Configurando um Cisco ASA 5505 para roteamento

7

Começarei destacando que os problemas de rede sempre me deixaram coçar a cabeça. Há algo sobre o roteamento, especialmente que eu ainda não tive esse momento "Oh, entendi", por isso é provável que seja uma configuração muito básica.

Estou tentando configurar um Cisco ASA 5505 para ser conectado com um endereço IP público em uma interface e para que a segunda interface seja conectada à nossa rede interna. No momento, nossa rede interna está em 192.168.1.0/24, e o IP público que temos do ISP está na faixa 125.xxx.

Eu configurei 3 interfaces no ASA,

  • Dentro 

    IP: 192.168.1.3
Mask: 255.255.255.0
Ports 1-6
Sec Level 100

  • Lado de fora

    IP: 125.x.x.x
Mask: 255.0.0.0
Port 0
Sec Level 0

  • Gestão

    IP: 10.0.0.1
Mask: 255.255.255.0
Port 7
Restricted to management
Restrict flow to Outside (had to do this for licensing reasons)

Eu tenho uma regra de acesso no firewall que permite o tráfego IP de qualquer fonte na rede interna para qualquer rede menos segura (existe uma para IPv4 e 6).

Com o roteador voltado para a Internet conectado à porta 0, conecto um computador à porta 1 com IP 192.168.1.20, máscara 255.255.255.0e gateway 192.168.1.3. Usando este PC, posso executar ping, 192.168.1.3mas não mais - não consigo executar ping no endereço IP público ou 8.8.8.8.

Se eu conectar o mesmo PC diretamente ao roteador e atribuir o endereço IP público diretamente, posso acessar a Internet sem problemas. Acredito que o problema aqui é que preciso adicionar algumas rotas estáticas para mostrar o caminho de dentro para fora, mas não as grok o suficiente para saber como estruturá-las. Qualquer ajuda ou sugestão seria muito apreciada.

Edit: Veja abaixo a configuração em execução, com algumas redações.

: Saved
:
ASA Version 8.2(1) 
!
hostname AUS-FW-01
domain-name =============.com.au
enable password ============= encrypted
passwd ============= encrypted
names
name 10.61.76.0 CNC-network
name 10.61.73.0 LAN-network
name 192.168.1.0 LEGACY-network
name 10.61.75.0 RANDD-network
name 10.61.74.0 WIRELESS-network
name 10.61.73.5 InternalGateway
name 192.168.1.200 DCServer
name 192.168.1.214 MUVS-TP description Trueform Print Server
!
interface Vlan1
 nameif inside
 security-level 100
 ip address 192.168.1.3 255.255.255.0 
!
interface Vlan2
 nameif outside
 security-level 0
 ip address 125.x.x.10 255.255.255.252 
!
interface Vlan12
 no forward interface Vlan2
 nameif Management
 security-level 0
 ip address 10.0.0.1 255.255.255.0 
 management-only
!
interface Ethernet0/0
 switchport access vlan 2
!
interface Ethernet0/1
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
 switchport access vlan 12
!
ftp mode passive
clock timezone EST 10
dns domain-lookup outside
dns server-group DefaultDNS
 name-server =============
 name-server =============
 domain-name =============.com.au
same-security-traffic permit intra-interface
access-list outside_access_in remark Email access
access-list outside_access_in extended permit tcp any LEGACY-network 255.255.255.0 eq smtp 
access-list outside_access_in remark ActiveSync Email Access
access-list outside_access_in extended permit tcp any LEGACY-network 255.255.255.0 eq https 
access-list outside_access_in remark Pronto Trueform Printing
access-list outside_access_in extended permit tcp any LEGACY-network 255.255.255.0 eq lpd 
pager lines 24
logging asdm informational
mtu inside 1500
mtu outside 1500
mtu Management 1500
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0
static (inside,outside) tcp interface smtp DCServer smtp netmask 255.255.255.255 
static (inside,outside) tcp interface https DCServer https netmask 255.255.255.255 
static (inside,outside) tcp interface lpd MUVS-TP lpd netmask 255.255.255.255 
access-group outside_access_in in interface outside
route inside LAN-network 255.255.255.0 10.61.79.2 1
route inside LEGACY-network 255.255.255.0 InternalGateway 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 10.61.79.0 255.255.255.0 inside
http LAN-network 255.255.255.0 inside
http 10.0.0.0 255.255.255.0 Management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn username ============= password ============= store-local
dhcpd auto_config outside
!

