» Настройка Cisco PIX Firewall / ASA

Спасибо, а аксесс листы обязательно разве нужны?

да, в последней строчке перепутал интерфейс, надо : access-group outside_in in interface outside

Приветствую. Сразу скажу в кисках новичок (тем более в асях). Прошу сильно не пинать.

Имеется CISCO ASA 5510.
interface Ethernet0/1 - моя сеть
interface Ethernet0/2 - центральный маршрутизатор объединяющий сети. (настроен)

Задача пропустить трафик из сети 172.16.73.0 в мою сеть.

Конфиг _http://dl.dropbox.com/u/59956277/running-config.txt_

Подскажите пожалуйста, что требуется дописать в конфиг?

Доброго всем времени суток!
Вопрос следующий - есть ASA 5510 8.4 в качестве шлюза. Через нее проброшены порты сервера. От провайдеров приходят статические ip на внешние интерфейсы. С подключением из-вне проблем нет, а вот из локальной сети подключиться к серверу по внешнему ip или имени невозможно, по локальному - без проблем. Пробовал по рекомендациям cisco включать dns doctoring - результата нет. Сталкивался ли кто-нибудь с такой проблемой и как решить?

Anddm
привет
с проблемой сталкивался, но, к сожалению, времени на долгие игры с настройкой не было
проблему обошул просто
1. все выставляемые в инет серверы у меня в ДМЗ
2. на внутреннем ДНС-е вбил связки доменых имен и ip адресов из ДМЗ

тем самым пользователи обращаясь всегда по одному доменному имени реально ходят по разным ip адресам (в зависимости от своего текущего географического положения)

slaj1
Спасибо за вариант
Необходимости во внутреннем ДНС-е небыло, если ничего с кручение настроек на циске не выйдет - буду делать так

Anddm
Ходить через обратные интерфейсы нельзя, это файрвол, а не маршрутизатор.

уууу

Добавлено:
Собственно хочу от нее и от вас чтобы подсказали как сделать следующие вещи: есть белый ип назовем его 78.254.254.254. с провайдерским шлюзом 74.254.254.253 и днси74.0.0.1. Нужно прицепить это к ней по одному интерфейсу, по другому локалку внутреннюю со статикой 192.168.0.111. поднять аппаратный файрволл, заблочить торренты, вк, ок, fb. зы. cisco asa 5510.

Подскажите пожалуйста,
Можно ли создать в ASA пользователя с логином ипаролем который бы мог выполнять определённый набор команд, но при этом работать без enable ?

т.е. получается что вот это мне не подходит:

Цитата:

aaa authorization command LOCAL
privilege show level 5 command crypto
privilege clear level 5 command crypto
username userName password userPass privilege 5
enable password enablePass level 5

Задача выполнять некоторые настройки ASA автоматически чере shell скрипты и sshpass.

Спасибо.

Цитата:

Подскажите пожалуйста,
Можно ли создать в ASA пользователя с логином ипаролем который бы мог выполнять определённый набор команд, но при этом работать без enable ?

т.е. получается что вот это мне не подходит:

Цитата:
aaa authorization command LOCAL
privilege show level 5 command crypto
privilege clear level 5 command crypto
username userName password userPass privilege 5
enable password enablePass level 5


Задача выполнять некоторые настройки ASA автоматически чере shell скрипты и sshpass.

Спасибо.

через радиус наверное можно будет хоть как!

у меня вопрос такой - как лицензию с аса бэкапить?

Ребят, добрый день, в топике про роутеры уже спрашивал. Спрошу еще и тут.

