The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Вариант для распечатки Архивированная нить - только для чтения! 
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [Проследить за развитием треда]

"PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 31-Янв-05, 20:18  (MSK)
Доброго времени суток.

Ситуация такова: при реорганизации сети (после покупки PIX 515Е) сервер
на котором крутится mail, web и DNS,поставили в DMZ.
Все эти сервисы стали недоступны :(
Сегодня уже третий день как мучаем циску примеры с cisco.com
не помогли.
Надо как то сделать их доступными и из inside, и из outside, но нифига не получается...
Может кто что подскажет? Очень надо....
заранее спасибо. Вот конфиг:

: Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50

hostname lan-pix
domain-name .spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00

fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
no fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
no fixup protocol sqlnet 1521
fixup protocol tftp 69
names

ip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0

global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0

global (outside) 1 x.x.85.254 netmask 255.255.255.255

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
вот этот сервер--------------^^^^^^^^^

access-list out-dmz permit udp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq domain
access-list out-dmz permit tcp any host x.x.x.5 eq www
access-list out-dmz permit tcp any host x.x.x.5 eq smtp
access-list out-dmz permit tcp any host x.x.x.5 eq ftp

access-list dmz-out permit udp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq domain
access-list dmz-out permit tcp host 192.y.1.5 any eq www
access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
access-list dmz-out permit tcp host 192.y.1.5 any eq ftp

pager lines 24
logging on
logging monitor debugging

mtu outside 1500
mtu inside 1500
mtu dmz 1500

ip verify reverse-path interface outside
ip verify reverse-path interface dmz
ip audit info action alarm
ip audit attack action alarm


pdm location 172.19.0.7 255.255.255.255 inside

pdm logging informational 100
pdm history enable
arp timeout 14400


access-group out-dmz in interface outside
access-group dmz-out in interface dmz

route outside 0.0.0.0 0.0.0.0 217.195.85.1 1

timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute

ntp server 172.15.0.57 source inside prefer

http server enable
http 172.19.0.0 255.255.0.0 inside

no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps

floodguard enable

telnet 172.19.0.0 255.255.0.0 inside
telnet timeout 10

console timeout 0
terminal width 80
: end

  Рекомендовать в FAQ | Cообщить модератору | Наверх

 Оглавление

Индекс форумов | Темы | Пред. тема | След. тема
Сообщения по теме

1. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 01-Фев-05, 01:03  (MSK)
да вроде работает у вас mail....
даже отвечает :))
  Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 01-Фев-05, 09:06  (MSK)
>да вроде работает у вас mail....
>даже отвечает :))

угу ... отвечает(мдя заметил косячок =))), даже письмо можно написать с консоли
тока у меня там ящик и я нифига почту не получаю
может надо РОР открыть?
и сайтец как то криво работает из нутри виден а снаружи нет =(

  Рекомендовать в FAQ | Cообщить модератору | Наверх

3. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 01-Фев-05, 10:53  (MSK)
а вы его откуда не получаете?
  Рекомендовать в FAQ | Cообщить модератору | Наверх

4. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 01-Фев-05, 11:10  (MSK)
>а вы его откуда не получаете?

его это в смысле почту ??
если так то  
моя рабочая станция стоит в inside почтовый сервер в DMZ  отправляю себе почту с яндекса и ничего не получаю....

  Рекомендовать в FAQ | Cообщить модератору | Наверх

5. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от sh_ Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 11:38  (MSK)
ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0 ???
  Рекомендовать в FAQ | Cообщить модератору | Наверх

6. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 01-Фев-05, 13:29  (MSK)
>ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки
>пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0
>???


на самом деле хрен с ним с мылом.....
сайт надо видеть... а его не видно =(

  Рекомендовать в FAQ | Cообщить модератору | Наверх

7. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от sh_ Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 14:09  (MSK)
Я снаружи вижу...
  Рекомендовать в FAQ | Cообщить модератору | Наверх

8. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от buzz emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 14:18  (MSK)
А где трансляция (inside, dmz)? Или она не нужна? :)

  Рекомендовать в FAQ | Cообщить модератору | Наверх

10. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от buzz emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 14:23  (MSK)
Именно поэтому доступ снаружи есть, а изнутри нету
  Рекомендовать в FAQ | Cообщить модератору | Наверх

9. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 01-Фев-05, 14:20  (MSK)
>Я снаружи вижу...


