Configuration d'un accès

Présentation au sujet: "Configuration d'un accès"— Transcription de la présentation:

1 Configuration d'un accès
PIX ASA 7.x - Configuration d'un accès à un serveur Mail sur Réseau Externe ccnp_cch

2 Sommaire • Configuration • Résolution de problèmes • Introduction
- Composants utilisés • Configuration - Schéma - Configurations - Configuration ESMTP TLS • Résolution de problèmes ccnp_cch

3 Introduction Configuration ccnp_cch
Cet exemple de configuration montre comment configurer le pare-feu PIX pour un accès à un serveur Mail situé sur le réseau externe. Composants utilisés Les informations présentées dans ce document sont basées sur les versions logicielles et matérielles suivantes: ● PIX Firewall 535 ● PIX Firewall software release 7.1(1) ● Routeur Cisco 2600 Configuration Dans cette section sont présentées les informations nécessaires pour configurer les fonctionnalités décrites dans ce document. Schéma du réseau /24 /30 /30 /30 /30 /30 PIX Routeur B FAI Routeur A /30 LAN /24 Inside Outside Serveur Mail /30 ccnp_cch

4 Configurations ccnp_cch PIX PIX Version 7.1(1) ! hostname pixfirewall
enable password 8Ry2YjIyt7RRXU24 encrypted names interface Ethernet0 shutdown no nameif no security−level no ip address interface Ethernet1 interface Ethernet2 !−−− Définit l'adresse IP de l'interface interne. interface Ethernet3 nameif inside security−level 100 ip address !−−− Définit l'adresse IP de l'interface externe. interface Ethernet4 nameif outside security−level 0 ip address interface Ethernet5 passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive pager lines 24 ccnp_cch

5 ccnp_cch mtu inside 1500 mtu outside 1500 no failover
no asdm history enable arp timeout 14400 !−−− Cette commande définit l'instruction globale pour NAT !−−− (Network Address Translation). Dans ce cas, les deux !--- commandes statuent que tout trafic issu du réseau !−−− x qui passe l'interface interne (Ethernet0) !−−− vers l'interface externe (Ethernet 1) sera traduit avec !−−− une adresse prise dans l'intervalle à ! avec un masque de sous-réseau global (outside) − netmask !−−− Cette commande réserve la dernière adresse disponible !--- ( ) PAT (Port Address Translation). global (outside) !−−− Cette commande indique que toutes les adresses dans !--- l'intervalle x qui passent de l'intérieur !−−− (Ethernet0) vers une adresse globale doivent subir !−−− NAT. Comme le trafic sortant est permis par défaut !−−− sur le PIX, les commandes static ne sont pas nécessaires. nat (inside) !−−− Crée une route statique pour le réseau x avec ! comme passerelle. !−−− LE PIX achemine les paquets pour ce réseau vers le routeur !−−− à l'adresse route inside !−−− Fixe la route par défaut pour le PIX vers route outside timeout xlate 3:00:00 timeout conn 1:00:00 half−closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 timeout mgcp−pat 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute no snmp−server location no snmp−server contact snmp−server enable traps snmp authentication linkup linkdown coldstart telnet timeout 5 ssh timeout 5 console timeout 0 ! class−map inspection_default match default−inspection−traffic ccnp_cch

6 !−−− SMTP/ESMTP est inspecté car "inspect esmtp" est inclus dans
!--- la map. policy−map global_policy class inspection_default inspect dns maximum−length 512 inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp ! service−policy global_policy global Cryptochecksum:8a63de5ae2643c541a397c2de : end Routeur A Current configuration: ! version 12.0 service timestamps debug uptime service timestamps log uptime no service password−encryption hostname 2522−R4 enable secret 5 $1$N0F3$XE2aJhJlCbLWYloDwNvcV. ip subnet−zero interface Ethernet0 !−−− Affecte une adresse IP à l'interface Ethernet interne. ip address no ip directed−broadcast interface Ethernet1 !−−− Affecte une adresse IP à l'interface faisant face au PIX. ip address ccnp_cch

7 ccnp_cch interface Serial0 no ip address no ip directed−broadcast
shutdown ! interface Serial1 ip classless !−−− Cette route indique au routeur interne d'acheminer tout !−−− les paquets non−locaux vers le PIX. ip route line con 0 transport input none line aux 0 autoselect during−login line vty 0 4 exec−timeout 5 0 password ww login end Routeur B Current configuration: ! version 12.0 service timestamps debug uptime service timestamps log uptime no service password−encryption hostname 2522−R4 enable secret 5 $1$N0F3$XE2aJhJlCbLWYloDwNvcV. ip subnet−zero interface Ethernet0 !−−− Affecte une adresse IP à l'interface Ethernet faisant face !--- au PIX. ip address no ip directed−broadcast ccnp_cch

8 ccnp_cch interface Ethernet1
!−−− Affecte une adresse IP à l'interface Ethernet faisant face !--- au serveur. ip address no ip directed−broadcast ! interface Serial0 !−−− Affecte une adresse IP à l'interface connectée à Internet. ip address no ip mroute−cache interface Serial1 no ip address ip classless !−−− Tous les paquets non−locaux sont transmis sur la serial 0. !--- Dans ce cas, l'adresse IP à l'autre extrémité de l'interface !−−− n'est pas connue ou vous vous pouvez la spécifier ici. ip route serial 0 !−−− This statement is required to direct traffic destined to the !−−− network (the PIX global pool) to the PIX to be !--- translated back to the inside addresses. ip route line con 0 transport input none line aux 0 autoselect during−login line vty 0 4 exec−timeout 5 0 password ww login end ccnp_cch

9 Résolution de problèmes
Configuration ESMTP TLS Note: si vous utilisez le cryptage TLS (Transport Layer Security) pour la communica- tion , la fonctionnalité d'inspection ESMTP (validée par défaut dans le PIX) éli- mine ces paquets. Pour autoriser les mail avec TLS, dévalidez l'inspection ESMTP comme le montre les commandes suivantes: pix(config)#policy−map global_policy pix(config−pmap)#class inspection_default pix(config−pmap−c)#no inspect esmtp pix(config−pmap−c)#exit pix(config−pmap)#exit Résolution de problèmes Cette section fournit des informations que vous pouvez utiliser pour résoudre des problèmes liés à votre configuration. Commandes pour résolution de problèmes ● logging console debugging - Cette commande dirige les messages debug vers la console. Si la connectivité avec le serveur mail pose problème, examinez les mes sages à la console pour localiser les adresses IP des stations émettrices et récep trices pour essayer de localiser le problème. ccnp_cch