Cisco ASA 5510

[Ubuntu]

Вопрос к гуру по цискам, в частности asa. Накидал простейшую схему, цель пока одна, выйти в инет с хоста (192.168.1.2). Всё прописал, всё вроде поднял, из асы пингую все что надо, а вот с клиентского хоста никак интернет шлюз не пингую, пытался прописать рутинг, жалуется что connected route exists

[ilgar_m]

192.168.1.1 в качестве gateway у Вас в хосте, я полагаю, стоит.

С ASA дела не имел, но на старых версиях тогда еще Cisco PIX действовало правило: что не разрешено - то запрещено.

Попробуйте разрешить access-листом на inside интерфейсе.

На PIX "разрешить всё" выглядит как:

access-list insideAccess permit ip any any

access-group insideAccess in interface inside

[ilgar_m]

Да, и ещё. На 192.168.0.1 рутинг сетки 192.168.1.0 через 192.168.0.79 есть (если NAT на ASA не задействован) ?

[Ubuntu]

192.168.1.1 в качестве gateway у Вас в хосте, я полагаю, стоит.

С ASA дела не имел, но на старых версиях тогда еще Cisco PIX действовало правило: что не разрешено - то запрещено.

Попробуйте разрешить access-листом на inside интерфейсе.

На PIX "разрешить всё" выглядит как:

access-list insideAccess permit ip any any

access-group insideAccess in interface inside

Разрешен любой траффик

[Ubuntu]

Да, и ещё. На 192.168.0.1 рутинг сетки 192.168.1.0 через 192.168.0.79 есть (если NAT на ASA не задействован) ?

NAT не настроен, просто не знаю нужен ли он мне?

[ilgar_m]

Если NAT не настроен, на 192.168.0.1 должен быть прописан рутинг сетки 192.168.1.0 через 192.168.0.79.

Если ASA все же блокирует трафик, в логах должно быть видно.

Что есть 192.168.0.1? Если это ADSL модем, его лучше сконфигурить как bridge, а внешний IP-адрес (или PPPoE) настроить на ASA и включить NAT на ASA.

[Ubuntu]

Сможете подключиться по team viewer и сделать всё через asdm? Если да оставьте контакты

[ilgar_m]

ASDM-ом не пользовался (не люблю графику, когда есть telnet) , и teamviewer-ом тоже. Совсем отстал от жизни.

К сожалению, свободного времени очень мало, но если у Вас есть возможность оставить ASA у меня на пару дней, думаю,смогу помочь.

[Дикий Дим]

Вопрос к гуру по цискам, в частности asa. Накидал простейшую схему, цель пока одна, выйти в инет с хоста (192.168.1.2). Всё прописал, всё вроде поднял, из асы пингую все что надо, а вот с клиентского хоста никак интернет шлюз не пингую, пытался прописать рутинг, жалуется что connected route exists

Конфиг в студию

[shaig85]

извините можеть не в тему а где у нас проводять самые хорошые курсы Cisco ?

Aznet?

[Ubuntu]

: Saved

:

ASA Version 8.0(4)

!

hostname ciscoasa

enable password PoClgYetkqYX0jpo encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

nameif outside

security-level 0

ip address 192.168.0.79 255.255.255.0

!

interface Ethernet0/1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet0/2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet0/3

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

nameif management

security-level 100

ip address 10.10.10.1 255.255.255.0

management-only

!

ftp mode passive

access-list outside_access_in extended permit ip any any

pager lines 24

logging asdm informational

mtu management 1500

mtu inside 1500

mtu outside 1500

icmp unreachable rate-limit 1 burst-size 1

asdm image disk0:/asdm-615.bin

no asdm history enable

arp timeout 14400

access-group outside_access_in in interface outside

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute

dynamic-access-policy-record DfltAccessPolicy

http server enable

http 10.10.10.0 255.255.255.0 management

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec security-association lifetime seconds 28800

crypto ipsec security-association lifetime kilobytes 4608000

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd address 10.10.10.2-10.10.10.254 management

dhcpd enable management

!

threat-detection basic-threat

threat-detection statistics access-list

no threat-detection statistics tcp-intercept

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

!

service-policy global_policy global

prompt hostname context

Cryptochecksum:8910b1be73183d49e8b437b5a4611061

: end

asdm image disk0:/asdm-615.bin

no asdm history enable

[Ubuntu]

извините можеть не в тему а где у нас проводять самые хорошые курсы Cisco ?

Aznet?

Есть в mhm (melumat hesablama merkezi), aznetacad

[ilgar_m]

Разрешен любой траффик

Судя по конфигу, разрешен трафик со стороны outside (что не нужно), но нет такого на inside, о чем я писал выше.

Нет default route на 192.168.0.1, что помешает выйти в интернет.

[Ubuntu]

Судя по конфигу, разрешен трафик со стороны outside (что не нужно), но нет такого на inside, о чем я писал выше.