каким образом и что Вы видите если не секрет?

  Рекомендовать в FAQ | Cообщить модератору | Наверх

11. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от sh_ Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 15:14  (MSK)
http://217.195.85.5
Но сейчас не видно. Видимо, Вы что-то подправили... :)
  Рекомендовать в FAQ | Cообщить модератору | Наверх

12. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 01-Фев-05, 17:21  (MSK)
опишите схему и что хотите сделать...
  Рекомендовать в FAQ | Cообщить модератору | Наверх

13. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 01-Фев-05, 18:28  (MSK)
>опишите схему и что хотите сделать...

есть PIX 515Е у него три интерфейса:
  inside 172.19.0.0
  outside 217.195.x.x
  DMZ     192.168.1.1

на outside висит cisco1601 которая смотрит в инет(тупо- без аксесс листов)
в inside локальная сеть
в DMZ сервер с FreeBSD на нем web, mail и DNS.

необходимо чтоб все эти сервисы были доступны и из нутри и с наружи.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

14. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 01-Фев-05, 19:08  (MSK)
Saved
:
PIX Version 6.3(4)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50

hostname lan-pix
no domain-name .spb.ru
no domain-name spb.ru
clock timezone MSK/MSD 3
clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00

fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol http 80
no fixup protocol smtp 25

ip address outside x.x.x.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0

no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
global (outside) 1 x.x.85.254 netmask 255.255.255.255
nat (inside) 1 172.19.0.9 255.255.0.0
static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0
static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0

no access-list out-dmz permit udp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq domain
no access-list out-dmz permit tcp any host x.x.x.5 eq www
no access-list out-dmz permit tcp any host x.x.x.5 eq smtp
no access-list out-dmz permit tcp any host x.x.x.5 eq ftp

no access-list dmz-out permit udp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq domain
no access-list dmz-out permit tcp host 192.y.1.5 any eq www
no access-list dmz-out permit tcp host 192.y.1.5 any eq smtp
no access-list dmz-out permit tcp host 192.y.1.5 any eq ftp

access-list OUTSIDE-IN permit udp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq domain
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq www
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq smtp
access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq ftp


access-group OUTSIDE-IN in interface outside
no access-group out-dmz in interface outside
no access-group dmz-out in interface dmz
route outside 0.0.0.0 0.0.0.0 217.195.85.1 1

  Рекомендовать в FAQ | Cообщить модератору | Наверх

15. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 01-Фев-05, 19:10  (MSK)
упс... acl не тот...

должен быть вот этот..

access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp

  Рекомендовать в FAQ | Cообщить модератору | Наверх

16. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 03-Фев-05, 10:52  (MSK)
>упс... acl не тот...
>
>должен быть вот этот..
>
>access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp
>access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp

Спасибо, попробую.
Может через асю пообщаемся? (177320233)

  Рекомендовать в FAQ | Cообщить модератору | Наверх

17. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от slava.ru emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 03-Фев-05, 13:24  (MSK)
А logging что выдает?

  Рекомендовать в FAQ | Cообщить модератору | Наверх

18. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от AlexT Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 03-Фев-05, 18:14  (MSK)
ничего не получилось.... как тока ставим хост в дмз доступ пропадает...

>no domain-name .spb.ru
>no domain-name spb.ru
почему не нужны эти строки??


>no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0
а зачем это убирать?

>static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0
это тоже не понятная трансляция..

причем show xlate трансляцию адреса показывает а доступа нет =(

  Рекомендовать в FAQ | Cообщить модератору | Наверх

19. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от ВОЛКА emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Фев-05, 20:02  (MSK)
покажите конфиг, который получился...
  Рекомендовать в FAQ | Cообщить модератору | Наверх

20. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от Новенький Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 04-Фев-05, 10:06  (MSK)
Попробуй что-то типа этого конфига...  У меня ситуация была аналогичная тебе. Так что такой конфиг должен подойти...


