forum.opennet.ru - "Проблема с входящими соединениями на PIX 515e" (4)

форумы

помощь

поиск

регистрация

майллист

ВХОД

слежка

"Проблема с входящими соединениями на PIX 515e"

Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[Проследить за развитием треда]

"Проблема с входящими соединениями на PIX 515e"
Сообщение от Яйца фаберже on 20-Мрт-06, 12:42
Проблемка, я уже в тупик зашел, незнаю как дальше, помогите инет(outside)-------\| PIX \|-------лок.сеть(inside) Стоит пикс, с двумя интерфейсами один смотрит в инет другой лок. сеть. В локальной сети есть несколько серверов(веб днс и тд) к которым необходим доступ снаружи. Нат не используется, у всех реальные ип. Для входящих из инета назначен ACL inet_to_servers Для исходящих 1. Проблема следующая: если сделать clear xlate. То входящие соединения из инета перестают приниматься, в логе ошибка 305005: No translation group found for tcp src............. те не создается запись в xlate таблице. Чтобы эта запись создалась необходимо проявить какую-либо активность с соотв. внутреннего хоста, типа ping www.ya.ru После этого из инета все прекрасно видно. В итоге вопрос такой, почему получается так что запись в xlate таблице создается только если соединение приходит с внутреннего интерфейса? или может я где-то ошибся? Конфиг: ark(config)# sh run : Saved : PIX Version 6.3(3)135 interface ethernet0 10baset interface ethernet1 100basetx interface ethernet2 auto shutdown interface ethernet3 auto shutdown interface ethernet4 auto shutdown interface ethernet5 auto shutdown nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz_servers security50 nameif ethernet3 intf3 security6 nameif ethernet4 intf4 security8 nameif ethernet5 intf5 security10 hostname ark domain-name mosinfo.ru clock timezone MSK/MSD 3 clock summer-time MSK/MDD recurring last Sun Mar 2:00 last Sun Oct 3:00 fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 no fixup protocol skinny 2000 no fixup protocol smtp 25 no fixup protocol sqlnet 1521 fixup protocol tftp 69 names access-list 1 permit tcp host 95.22.189.200 eq www any access-list 1 deny ip host 95.22.189.70 any access-list 1 deny ip any host 95.22.189.70 access-list 1 deny udp host 95.22.189.151 any access-list 1 deny tcp any any eq 6667 access-list 1 deny tcp any any eq 5900 access-list 1 permit tcp host 95.22.189.163 any eq imap4 access-list 1 deny tcp any any eq imap4 access-list 1 deny tcp any any eq 135 access-list 1 deny tcp any eq 35315 any access-list 1 permit tcp host 208.4.68.3 host 95.22.189.134 eq 1433 access-list 1 permit tcp host 95.22.189.134 any eq 1433 access-list 1 permit tcp host 95.22.189.134 eq 1433 any access-list 1 permit tcp host 95.22.189.138 any eq 1433 access-list 1 permit tcp host 95.22.189.190 host 208.4.68.3 eq 1433 access-list 1 permit tcp host 95.22.189.151 any eq 1433 access-list 1 deny tcp any any eq 1433 access-list 1 deny ip host 95.22.189.133 any access-list 1 permit ip 95.22.189.128 255.255.255.128 95.22.189.0 255.255.25 5.128 access-list 1 deny tcp 95.22.189.128 255.255.255.128 any eq 445 access-list 1 deny tcp 95.22.189.128 255.255.255.128 any eq 137 access-list 1 deny tcp 95.22.189.128 255.255.255.128 any eq 138 access-list 1 deny tcp any any eq netbios-ssn access-list 1 deny tcp 95.22.189.128 255.255.255.128 any eq netbios-ssn access-list 1 deny tcp 95.22.189.128 255.255.255.128 eq netbios-ssn any access-list 1 deny udp 95.22.189.128 255.255.255.128 eq 139 any access-list 1 deny udp 95.22.189.128 255.255.255.128 any eq 139 access-list 1 deny udp 95.22.189.128 255.255.255.128 any eq netbios-ns access-list 1 deny udp 95.22.189.128 255.255.255.128 any eq netbios-dgm access-list 1 permit ip any any access-list inet_to_servers permit icmp any any time-exceeded access-list inet_to_servers permit icmp any any echo-reply access-list inet_to_servers permit ip 95.22.189.0 255.255.255.128 host 95.22 .189.173 access-list inet_to_servers permit tcp host 87.228.79.30 95.22.189.0 255.255.2 55.128 access-list inet_to_servers permit tcp any host 95.22.189.149 eq www access-list inet_to_servers permit tcp 208.4.68.0 255.255.255.0 host 95.22.189 .200 eq 3389 access-list inet_to_servers permit ip any host 95.22.189.200 access-list inet_to_servers permit tcp host 212.9.255.34 host 95.22.189.134 eq 1433 access-list inet_to_servers permit tcp 208.4.68.0 255.255.255.0 host 95.22.189 .134 eq 1433 access-list inet_to_servers permit ip host 95.22.189.60 host 95.22.189.173 access-list inet_to_servers permit udp any host 95.22.189.226 eq 4444 access-list inet_to_servers permit tcp any host 95.22.189.226 eq 6881 access-list inet_to_servers permit ip any host 95.22.189.193 access-list inet_to_servers permit ip any host 95.22.189.197 access-list inet_to_servers permit ip any host 95.22.189.254 access-list inet_to_servers permit ip any host 95.22.189.137 access-list inet_to_servers permit ip any host 95.22.189.138 access-list inet_to_servers permit tcp host 208.4.68.3 host 95.22.189.144 eq 1 433 access-list inet_to_servers permit ip any host 95.22.189.144 pager lines 22 logging on logging timestamp logging standby logging buffered informational logging trap errors logging queue 5 logging host inside 95.22.189.233 mtu outside 1500 mtu inside 1500 mtu dmz_servers 1500 mtu intf3 1500 mtu intf4 1500 mtu intf5 1500 ip address outside 192.168.1.2 255.255.255.252 ip address inside 95.22.189.129 255.255.255.128 no ip address dmz_servers no ip address intf3 no ip address intf4 no ip address intf5 ip audit info action alarm ip audit attack action alarm no failover failover timeout 0:00:00 failover poll 15 no failover ip address outside no failover ip address inside no failover ip address dmz_servers no failover ip address intf3 no failover ip address intf4 no failover ip address intf5 pdm location 95.22.189.145 255.255.255.255 inside pdm location 95.22.189.233 255.255.255.255 inside pdm history enable arp timeout 14400 nat (inside) 0 95.22.189.128 255.255.255.128 0 0 access-group inet_to_servers in interface outside access-group 1 in interface inside route outside 0.0.0.0 0.0.0.0 192.168.1.1 1 timeout xlate 1193:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol radius aaa-server LOCAL protocol local aaa authentication ssh console LOCAL : end
Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх

Оглавление

Проблема с входящими соединениями на PIX 515e, ВОЛКА, 13:52 , 20-Мрт-06, (1)

Проблема с входящими соединениями на PIX 515e, Яйца_фаберже, 14:14 , 20-Мрт-06, (2)

Проблема с входящими соединениями на PIX 515e, Tatarin, 17:36 , 10-Апр-06, (3)

Проблема с входящими соединениями на PIX 515e, ВОЛКА, 01:40 , 11-Апр-06, (4)

Сообщения по теме [Сортировка по времени, UBB]

1. "Проблема с входящими соединениями на PIX 515e"

Сообщение от ВОЛКА on 20-Мрт-06, 13:52

nat (inside) 0 95.22.189.128 255.255.255.128 0 0
1. попробуйте использовать ACL
nat (inside) 0 access-l NO-NAT
если и так не заработает...
то удалите
nat (inside) 0 access-l NO-NAT
nat (inside) 0 95.22.189.128 255.255.255.128 0 0
и напишите статик
static (inside, outside) a.a.a.128 a.a.a.128 net 255.255.255.128

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

2. "Проблема с входящими соединениями на PIX 515e"

Сообщение от Яйца_фаберже (ok) on 20-Мрт-06, 14:14

>nat (inside) 0 95.22.189.128 255.255.255.128 0 0
>1. попробуйте использовать ACL
>nat (inside) 0 access-l NO-NAT
>
>если и так не заработает...
>то удалите
>nat (inside) 0 access-l NO-NAT
>nat (inside) 0 95.22.189.128 255.255.255.128 0 0
>и напишите статик
>static (inside, outside) a.a.a.128 a.a.a.128 net 255.255.255.128
Спасибо со static все ок.
Сейчас сам нашел в доках по цискам, мааааалееееенькую сноску что static обязательно прописывать даже при nat 0

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

3. "Проблема с входящими соединениями на PIX 515e"

