 | Отправлено: 09:56 27-10-2014

slaj1 Advanced Member Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору niask хмм финт ушами и несовсем красиво если права админа есть попробуйте tcpdump-ом посмотреть сетевую активность при подлючении, сразу станет все понятно Всего записей: 917 | Зарегистр. 23-06-2003 | Отправлено: 10:06 27-10-2014

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Настройка Cisco PIX Firewall / ASA

Переход по форумам  Закладки   » Компьютеры Цифровое изображение Программы Microsoft Windows UNIX Другие OS Hardware В помощь сисадмину Прикладное программирование Игры Форумные игры   » Интернет Web-программирование В помощь вебмастеру Графика Хостинг Зацените-ка!   » Тематические Ikonboard v.2 Ikonboard v.3 Invision Board Другие форумы PHP-Nuke и другие порталы Мобила   » Общие Спорт Флейм Темы по региональным встречам Музыка и Кино Юмор Литература и Живопись   » Ru.Board Новости Помощь по форуму   » Андеграунд eBookz Варезник Раздачи и акции Мобильный варезник Андеграунд Игры и фильмы   » Специальные Тестирование