PIX Version 6.3(4)
interface ethernet0 10full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
hostname xray
domain-name example.ru
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
no fixup protocol rsh 514
fixup protocol rtsp 554
no fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol tftp 69
names

access-list dmz-out permit tcp any host 217.195.85.5  eq www
access-list dmz-out permit tcp any host 217.195.85.5  eq ssh
access-list dmz-out permit tcp any host 217.195.85.5  eq https
access-list dmz-out permit tcp any host 217.195.85.5  eq 993
access-list dmz-out permit tcp any host 217.195.85.5  eq 995
access-list dmz-out permit tcp any host 217.195.85.5  eq domain
access-list dmz-out permit udp any host 217.195.85.5  eq domain
access-list dmz-out permit tcp any host 217.195.85.5 eq smtp

access-list dmz-out permit tcp host 192.y.1.2 any

access-list vip-acl permit tcp any host 192.y.1.2 eq www
access-list vip-acl permit tcp any host 192.y.1.2 eq https
access-list vip-acl permit tcp any host 192.y.1.2 eq smtp
access-list vip-acl permit tcp any host 192.y.1.2 eq domain
access-list vip-acl permit tcp any host 192.y.1.2 eq 995
access-list vip-acl permit tcp any host 192.y.1.2 eq 993
access-list vip-acl permit udp any host 192.y.1.2 eq domain


###  Делай IP сервера в DMZ без трансляции со стороны inside!!!!!  т.е. dmzint=192.y.1.1 serverint=192.y.1.2

pager lines 24
logging monitor warnings
logging history debugging
logging facility 17
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 217.195.85.2 255.255.255.0
ip address inside 172.19.0.9 255.255.0.0
ip address dmz 192.y.1.1 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip verify reverse-path interface dmz
ip audit name syn attack action drop
ip audit interface outside syn
ip audit interface dmz syn
ip audit info action alarm
ip audit attack action alarm
arp timeout 14400
global (dmz) 1 192.y.1.50-192.y.1.254              #Этими адресами будут подменятся IP inside сетки при входе в DMZ
nat (inside) 1 179.19.0.0 255.255.255.0 0 0
nat (dmz) 1 192.y.1.0 255.255.255.0 0 0

static (dmz,outside) 217.195.85.2 192.y.1.2 netmask 255.255.255.255 0 0   #Трансляция Internet в DMZ или наоборот....

access-group dmz-out in interface outside
access-group vip-acl in interface inside
route outside 0.0.0.0 0.0.0.0 212.57.183.1 1
timeout xlate 1:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection timewait
telnet timeout 60
console timeout 0
terminal width 80

Также не забудь прописать маршруты для каждой сети... Удачи!

  Рекомендовать в FAQ | Cообщить модератору | Наверх

21. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от Новенький Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 04-Фев-05, 10:07  (MSK)
Кстати, не забудь прописать global(outside)  чтобы в инет ходить и подменять IP глобальными....
  Рекомендовать в FAQ | Cообщить модератору | Наверх

22. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от Adar Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(??) on 04-Фев-05, 15:27  (MSK)
Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков, о потом смотреть какой код получается в консоле. PDM - приятная штучка.
  Рекомендовать в FAQ | Cообщить модератору | Наверх

23. "PIX 515E Проблема с доступом к mail и web серверу в DMZ" 
Сообщение от alexeys emailНайти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации.(ok) on 04-Фев-05, 22:40  (MSK)
>Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков,
>о потом смотреть какой код получается в консоле. PDM - приятная
>штучка.
Надо-то надо, вот только policy NAT PDM нераспознает! :((
У меня стоит анологичный девайс с таким же раскладом  (все итернетовские серваки  размещены в DMZ).
Логика конфигурации простая:
1. три аксесс-листа по одному на каждый интерфейс, на вход.
2. для серваков в ДМЗ статическая трансляция outside-dmz или nat0
3. nat для inside в напралении DMZ и/или outside (зависит от потребностей).
4. policy nat по необходимости.

Могу поделиться кусками конфига. У меня все работает.


  Рекомендовать в FAQ | Cообщить модератору | Наверх


Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2021 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру