Configuration Pix501 cisco

Bonjour,

Je pense qu'il y a quelques details à regler ;)

--> Ta conf recupere l'ip outside en dhcp de la livebox à priori : ton schéma parle d'une "192.168.1.156" : va falloir choisir !!!

Vu ce que je comprends, tu vas avoir un double NAT : ta live box qui va nater ton adresse privée outside avec la publique internet. et ton pix qui va nater entre l'inside et outside.

Sauf besoin particulier pour des NAT static (qui doivent donc conserver les mêmes ports), logiquement, tu n'as rien à faire sur la box

--> reste donc ta conf PIX

y'a un souci sur tes acl : il faut creer une acl "in" qui autorise les flux à sortir : 192.168.0.X vers any.

De la même maniere , si tu as des flux entrant (internet -> pix), il faut que ton acl-out les definisse.

Et dernier point : il faut appliquer ces acl sur les intf : je ne vois pas cela dans ta conf.

Pour ton out, par exemple, ça donne cela :

access-group acl-out in interface outside

Bonjour ,

donc j'ai ajouté l'ACL suivante:

access-list inside permit ip 192.168.0.0 255.255.255.0 any

et j'ai appliqué l'acl sur les interface comme ça:

access-group inside in interface inside (j 'ai mis inside apres group car si je mets "acl-in " j'ai une erreur access-list <acl-in> does not exist)

ce qui autorise les flux à sortir, local => internet , on est d 'accord?

mais je n'arrive toujours pas a accéder au net via mes machines sur le local. Sachant qu'au niveau d'un poste sur mon local je lui ai mis une ip fixe du style 192.168.0.12 255.255.255.0 et passerelle 192.168.0.1 .

Sachant que pour le moment pas de flux entrant , mais je vais surement mettre un VPN en place avec remote access via client vpn cisco donc en gros :

access-list outside permit ip X.X.X.X X.X.X.X protocol X

et j 'applique l acl a l interface :

access-group acl-out in interface outside , c'est bien ça ? Mais commet je fais puisque l'ip qui va tenter d'entrer ne sera jamais la même si le portable ne se connecte jamais du meme endroit?

Bon ben on avance ;)

-> Pour ton acl, oui, avec cette ligne, tu autorises ton lan à sortir

etrange que tu aies une erreur : l'acl était bien créee avant de l'appliquer sur l'intf ? acl-out fonctionne : pas de raison que ce ne soit pas le cas ici

Maintenant, il faut entrer un peu dans le detail :

-> Les intf du pix sont up ?
-> L'outside du pix ping bien la Box ?
-> Le PC sur le LAN arrive t il a pinger la box ?
-> Les NAT sont ils ok (show xlate normalement) : tu dois voir le nat (ou plutot pat dans notre cas)

-> Je pense qu'il faut ajouter une static default au pix en lui indiquant de tout envoyer à la box

Ca depend de ta version mais la cmde doit ressembler à cela :

route outside 0.0.0.0 0.0.0.0 192.168.1.1

-> Fianlement, ton outisde est en dhcp ou tu l'as fixée ? car ta config dhcp implique que tu reçois egalement la default en dhcp : je ne sais pas trop ce qui se passe sur ton pix !! je pense que le plus simpel serais que tu fixe l'outside

-> ton acl outsie autorise l'externe à entrer en icmp : à priori pas utile pour tes 1ers tests ;)

Tu peux supprimer la ligne

access-list acl-out permit icmp any any echo

Par contre, il faudrait ajouter l'icmp pour tes flux sortants

access-list inside permit icmp any any echo

Les intf du pix sont up ?

oui a priori les interface 0 et 1 sont bien up (j'ai vérifié via hyper terminal et via console de gestion https

L'outside du pix ping bien la Box ?

j'ai tester la commande ping 192.168.1.1 depuis hyper terminal et ca ping bien la box

Le PC sur le LAN arrive t il a pinger la box ?

non le pc du lan ne ping pas la box => je dois avoir un souci de routage..

Les NAT sont ils ok (show xlate normalement) : tu dois voir le nat (ou plutot pat dans notre cas)

je n'ai rien configuré de spécial ... quand je fais show xlate j'ai ça : 0 in use, 1 most used

nat (inside) 1 0.0.0.0 0.0.0.0 0 0 ça signifie que par defaut inside intf 1 est mappé sur l interface 0 soit 192.168.1.156 non?

ton outisde est en dhcp ou tu l'as fixée ?

j'ai mis l'ip en dur 192.168.1.156 255.255.255.0 au pix , et non plus par dhcp de la box

Je pense qu'il faut ajouter une static default au pix en lui indiquant de tout envoyer à la box

j'ai rajouté la ligne

route outside 0.0.0.0 0.0.0.0 192.168.1.1

ajouter l'icmp pour tes flux sortants

c'est bon j'ai ajouté :

access-list inside permit icmp any any echo

voici la conf maintenant:

PIX Version 6.3(5)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list inside permit ip 192.168.0.0 255.255.255.0 any
access-list inside permit icmp any any echo
access-list inside permit icmp any any echo-reply
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 192.168.1.156 255.255.255.0
ip address inside 192.168.0.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
pdm location 192.168.0.0 255.255.255.0 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0 à modifier ?
access-group inside in interface inside
route outside 0.0.0.0 0.0.0.0 192.168.1.1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
http server enable
http 192.168.0.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd auto_config outside
terminal width 80
Cryptochecksum:bebfb785c6ad75f04c8c501bd6aeff01
: end

Salut,
je ne crois pas que mettre un pix derrière une lbx soit une bonne idée .
La livebox ne me parait pas assez souple dans ses possibilités de configuration pour cela .
la lbx fait du nat sur la plage 192.168.1.0 /24 il n'est pas sûr qu' elle puisse nater la palge 192.168.0.0/24 .
une livebox sagem doit pouvoir le faire , mais une inventel, ça n'est pas sûr car elle a un seul sous réseau contrairement à la sagem .
ou alors, il faudrait configurer le pix en pont, mais c'est une autre affaire , je ne suis pas sûr que ce soit possible .
heu si,
à priori oui: http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_configuration_example09186a008089f467.shtml
en mode transparent .
il vaudrait donc mieux que tu fasses une configuration de ce type (ton réseau local sera alors en 192.168.1.0/24)

Ta ligne nat indique en fait que tu vas faire un pat.

Ici, tu ne fais aucune distinction : tout ce qui est sur inside va être mappé sur l'outside.

Pour plus de clareté et securité (même si ici ça n'a pas beaucoup de sens !), tu peux remplacer 0.0.0.0 0.0.0.0 par ton LAN , soit 192.168.0.0/24

--> Ta conf fait tjs apparaître du dhcp pour l'outside, c'est normal ?
--> Il ne faut pas supprimer completement l'acl-out que tu avais.

Pour que l'icmp te reponde, il te faut au minimum :

access-list acl-out permit icmp any any echo-reply

Pense à reappliquer l'acl sur l'intf

access-groupacl-out in interface outside

--> Quand tu tentes une connexion tcp (par exemple) , logiquement, en faisant un show xlate, tu devrais avoir un PAT de construit

--> Les PC on bien l'inside du PIX comme GW ? un dns valide ?

Comme je ne connais pas la Live, il n'y a pas de filtrage dessus ?

L'outside de ton PIX a une adresse valide sur la Live pour surfer ?
--> Si tu ping internet depuis l'outside du pix, c'est ok ?

Bonjour,

j'ai rajouté : access-list acl-out permit icmp any any echo-reply

et je l'ai appliqué a l intf: access-groupacl-out in interface outside

Ta conf fait tjs apparaître du dhcp pour l'outside, c'est normal ?

oui j'avais juste mis en dur l ip out du pix , j'ai désactivé le dhcp de la box maintenant c est bon
par contre comment je supprime la ligne (dhcpd auto_confg outside) ?

Les PC on bien l'inside du PIX comme GW ? un dns valide ?

les pc du lan ont l ip 192.168.0.1 (inside du pix) en passerelle et en DNS

Comme je ne connais pas la Live, il n'y a pas de filtrage dessus ?

il y a bien un filtrage mais j'ai mis en dmz sur la box l ip out du pix donc pas de filtrage sur l ip

L'outside de ton PIX a une adresse valide sur la Live pour surfer ?
--> Si tu ping internet depuis l'outside du pix, c'est ok ?

oui j ai testé le ping sur l ip de google ça répond

->de mon client lan je ping bien l'ip de la box 192.168.1.1 mais également internet !!!! j'ai testé le ping sur l ip de google et ça passe ...
A priori c'est le dns qui merdouille ...... si dans IE ou firefox je tape l ip de google ça fonctionne...

Ok 'j ai modifié le DNS c'est bon j 'ai internet

en tout cas merci pour le coup de main.

Bon maintenant je vais essaye de m'attaquer au vpn

Il pourrait également faire du NAT transparent

c'est à dire ?

cool

Ca m'a permis de me rafraîchir un peu sur le pix ;)

Bon courage pour la suite

Merci encore et je garde sous le coude le nat transparent ;)

Salut

Maintenant, j'essaye de monter un VPN pour tester via Remote access avec client microsoft PPTP sachant qu'à terme j'utiliserais le client vpn cisco.

Mais bon pour le moment je bloque un peu voici ce que j' ai ajouté à la config :

access-list INSIDE permit ip 192.168.0.0 255.255.255.0 192.168.2.0 255.255.255.0
access-list OUTSIDE permit ip 192.168.2.0 255.255.255.0 192.168.0.0 255.255.255.0 log
access-list VPN permit ip 192.168.0.0 255.255.255.0 192.168.2.0 255.255.255.0

ip local pool VPNpool 192.168.2.1-192.168.2.10

J'ai essayé de paramétrer un vpn en PPTP avec un compte test mais ça fonctionne pas

fixup protocol gre 1723

vpdn group PPTP-VPDN-GROUP accept dialin pptp
vpdn group PPTP-VPDN-GROUP client configuration address local TEST
vpdn group PPTP-VPDN-GROUP client configuration dns 192.168.0.1 10.0.0.138
vpdn group PPTP-VPDN-GROUP client configuration wins 192.168.0.1
vpdn group PPTP-VPDN-GROUP pptp echo 60
vpdn username test password *********
vpdn enable outside

hum je vois pas bien où ça cloche... pourtant j'ouvre bien l accès de l'outside vers inside pour le vpn...

Ben a priori, la livebox fait du nat dans les 2 sens et n'a pas le FW d'activé donc ça doit être bon non?

Hello,

Je passe en coup de vent et j'ai donc pas trop le temps de me pencher sur les questions.

Nénanmoins, je pense que ton pb actuel doit se rapprocher de ce que nous parlions avec brupala : les ennuis commencent !!

Comme on fait un double pat, le suivi des ports est assez compliqué.

Je pense qu'il faudrait commencer par modifier cela : repartir sur des nat static afin de savoir quelle adresse inside est natée avec quelle adresse outside.

ok donc ... il faut que je procède dans un premier temps en passant le pix en bridge c'est bien ça?

je dois dire attibuer au pix une ip en 192.168.1.X et le laisser filtrer ? c 'est bien ça? mais comment ça se passe avec les intf inside et outside?

et en plus mettre en dur les ip qui vont etre naté?

ou je configure le nat sur un pool d'ip ?

salut,
Je souhaite monter un vpn par le pix, et donc pouvoir me connecter d un site distant si besoin avec mon portable

c'est le pix qui termine ton tunnel ou un serveur pptp derriere le pix ? (sur ton lan donc)

oui tout a fait, sachan que le pix 501 peut fair serveur vpn il me semble

je dois confiurer ça ?

ip local pool pptp-pool 192.168.2.1-192.168.2.10
sysopt connection permit-pptp
vpdn group 1 accept dialin pptp
vpdn group 1 ppp authentication pap
vpdn group 1 ppp authentication chap
vpdn group 1 ppp authentication mschap
vpdn group 1 client configuration address local pptp-pool
vpdn enable outside

Mais je dois déja mettre mon pix en transparant non?
pour hévier le double pat?



Il faut aussi je pense fixer le 1723 sur la box entre l'adresse de pat d'orange et ton outside du pix

donc je fais du style X.X.X.X : 1723 (ip wan) vers X.X.X.X : 1723 (ip outside du pix) c'est bien ça?

Comment simules tu la connection ?
comment ça?

en j 'ai un portable sur une autre connexion adsl en wifi et je configure une connection PPTP pour me connecter au pix en pointant sur l ip wan...

Sachant qu'à échéant je compte utiliser le client cisco VPN pour me connecter sur mon lan local depuis n'importe quel site distant