URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 7150
[ Назад ]
Исходное сообщение
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 31-Янв-05 20:18 
Доброго времени суток.

Ситуация такова: при реорганизации сети (после покупки PIX 515Е) сервер
на котором крутится mail, web и DNS,поставили в DMZ.
Все эти сервисы стали недоступны :(
Сегодня уже третий день как мучаем циску примеры с cisco.com
не помогли.
Надо как то сделать их доступными и из inside, и из outside, но нифига не получается...
Может кто что подскажет? Очень надо....
заранее спасибо. Вот конфиг:

: Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50

hostname lan-pix
domain-name .spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00

fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
no fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
no fixup protocol sqlnet 1521
fixup protocol tftp 69
names

ip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0

global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0

global (outside) 1 x.x.85.254 netmask 255.255.255.255

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
вот этот сервер--------------^^^^^^^^^

access-list out-dmz permit udp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq www
access-list out-dmz permit tcp any host x.x.x.5 eq smtp
access-list out-dmz permit tcp any host x.x.x.5 eq ftp

access-list dmz-out permit udp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq www
access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
access-list dmz-out permit tcp host 192.y.1.5 any eq ftp

pager lines 24
logging on
logging monitor debugging

mtu outside 1500
mtu inside 1500
mtu dmz 1500

ip verify reverse-path interface outside
ip verify reverse-path interface dmz
ip audit info action alarm
ip audit attack action alarm


pdm location 172.19.0.7 255.255.255.255 inside

pdm logging informational 100
pdm history enable
arp timeout 14400


access-group out-dmz in interface outside
access-group dmz-out in interface dmz

route outside 0.0.0.0 0.0.0.0 217.195.85.1 1

timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute

ntp server 172.15.0.57 source inside prefer

http server enable
http 172.19.0.0 255.255.0.0 inside

no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps

floodguard enable

telnet 172.19.0.0 255.255.0.0 inside
telnet timeout 10

console timeout 0
terminal width 80
: end

Содержание
Сообщения в этом обсуждении
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 01-Фев-05 01:03 
да вроде работает у вас mail....
даже отвечает :))
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 01-Фев-05 09:06 
>да вроде работает у вас mail....
>даже отвечает :))

угу ... отвечает(мдя заметил косячок =))), даже письмо можно написать с консоли
тока у меня там ящик и я нифига почту не получаю
может надо РОР открыть?
и сайтец как то криво работает из нутри виден а снаружи нет =(

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 01-Фев-05 10:53 
а вы его откуда не получаете?
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 01-Фев-05 11:10 
>а вы его откуда не получаете?

его это в смысле почту ??
если так то  
моя рабочая станция стоит в inside почтовый сервер в DMZ  отправляю себе почту с яндекса и ничего не получаю....

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено sh_ , 01-Фев-05 11:38 
ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0 ???
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 01-Фев-05 13:29 
>ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки
>пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0
>???


на самом деле хрен с ним с мылом.....
сайт надо видеть... а его не видно =(

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено sh_ , 01-Фев-05 14:09 
Я снаружи вижу...
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено buzz , 01-Фев-05 14:18 
А где трансляция (inside, dmz)? Или она не нужна? :)

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено buzz , 01-Фев-05 14:23 
Именно поэтому доступ снаружи есть, а изнутри нету
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 01-Фев-05 14:20 
>Я снаружи вижу...


каким образом и что Вы видите если не секрет?

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено sh_ , 01-Фев-05 15:14 
http://217.195.85.5
Но сейчас не видно. Видимо, Вы что-то подправили... :)
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 01-Фев-05 17:21 
опишите схему и что хотите сделать...
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 01-Фев-05 18:28 
>опишите схему и что хотите сделать...

есть PIX 515Е у него три интерфейса:
  inside 172.19.0.0
  outside 217.195.x.x
  DMZ     192.168.1.1

на outside висит cisco1601 которая смотрит в инет(тупо- без аксесс листов)
в inside локальная сеть
в DMZ сервер с FreeBSD на нем web, mail и DNS.

необходимо чтоб все эти сервисы были доступны и из нутри и с наружи.

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 01-Фев-05 19:08 
Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50

hostname lan-pix
no domain-name .spb.ru
no domain-name spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00

fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol http 80
no fixup protocol smtp 25

ip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0

no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
global (outside) 1 x.x.85.254 netmask 255.255.255.255
nat (inside) 1 172.19.0.9 255.255.0.0
static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0

no access-list out-dmz permit udp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq www
no access-list out-dmz permit tcp any host x.x.x.5 eq smtp
no access-list out-dmz permit tcp any host x.x.x.5 eq ftp

no access-list dmz-out permit udp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq www
no access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
no access-list dmz-out permit tcp host 192.y.1.5 any eq ftp

access-list OUTSIDE-IN permit udp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq www
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq smtp
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq ftp


access-group OUTSIDE-IN in interface outside
no access-group out-dmz in interface outside
no access-group dmz-out in interface dmz
route outside 0.0.0.0 0.0.0.0 217.195.85.1 1

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 01-Фев-05 19:10 
упс... acl не тот...