Сразу скажу у меня опыта в настройке почти нет.
Поэтому по возможности на пальцах объясните отличие и целесообразность приобретения.
В одну компанию нужен следующий функционал (приблизительно):
1. Использовать два интернет канала от двух разных провайдеров. Один: это выделенный IP адрес (на 10 мегабит), другой роутер zyxel со свистком Yota в роли резервного канала на непонятно сколько мегабит (от 5 до 15 в среднем). Схема работы такая: работают оба канала, но если падает основной канал, то все сервисы переносятся на Йоту.
2. На основной сервер выдать стабильную полосу пропускания. К примеру фиксированный мегабит.
3. Субарендаторам нужно по витой пару в кабинет дать интернет с фиксированным безлимитом (к примеру 256 или 512кб/сек). Субарендаторов максимум кабинетов 10 будет.
4. Остальную ширину канала отдать на гостевой вайфай. В роли вайфая будет выступать бюджетная точка доступа.
5. Я думаю проброс портов и впн сервер на внешнем интерфейсе это стандарт по умолчанию для любой железяки?
7. Траффик между сервером и локальными рабочими машинами сотрудников будет просто через какой нибудь гигабитный свич бегать. Может конечно тоже циско (типа 2960). Там своих сотрудников будет не больше 10 человек я думаю. А пока и того меньше.
8. Для сотрудников вайфая во внутреннюю сеть не будет. А для интернета пусть используют гостевую сеть.
Я посмотрел в интернете цены и растерялся. Стоимость от 30 до 200 тысяч рублей. В общем что лучше роутер типа 2811 или Аса 5505?

Заранее спасибо.

lypky
привет
аса для целей маршрутизации я бы брать не стал
детальное описание функционала асы посмотрите на хабре
причины
нет pbr
нет возможности одновременного использования нескольких каналов;
нет вменяемого шейпинга.

для ваших целей нужен маршрутизатор
по ценникам советую глянуть на юзедциско

это вкратце

slaj1
Спасибо.

А если поподробнее?
Как таковой маршрутизации на этом офисе и не предвидится на сколько я понимаю.
Просто раздача интернета разным пользователям. Ну и отказоустойчивость.

1. Т.е. нельзя что бы 1 канал был для 1 группы пользователей, а другой канал для другой группы? И чтобы в случае падения 1 канала правило менялось и все пользователи ломились через тот канал который остался?

2. С шейпингом проблемы да? Т.е. в мини провайдера поиграть не получится?

3. Юзед циско это какой то конкретный сайт или это вы просто намекнули что нужно покупать б/у оборудование?

Спасибо.

lypky
1. я не нашел возможности именно одновременного использования каналов.
т.е. аса сама умеет мониторить состояние канала и при необходимости пустит пакеты по второму, по-моему этот режим называется sla.
2.хотел на своей 5505 сделать шейпинг, но насколько читал, он в ней очень урезан относительно функционала маршрутизаторов, ну и прикруть несколькими командами его нельзя. правда, допкскаю, что у меня не хватает знаний в данном вопросе.
3. usedcisco.ru

Добавлено:
на текущий момент свою 5505 использую как
фаейр на основном канале
организации дмз
проброса портов
организации vpn каналов

lypky
Добрый день!
Честно говоря, я бы тоже остановился на маршрутизаторе. Настроить отслеживание рабочего канала и переключение на резервный это все легко на нем настраивается. Также настраивается policy с ограничением скорости. Субарендаторов в отдельные вланы. Если до сервера доступы нужны снаружи, то его бы тоже поместил в отдельный влан. Но по-возможности траффик между локалкой и сервером, если он будет большой пустил бы мимо маршрутизатора (если коммутатор умеет). А файрвол можно настроить и аксесс-листами.
Затем оценил бы максимальную загрузку и необходимые сервисы (VPN - ipsec, pptp и др.) и выбрал бы подходящий маршрутизатор. Можете посмотреть в сторону CISCO1941/K9.

lypky

По сути ASA 5505 может это все сделать. Если два канала должны работать одновременно и один из них дублирующий в тоже время, то нужно две асы, т.к. asa не умеет делать одновременно два активных маршрута. Стоят они где-то 12-13 тыр самые дешевые + keygen и получишь самую дорогую с неограниченным числом внутренних хостов. Если совсем заморочиться, то можно еще третью асу поставить в кластер к основной. Но вот Ёту совсем не советую использовать, т.к. виснет постоянно, а особенно свисток.

