Port forwarding sur PIX501

msmadja -  
pat185 Messages postés 2 Statut Membre -
Bonjour,

Comment faire du port forwarding sur PIX501 (Cisco)?
Merci

34 réponses

Précédent
  • 1
  • 2
Réponse 21 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Bonjour,

C'est étrange ...
- as-tu gait un show xlate pour voir si tu avais une translation activée dans le Firewall ?
- as-tu activé une access-list pour autorisé le message à passer ?

PS : de mémoire VNC fonctionne en TCP, donc la translation "UDP" ne devrait pas servir.

J'ai retrouvé la commande pour avoir des log :
"logg histo 5"
Là si tu fais un show log tu devrais avoir des messages.
0
Réponse 22 / 34
msmadja
 
Bonjour,

Le sh xlate donne:
38 in use, 672 most used
PAT Global 88.166.222.78(1277) Local 192.168.1.12(1054)
PAT Global 88.166.222.78(1706) Local 192.168.1.10(1115)
PAT Global 88.166.222.78(2140) Local 192.168.1.12(1420)
PAT Global 88.166.222.78(2466) Local 192.168.1.12(1507)
PAT Global 88.166.222.78(2472) Local 192.168.1.12(1513)
PAT Global 88.166.222.78(10755) Local 192.168.1.3(5061)
PAT Global 88.166.222.78(10754) Local 192.168.1.3(5060)
PAT Global 88.166.222.78(10756) Local 192.168.1.4(5060)
PAT Global 88.166.222.78(2661) Local 192.168.1.12(1618)
PAT Global 88.166.222.78(2665) Local 192.168.1.9(1565)
PAT Global 88.166.222.78(599) Local 192.168.1.16(771)
PAT Global 88.166.222.78(598) Local 192.168.1.16(772)
PAT Global 88.166.222.78(597) Local 192.168.1.16(773)
PAT Global 88.166.222.78(596) Local 192.168.1.16(774)
PAT Global 88.166.222.78(603) Local 192.168.1.16(767)
PAT Global 88.166.222.78(602) Local 192.168.1.16(768)
PAT Global 88.166.222.78(601) Local 192.168.1.16(769)
PAT Global 88.166.222.78(600) Local 192.168.1.16(770)
PAT Global 88.166.222.78(606) Local 192.168.1.16(764)
PAT Global 88.166.222.78(605) Local 192.168.1.16(765)
PAT Global 88.166.222.78(604) Local 192.168.1.16(766)
PAT Global 88.166.222.78(2849) Local 192.168.1.16(1361)
PAT Global 88.166.222.78(2855) Local 192.168.1.16(1367)
PAT Global 88.166.222.78(2854) Local 192.168.1.16(1366)
PAT Global 88.166.222.78(2853) Local 192.168.1.16(1365)
PAT Global 88.166.222.78(2852) Local 192.168.1.16(1364)
PAT Global 88.166.222.78(2859) Local 192.168.1.16(1371)
PAT Global 88.166.222.78(2857) Local 192.168.1.16(1369)
PAT Global 88.166.222.78(2867) Local 192.168.1.16(1377)
PAT Global 88.166.222.78(2866) Local 192.168.1.16(1376)
PAT Global 88.166.222.78(2865) Local 192.168.1.16(1375)
PAT Global 88.166.222.78(2870) Local 192.168.1.16(1380)
PAT Global 88.166.222.78(2869) Local 192.168.1.16(1379)
PAT Global 88.166.222.78(2868) Local 192.168.1.16(1378)
PAT Global 88.166.222.78(2843) Local 192.168.1.12(1620)
PAT Global 88.166.222.78(2842) Local 192.168.1.12(1619)
PAT Global 88.166.222.78(2844) Local 192.168.1.9(1716)
PAT Global 88.166.222.78(17302) Local 192.168.1.16(1223)

Effectivement le access list ne portait que sur ftp (pas sur le port 5900), donc je reessaye.... MERCI

PS: y a-t-il possibilité de "bloquer" le service MSN sur certains postes (par une commande dans le PIX) ?
Désolé... je n'en finis pas avec mes questions....
0
pat185 Messages postés 2 Statut Membre
 
Bonjour,

J'ai un ordinateur sur le réseau de mon association auquel j'aimerais accéder de chez moi. J'ai un pix 515 auquel j'accède par le PDM 3.0. Chez moi j'ai une adresse fixe du FAI FREE.
J'ai une application sur l'ordinateur du réseau que j'utilise par explorateur Internet en local sur le port 3552.

Est ce qu'il serait possible de m'aider a configurer mon pix afin que je puisse accéder à cette ordinateur d'IP 192.168.1.3 et également à l'application utilisant le port 3552. A savoir que cette application est faite pour être consulter par le web

N'étant pas pro du port forwarding et des acces list, je vous remercie de votre aide
Cordialement,

Patrick Allemand
0
Réponse 23 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Bonjour,

Pas de problème, si je peux répondre ...
Pour bloquer MSN sur les postes via le PIX il faut savoir sur quel(s) port(s) fonctionne ce programme de m***** et là malheureusement je n'en ai pas la moindre idée, l'ayant "tué" sur les PCs chez moi.
Une solution un peu "brutale" consiste à lister ce qui peut "sortir" et de fait tout le reste sera bloqué en faisant une access-list assez simple:
access-list acl_insinde_in permit tcp any any eq 80 ! flux web http
access-list acl_insinde_in permit tcp any any eq 443 ! flux web https
access-list acl_insinde_in permit tcp any any eq 21 ! flux ftp sortant (toujours pratique)
access-group acl_insinde_in in interface inside

Note que tout ce qui n'est pas explicitement autorisé sera alors interdit.

S'il manque des trucs, tu pourras alors les ajouter un par un ...
0
Réponse 24 / 34
msmadja
 
Bonjour,

Merci bcp... VNC marche !
Pour MSN pas bon à priori car il semblerait qu'il utilise un flux web maintenant (sur option)... de ce que j'ai lu il faut mettre en place un proxy de maniere à bloquer tous les serveurs utilisés par MSN... mais je ne pense pas qu'il y en ait un dans le PIX (?)... si tu as d'autres idées...
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 25 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
En effet le PIX (surtout le 501) ne fait pas proxy.
Si tu connais les adresses IP des serveurs MSN tu peux les "interdire" avec les access-lists ... à condition qu'ils ne servent pas aussi à autre chose ...
Attention, si tu mets une access-list sur l'interface "inside", quelle qu'elle soit, tout ce qui n'est pas autorisé sera interdit.
0
Réponse 26 / 34
msmadja
 
Comment on interdit une adresse IP (par ex. 10.10.1.1) sur un poste interne (mon ip free est 88.166.222.78)?
C'est:
access-list XXX deny tcp 10.10.1.1 host 88.166.222.78 eq www
access-group XXX in interface outside

Mais là j'imagine que l'ip 10.10.1.1 sera bloquée pour tout le monde (?)
0
Réponse 27 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Je ne comprends pas bien la question, mais voici quelques règles de base sur un PIX (ces règles sont vraies pour les PIX v6 et plus - en dessous je ne sais pas - mais à partir de la v7 on peut les contourner) :

* Les machines derrière un PIX (sur le réseau INTERNE) ne seront JAMAIS destination de connexion s'il n'y a pas de translation statique
* Les machines derrière un PIX ne peuvent accéder à l'extérieur que s'il existe une translation (statique ou dynamique)
* Seul le "premier" paquet d'une "session" (TCP ou UDP) est filtré, les autres suivent le même canal sans passer pas les ACL
* Par défaut (donc sans access-list) les messages "sortants" sont autorisés et les messages "entrants" sont interdits
* si une access-list est définie sur une interface (internet ou externe) alors tout ce qui n'a pas été autorisé pas l'access-list sera automatiquement interdit.

Maintenant, peux-tu préciser ce que tu cherches à interdit ?
Ton exemple interdit à une machine 10.10.1.1 d'accéder en http à l'adresse IP de ton PIX depuis INTERNET, ce qui ne peut pas arriver car l'interface outside ne recevra jamais de message en provenance de 10.10.1.1 (qui est une adresse privée).
0
Réponse 28 / 34
msmadja
 
Merci pour ces précisions.
Je voulais interdire l'accès (en http) à un site dont l'adresse est 10.10.1.1. Désolé peut-etre mauvais exemple avec 10.10.1.1...
Donc par exemple si wanadoo.fr est en adresse 193.252.122.103 et que je veux interdire à une machine (interne) d'adresse 192.168.1.5 d'y acceder, que dois-je entrer ? et si ce n'est pas possible, puis-je interdire wanadoo.fr à toutes les machines internes?
0
Réponse 29 / 34
msmadja
 
Merci pour ces précisions.
Je voulais interdire l'accès (en http) à un site dont l'adresse est 10.10.1.1. Désolé peut-etre mauvais exemple avec 10.10.1.1...
Donc par exemple si wanadoo.fr est en adresse 193.252.122.103 et que je veux interdire à une machine (interne) d'adresse 192.168.1.5 d'y acceder, que dois-je entrer ? et si ce n'est pas possible, puis-je interdire wanadoo.fr à toutes les machines internes?
0
Réponse 30 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Pour interdire l'accès à une adresse IP (en http) depuis une machine (et une seule), mais autoriser tout le reste il faut entrer les commandes suivantes :
access-list acl_inside_in deny tcp host ADRESSE_PC host SERVEUR_WEB eq 80
access-list acl_inside_in permit ip any any
access-group acl_inside_in in interface inside

Attention : si le PC est en DHCP il est difficile de garantir qu'il aura toujours la même adresse IP et donc le filtre pourrait ne plus fonctionner.
Si tu ne mets pas la seconde règle, alors plus rien ne passera donc il faut ajouter le permit pour les autres machines.
0
Réponse 31 / 34
msmadja
 
Merci, nickel. Merci egalement pour la remarque DHCP, effectivement c'est un probleme et je crois qu'on ne peut pas faire en sorte qu'une machine X ait toujours la meme adresse.

Si je mets any a la place de ADRESSE_PC tous les postes internes ne pourront accéder au SERVEUR_WEB c'est ça ?
Et si je mets après SERVEUR_WEB (si par ex. SERVEUR_WEB = 193.252.122.103) "netmask 255.255.255.0" j'interdis l'accès à tous les serveurs web d'adresser 193.252.122.xxx, c'est ça?
Derniere chose: mes commandes "static" sautent régulierement (elles disparaissent tout simplement), sais-tu quelle en est la raison?
Merci
0
Réponse 32 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Bonjout,

Tes deux déductions sont exactes, mais en plus je crois que mettre 192.252.122.103 255.255.255.0 déclenche une erreur (ce qui serait normal).
les statics disparaissent de la config ou les translations ne sont plus visibles dans le show xlate ?
Dans le premier cas c'est anormal (je suppose que tu fais bien un writre memory quand tes modifs fonctionnent)
Dans le second cas c'est normal, les translations ont une durée de vie, mais elles sont réactivées quand elles sont à nouveau nécessaires.
0
Réponse 33 / 34
msmadja
 
Merci... oui effectivement cela declenche une erreur. N'y a-t-il pas moyen de le faire (blocage d'une plage d'adresses) ou faut-il entrer les adresses 1 par 1?

Pour la perte des commandes static, je confirme que qd je fais un sh static, rien n'apparait plus alors que le write memory avat bien été entré... je ne comprend pas je suis obligé de réentrer les commandes static régulierement... peut-etre certaines commandes annulent tous les static en cours (?)
0
Réponse 34 / 34
ianvs Messages postés 539 Date d'inscription   Statut Membre Dernière intervention   209
 
Normalement, rien n'annule un static à part le 'no static' correspondant (peut etre un bug ?)
Si tu fais un show conf ou un write term les statics sont-ils dans la config ?

Il est toujours possible d'interdis une plage d'adresses ou un groupe :
- pour une plage :
[...] deny ip 10.10.1.5 255.255.255.254 any => les machines 5 et 6 sont interdites pour tout
- pour un groupe :
object-group network NOM_DE_GROUPE
network-obkect 10.10.1.2 255.255.255.255
network-obkect 10.10.1.8 255.255.255.255
exit
[...] deny ip object-group NOM_DE_GROUPE any

Note que ces commandes sont données de mémoire donc la syntaxe est approximative.
0

Discussions similaires

Qu'est-ce qu'un port WSD pour imprimante?
largo99 -
Zebhib -

5 réponses
ping quel port ?
michel -
Géca -

28 réponses
port icmp
qakou -
sd -

3 réponses
Ping bloqué : quel port ouvrir ?
zollen777 -
giomjon -

12 réponses
port de l'icmp
sylvain -
sebsauvage -

3 réponses