должен быть вот этот..

access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 03-Фев-05 10:52 
>упс... acl не тот...
>
>должен быть вот этот..
>
>access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp

Спасибо, попробую.
Может через асю пообщаемся? (177320233)

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено slava.ru , 03-Фев-05 13:24 
А logging что выдает?

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено AlexT , 03-Фев-05 18:14 
ничего не получилось.... как тока ставим хост в дмз доступ пропадает...

>no domain-name .spb.ru
>no domain-name spb.ru
почему не нужны эти строки??


>no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
а зачем это убирать?

>static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0
это тоже не понятная трансляция..

причем show xlate трансляцию адреса показывает а доступа нет =(

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено ВОЛКА , 03-Фев-05 20:02 
покажите конфиг, который получился...
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено Новенький , 04-Фев-05 10:06 
Попробуй что-то типа этого конфига...  У меня ситуация была аналогичная тебе. Так что такой конфиг должен подойти...


PIX Version 6.3(4)
interface ethernet0 10full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
hostname xray
domain-name example.ru
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
fixup protocol rtsp 554
no fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol tftp 69
names

access-list dmz-out permit tcp any host 217.195.85.5  eq www
access-list dmz-out permit tcp any host 217.195.85.5  eq ssh
access-list dmz-out permit tcp any host 217.195.85.5  eq https
access-list dmz-out permit tcp any host 217.195.85.5  eq 993
access-list dmz-out permit tcp any host 217.195.85.5  eq 995
access-list dmz-out permit tcp any host 217.195.85.5  eq domain
access-list dmz-out permit udp any host 217.195.85.5  eq domain
access-list dmz-out permit tcp any host 217.195.85.5 eq smtp

access-list dmz-out permit tcp host 192.y.1.2 any

access-list vip-acl permit tcp any host 192.y.1.2 eq www
access-list vip-acl permit tcp any host 192.y.1.2 eq https
access-list vip-acl permit tcp any host 192.y.1.2 eq smtp
access-list vip-acl permit tcp any host 192.y.1.2 eq domain
access-list vip-acl permit tcp any host 192.y.1.2 eq 995
access-list vip-acl permit tcp any host 192.y.1.2 eq 993
access-list vip-acl permit udp any host 192.y.1.2 eq domain


###  Делай IP сервера в DMZ без трансляции со стороны inside!!!!!  т.е. dmzint=192.y.1.1 serverint=192.y.1.2

pager lines 24
logging monitor warnings
logging history debugging
logging facility 17
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 217.195.85.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip verify reverse-path interface dmz
ip audit name syn attack action drop
ip audit interface outside syn
ip audit interface dmz syn
ip audit info action alarm
ip audit attack action alarm
arp timeout 14400
global (dmz) 1 192.y.1.50-192.y.1.254              #Этими адресами будут подменятся IP inside сетки при входе в DMZ
nat (inside) 1 179.19.0.0 255.255.255.0 0 0
nat (dmz) 1 192.y.1.0 255.255.255.0 0 0

static (dmz,outside) 217.195.85.2 192.y.1.2 netmask 255.255.255.255 0 0   #Трансляция Internet в DMZ или наоборот....

access-group dmz-out in interface outside
access-group vip-acl in interface inside
route outside 0.0.0.0 0.0.0.0 212.57.183.1 1
timeout xlate 1:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection timewait
telnet timeout 60
console timeout 0
terminal width 80

Также не забудь прописать маршруты для каждой сети... Удачи!

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено Новенький , 04-Фев-05 10:07 
Кстати, не забудь прописать global(outside)  чтобы в инет ходить и подменять IP глобальными....
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено Adar , 04-Фев-05 15:27 
Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков, о потом смотреть какой код получается в консоле. PDM - приятная штучка.
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Отправлено alexeys , 04-Фев-05 22:40 
>Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков,
>о потом смотреть какой код получается в консоле. PDM - приятная
>штучка.
Надо-то надо, вот только policy NAT PDM нераспознает! :((
У меня стоит анологичный девайс с таким же раскладом  (все итернетовские серваки  размещены в DMZ).
Логика конфигурации простая:
1. три аксесс-листа по одному на каждый интерфейс, на вход.
2. для серваков в ДМЗ статическая трансляция outside-dmz или nat0
3. nat для inside в напралении DMZ и/или outside (зависит от потребностей).
4. policy nat по необходимости.

Могу поделиться кусками конфига. У меня все работает.