dziwne zachowanie access-listy

Wiadomość

raul · #1

Witam

Jest sobie Pix 515e przygotowałem translacje z sieci wewnętrznej do zewnętrznej

nat (inside) 1 128.0.0.0 255.255.252.0
global (outside) 1 interface

następnie chcę puścić ruch na porcie 80 z inside tylko dla uprzywilejowanych hostów

robię accesslistę

Kod: Zaznacz cały

access-list 100 permit tcp 128.0.0.190 any eq 80
access-list 100 permit tcp 128.0.0.192 any eq 80
access-list 100 deny tcp any any

oczywiście przypisuje ją do interfejsu inside

Kod: Zaznacz cały

access-group 100 in interface inside

i nie wiem czemu problem jest z przepuszczeniem ruchu z tych hostów?

jak zmienię w access-listcie typ protokołu na ip wtedy ruch jest przepuszczany.

Co może być grane ?

pozdr

#2

A co dokladnie nie dziala, bo dla przykladu do otwarcia strony www musza wiedziec dokad skierowac wywolanie, a jak wolaja po nazwie i nie ma wewnetrznego serwerka nazw to musza poslac wywolanie na zewnatrz. Ot jedna z mozliwosci.

raul · #3

więc tak na pixie mam przygotowany routing statyczny

Kod: Zaznacz cały

route outside 0.0.0.0 0.0.0.0 172.16.1.1 10

do interfejsu outside podłączony router na którym jest polpak

dodam że połączenie z sieci inside do internetu działa do momentu uruchomienia access-list, a dokładnie gdy chcę filtrować na interfejsie wewnetrznym ruch na poszczególne porty.

myślałem że jest to związne z translacją PAT zmieniłem na NAT na pulę adresów i to samo.

#4

Z tego co piszesz to i routing i translacje sa ok, bo przeciez jak nie masz ACL, albo puszczasz cale IP to dziala.
Moja sugestia z poprzedniego posta miala na celu zasugerowanie, ze moze potrzebujesz puscic w ACL cos wiecej niz tylko TCP port 80. Dobrym przykladem jest tu wspomniany przeze mnie DNS.
Jak odpalisz logowanie, czy to na konsole, czy bufor, czy syslog, to bedziesz widzial co jest blokowane.

grzes1981 · #5

raul pisze:więc tak na pixie mam przygotowany routing statyczny
Kod: Zaznacz cały
route outside 0.0.0.0 0.0.0.0 172.16.1.1 10
do interfejsu outside podłączony router na którym jest polpak

dodam że połączenie z sieci inside do internetu działa do momentu uruchomienia access-list, a dokładnie gdy chcę filtrować na interfejsie wewnetrznym ruch na poszczególne porty.

myślałem że jest to związne z translacją PAT zmieniłem na NAT na pulę adresów i to samo.

Tak jak Sebu powiedział prawdopodobnie brakuje dopuszczenia zapytań DNS
spróbuj tak

Kod: Zaznacz cały

access-list 100 permit tcp 128.0.0.190 any eq 80
access-list 100 permit tcp 128.0.0.192 any eq 80
access-list 100 permit udp 128.0.0.190 any eq dns
access-list 100 permit udp 128.0.0.192 any eq dns
access-list 100 deny tcp any any

i daj znać czy działa

raul · #6

ok spróbuje zaraz przepuścić jeszcze połączenie z DNS'em

kktm · #7

Seba pewnie ma racje.
Wejdz na jeden z pc i wpisz

Kod: Zaznacz cały

telnet 212.77.100.101 80

dziala ?
tzn zestawilo sie polaczenie?

#8

grzes1981 pisze:
Tak jak Sebu powiedział ...

Seba ≠ Sebu

grzes1981 · #9

Seba pisze:
grzes1981 pisze:
Tak jak Sebu powiedział ...
Seba ≠ Sebu

UPS Literówka

Wybacz

raul · #10

dzięki koledzy

pewnie że działa pod warunkiem przepuszczenia ruchu dns

pozdrowienia