Уважаемые,slaj1,schukin и barman01

спасибо за советы. Я в общем решил остановиться на 1921 + 2960. Бюджет принципиально одобрили. Я думаю это дороже, но в перспективе будет лучше.

Добрый день.

Есть cisco1811 и сеть 192.168.7.0/24 + cisco asa5505 192.168.54.0/24
IPSEC между сетями.
есть и другие сети, за cisco870 DMVPN + IPSEC

В сети 192.168.7.0/24 есть сервис (работает поверх ssh)резервированный силами UCARP (два сервера, один активный, второй пассивный, + специальный ip который появляется у сервера в том случае, если он считается ведущим)
Тобишь у сервера на котором работает сервер два ip адреса, один реальный, второй ip - виртуальный.
Обращения идут - на виртуальный.

из сетей за cisco870 нормально цепляюсь к сервису, из сети за ASA не могу прицепится к ssh серверу

думается мне, что это изза какой либо инспекции со стороны asa.
подскажите пожалуйста, куда копать, чтобы изменить данную ситуацию в сторону - "заработало"? )

zubastiy

Серверу известно о сети 192.168.54.0/24?
На пинги виртуальный адрес отвечает?

Добрый день.
Прикупили 18 Cisco ASA 5505, но возникла проблема с подключением к ним.
В инструкции написано поключить к компу и в браузере написать https://192.168.1.1/admin выбрать скачать ASDM Launcher и установить.
Проблема в том, что в браузере вообще ни чего не отображается кроме 404 - нет страницы... ни сертификат не спрашивает установить - ни чего - только набрал строку и нажал Enter - мгновенно ошибка 404 ...
Пробовал найти на дисках которые были с ассами - там только различные версии ASDMов, причем все демо, а ASDM Launcherа нет.
Написал письмо в техподдержку - ответили скачайте ASDM Launcher и установить и дали ссылку на свой сайт cisco.com, причем так и написали - скачайте от сюда http://www.cisco.com , перекапал сайт и не нашёл ничего кроме как запустите браузер и т.д.
Где его брать-то этот ASDM Launcher? Дайте ссылку на дистрибутив или объясните популярно как его получить?

Цитата:

Пробовал найти на дисках которые были с ассами - там только различные версии ASDMов причем все демо, а ASDM Launcherа нет.

смотрю свой диск, папка ASDM, в ней asdm-661.msi

Valery12
У меня на диске, из комплекта с ассами, в папке ASDM лежат только демо варианты. Вот содержимое:
asdm-509.bin
asdm-525.bin
asdm-615.bin
asdm-635.bin
asdm-645.bin
asdm-625-53.bin
asdm-demo-525.msi
asdm-demo-615.msi
asdm-demo-625.msi
asdm-demo-635.msi
asdm-demo-645.msi
Можете подклиться asdm-661.msi и asdm-661.bin?

К слову, от безвыходности запустил asdm-demo-645.msi, установил и запустил - блин... если убрать галку "Demo" то просит адрес ciscки и нормально к ней подключается.... блин... а нельзя было сразу написать в руководстве об этом, а не посылать в браузер...

Сейчас на сайте cisco лежит ASDM 7.1.1 в виде asdm-711.bin и рядом asdm-demo-711.msi ... ( смотрим тут )
Может они все теперь называются демо?

onetosx


Цитата:

zubastiy
 
Серверу известно о сети 192.168.54.0/24?  
На пинги виртуальный адрес отвечает?

Пинги не ходят. Только на asa это происходит, за обычными рутерами - без каких либо вопросов.

Запросы от сервера к хосту в сети 192.168.54.0/24 - уходят.
Запросы от хоста к серверу - тоже доходят.

tcp 0 0 192.168.7.200:22 192.168.54.241:772 SYN_RECV -

а! нужно посмотреть, приходит ли syn к 192.168.54.241

ЗЫ, не приходит.

Подскажите плз, до какого уровня ASA logging повысить, чтобы гарантированно отслеживать факт отбива поддельных, по мнению asa, пакетов?

ЗЫЫ. нашел. Рубит ipsec работающий на одном интерфейсе с static nat который проброшен для 192.168.7.200:22
При это сети за девайсами IPSEC over что либо - нормально работают с 192.168.7.200
UCARP вообщем то не причем

DenRassk
включаешь комп в асу в любой порт кроме 0, по dhcp получаешь у нее адрес и тогда по указанному тобой выше адресу заходишь на нее. asdm загрузится с нее.

Такой вопрос :

Есть 515Е. нужно транспарант режим и ВПН.
Вопросы такие :
1) Можно ли как-то настроить ВПН если пикс в транспарантном режиме ? Думаю что можно. Но в доке хитро написано что-то относительно менеджмент интерфейса онли. Трактовать можно двояко.
2) Можно ли настроить так чтобы транзитные пакеты в определенном направлении запихивались в тунель айписек при условии что пикс будет в транспарант режиме. ?

привет, подскажите пжл
есть шлюз cisco 506e
раньше с циско не работал, с командной строкой дружу так себе, так что особо не пинайте
схема интернета такая шлюз циско (10,0,1,1) -> фри бсд с проксей (10,0,1,12) -> сервер 2008 с выдачей dhcp (10,0,1,4)
нужно прописать айпи компа (10,0,1,35) что бы минуя прокси можно было сидеть в инете и качать в торенте
и как сохранить конфиг настроенного уже циско, доступ через телнет, айпи и пас есть

я так понимаю на циско прописано что кроме как айпи прокси не может заходить даже если вручную прописать, несколько компов маков работает напрямую, только делал это прошлый админ и что как не совсем понятно

[more] Уважаемые, подскажите, кто сталкивался. Есть PIX515 в Москве и Cisco 871 в другом городе. Между ними настроен VPN канал. Все работало. На Cisco 871 поменялся внешний IP в следствии смены провайдера. На обоих устройствах изменения внесли, канал больше не поднимается. На PIX настроены еще три канала с аналогичным оборудованием и такой же конфигурацией, в другие города, там все нормально. В чем может быть проблема?

В логе PIX

Код:
4|Jan 21 2013 11:22:17|713903: IP = 176.176.176.182, Error: Unable to remove PeerTblEntry
3|Jan 21 2013 11:22:17|713902: IP = 176.176.176.182, Removing peer from peer table failed, no match!
6|Jan 21 2013 11:22:17|713905: IP = 176.176.176.182, P1 Retransmit msg dispatched to MM FSM
5|Jan 21 2013 11:22:17|713201: IP = 176.176.176.182, Duplicate Phase 1 packet detected. Retransmitting last packet.

подскажите хоть команду что бы зайти с телнета и посмотреть текущие настройки, айпи провайдера маску и т.д.)

Добрый день.
Не прошло и недели, но волосы стоят дыбом от ASA 5505 и кучи прочитанных инструкций.
Ткните носом в инструкцию в которой для дибилов написано как настроить Site to Site VPN между двумя стоящими на столе ASA 5505 с OS 9.1 и ASDM 7.1
Вроде делаю как пишут и советуют, но не поднимается VPN и всё тут... самооценка падает в ноль... вроде всё прозрачно до нельзя, вроде всё понятно ... почему не работает сразу?
Может надо другую версию OS - скажите какую лучше...
Делаю без всяких извращений - просто чтобы заработало и компы из одной сети увидели другие.
Заранее спасибо за помощь.

Прошу прощения за возможно ламерский вопрос, но
1. Я не сисадмин - доступ к самой циске не имею (но знаю кого надо пнуть - главное обосновать в каком направлении).
2. Поставил клиента Cisco AnyConnect Secure Mobility Client 3.1.01065 на Win 8. До какого-то момента она прекрасно работала, но сейчас при подключении к двум совершенно разным цискам дает следущее сообщение

Код: ---------------------------
Cisco AnyConnect
---------------------------
The service provider in your current location is restricting access to the Internet. You need to log on with the service provider before you can establish a VPN session. You can try this by visiting any website with your browser.
---------------------------
ОК
---------------------------