---

Hej NG!



BEMÆRK! IP-ADDRESSERNE ER FIKTIVE!


Jeg har problemer med konfiguration af en PIX. Nedenstående konfiguration
har til formål at levere internetforbindelse for det interne net 10.45.1.0
samt NAT'e SMTP-traffik til Exchangeserveren med adressen 10.45.1.13.



Ydersidenettet er 155.90.135.128 255.255.255.128 (default gateway:
155.90.135.129).

MX-record peger på 155.90.135.130



PIX Version 6.3(3)

interface ethernet0 auto

interface ethernet1 auto

interface ethernet2 auto shutdown

nameif ethernet0 outside security0

nameif ethernet1 inside security100

nameif ethernet2 intf2 security4

enable password NItVHQ49KxSoqIoW encrypted

passwd NItVHQ49KxSoqIoW encrypted

hostname Firewall

domain-name firma.local

clock timezone CEST 1

clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

access-list 100 permit icmp any any echo-reply

access-list 100 permit icmp any any time-exceeded

access-list 100 permit icmp any any unreachable

access-list 100 permit tcp any host 155.90.135.130 eq smtp

pager lines 24

logging on

logging timestamp

logging buffered errors

logging trap notifications

logging history debugging

logging host inside 10.45.1.79

mtu outside 1500

mtu inside 1500

mtu intf2 1500

ip address outside 155.90.135.131 255.255.255.128

ip address inside 10.45.1.2 255.255.255.0

no ip address intf2

ip audit info action alarm

ip audit attack action alarm

pdm logging informational 100

pdm history enable

arp timeout 14400

global (outside) 1 155.90.135.132-155.90.135.199

global (outside) 1 155.90.135.200

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

static (inside,outside) 155.90.135.130 10.45.1.13 netmask 255.255.255.255 0
0

access-group 100 in interface outside

route outside 0.0.0.0 0.0.0.0 155.90.135.129 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225
1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

aaa-server LOCAL protocol local

http server enable

http 10.45.1.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption des

isakmp policy 20 hash md5

isakmp policy 20 group 2

isakmp policy 20 lifetime 86400

telnet 10.45.1.0 255.255.255.0 inside

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd dns 193.88.44.22

dhcpd lease 3600

dhcpd ping_timeout 750

dhcpd domain trioplast.local

dhcpd auto_config outside

terminal width 80

Cryptochecksum:b25f0dad900babfef75c6fd904a722ea

: end

Firewall#



Jeg håber nogle har et godt råd. Jeg har kikket exchangeserveren igennem for
regler der kunne have indflydelse men kan ikke finde noget. Yderligere har
jeg debugget på pix'en og exchangeserveren uden held.



mvh

Niels Henrik

---

ok! Jeg glemte at nævne hvad problemet er. Klienterne kan godt komme på
nettet, men man kan ikke telnette mailserveren på port 25 udefra.

mvh
Niels Henrik

---

"Niels Henrik Egebjerg" <nhe@nospam.dk> skrev i en meddelelse
news:41944f13$0$306$edfadb0f@dread11.news.tele.dk...
> ok! Jeg glemte at nævne hvad problemet er. Klienterne kan godt komme på
> nettet, men man kan ikke telnette mailserveren på port 25 udefra.
>
> mvh
> Niels Henrik
>
>

Kommer der overhovedet noget trafik til mailserveren ? måske smide en
sniffer på ?
Kommer der hits på access-listen ? efter som PIXen ikke køre i produktion,
har du
prøvet at debugge på packets i PIXen ?

--

______________________________________________
Med venlig hilsen

Martin Damberg
UNI·C Netsekretariat · Olof Palmes Allé 38 · 8200 Århus N
Telefon: 89376500 · Fax: 89376501
E-post: support@uni-c.dk · Web: www.uni-c.dk

---

>
> Kommer der overhovedet noget trafik til mailserveren ? måske smide en
> sniffer på ?
> Kommer der hits på access-listen ? efter som PIXen ikke køre i produktion,
> har du
> prøvet at debugge på packets i PIXen ?
>

- Jeg har ikke prøvet med en Sniffer, det var en mulighed
- access-list 100 line 4 permit tcp any host 155.90.135.130 eq smtp
(hitcnt=67) - så der er hits!
- Jeg har ikke debugget på packets, også en mulighed

Tak for input .. så er der lidt til weekenden at prøve

---

On Fri, 12 Nov 2004 10:15:38 +0100, "Niels Henrik Egebjerg"
<nhe@notmail.dk> wrote:

> - Jeg har ikke prøvet med en Sniffer, det var en mulighed
> - access-list 100 line 4 permit tcp any host 155.90.135.130 eq smtp
> (hitcnt=67) - så der er hits!
> - Jeg har ikke debugget på packets, også en mulighed

Jeg følger mig ret overbevist om, at det er serveren, der ikke kan
finde ud af at svare, ikke dit PIX-setup, der er noget galt med.

-A

---

On Fri, 12 Nov 2004 00:56:26 +0100, "Niels Henrik Egebjerg"
<nhe@notmail.dk> wrote:

> Jeg har problemer med konfiguration af en PIX. Nedenstående konfiguration
> har til formål at levere internetforbindelse for det interne net 10.45.1.0
> samt NAT'e SMTP-traffik til Exchangeserveren med adressen 10.45.1.13.

