ASA5505: PortForwarding für RDP funktioniert nicht

[mcgiga]

Hallo Leute,

ich habe folgendes Problem: Port Forwarding für das RDP Protokoll funktioniert nicht.

Konfiguration:

• 91.xxx.xxx.xxx - Outside interface
• 192.168.100.1 - Inside interface
• 192.168.100.10 - PC auf den von ausserhalb per RDP zugegriffen werden soll

Hier die momentane Konfiguration:

: Saved : ASA Version 8.0(2) ! hostname ciscoasa domain-name default.domain.invalid enable password XXXXXX encrypted names ! interface Vlan1 nameif inside security-level 100 ip address 192.168.100.1 255.255.255.0 ! interface Vlan2 nameif outside security-level 0 ip address dhcp setroute ! interface Ethernet0/0 switchport access vlan 2 ! interface Ethernet0/1 ! interface Ethernet0/2 ! interface Ethernet0/3 ! interface Ethernet0/4 ! interface Ethernet0/5 ! interface Ethernet0/6 ! interface Ethernet0/7 ! passwd XXXXXX encrypted boot system disk0:/asa802-k8.bin boot system disk0:/asa723-k8.bin ftp mode passive dns server-group DefaultDNS domain-name default.domain.invalid access-list outside_access_in extended permit icmp any any access-list outside_access_in extended permit tcp any host 192.168.100.1 access-list inside_access_out extended permit icmp any any access-list outside_access_out extended permit icmp any any access-list outside_access_out extended permit tcp any any eq www access-list outside_access_out extended permit tcp any any eq https access-list outside_access_out extended permit udp any any eq domain access-list outside_access_out extended permit udp any any eq ntp access-list outside_access_out remark Remotedesktop access-list outside_access_out extended permit tcp any any eq 3389 access-list outside_access_out extended permit tcp any any eq pop3 access-list outside_access_out extended permit tcp any any eq smtp pager lines 24 logging enable logging asdm informational mtu inside 1500 mtu outside 1500 icmp unreachable rate-limit 1 burst-size 1 asdm image disk0:/asdm-602.bin no asdm history enable arp timeout 14400 global (outside) 1 interface nat (inside) 1 0.0.0.0 0.0.0.0 static (inside,outside) 192.168.100.1 192.168.100.10 netmask 255.255.255.255 access-group inside_access_out out interface inside access-group outside_access_in in interface outside access-group outside_access_out out interface outside timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout uauth 0:05:00 absolute dynamic-access-policy-record DfltAccessPolicy http server enable http 192.168.100.0 255.255.255.0 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart no crypto isakmp nat-traversal telnet timeout 5 ssh timeout 5 console timeout 0 dhcpd auto_config outside ! ...... ! threat-detection basic-threat threat-detection statistics ! class-map inspection_default match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map parameters message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp ! ...... : end asdm image disk0:/asdm-602.bin no asdm history enable

Es wäre schön wenn jemand helfen könnte.

Frohe Ostern

[blackbox]

Hi,

da ist was falsch - du musst den Zugriff von extern nicht auf die 192.168.1.10 geben sondern auf das "outside Interface"

Also - raus mit : access-list outside_access_in extended permit tcp any host 192.168.100.1

dafür : access-list outside_access_in extended permit tcp any interface outside eq 3389

und dann noch den NAT Eintrag anpassen :

raus mit : static (inside,outside) 192.168.100.1 192.168.100.10 netmask 255.255.255.255

dafür dann : static (inside,outside) tcp interface 3389 192.168.100.10 3389 netmask 255.255.255.255

dann sollte es rennen.

[hegl]

Da ist aber noch ein Fehler, auf den ich auch mal darauf reingefallen bin:

access-group outside_access_in in interface outside
access-group outside_access_out out interface outside

Man kann einem interface zwar zwei groups zuordnen, jedoch zieht nur immer die erste group!

[blackbox]

Hi,

stimmt hatte ich doch glatt überlesen :-))