PDA

View Full Version : cau hinh PIX515E: from DMZ to Inside


phongka85
21-01-2011, 08:49 AM
nhờ các bạn các anh chị giúp đỡ trong tình huống này:
3062

công ty em có con pix 515E yêu cầu cấu hình như trên mô hình DMZ to inside của Cisco
Em muốn cấu hình cho máy server trong vùng DMZ có thể truy cập vào server domain trong Inside và join domain vào AD được thiết lập trên server này
Em đã cấu hình theo mô hình trên của cisco nhưng server từ DMZ vẫn không join domain được vào server AD trong Inside.
Mong các bạn các anh chị giúp đỡ cho tình huống này
Cấu hình như sau:



(mo hinh cong ty em: inside: 192.168.16/224
dmz: 172.168.0.0/240)
pixfirewall(config)#
pixfirewall(config)#
pixfirewall(config)# show run
: Saved
:
PIX Version 6.3(5)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list inside permit ip any any
access-list inside permit icmp any any
access-list outside permit icmp any any
access-list dmz permit icmp any any
access-list dmz permit tcp host 172.168.0.1 host 192.168.16.1 eq 3389
access-list dmz permit udp host 172.168.0.1 host 172.168.1.1 eq 53
access-list dmz permit udp host 172.168.0.1 host 172.168.1.1 eq 389

pager lines 24
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 192.168.5.254 255.255.255.0
ip address inside 192.168.16.29 255.255.255.224
ip address dmz 172.168.0.14 255.255.255.240
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
global (outside) 1 192.168.5.250 netmask 255.255.255.0
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (dmz,outside) 192.168.16.251 172.168.0.11 netmask 255.255.255.255 0 0
static (inside,dmz) 172.168.1.10 192.168.16.1 netmask 255.255.255.255 0 0
access-group outside in interface outside
access-group inside in interface inside
access-group dmz in interface dmz
route outside 0.0.0.0 0.0.0.0 192.168.5.1 2
route inside 192.168.1.0 255.255.255.0 192.168.16.29 2
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:1b09a6eba01d8083093f0c4270eee0cb
: end
pixfirewall(config)#
Mark_pro
22-01-2011, 08:28 AM
Bạn không join domain được vào server AD trong Inside nhưng bạn có ping được giữa 2 miền không ? Mình đã gặp trường hợp ping thông nhưng không join được vào domain và phần đó phải xử lý ở con server !
Mark_pro
22-01-2011, 08:55 AM
Mà không biết bạn mong muốn vùng Inside vào vùng DMZ sử dụng những dịch vụ gì nhỉ ?
phamminhtuan
23-01-2011, 02:04 PM
nhờ các bạn các anh chị giúp đỡ trong tình huống này:
3062

công ty em có con pix 515E yêu cầu cấu hình như trên mô hình DMZ to inside của Cisco
Em muốn cấu hình cho máy server trong vùng DMZ có thể truy cập vào server domain trong Inside và join domain vào AD được thiết lập trên server này
Em đã cấu hình theo mô hình trên của cisco nhưng server từ DMZ vẫn không join domain được vào server AD trong Inside.
Mong các bạn các anh chị giúp đỡ cho tình huống này
Cấu hình như sau:



(mo hinh cong ty em: inside: 192.168.16/224
dmz: 172.168.0.0/240)
pixfirewall(config)#
pixfirewall(config)#
pixfirewall(config)# show run
: Saved
:
PIX Version 6.3(5)
interface ethernet0 100full
interface ethernet1 100full
interface ethernet2 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list inside permit ip any any
access-list inside permit icmp any any
access-list outside permit icmp any any
access-list dmz permit icmp any any
access-list dmz permit tcp host 172.168.0.1 host 192.168.16.1 eq 3389
access-list dmz permit udp host 172.168.0.1 host 172.168.1.1 eq 53
access-list dmz permit udp host 172.168.0.1 host 172.168.1.1 eq 389

pager lines 24
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip address outside 192.168.5.254 255.255.255.0
ip address inside 192.168.16.29 255.255.255.224
ip address dmz 172.168.0.14 255.255.255.240
ip audit info action alarm
ip audit attack action alarm
pdm history enable
arp timeout 14400
global (outside) 1 192.168.5.250 netmask 255.255.255.0
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (dmz,outside) 192.168.16.251 172.168.0.11 netmask 255.255.255.255 0 0
static (inside,dmz) 172.168.1.10 192.168.16.1 netmask 255.255.255.255 0 0
access-group outside in interface outside
access-group inside in interface inside
access-group dmz in interface dmz
route outside 0.0.0.0 0.0.0.0 192.168.5.1 2
route inside 192.168.1.0 255.255.255.0 192.168.16.29 2
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server TACACS+ max-failed-attempts 3
aaa-server TACACS+ deadtime 10
aaa-server RADIUS protocol radius
aaa-server RADIUS max-failed-attempts 3
aaa-server RADIUS deadtime 10
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet timeout 5
ssh timeout 5
console timeout 0
terminal width 80
Cryptochecksum:1b09a6eba01d8083093f0c4270eee0cb
: end
pixfirewall(config)#

Chào bạn,

Để từ DMZ có thể truy cập vào inside thì cần 2 điều kiện (nếu bạn có sử dụng nat-control)
1. NAT
2. Mở ACL cho DMZ đi vào vùng inside

Về NAT thì bạn cần NAT server domain ra cùng địa chỉ của server trong DMZ thì DMZ mới có thể thấy mà join domain vào được. (tương tự như bên ngoài mình NAT tĩnh để client truy cập các web server)
Về ACL thì bạn cần mở những port để client có thể join vào domain thành công.
Vd: các port

123:udp:*:enabled:NTP
3268:tcp:*:enabled:Global Catalog LDAP
389:tcp:*:enabled:LDAP
389:udp:*:enabled:LDAP
53:tcp:*:enabled:DNS
53:udp:*:enabled:DNS
53211:tcp:*:enabled:AD Replication (Note: use the port number selected in 1.b.i above)
53212:tcp:*:enabled:File Replication Service (Note: use the port number selected in 1.b.ii above)
88:tcp:*:enabled:Kerberos
88:udp:*:enabled:Kerberos

Tham khảo thêm mở các port cần thiết
http://support.microsoft.com/kb/555381
Nếu có cấu hình domain and trust thì tham khảo thêm
http://support.microsoft.com/kb/179442/

Vì lý do join domain mở nhiều port, cho nên nếu đẵ đặt server vào DMZ thì không nên cho nó join domain vào làm gì. Bạn cho mình hỏi bạn join domain server trong DMZ vào domain bên trong để chạy dịch vụ gì vậy.
hiepkhachhanh_nb
25-01-2011, 09:38 AM
Việc Join Domain cần sử dụng 1 dải port RPC. Do vậy bạn nên tạo 1 class-map RPC trên Firewall để giải quyết vấn đề trên.
Regards,
thanhnam0707
25-01-2011, 10:24 AM
Bạn bỏ lệnh static (inside,dmz) 172.168.1.10 192.168.16.1 netmask 255.255.255.255 0 0

Thêm vào:

Firewall(config)# static (inside,dmz) 192.168.16.0 192.168.16.0 netmask 255.255.255.224

Là từ inside <-> dmz thông nhau.