> static (inside,outside) 155.90.135.130 10.45.1.13 netmask 255.255.255.255 0 0
> access-list 100 permit icmp any any echo-reply
> access-list 100 permit icmp any any time-exceeded
> access-list 100 permit icmp any any unreachable
> access-list 100 permit tcp any host 155.90.135.130 eq smtp
> access-group 100 in interface outside

Givet at adresserne er rigtige, så er ovenstående i hvert fald
rigtigt.

Kan PIX'en når SMTP-serveren? Og har SMTP-serveren en default route
tilbage gennem PIX'en, så den kan sende svaret retur til ydersiden?

Hvor har du testet fra? Ikke fra indersiden, vel?

-A

---

>
> Kan PIX'en når SMTP-serveren? Og har SMTP-serveren en default route
> tilbage gennem PIX'en, så den kan sende svaret retur til ydersiden?
>
> Hvor har du testet fra? Ikke fra indersiden, vel?


- PIX'en sidder på samme net som som SMTP-serveren og kan pinge den.
- SMTP'serverens default route er 10.45.1.1 (en router) som har default
route 10.45.1.2 (pixen)
- Jeg har testet det fra ydersiden med telnet til port 25.

Jeg har en gammel Firewall stående (en Raptor) som godt kan kommunikere med
SMTP-serveren på den samme forbindelse (den har jeg så i øjeblikket sat
tilbage igen af driftshensyn). Forskellen er at den hænger på de sidste
rester af vores TokenRing-net og har dermed en anden inderside addresse.
SMTP-serveren har også 2 interfaces (1 ethernet og 1 TokenRing). Jeg har
prøvet at rette PIX'en over mod Tokenring-interfacet på SMTP'serveren men
det var samme resultat! Jeg har også prøvet at deaktivere
Tokenring-interfacet på SMTP-serveren uden held.

mvh
Niels Henrik

---

On Fri, 12 Nov 2004 09:28:31 +0100, "Niels Henrik Egebjerg"
<nhe@notmail.dk> wrote:

> - PIX'en sidder på samme net som som SMTP-serveren og kan pinge den.

Det er som sagt ikke nok, at PIX'en kan pinge serveren. 'Klienten'
skal også kunne nå serveren (det laves med static og ACLs i PIX'en) og
serveren skal vide, hvordan den svarer tilbage til klienten (det laves
normelt med en default gateway på serveren).

> - SMTP'serverens default route er 10.45.1.1 (en router) som har default
> route 10.45.1.2 (pixen)

> Jeg har en gammel Firewall stående (en Raptor) som godt kan kommunikere
> med SMTP-serveren på den samme forbindelse (den har jeg så i øjeblikket
> sat tilbage igen af driftshensyn). Forskellen er at den hænger på de
> sidste rester af vores TokenRing-net og har dermed en anden inderside
> addresse.

Er routeren forbundet til både Ethernet og Token-Ring? Ellers passer
de to udsagn logisk set ikke sammen.

Hvad siger (eller sagde) 'ipconfig /all' og 'route print'?

> Jeg har prøvet at rette PIX'en over mod Tokenring-interfacet på SMTP'serveren
> men det var samme resultat!

Det vil naturligvis ikke virke.

-A

---

> Det er som sagt ikke nok, at PIX'en kan pinge serveren. 'Klienten'
> skal også kunne nå serveren (det laves med static og ACLs i PIX'en) og
> serveren skal vide, hvordan den svarer tilbage til klienten (det laves
> normelt med en default gateway på serveren).

>> - SMTP'serverens default route er 10.45.1.1 (en router) som har default
>> route 10.45.1.2 (pixen)
>
>> Jeg har en gammel Firewall stående (en Raptor) som godt kan kommunikere
>> med SMTP-serveren på den samme forbindelse (den har jeg så i øjeblikket
>> sat tilbage igen af driftshensyn). Forskellen er at den hænger på de
>> sidste rester af vores TokenRing-net og har dermed en anden inderside
>> addresse.
>
> Er routeren forbundet til både Ethernet og Token-Ring? Ellers passer
> de to udsagn logisk set ikke sammen.

Ja, det er den!

> Hvad siger (eller sagde) 'ipconfig /all' og 'route print'?

route print angiver 10.45.1.2 som gateway på alt internet-traffikken så det
er vel godt nok!

>> Jeg har prøvet at rette PIX'en over mod Tokenring-interfacet på
>> SMTP'serveren
>> men det var samme resultat!
>
> Det vil naturligvis ikke virke.

Heller ikke når ACL også ændres?

Jeg er stødt på en Forwarder-address i DNS-konfigurationen der peger på den
gamle firewalls TokenRing addresse, men det hjalp umiddelbart ikke at skifte
den til 10.45.1.2.. Men når "Route print" angiver den rigtige gateway er der
vel ikke noget der tyder på at det er et DNS-problem. domæne-navne
oversættes også ok!

Under alle omstændigheder er det en stor hjælp at vide at Firewall-config er
OK! Tak for det!

mvh
Niels Henrik