Нет default route на 192.168.0.1, что помешает выйти в интернет.

Да, согласен что в интернет без рутинга на 0.1 не выйдет, значит надо так: route outside 0.0.0.0 0.0.0.0 192.168.0.1? но кажись он ругается, на connected route exists. А насчет разрешенного трафика вроде везде выставил any any, а как правильно прописать?

[ilgar_m]

Да, route outside 0.0.0.0 0.0.0.0 192.168.0.1. Кажись или точно? Проверьте для надежности.

Что имеем по команде show route ?

У Вас:

access-list outside_access_in extended permit ip any any

access-group outside_access_in in interface outside

А надо что-то типа:

access-list inside_access_in extended permit ip any any

access-group inside_access_in in interface inside

Что касается outside_access_in, его присутствие в таком виде делает firewall простым рутером.

[Ubuntu]

Да, route outside 0.0.0.0 0.0.0.0 192.168.0.1. Кажись или точно? Проверьте для надежности.

Что имеем по команде show route ?

У Вас:

access-list outside_access_in extended permit ip any any

access-group outside_access_in in interface outside

А надо что-то типа:

access-list inside_access_in extended permit ip any any

access-group inside_access_in in interface inside

Что касается outside_access_in, его присутствие в таком виде делает firewall простым рутером.

При попытке прописать route жалуется на invalid input, маркер на outside.

Что касается доступа, первая строчка проходит, а вторая опять же жалуется invalid input, маркер на inside в конце строчки.

show route показывает только management интерфейс

[Ubuntu]

Сорри, все прописалось, оказывается слетели все настройки с асы, заметил только когда подключился по asdm. Сделал все, но не работает, мне кажется еще рутинга не хватает.

[Ubuntu]

Новый конфиг:

ASA Version 8.0(4)

!

hostname ciscoasa

enable password PoClgYetkqYX0jpo encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

nameif outside

security-level 0

ip address 192.168.0.79 255.255.255.0

!

interface Ethernet0/1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet0/2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet0/3

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

nameif management

security-level 100

ip address 10.10.10.1 255.255.255.0

management-only

!

ftp mode passive

access-list inside_access_in extended permit ip any any

pager lines 24

logging asdm informational

mtu management 1500

mtu inside 1500

mtu outside 1500

icmp unreachable rate-limit 1 burst-size 1

asdm image disk0:/asdm-615.bin

no asdm history enable

arp timeout 14400

access-group inside_access_in in interface inside

route outside 0.0.0.0 0.0.0.0 192.168.0.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute

dynamic-access-policy-record DfltAccessPolicy

http server enable

http 10.10.10.0 255.255.255.0 management

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec security-association lifetime seconds 28800

crypto ipsec security-association lifetime kilobytes 4608000

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd address 10.10.10.2-10.10.10.254 management

dhcpd enable management

!

threat-detection basic-threat

threat-detection statistics access-list

no threat-detection statistics tcp-intercept

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

!

service-policy global_policy global

prompt hostname context

Cryptochecksum:330e20f07513789daa1a9c327375a821

: end

asdm image disk0:/asdm-615.bin

no asdm history enable

[Ubuntu]

show route:

Gateway of last resort is 192.168.0.1 to network 0.0.0.0

C 10.10.10.0 255.255.255.0 is directly connected, management

C 192.168.0.0 255.255.255.0 is directly connected, outside

C 192.168.1.0 255.255.255.0 is directly connected, inside

S* 0.0.0.0 0.0.0.0 [1/0] via 192.168.0.1, outside

[ilgar_m]

Сорри, все прописалось, оказывается слетели все настройки с асы, заметил только когда подключился по asdm. Сделал все, но не работает, мне кажется еще рутинга не хватает.

Рутинг на ASA достаточен.

На192.168.0.1 прописан рутинг сетки 192.168.1.0 через 192.168.0.79. ? Вы не ответили.

На ASA можно включить logging buffered debugging

и смотреть лог show log или terminal monitor.

Если трафик все же блокируется, скорее всего должно быть видно.

[Ubuntu]

Рутинг на ASA достаточен.

На192.168.0.1 прописан рутинг сетки 192.168.1.0 через 192.168.0.79. ? Вы не ответили.

На ASA можно включить logging buffered debugging

и смотреть лог show log или terminal monitor.

Если трафик все же блокируется, скорее всего должно быть видно.

192.168.0.1 это фаервол керио, который в свою очередь идет в каталист, а каталист в основной рутер откуда берется инет от провайдера. Все конфиги выложил здесь, но с 192.168.1.2 никак непингует 0.79 и 0.1

[St@lker]

А Default Gateway на 192.168.1.2 -> 192.168.1.1 ?

