Pb Configuration Routeur Cisco ASA5515-X
Matthi75016
Messages postés
7
Statut
Membre
-
brupala Messages postés 4 Date d'inscription Statut Membre Dernière intervention -
brupala Messages postés 4 Date d'inscription Statut Membre Dernière intervention -
Je rencontre des difficultés pour configurer une routeur ASA5515-X.
La situation est un peu particulière. Actuellement, il y a deja une partie du reseau de configureé. Il y a 5 switchs cascadés et connectés au routeur avec plusieurs Vlan de configurés. Cette partie fonctionne bien et je ne dois pas y toucher.
Je dois greffer un 2eme réseau pour lequel il ne doit pas y avoir de vlan. Pour cela, j'ai configuré 2 switchs cisco que j'ai cascadé. La communication entre les 2 switchs fonctionne bien. J'ai relié le 1er switch de la pile sur l'interface 0/2 du routeur. Et c'est la que les pbs commencent. J'ai configuré cette nouvelle interface en lui attribuant une adresse IP et j'ai fait un no shut mais pour une raison que j'ignore lorsque je fait une sh ip int br, l'interface reste en unassigned. Et la communication entre le routeur et le switch ne se fait pas.
Merci par avance pour votre aide.
La situation est un peu particulière. Actuellement, il y a deja une partie du reseau de configureé. Il y a 5 switchs cascadés et connectés au routeur avec plusieurs Vlan de configurés. Cette partie fonctionne bien et je ne dois pas y toucher.
Je dois greffer un 2eme réseau pour lequel il ne doit pas y avoir de vlan. Pour cela, j'ai configuré 2 switchs cisco que j'ai cascadé. La communication entre les 2 switchs fonctionne bien. J'ai relié le 1er switch de la pile sur l'interface 0/2 du routeur. Et c'est la que les pbs commencent. J'ai configuré cette nouvelle interface en lui attribuant une adresse IP et j'ai fait un no shut mais pour une raison que j'ignore lorsque je fait une sh ip int br, l'interface reste en unassigned. Et la communication entre le routeur et le switch ne se fait pas.
Merci par avance pour votre aide.
7 réponses
-
Bonjour,
l'ASA5515-X n'est pas un routeur mais un firewall.
il faut en plus de l'IP spécifier le nom de l'interface avec la commande nameif et si on désire changer le security-level il faut utiliser la commande security-level
Pour voir si l'interface est ok:
sh interface ip brief et pas sh ip int br comme sur IOS.
Alain -
Merci Alain pour cette réponse qui a solutionnée mon problème.
-
J'ai encore besoin de solliciter votre aide mes connaissances en Cisco étant limitée. Je dois maintenant configurer un tunnel VPN avec ce nouveau sous-reseau et un site distant. A noter qu'il y a deja un tunnel VPN entre ces 2 sites.
Il s'agit d'un VPN entre ce Firewal ASA5515 et un firewall Fortinet sur le site distant.
Voici donc la configuration :
- Site A : ASA5515.
Interface 1 : 10.10.59.0/24
Interface 2 : 192.168.7.0/24
A noter que les 2 sous-réseaux communiquent correctement.
- Site B : FW Fortinet
Interface 1 : 192.168.10.0/24
Il y a donc déjà un vpn de configurer entre le sous-réseau 10.10.59.0/24 du site A et le sous-réseau 192.168.10.0/24 du site B.
Je dois maintenant faire communiquer le sous-réseau 192.168.7.0/24 du site A et le sous-réseau 192.168.10.0/24 du site B.
Et ça j'avoue que je ne sais pas comment faire.
Merci par avance pour votre aide. -
Merci Alain pour ta réactivité. Les modifs ont déjà été effectuées sur le Fortinet.
Voici la config du ASA :
Type help or '?' for a list of available commands.
brps-par-asa01> enable
Password: *****
brps-par-asa01# sh running config
^
:
ASA Version 8.6(1)2
!
terminal width 200
hostname brps-par-asa01
enable password gK4YMR3zRKoG93rx encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
names
!
interface GigabitEthernet0/0
speed 100
duplex full
nameif outside
security-level 0
ip address a.a.a.a 255.255.255.248
!
interface GigabitEthernet0/1
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/1.1
vlan 20
nameif vlan20
security-level 100
ip address 10.10.56.230 255.255.255.0
!
interface GigabitEthernet0/1.2
vlan 21
nameif vlan21
security-level 100
ip address 10.10.57.230 255.255.255.0
!
