Configuration d'un accès

Présentation au sujet: "Configuration d'un accès"— Transcription de la présentation:

1 Configuration d'un accès
PIX ASA 7.x - Configuration d'un accès à un serveur Mail sur Réseau Interne ccnp_cch

2 Sommaire • Configuration • Résolution de problèmes • Introduction
- Composants utilisés • Configuration - Schéma - Configurations - Configuration ESMTP TLS • Résolution de problèmes ccnp_cch

3 Introduction Configuration ccnp_cch
Cet exemple de configuration montre comment configurer le pare-feu PIX pour un accès à un serveur Mail situé sur le réseau interne. Composants utilisés Les informations présentées dans ce document sont basées sur les versions logicielles et matérielles suivantes: ● PIX Firewall 535 ● PIX Firewall software release 7.1(1) ● Cisco 2600 router Configuration Dans cette section sont présentées les informations nécessaires pour configurer les fonctionnalités décrites dans ce document. Schéma du réseau /24 /24 /30 /24 /30 Serveur Mail / /30 PIX Routeur B Routeur A Inside Outside LAN /24 FAI ccnp_cch

4 Configurations ccnp_cch PIX PIX Version 7.1(1) ! hostname pixfirewall
enable password 8Ry2YjIyt7RRXU24 encrypted names interface Ethernet0 shutdown no nameif no security−level no ip address interface Ethernet1 interface Ethernet2 !−−− Define the IP address for the inside interface. interface Ethernet3 nameif inside security−level 100 ip address !−−− Define the IP address for the outside interface. interface Ethernet4 nameif outside security−level 0 ip address interface Ethernet5 passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive ccnp_cch

5 !−−− Crée une liste d'accès qui permet le trafic SMTP (Simple Mail
!--- Transfer Protocol de toute source vers le host !−−− Le nom de cette liste d'accès est smtp. !−−− Note: Il y a une seule liste d'accès autorisée par sens et !−−− par interface. access−list smtp extended permit tcp any host eq smtp pager lines 24 mtu inside 1500 mtu outside 1500 no failover no asdm history enable arp timeout 14400 !−−− Spécifie que tout trafic qui est issu du réseau interne !−−− x est traduit avec PAT vers si !−−− le trafic passe à travers le pare-feu vers l'extérieur. global (outside) nat (inside) !−−− Définit une traduction statique entre sur le !−−− réseau interne vers sur l'extérieur. static (inside,outside) netmask !−−− Applique la liste d'accès nommée smtp en entrée sur !--- l'interface externe. access−group smtp in interface outside !−−− Indique au PIX de passer tout trafic destiné au réseau !−−− x.x vers le routeur à l'adresse route inside !−−− Fixe la route par défaut vers !−−− Le PIX suppose que cette adresse est l'adresse du routeur. route outside timeout xlate 3:00:00 timeout conn 1:00:00 half−closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 timeout mgcp−pat 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute no snmp−server location no snmp−server contact snmp−server enable traps snmp authentication linkup linkdown coldstart telnet timeout 5 ssh timeout 5 console timeout 0 ! class−map inspection_default match default−inspection−traffic ccnp_cch

6 ccnp_cch !−−− SMTP/ESMTP est inspecté avec "inspect esmtp" et inclus
!--- dans la map. policy−map global_policy class inspection_default inspect dns maximum−length 512 inspect ftp inspect h323 h225 inspect h323 ras inspect netbios inspect rsh inspect rtsp inspect skinny inspect esmtp inspect sqlnet inspect sunrpc inspect tftp inspect sip inspect xdmcp ! service−policy global_policy global Cryptochecksum:f96eaf bd1af005e1db : end Routeur B Current configuration: ! version 12.0 service timestamps debug uptime service timestamps log uptime no service password−encryption hostname 2522−R5 enable secret 5 $1$N0F3$XE2aJhJlCbLWYloDwNvcV. ip subnet−zero interface Ethernet0 !−−− Fixe l'adresse IP de l'interface Ethernet à ip address interface Serial0 !−−− Indique l'interface serial doit utiliser l'adresse IP !−−− de l'interface Ethernet. ip unnumbered ethernet 0 ccnp_cch

7 Configuration ESMTP TLS
interface Serial1 no ip address no ip directed−broadcast ! ip classless !−−− Indique au routeur de transmettre tout le trafic destiné !−−− au réseau x vers ip route !−−− Indique au routeur de transmettre tout le reste du trafic !−−− en sortie vers l'interface 0. ip route serial 0 line con 0 transport input none line aux 0 autoselect during−login line vty 0 4 exec−timeout 5 0 password ww login end Note: La configuration du routeur A n'est pas présentée. vous avez uniquement à donner des adresses IP aux interfaces et à configurer la passerelle par défaut à qui est l'interface interne du pare-feu PIX. Configuration ESMTP TLS Note: si vous utilisez le cryptage TLS (Transport Layer Security) pour la communica- tion , la fonctionnalité d'inspection ESMTP (validée par défaut dans le PIX) éli- mine ces paquets. Pour autoriser les mail avec TLS, dévalidez l'inspection ESMTP comme le montre les commandes suivantes: pix(config)#policy−map global_policy pix(config−pmap)#class inspection_default pix(config−pmap−c)#no inspect esmtp pix(config−pmap−c)#exit pix(config−pmap)#exit ccnp_cch

8 Résolution de problèmes
Cette section fournit des informations que vous pouvez utiliser pour résoudre des problèmes liés à votre configuration. Commandes pour résolution de problèmes ● logging console debugging - Cette commande dirige les messages debug vers la console. Si la connectivité avec le serveur mail pose problème, examinez les mes sages à la console pour localiser les adresses IP des stations émettrices et récep trices pour essayer de localiser le problème. ccnp_cch