[ilgar_m]

192.168.0.1 это фаервол керио, который в свою очередь идет в каталист, а каталист в основной рутер откуда берется инет от провайдера. Все конфиги выложил здесь, но с 192.168.1.2 никак непингует 0.79 и 0.1

У меня с inside сети outside интерфейс тоже не пингуется, так что это нормально.

Можете выложить сюда ответ команды netstat -r на керио?

Кстати, раз уж керио - фаервол, он тоже может блокировать запросы от чужой ему сети 192.168.1.0

[creative_286]

Без НАТ-а вы наружу не выйдете.

[Ubuntu]

А Default Gateway на 192.168.1.2 -> 192.168.1.1 ?

Прописан на компе с которого хочу выйти в инет

[Ubuntu]

У меня с inside сети outside интерфейс тоже не пингуется, так что это нормально.

Можете выложить сюда ответ команды netstat -r на керио?

Кстати, раз уж керио - фаервол, он тоже может блокировать запросы от чужой ему сети 192.168.1.0

Я могу напрямую воткнуть асу в каталист, outside тогда измнится немного

[Ubuntu]

Без НАТ-а вы наружу не выйдете.

Подробней можно? Как его прописать то туда правильно?

[creative_286]

Подробней можно? Как его прописать то туда правильно?

global (naazvanie_vneshneqo_interfeysa) 1 interface

nat (naazvanie_vnutreneqo_interfeysa) 1 192.168.1.0 255.255.255.0

чтото вроде этого

192.168.1.0 - ваша внутр сеть

[Ubuntu]

global (naazvanie_vneshneqo_interfeysa) 1 interface

nat (naazvanie_vnutreneqo_interfeysa) 1 192.168.1.0 255.255.255.0

чтото вроде этого

192.168.1.0 - ваша внутр сеть

Сделал, не пашет(

[Ubuntu]

: Saved

:

ASA Version 8.0(4)

!

hostname ciscoasa

enable password PoClgYetkqYX0jpo encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

nameif outside

security-level 0

ip address 192.168.0.79 255.255.255.0

!

interface Ethernet0/1

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0

!

interface Ethernet0/2

shutdown

no nameif

no security-level

no ip address

!

interface Ethernet0/3

shutdown

no nameif

no security-level

no ip address

!

interface Management0/0

nameif management

security-level 100

ip address 10.10.10.1 255.255.255.0

management-only

!

ftp mode passive

access-list inside_access_in extended permit ip any any

pager lines 24

logging asdm informational

mtu outside 1500

mtu inside 1500

mtu management 1500

icmp unreachable rate-limit 1 burst-size 1

asdm image disk0:/asdm-615.bin

no asdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 1 192.168.1.0 255.255.255.0

access-group inside_access_in in interface inside

route outside 0.0.0.0 0.0.0.0 192.168.0.1 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute

dynamic-access-policy-record DfltAccessPolicy

http server enable

http 10.10.10.0 255.255.255.0 management

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec security-association lifetime seconds 28800

crypto ipsec security-association lifetime kilobytes 4608000

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd address 10.10.10.2-10.10.10.254 management

dhcpd enable management

!

threat-detection basic-threat

threat-detection statistics access-list

no threat-detection statistics tcp-intercept

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

!

service-policy global_policy global

prompt hostname context

Cryptochecksum:330e20f07513789daa1a9c327375a821

: end

asdm image disk0:/asdm-615.bin

no asdm history enable

[creative_286]

show xlate что показывает ?

trace на 8,8,8,8 что даёт?

[Ubuntu]

show xlate что показывает ?

trace на 8,8,8,8 что даёт?

show xlate:

0 in use, 4 most used

[Ubuntu]

Trace с асы ниче не дает

[creative_286]

Trace с асы ниче не дает

192,168,0,1 тоже не пингуется ?

[Ubuntu]

192,168,0,1 тоже не пингуется ?

с асы всё и вся пингуется, а с компа (192.168.1.2) нет

[creative_286]

с асы всё и вся пингуется, а с компа (192.168.1.2) нет

Страно что трейс с асы ничего не дал, а пинг прошёл.

Пустите пинг с компа на любой адрес, и после этого проверте ещё раз show xlate

[Ubuntu]

Страно что трейс с асы ничего не дал, а пинг прошёл.

Пустите пинг с компа на любой адрес, и после этого проверте ещё раз show xlate

пустил пинг на 0.1

1 in use, 4 most used

PAT Global 192.168.0.79(1350) Local 192.168.1.2 ICMP id 512

[creative_286]

пустил пинг на 0.1

1 in use, 4 most used

PAT Global 192.168.0.79(1350) Local 192.168.1.2 ICMP id 512

Вроде адрес транслируется. С компа не открывается ничего?

[Ubuntu]

Вроде адрес транслируется. С компа не открывается ничего?

Неа, нивкакую

[creative_286]

Неа, нивкакую

попробуй убрать

access-group inside_access_in in interface inside