interface GigabitEthernet0/1.3
vlan 30
nameif vlan30
security-level 100
ip address 10.10.58.230 255.255.255.0
!
interface GigabitEthernet0/1.4
vlan 31
nameif vlan31
security-level 100
ip address 10.10.59.230 255.255.255.0
interface GigabitEthernet0/2
nameif helma
security-level 0
ip address 192.168.7.254 255.255.255.0
!
interface GigabitEthernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/3.1
shutdown
no vlan
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/4
shutdown
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/5
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
boot system disk0:/asa861-2-smp-k8.bin
ftp mode passive
dns server-group DefaultDNS
domain-name brookfieldrps.com
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
object network vlan20
subnet 10.10.56.0 255.255.255.0
object network vlan21
subnet 10.10.57.0 255.255.255.0
object network vlan30
subnet 10.10.58.0 255.255.255.0
object network vlan31
subnet 10.10.59.0 255.255.255.0
object network Houston-LAN
subnet 10.125.0.0 255.255.0.0
object network GBTS-LAN
subnet 48.0.0.0 255.0.0.0
object network Wynford-LAN
subnet 10.139.0.0 255.255.0.0
object-group service tcp_internet_traffic tcp
port-object eq ftp-data
port-object eq ftp
port-object eq www
port-object eq https
port-object eq ssh
port-object eq smtp
port-object eq 1863
port-object eq 5050
port-object eq aol
port-object eq 7001
port-object eq lotusnotes
port-object eq 8025
port-object eq 5061
object-group service udp_internet_traffic udp
port-object eq domain
port-object eq ntp
object-group network CDN-LAN
network-object 10.139.0.0 255.255.0.0
network-object 10.180.0.0 255.255.0.0
network-object 10.130.0.0 255.255.0.0
network-object 10.132.0.0 255.255.0.0
network-object 10.136.0.0 255.255.0.0
network-object 10.138.0.0 255.255.0.0
network-object 10.140.0.0 255.255.0.0
network-object 10.141.0.0 255.255.0.0
object-group network London-LAN
network-object 10.10.64.0 255.255.240.0
object-group network Helma-LAN
network-object 192.168.10.0 255.255.255.0
object-group network BRPS-WEB-SERVERS
network-object host 10.125.118.24
network-object host 10.139.23.19
network-object host 10.125.4.19
object-group service web tcp
port-object eq www
port-object eq https
object-group service Citrix tcp
port-object eq citrix-ica
port-object eq 2598
access-list acl_from_outside extended deny ip any any log
access-list acl_from_vlan20 extended permit icmp 10.10.56.0 255.255.255.0 any
access-list acl_from_vlan20 extended permit tcp 10.10.56.0 255.255.255.0 object-group Helma-LAN eq www
access-list acl_from_vlan20 extended permit tcp 10.10.56.0 255.255.255.0 object-group Helma-LAN eq 3389
access-list acl_from_vlan20 extended permit ip 10.10.56.0 255.255.255.0 object-group Helma-LAN
access-list acl_from_vlan20 extended permit tcp 10.10.56.0 255.255.255.0 any object-group tcp_internet_traffic
access-list acl_from_vlan20 extended permit udp 10.10.56.0 255.255.255.0 any object-group udp_internet_traffic
access-list acl_from_vlan20 extended deny ip any any log
access-list 100 extended permit ip any any
access-list acl_from_vlan31 extended permit icmp 10.10.59.0 255.255.255.0 any
access-list acl_from_vlan31 extended permit ip 10.10.59.0 255.255.255.0 10.10.56.0 255.255.252.0
access-list acl_from_vlan31 extended permit tcp 10.10.59.0 255.255.255.0 object-group BRPS-WEB-SERVERS object-group web