Сообщение от Tatarin (ok) on 10-Апр-06, 17:36

У меня такой же трабл!!!
Только статик у меня прописан.
ip address outside 192.168.224.3 255.255.255.0
ip address inside_bm 192.168.225.1 255.255.255.248
ip address dmz real_ip 255.255.255.248
ip address inside_db 192.168.225.9 255.255.255.248
ip audit info action alarm
ip audit attack action alarm
pdm location 192.168.224.99 255.255.255.255 outside
pdm location 192.168.225.0 255.255.255.248 inside_db
pdm location 192.168.225.8 255.255.255.248 inside_bm
pdm location 192.168.225.0 255.255.255.0 inside_bm
pdm location 192.168.225.0 255.255.255.248 outside
pdm location 192.168.225.8 255.255.255.248 outside
pdm location 192.168.225.128 255.255.255.128 outside
pdm location billing_db 255.255.255.255 inside_db
pdm location billing_app 255.255.255.255 inside_bm
pdm location 192.168.225.130 255.255.255.255 dmz
pdm location 192.168.225.0 255.255.255.0 dmz
pdm location 10.100.0.1 255.255.255.255 outside
pdm location 10.110.0.1 255.255.255.255 outside
pdm location 192.168.224.1 255.255.255.255 outside
pdm location 192.168.224.2 255.255.255.255 outside
pdm location billing_app 255.255.255.255 outside
pdm location billing_db 255.255.255.255 outside
pdm location 192.168.225.0 255.255.255.0 inside_db
pdm location 10.100.0.0 255.255.0.0 outside
pdm location 10.110.0.0 255.255.0.0 outside
pdm location 10.120.0.0 255.255.0.0 outside
pdm history enable
arp timeout 14400
nat (outside) 0 0.0.0.0 0.0.0.0 0 0
nat (inside_bm) 0 0.0.0.0 0.0.0.0 0 0
nat (dmz) 0 0.0.0.0 0.0.0.0 0 0
nat (inside_db) 0 0.0.0.0 0.0.0.0 0 0
static (inside_bm,outside) 192.168.225.0 192.168.225.0 netmask 255.255.255.248 0 0
static (inside_db,outside) 192.168.225.8 192.168.225.8 netmask 255.255.255.248 0 0
static (inside_db,inside_bm) 192.168.225.8 192.168.225.8 netmask 255.255.255.248 0 0
static (dmz,outside) realip_.0 realip_.0 netmask 255.255.255.248 0 0
access-group outside_in in interface outside
access-group inside_bm_in in interface inside_bm
access-group dmz_in in interface dmz
access-group inside_db_in in interface inside_db
route outside 0.0.0.0 0.0.0.0 192.168.224.1 1 (пограничный роутер)
route outside 10.100.0.0(сеть модемов) 255.255.0.0 192.168.224.2 1 (UBR)
route outside 10.110.0.0 255.255.0.0 192.168.224.2 1 (UBR)
route outside 10.120.0.0 (сеть клиентов) 255.255.0.0 192.168.224.2 1 (UBR)
route outside 192.168.0.0 255.255.255.0 192.168.224.5 1
route outside 192.168.226.0 255.255.255.0 192.168.224.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
Если сделать clear xlate на пиксе или Каждые три часа происходит timeout xlate, и никто не может достучаться к биллигу billing_ap.
это происходит потому-что за интерфейсом outside находиться Ubr и происходит нехорошая весчь, клиенты не могут авторизоваться по pppoe у них вылетает ошибка 718(удаленный компьютер не ответил во время), (пикс не пускает пакеты от ubr к billing_app)
Ткните где косяк?
НУжно болше конфигов? Выложу.

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

4. "Проблема с входящими соединениями на PIX 515e"

Сообщение от ВОЛКА on 11-Апр-06, 01:40

>nat (outside) 0 0.0.0.0 0.0.0.0 0 0
>nat (inside_bm) 0 0.0.0.0 0.0.0.0 0 0
>nat (dmz) 0 0.0.0.0 0.0.0.0 0 0
>nat (inside_db) 0 0.0.0.0 0.0.0.0 0 0
а это зачем?

