форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение		[Проследить за развитием треда]

"PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Сообщение от AlexT (ok) on 31-Янв-05, 20:18  (MSK)
Доброго времени суток. Ситуация такова: при реорганизации сети (после покупки PIX 515Е) сервер на котором крутится mail, web и DNS,поставили в DMZ. Все эти сервисы стали недоступны :( Сегодня уже третий день как мучаем циску примеры с cisco.com не помогли. Надо как то сделать их доступными и из inside, и из outside, но нифига не получается... Может кто что подскажет? Очень надо.... заранее спасибо. Вот конфиг: : Saved : PIX Version 6.3(4) interface ethernet0 100full interface ethernet1 100full interface ethernet2 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz security50 hostname lan-pix domain-name .spb.ru clock timezone MSK/MSD 3 clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00 fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 no fixup protocol rsh 514 no fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 no fixup protocol sqlnet 1521 fixup protocol tftp 69 names ip address outside x.x.x.2 255.255.255.0 ip address inside 172.19.0.9 255.255.0.0 ip address dmz 192.y.1.1 255.255.255.0 global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0 global (outside) 1 x.x.85.254 netmask 255.255.255.255 nat (inside) 1 0.0.0.0 0.0.0.0 0 0 static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0 вот этот сервер--------------^^^^^^^^^ access-list out-dmz permit udp any host x.x.x.5 eq domain access-list out-dmz permit tcp any host x.x.x.5 eq domain access-list out-dmz permit tcp any host x.x.x.5 eq www access-list out-dmz permit tcp any host x.x.x.5 eq smtp access-list out-dmz permit tcp any host x.x.x.5 eq ftp access-list dmz-out permit udp host 192.y.1.5 any eq domain access-list dmz-out permit tcp host 192.y.1.5 any eq domain access-list dmz-out permit tcp host 192.y.1.5 any eq www access-list dmz-out permit tcp host 192.y.1.5 any eq smtp access-list dmz-out permit tcp host 192.y.1.5 any eq ftp pager lines 24 logging on logging monitor debugging mtu outside 1500 mtu inside 1500 mtu dmz 1500 ip verify reverse-path interface outside ip verify reverse-path interface dmz ip audit info action alarm ip audit attack action alarm pdm location 172.19.0.7 255.255.255.255 inside pdm logging informational 100 pdm history enable arp timeout 14400 access-group out-dmz in interface outside access-group dmz-out in interface dmz route outside 0.0.0.0 0.0.0.0 217.195.85.1 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute ntp server 172.15.0.57 source inside prefer http server enable http 172.19.0.0 255.255.0.0 inside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable telnet 172.19.0.0 255.255.0.0 inside telnet timeout 10 console timeout 0 terminal width 80 : end
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Сообщение от ВОЛКА on 01-Фев-05, 01:03  (MSK)
да вроде работает у вас mail.... даже отвечает :))
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (ok) on 01-Фев-05, 09:06  (MSK)
	>да вроде работает у вас mail.... >даже отвечает :)) угу ... отвечает(мдя заметил косячок =))), даже письмо можно написать с консоли тока у меня там ящик и я нифига почту не получаю может надо РОР открыть? и сайтец как то криво работает из нутри виден а снаружи нет =(
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от ВОЛКА on 01-Фев-05, 10:53  (MSK)
	а вы его откуда не получаете?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (ok) on 01-Фев-05, 11:10  (MSK)
	>а вы его откуда не получаете? его это в смысле почту ?? если так то   моя рабочая станция стоит в inside почтовый сервер в DMZ  отправляю себе почту с яндекса и ничего не получаю....
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от sh_ (??) on 01-Фев-05, 11:38  (MSK)
	ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0 ???
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (ok) on 01-Фев-05, 13:29  (MSK)
	>ПОсмотрите на сервере. Скорее всего почта снаружи приходит (если приходила до установки >пикса). Может прописать что-то типа global (dmz) 1 192.y.1.1 netmask 255.255.255.0 >??? на самом деле хрен с ним с мылом..... сайт надо видеть... а его не видно =(
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	7. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от sh_ (??) on 01-Фев-05, 14:09  (MSK)
	Я снаружи вижу...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от buzz (??) on 01-Фев-05, 14:18  (MSK)
	А где трансляция (inside, dmz)? Или она не нужна? :)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	10. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от buzz (??) on 01-Фев-05, 14:23  (MSK)
	Именно поэтому доступ снаружи есть, а изнутри нету
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (ok) on 01-Фев-05, 14:20  (MSK)
	>Я снаружи вижу... каким образом и что Вы видите если не секрет?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	11. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от sh_ (??) on 01-Фев-05, 15:14  (MSK)
	http://217.195.85.5 Но сейчас не видно. Видимо, Вы что-то подправили... :)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

12. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Сообщение от ВОЛКА on 01-Фев-05, 17:21  (MSK)
опишите схему и что хотите сделать...
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	13. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (??) on 01-Фев-05, 18:28  (MSK)
	>опишите схему и что хотите сделать... есть PIX 515Е у него три интерфейса:   inside 172.19.0.0   outside 217.195.x.x   DMZ     192.168.1.1 на outside висит cisco1601 которая смотрит в инет(тупо- без аксесс листов) в inside локальная сеть в DMZ сервер с FreeBSD на нем web, mail и DNS. необходимо чтоб все эти сервисы были доступны и из нутри и с наружи.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

14. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Сообщение от ВОЛКА on 01-Фев-05, 19:08  (MSK)
Saved : PIX Version 6.3(4) interface ethernet0 100full interface ethernet1 100full interface ethernet2 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz security50 hostname lan-pix no domain-name .spb.ru no domain-name spb.ru clock timezone MSK/MSD 3 clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00 fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol http 80 no fixup protocol smtp 25 ip address outside x.x.x.2 255.255.255.0 ip address inside 172.19.0.9 255.255.0.0 ip address dmz 192.y.1.1 255.255.255.0 no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0 global (outside) 1 x.x.85.254 netmask 255.255.255.255 nat (inside) 1 172.19.0.9 255.255.0.0 static (dmz,outside) x.x.x.5 192.y.1.5 netmask 255.255.255.255 0 0 static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0 no access-list out-dmz permit udp any host x.x.x.5 eq domain no access-list out-dmz permit tcp any host x.x.x.5 eq domain no access-list out-dmz permit tcp any host x.x.x.5 eq www no access-list out-dmz permit tcp any host x.x.x.5 eq smtp no access-list out-dmz permit tcp any host x.x.x.5 eq ftp no access-list dmz-out permit udp host 192.y.1.5 any eq domain no access-list dmz-out permit tcp host 192.y.1.5 any eq domain no access-list dmz-out permit tcp host 192.y.1.5 any eq www no access-list dmz-out permit tcp host 192.y.1.5 any eq smtp no access-list dmz-out permit tcp host 192.y.1.5 any eq ftp access-list OUTSIDE-IN permit udp host 192.y.1.5 any eq domain access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq domain access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq www access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq smtp access-list OUTSIDE-IN permit tcp host 192.y.1.5 any eq ftp access-group OUTSIDE-IN in interface outside no access-group out-dmz in interface outside no access-group dmz-out in interface dmz route outside 0.0.0.0 0.0.0.0 217.195.85.1 1
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	15. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от ВОЛКА on 01-Фев-05, 19:10  (MSK)
	упс... acl не тот... должен быть вот этот.. access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	16. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (??) on 03-Фев-05, 10:52  (MSK)
	>упс... acl не тот... > >должен быть вот этот.. > >access-list OUTSIDE-IN permit udp any host 192.y.1.5 eq domain >access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq domain >access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq www >access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq smtp >access-list OUTSIDE-IN permit tcp any host 192.y.1.5 eq ftp Спасибо, попробую. Может через асю пообщаемся? (177320233)
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	17. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от slava.ru (??) on 03-Фев-05, 13:24  (MSK)
	А logging что выдает?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	18. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от AlexT (??) on 03-Фев-05, 18:14  (MSK)
	ничего не получилось.... как тока ставим хост в дмз доступ пропадает... >no domain-name .spb.ru >no domain-name spb.ru почему не нужны эти строки?? >no global (outside) 1 x.x.x.30-x.x.85.253 netmask 255.255.255.0 а зачем это убирать? >static (inside, dmz) 172.19.0.0 172.19.0.0 netmask 255.255.0.0 0 0 это тоже не понятная трансляция.. причем show xlate трансляцию адреса показывает а доступа нет =(
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	19. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от ВОЛКА on 03-Фев-05, 20:02  (MSK)
	покажите конфиг, который получился...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	20. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от Новенький on 04-Фев-05, 10:06  (MSK)
	Попробуй что-то типа этого конфига...  У меня ситуация была аналогичная тебе. Так что такой конфиг должен подойти... PIX Version 6.3(4) interface ethernet0 10full interface ethernet1 100full interface ethernet2 100full nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz security50 hostname xray domain-name example.ru fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 no fixup protocol rsh 514 fixup protocol rtsp 554 no fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol tftp 69 names access-list dmz-out permit tcp any host 217.195.85.5  eq www access-list dmz-out permit tcp any host 217.195.85.5  eq ssh access-list dmz-out permit tcp any host 217.195.85.5  eq https access-list dmz-out permit tcp any host 217.195.85.5  eq 993 access-list dmz-out permit tcp any host 217.195.85.5  eq 995 access-list dmz-out permit tcp any host 217.195.85.5  eq domain access-list dmz-out permit udp any host 217.195.85.5  eq domain access-list dmz-out permit tcp any host 217.195.85.5 eq smtp access-list dmz-out permit tcp host 192.y.1.2 any access-list vip-acl permit tcp any host 192.y.1.2 eq www access-list vip-acl permit tcp any host 192.y.1.2 eq https access-list vip-acl permit tcp any host 192.y.1.2 eq smtp access-list vip-acl permit tcp any host 192.y.1.2 eq domain access-list vip-acl permit tcp any host 192.y.1.2 eq 995 access-list vip-acl permit tcp any host 192.y.1.2 eq 993 access-list vip-acl permit udp any host 192.y.1.2 eq domain ###  Делай IP сервера в DMZ без трансляции со стороны inside!!!!!  т.е. dmzint=192.y.1.1 serverint=192.y.1.2 pager lines 24 logging monitor warnings logging history debugging logging facility 17 mtu outside 1500 mtu inside 1500 mtu dmz 1500 ip address outside 217.195.85.2 255.255.255.0 ip address inside 172.19.0.9 255.255.0.0 ip address dmz 192.y.1.1 255.255.255.0 ip verify reverse-path interface outside ip verify reverse-path interface inside ip verify reverse-path interface dmz ip audit name syn attack action drop ip audit interface outside syn ip audit interface dmz syn ip audit info action alarm ip audit attack action alarm arp timeout 14400 global (dmz) 1 192.y.1.50-192.y.1.254              #Этими адресами будут подменятся IP inside сетки при входе в DMZ nat (inside) 1 179.19.0.0 255.255.255.0 0 0 nat (dmz) 1 192.y.1.0 255.255.255.0 0 0 static (dmz,outside) 217.195.85.2 192.y.1.2 netmask 255.255.255.255 0 0   #Трансляция Internet в DMZ или наоборот.... access-group dmz-out in interface outside access-group vip-acl in interface inside route outside 0.0.0.0 0.0.0.0 212.57.183.1 1 timeout xlate 1:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable sysopt connection timewait telnet timeout 60 console timeout 0 terminal width 80 Также не забудь прописать маршруты для каждой сети... Удачи!
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	21. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от Новенький on 04-Фев-05, 10:07  (MSK)
	Кстати, не забудь прописать global(outside)  чтобы в инет ходить и подменять IP глобальными....
		Рекомендовать в FAQ | Cообщить модератору | Наверх

22. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
Сообщение от Adar (??) on 04-Фев-05, 15:27  (MSK)
Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков, о потом смотреть какой код получается в консоле. PDM - приятная штучка.
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	23. "PIX 515E Проблема с доступом к mail и web серверу в DMZ"
	Сообщение от alexeys (ok) on 04-Фев-05, 22:40  (MSK)
	>Вообще по-моему надо с помощью PDM конфигурить PIX. Имеется ввиду для новичков, >о потом смотреть какой код получается в консоле. PDM - приятная >штучка. Надо-то надо, вот только policy NAT PDM нераспознает! :(( У меня стоит анологичный девайс с таким же раскладом  (все итернетовские серваки  размещены в DMZ). Логика конфигурации простая: 1. три аксесс-листа по одному на каждый интерфейс, на вход. 2. для серваков в ДМЗ статическая трансляция outside-dmz или nat0 3. nat для inside в напралении DMZ и/или outside (зависит от потребностей). 4. policy nat по необходимости. Могу поделиться кусками конфига. У меня все работает.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.