access-list acl_from_vlan31 extended permit tcp 10.10.59.0 255.255.255.0 object-group Wynford-GP-Servers object-group Citrix
access-list acl_from_vlan31 extended deny ip 10.10.59.0 255.255.255.0 object Houston-LAN
access-list acl_from_vlan31 extended deny ip 10.10.59.0 255.255.255.0 object-group CDN-LAN
access-list acl_from_vlan31 extended deny ip 10.10.59.0 255.255.255.0 object-group London-LAN
access-list acl_from_vlan31 extended permit ip 10.10.59.0 255.255.255.0 192.168.10.0 255.255.255.0
access-list acl_from_vlan31 extended permit tcp 10.10.59.0 255.255.255.0 any object-group tcp_internet_traffic
access-list acl_from_vlan31 extended permit udp 10.10.59.0 255.255.255.0 any object-group udp_internet_traffic
access-list acl_from_vlan31 extended deny ip any any log
access-list acl_from_gbts_paris extended permit ip 48.200.52.0 255.255.255.0 10.10.56.0 255.255.252.0
access-list paris-houston_vpn_encrypt extended permit ip 10.10.56.0 255.255.252.0 host 10.125.118.24
access-list paris-houston_vpn_encrypt extended permit ip 10.10.56.0 255.255.252.0 host 10.125.4.19
access-list paris-wynford_vpn_encrypt extended permit ip 10.10.56.0 255.255.252.0 object-group CDN-LAN
access-list paris-helma_vpn_encrypt extended permit ip 10.10.56.0 255.255.252.0 object-group Helma-LAN
access-list acl_vpn-filter_helma extended permit icmp any any
access-list acl_vpn-filter_helma extended permit tcp 192.168.10.0 255.255.255.0 eq www 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit ip 192.168.10.0 255.255.255.0 10.10.59.0 255.255.255.0
access-list acl_vpn-filter_helma extended permit tcp 192.168.10.0 255.255.255.0 eq 445 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit tcp 192.168.10.0 255.255.255.0 eq netbios-ssn 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit udp 192.168.10.0 255.255.255.0 eq netbios-ns 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit udp 192.168.10.0 255.255.255.0 eq netbios-dgm 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit udp 192.168.10.0 255.255.255.0 eq 3389 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit tcp 192.168.10.0 255.255.255.0 eq 3389 10.10.56.0 255.255.252.0 range 1025 65535
access-list acl_vpn-filter_helma extended permit ip 192.168.10.0 255.255.255.0 10.10.56.0 255.255.255.0
pager lines 24
logging enable
logging timestamp
logging buffer-size 524288
logging console informational
logging monitor debugging
logging buffered debugging
logging asdm informational
mtu outside 1500
mtu vlan20 1500
mtu vlan21 1500
mtu vlan30 1500
mtu vlan31 1500
mtu brps-gbts 1500
mtu management 1500
mtu helma 1500
no failover
icmp unreachable rate-limit 1 burst-size 1
icmp permit any vlan20
icmp permit any vlan21
icmp permit any vlan30
icmp permit any vlan31
icmp permit any brps-gbts
asdm image disk0:/asdm-66114.bin
no asdm history enable
arp timeout 14400
nat (vlan20,outside) source static vlan20 vlan20 destination static Houston-LAN Houston-LAN
nat (vlan31,outside) source static vlan31 vlan31 destination static Houston-LAN Houston-LAN
nat (vlan20,outside) source static vlan20 vlan20 destination static CDN-LAN CDN-LAN
nat (vlan31,outside) source static vlan31 vlan31 destination static CDN-LAN CDN-LAN
nat (vlan31,outside) source static vlan31 vlan31 destination static Helma-LAN Helma-LAN
nat (vlan20,outside) source static vlan20 vlan20 destination static Helma-LAN Helma-LAN
!