threat-detection basic-threat
threat-detection statistics port
threat-detection statistics protocol
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
webvpn
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect esmtp 
  inspect sqlnet 
  inspect skinny  
  inspect sunrpc 
  inspect xdmcp 
  inspect sip  
  inspect netbios 
  inspect tftp 
!
service-policy global_policy global
prompt hostname context 
Cryptochecksum:=============
: end
asdm location LAN-network 255.255.255.0 inside
asdm location WIRELESS-network 255.255.255.0 inside
asdm location RANDD-network 255.255.255.0 inside
asdm location CNC-network 255.255.255.0 inside
asdm location LEGACY-network 255.255.255.0 inside
asdm location InternalGateway 255.255.255.255 inside
asdm location DCServer 255.255.255.255 inside
asdm location MUVS-TP 255.255.255.255 inside
no asdm history enable

PS: Eu não tinha certeza se isso se encaixava melhor aqui ou no SF. Não tenho nenhum problema com isso sendo movido.

cisco routing cisco-asa troubleshooting Chris O'Kelly
fonte
11
A máscara na interface externa é realmente 255.0.0.0? O que o ISP lhe atribuiu?
Brett Lykins
@BrettLykins O técnico do ISP saiu ontem e instalou o roteador, ele foi pré-configurado com 125.x.x.9. Quando ela testou e me mostrou que estava funcionando para assinar, ela fez isso conectando seu laptop a ele e configurando seu IP 125.x.x.10, sua máscara 255.0.0.0e seu gateway padrão 125.x.x.9. Eu assumi que esses eram os valores corretos com base no uso dela. É improvável que um IP público tenha uma rede tão ampla?
Chris O'Kelly
11
Ok, então as chances são de que a sub-máscara de rede seja 255.255.255.252 (a / 30). Esse é o tamanho usual de uma atribuição de interface e faria sentido com base nos endereços .9 e .10. De volta à sua pergunta, sim, você precisaria de uma rota e também de uma configuração NAT. Você pode postar toda a configuração do ASA? Obviamente higienizado de senhas etc.
Brett Lykins
Acabei de descobrir como fazer isso na GUI. Vai fazer agora (arquivo ele de> show running config na nova janela, né?)
Chris O'Kelly
11
O técnico fez isso porque era simples de configurar para um teste simples. Ela / você não faria isso IRL.
Ron Tronco

Respostas:

7

OK, depois de analisar sua configuração, você está perdendo uma instrução:

route outside 0.0.0.0 0.0.0.0 125.x.x.9

Isso diz ao firewall para encaminhar todo o tráfego da Internet para o roteador do ISP em 125.xx9

Ron Trunk
fonte
Ron e @BrettLykins, vocês são lendas absolutas. Postando isso através da minha conexão recém-configurada. Você já fez o meu trabalho basicamente para mim, então me sinto péssima em perguntar, mas você se importa em explicar o papel do endereço 0.0.0.0 e a máscara lá? É apenas "todos os endereços em todas as redes" essencialmente?
Chris O'Kelly
Além disso - em outros sites, normalmente eu esperaria um dia para marcar uma resposta, a fim de não impedir outras respostas, possivelmente úteis para outras pessoas. Como este é apenas um "eu perdi um erro de configuração gritante e esta é a resposta única", devo apenas marcar você agora?
Chris O'Kelly
Se você quiser marcá-lo como correto, não irei objetar ;-p A instrução é chamada de "rota padrão". Ele instrui o firewall a encaminhar qualquer tráfego que não pertença a nenhuma das sub-redes locais para o roteador ISP. A parte 0.0.0.0 0.0.0.0 significa "corresponder a qualquer rede". Há uma explicação mais técnica, mas ela não se encaixa na seção de comentários.
Ron Tronco
Eu provavelmente não entenderia o mais técnico de qualquer maneira heh. Obrigado novamente!
Chris O'Kelly