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Проблема с входящими соединениями на PIX 515e"
Сообщение от ВОЛКА on 20-Мрт-06, 13:52
nat (inside) 0 95.22.189.128 255.255.255.128 0 0 1. попробуйте использовать ACL nat (inside) 0 access-l NO-NAT если и так не заработает... то удалите nat (inside) 0 access-l NO-NAT nat (inside) 0 95.22.189.128 255.255.255.128 0 0 и напишите статик static (inside, outside) a.a.a.128 a.a.a.128 net 255.255.255.128
Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	2. "Проблема с входящими соединениями на PIX 515e"
	Сообщение от Яйца_фаберже (ok) on 20-Мрт-06, 14:14
	>nat (inside) 0 95.22.189.128 255.255.255.128 0 0 >1. попробуйте использовать ACL >nat (inside) 0 access-l NO-NAT > >если и так не заработает... >то удалите >nat (inside) 0 access-l NO-NAT >nat (inside) 0 95.22.189.128 255.255.255.128 0 0 >и напишите статик >static (inside, outside) a.a.a.128 a.a.a.128 net 255.255.255.128 Спасибо со static все ок. Сейчас сам нашел в доках по цискам, мааааалееееенькую сноску что static обязательно прописывать даже при nat 0
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	3. "Проблема с входящими соединениями на PIX 515e"
	Сообщение от Tatarin (ok) on 10-Апр-06, 17:36
	У меня такой же трабл!!! Только статик у меня прописан. ip address outside 192.168.224.3 255.255.255.0 ip address inside_bm 192.168.225.1 255.255.255.248 ip address dmz real_ip 255.255.255.248 ip address inside_db 192.168.225.9 255.255.255.248 ip audit info action alarm ip audit attack action alarm pdm location 192.168.224.99 255.255.255.255 outside pdm location 192.168.225.0 255.255.255.248 inside_db pdm location 192.168.225.8 255.255.255.248 inside_bm pdm location 192.168.225.0 255.255.255.0 inside_bm pdm location 192.168.225.0 255.255.255.248 outside pdm location 192.168.225.8 255.255.255.248 outside pdm location 192.168.225.128 255.255.255.128 outside pdm location billing_db 255.255.255.255 inside_db pdm location billing_app 255.255.255.255 inside_bm pdm location 192.168.225.130 255.255.255.255 dmz pdm location 192.168.225.0 255.255.255.0 dmz pdm location 10.100.0.1 255.255.255.255 outside pdm location 10.110.0.1 255.255.255.255 outside pdm location 192.168.224.1 255.255.255.255 outside pdm location 192.168.224.2 255.255.255.255 outside pdm location billing_app 255.255.255.255 outside pdm location billing_db 255.255.255.255 outside pdm location 192.168.225.0 255.255.255.0 inside_db pdm location 10.100.0.0 255.255.0.0 outside pdm location 10.110.0.0 255.255.0.0 outside pdm location 10.120.0.0 255.255.0.0 outside pdm history enable arp timeout 14400 nat (outside) 0 0.0.0.0 0.0.0.0 0 0 nat (inside_bm) 0 0.0.0.0 0.0.0.0 0 0 nat (dmz) 0 0.0.0.0 0.0.0.0 0 0 nat (inside_db) 0 0.0.0.0 0.0.0.0 0 0 static (inside_bm,outside) 192.168.225.0 192.168.225.0 netmask 255.255.255.248 0 0 static (inside_db,outside) 192.168.225.8 192.168.225.8 netmask 255.255.255.248 0 0 static (inside_db,inside_bm) 192.168.225.8 192.168.225.8 netmask 255.255.255.248 0 0 static (dmz,outside) realip_.0 realip_.0 netmask 255.255.255.248 0 0 access-group outside_in in interface outside access-group inside_bm_in in interface inside_bm access-group dmz_in in interface dmz access-group inside_db_in in interface inside_db route outside 0.0.0.0 0.0.0.0 192.168.224.1 1 (пограничный роутер) route outside 10.100.0.0(сеть модемов) 255.255.0.0 192.168.224.2 1 (UBR) route outside 10.110.0.0 255.255.0.0 192.168.224.2 1 (UBR) route outside 10.120.0.0 (сеть клиентов) 255.255.0.0 192.168.224.2 1 (UBR) route outside 192.168.0.0 255.255.255.0 192.168.224.5 1 route outside 192.168.226.0 255.255.255.0 192.168.224.2 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute Если сделать clear xlate на пиксе или Каждые три часа происходит timeout xlate, и никто не может достучаться к биллигу billing_ap. это происходит потому-что за интерфейсом outside находиться Ubr и происходит нехорошая весчь, клиенты не могут авторизоваться по pppoe у них вылетает ошибка 718(удаленный компьютер не ответил во время), (пикс не пускает пакеты от ubr к billing_app) Ткните где косяк? НУжно болше конфигов? Выложу.
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх


	4. "Проблема с входящими соединениями на PIX 515e"
	Сообщение от ВОЛКА on 11-Апр-06, 01:40
	>nat (outside) 0 0.0.0.0 0.0.0.0 0 0 >nat (inside_bm) 0 0.0.0.0 0.0.0.0 0 0 >nat (dmz) 0 0.0.0.0 0.0.0.0 0 0 >nat (inside_db) 0 0.0.0.0 0.0.0.0 0 0 а это зачем?
	Правка \| Высказать мнение \| Ответить \| Cообщить модератору \| Наверх

Архив \| Удалить	Индекс форумов \| Темы \| Пред. тема \| След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 \| 2 \| 3 \| 4 \| 5 ] [Рекомендовать для помещения в FAQ]