object network vlan20
nat (vlan20,outside) dynamic a.a.a.a
object network vlan21
nat (vlan21,outside) dynamic a.a.a.a
object network vlan30
nat (vlan30,outside) dynamic a.a.a.a
object network vlan31
nat (vlan31,outside) dynamic a.a.a.a
access-group acl_from_outside in interface outside
access-group acl_from_vlan20 in interface vlan20
access-group acl_from_vlan31 in interface vlan31
access-group acl_from_gbts_paris in interface brps-gbts
route outside 0.0.0.0 0.0.0.0 a.a.a.a 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
dynamic-access-policy-record DfltAccessPolicy
user-identity default-domain LOCAL
aaa authentication serial console LOCAL
aaa authentication ssh console LOCAL
aaa authentication enable console LOCAL
aaa authentication http console LOCAL
aaa authentication telnet console LOCAL
aaa authorization command LOCAL
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart
crypto ipsec ikev1 transform-set aesikev1crypto esp-aes esp-sha-hmac
crypto ipsec ikev1 transform-set 3desikev1crypto esp-3des esp-sha-hmac
crypto ipsec ikev1 transform-set aes256ikev1crypto esp-aes-256 esp-sha-hmac
crypto ipsec ikev2 ipsec-proposal aesikev2crypto
protocol esp encryption aes
protocol esp integrity sha-1
crypto ipsec ikev2 ipsec-proposal 3desikev2crypto
protocol esp encryption 3des
protocol esp integrity sha-1
crypto ipsec ikev2 ipsec-proposal aes256ikev2crypto
protocol esp encryption aes-256
protocol esp integrity sha-1
crypto map brps-paris 6 match address paris-houston_vpn_encrypt
crypto map brps-paris 6 set peer X.X.X.X
crypto map brps-paris 6 set ikev1 transform-set aesikev1crypto
crypto map brps-paris 6 set ikev2 ipsec-proposal aesikev2crypto
crypto map brps-paris 7 match address paris-wynford_vpn_encrypt
crypto map brps-paris 7 set peer Y.Y.Y.Y
crypto map brps-paris 7 set ikev1 transform-set aesikev1crypto
crypto map brps-paris 7 set ikev2 ipsec-proposal aesikev2crypto
crypto map brps-paris 21 match address paris-helma_vpn_encrypt
crypto map brps-paris 21 set pfs group5
crypto map brps-paris 21 set peer B.B.B.B
crypto map brps-paris 21 set ikev1 transform-set aes256ikev1crypto
crypto map brps-paris 21 set ikev2 ipsec-proposal aes256ikev2crypto
crypto map brps-paris interface outside
crypto ikev2 policy 10
encryption aes-256
integrity sha
group 2
prf sha
lifetime seconds 28800
crypto ikev2 policy 20
encryption 3des
integrity sha
group 2
prf sha
lifetime seconds 28800
crypto ikev2 policy 30
encryption 3des
integrity sha
group 2
prf sha
lifetime seconds 86400
crypto ikev2 policy 40
encryption aes-256
integrity sha256
group 5
prf sha
lifetime seconds 1800
crypto ikev2 enable outside
crypto ikev1 enable outside
crypto ikev1 policy 10
authentication pre-share
encryption aes-256
hash sha
group 2
lifetime 3600
crypto ikev1 policy 20
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 3600
crypto ikev1 policy 30
authentication pre-share
encryption aes-256
hash sha
group 5
lifetime 28800
telnet 10.10.56.200 255.255.255.255 vlan20
telnet timeout
ssh 10.10.56.230 255.255.255.255 vlan20
ssh 10.10.59.0 255.255.255.0 vlan31
ssh timeout 60
console timeout 0
dhcprelay server 10.10.56.5 vlan20
dhcprelay server 10.10.56.6 vlan20
dhcprelay enable vlan21
dhcprelay enable vlan30
dhcprelay timeout 90
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
ssl encryption des-sha1
webvpn
group-policy gp_Helma internal
group-policy gp_Helma attributes
banner none
wins-server none
dns-server none
dhcp-network-scope none
vpn-access-hours none
vpn-simultaneous-logins 3
vpn-idle-timeout 30
vpn-idle-timeout alert-interval 1
vpn-session-timeout none
vpn-session-timeout alert-interval 1
vpn-filter value acl_vpn-filter_helma
ipv6-vpn-filter none
vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-clientless
password-storage disable
ip-comp disable
re-xauth disable
group-lock none
pfs disable
ipsec-udp disable
ipsec-udp-port 10000
split-tunnel-policy tunnelall
split-tunnel-network-list none
default-domain none
split-dns none
split-tunnel-all-dns disable
intercept-dhcp 255.255.255.255 disable
secure-unit-authentication disable
user-authentication disable
user-authentication-idle-timeout 30
ip-phone-bypass disable
leap-bypass disable
nem disable
backup-servers keep-client-config
msie-proxy server none
msie-proxy method no-modify
msie-proxy except-list none
msie-proxy local-bypass disable
msie-proxy pac-url none
msie-proxy lockdown enable
vlan none
nac-settings none
address-pools none
ipv6-address-pools none
smartcard-removal-disconnect enable
scep-forwarding-url none
client-firewall none
client-access-rule none
webvpn
url-list none
filter none
homepage none
html-content-filter none
port-forward disable
http-proxy disable
sso-server none
anyconnect ssl dtls enable
anyconnect mtu 1406
anyconnect firewall-rule client-interface private none
anyconnect firewall-rule client-interface public none
anyconnect keep-installer installed
anyconnect ssl keepalive 20
anyconnect ssl rekey time none
anyconnect ssl rekey method none
anyconnect dpd-interval client 30
anyconnect dpd-interval gateway 30
anyconnect ssl compression none
anyconnect dtls compression lzs
anyconnect modules none
anyconnect profiles none
anyconnect ask none
customization none
keep-alive-ignore 4
http-comp gzip
download-max-size 2147483647
upload-max-size 2147483647
post-max-size 2147483647
user-storage none
storage-objects value cookies,credentials
storage-key none
hidden-shares none
smart-tunnel disable
activex-relay enable
unix-auth-uid 65534
unix-auth-gid 65534
file-entry enable
file-browsing enable
url-entry enable
deny-message value Login was successful, but because certain criteria have not been met or due to some specific group policy, you do not have permission to use any of the VPN features. Contact your IT administrator for more information
smart-tunnel auto-signon disable
anyconnect ssl df-bit-ignore disable
anyconnect routing-filtering-ignore disable
smart-tunnel tunnel-policy tunnelall
always-on-vpn profile-setting
username btin password wrfApENm6Jv.RVvs encrypted privilege 15
username helma-support password oQOQS7B2O91fU5nG encrypted privilege 15
tunnel-group B.B.B.B type ipsec-l2l
tunnel-group B.B.B.B general-attributes
default-group-policy gp_Helma
tunnel-group B.B.B.B ipsec-attributes
ikev1 pre-shared-key *****
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
inspect icmp
inspect http
!
service-policy global_policy global
prompt hostname context
no call-home reporting anonymous
Cryptochecksum:ecc083f0cbee9b8035a1c03f5ad2d321
: end
brps-par-asa01# interface GigabitEthernet0/0 -
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
Merci Alain pour ta réponse.
Oui le problème est toujours d'actualité.-
Bon , peux-tu essayer ceci:
int g0/2
security-level 100
object network helma
subnet 192.168.7.0 255.255.255.0
nat(helma,outside)dynamic a.a.a.a
object-group network helma
network-object 192.168.7.0 255.255.255.0
nat(helma,outside) source static helma helma destination static Helma-LAN Helma-LAN
access-list paris-helma_vpn_encrypt extended permit ip 192.168.7.0 255.255.255.0 object-group Helma-LAN
J'ai mis le security-level à 100 car sinon il faut mettre une ACL inbound et je ne sais pas ce que tu veux permettre à part le VPN donc tu devras modifier cela après mais en attendant teste pour voir si tu sais communiquer dans ce tunnel -
-
-
Lorsque j'essaye de saisir la commande "object-group network helma", le message suivant apparaît : A object with the same name (helma) exist"
Mais question va peut-être te paraître bête mais est ce que je peux changer par :
object-group network paris
network-object 192.168.7.0 255.255.255.0
Si oui, je suppose que dois changer la commande :
nat(helma,outside) source static helma helma destination static Helma-LAN Helma-LAN
par
nat(helma,outside) source static paris paris destination static Helma-LAN Helma-LAN
Merci par avance. -
J'ai de nouveau une question.
Nous allons changer de prestataire pour notre ligne Internet. Nous allons donc changé d'adresses IP publiques.
Cela va donc avoir des conséquences dans la configuration du ASA.
A l'heure actuelle, il y a 3 adresses IP publiques utilisées dans la config :
1-
interface GigabitEthernet0/0
ip address x.x.x.30 255.255.255.248
2-
nat (vlan30,outside) dynamic x.x.x.29
object network vlan31
3-
route outside 0.0.0.0 0.0.0.0 x.x.x.27 1
Je suppose que je vais devoir remplacer ces 3 adresses par 3 nouvelles adresses qui me seront fournies par notre nouveau prestataire.
Pour changer celle de l'interface, je pense savoir comment faire, mais pour le reste je suis dans l'inconnu.
Merci par avance pour votre aidre.-
en principe,
un no sur l'ancienne commande
et la nouvelle qui remplace:
no nat (vlan30,outside) dynamic x.x.x.29
et
nat (vlan30,outside) dynamic nouvelle adresse
no route outside 0.0.0.0 0.0.0.0 x.x.x.27 1
route outside 0.0.0.0 0.0.0.0 nouvelle passerelle 1
vérifie bien que ton nouveau FAI te file bien un /29 aussi car là tu avais 3 adresses effectivement, bien qu'il soit possible de mettre l'adresse de l'interface et celle du nat identiques dans un /30
-
