Cisco PIX 501 VPN einrichten

[tobi_1985]

Hi ich brauche wieder einmal Hilfe!
Habe eine Cisco PIX 501 üder einen ADSL Anschluss angebunden.

Nun möchte ich mich an VPN rantrauen.
Könnt ihr mir sagen wie ich das einrichte, über die Suchfunktion habe ich nichts gefunden.

Poste schonmal meine Config

PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password ******** encrypted
passwd ******* encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 192.168.1.9 Tobias
object-group service BitTorrent tcp
description BitTorrent
port-object range 6881 6889
port-object eq 6969
access-list 100 permit tcp any host Tobias object-group BitTorrent
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any unreachable
access-list 100 permit icmp any any time-exceeded
access-list 100 permit icmp any any traceroute
access-list outside_access_in permit tcp any interface outside eq 6881
pager lines 24
logging on
mtu outside 1500
mtu inside 1500
ip address outside pppoe setroute
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm

pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 192.168.1.0 255.255.255.0 0 0
static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn group pppoe_group request dialout pppoe
vpdn group pppoe_group localname ******@t-online.de
vpdn group pppoe_group ppp authentication pap
vpdn username ***************@t-online.de password *********
dhcpd address 192.168.1.100-192.168.1.130 inside
dhcpd dns 194.25.2.129
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside

terminal width 80

: end
[OK]

[Zodiac]

Darf ich mal fragen ob Du eine VPN zu einer anderen Pix aufbauen möchtest oder von außen über einen VPN-Client zugreifen möchtest?

Eine Frage habe ich mal zu Deiner Konfig. Bedeutet das, daß Du über folgende Befehle auch on außen erreichbar bist? Sprich Du könntest http anfragen an einen Webserver im internen Netzwerk senden?

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

Gruß Zodiac

[tobi_1985]

Möchte VPN nutzen, damit wenn ich wo anders bin auf einen Server in meinem Netz drauf zu greifen kann, sprich über einen VPN Client von Microsoft.

Mit dem Befehl:
static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
leite ich die ports 6881 udp und tcp auf die Adresse von meinem Rechner 192.168.1.9 (richtig?)!

[Zodiac]

Also dann fangen wir mal an.

isakmp enable outside
isakmp policy 8 encr 3des
isakmp policy 8 hash md5
isakmp policy 8 authentication pre-share
isakmp policy 8 group 2
isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0

access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
nat (inside) 0 access-list 80

crypto ipsec transform-set strong-des esp-3des esp-sha-hmac
crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des
crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map
crypto map vpn-map interface outside

ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10

vpngroup vpn address-pool vpn_ip_pool
vpngroup superteam dns-server x.x.x.x (optional)
vpngroup superteam wins-server x.x.x.x (optional)
vpngroup superteam split-tunnel 80
vpngroup superteam idle-time 1800

sysopt connection permit-ipsec

Mit diesen Zusätzen zu Deiner Konfig müßte es jedenfalls funktionieren. Bei Fragen, weißt Du wo Du mich findest.

Gruß Zodiac

[tobi_1985]

Danke für die zügige Antwort!
So ich habe ein paar fragen dazu
isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0
"cisco1234" ist das Passwort? Und was ist der Benutzername?

Habe es erstmal soweit wie du gesag hast gemacht bekomme nur Fehler 8000 (Benutze den VPN Client von Microsoft)
VPN Server ist eventuell nicht erreichbar oder die Sicherheitsparameter sind für diese Verbindung nicht korrekt konfiguriert.

Mag wahrscheinlich daran liegen, das ich den falschen Benutzername eingebe.
Oder ich habe Falsche Einstellungen im Client getroffen..

Bei mir im Netz habe ich einen Server stehen (192.168.1.XXX) und wenn ich mich mit vpn einwähle bekomme ich ja eine IP aus dem Pool 192.168.2.XX! Kann ich dann auf den Server drauf zu greifen?

Wenn ihr mir noch mal helfen könnt?!

Gruss Tobias

PS: Mein conf zurzeit

[tobi_1985]

Building configuration...
: Saved
:
PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password ***** encrypted
passwd ***** encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 192.168.1.9 Tobias
object-group service BitTorrent tcp
description BitTorrent
port-object range 6881 6889
port-object eq 6969
access-list 100 permit tcp any host Tobias object-group BitTorrent
access-list 100 deny icmp any any echo-reply
access-list 100 deny icmp any any unreachable
access-list 100 deny icmp any any time-exceeded
access-list 100 deny icmp any any traceroute
access-list outside_access_in permit tcp any interface outside eq 6881
access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
pager lines 24
logging on
mtu outside 1500
mtu inside 1500
ip address outside pppoe setroute
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10
pdm location Tobias 255.255.255.255 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list 80
nat (inside) 1 192.168.1.0 255.255.255.0 0 0
static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
crypto ipsec transform-set strong-des esp-3des esp-sha-hmac
crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des
crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map
crypto map vpn-map interface outside
isakmp enable outside
isakmp key ******** address 0.0.0.0 netmask 0.0.0.0
isakmp policy 8 authentication pre-share
isakmp policy 8 encryption 3des
isakmp policy 8 hash md5
isakmp policy 8 group 2
isakmp policy 8 lifetime 86400
vpngroup vpn address-pool vpn_ip_pool
vpngroup vpn idle-time 1800
vpngroup superteam dns-server 194.25.2.129
vpngroup superteam split-tunnel 80
vpngroup superteam idle-time 1800
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn group pppoe_group request dialout pppoe
vpdn group pppoe_group localname ****@t-online.de
vpdn group pppoe_group ppp authentication pap
vpdn username ****@t-online.de password *********
dhcpd address 192.168.1.100-192.168.1.130 inside
dhcpd dns 194.25.2.129
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
username tobi password ****/ encrypted privilege 15
terminal width 80
Cryptochecksum:lalalala
: end
[OK]

[Zodiac]

Hi Tobi,
füge noch eine Zeile ein und zwar:
vpngroup vpn password ++++++++
ein. Ich habe noch etwas falsch gemacht und zwar überall wo superteam steht, bittz durch vpn ersetzen.

Ich benutze nur einen VPN-Client von Cisco und dort authentifiziere ich mich mit der Vpngruppe (vpn) und dem dazugehörigen Passwort (+++++++). Deswegen kann ich leider nichts zu eine Microsoft Client sagen. Soweit ich weiß, kannst Du, wenn Du Dich erfolgreich eingewählt hast auf den Server 192.168.1.x zugreifen, denn die Pix fungiert dann als Router. Bei uns in der Firma ist es auch so, denn ich Verbinde 2 Pix übers Internet und dort habe ich das eine Netzwerk mit 192.168.1.0 und das andere mit 192.168.2.0. Beide können ohne Probleme miteinander kommunizieren.

isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0 wurde deswegen gesetzt damit die Pix alle anfragen akzeptiert. isakmp ist für andere Pix wichtig, denn damit diese mit Deiner eine Verbindung eingehen können brauchen die auch den cisco1234 Eintrag.
Ich kann auch nicht 100%ig sagen, ob es notwendig ist, doch Du hast die Authentifizierung auf pre-share gesetzt.
Hoffe es klappt jetzt. ;-)

Gruß Zodiac

[tobi_1985]

Hi Jungs,
@ Zodiac habe jetzt alles gemacht wie du es mir gesagt hast, aber leider funktioniert es immer noch nicht! Habe mmir den VPN client von cisco runtergeladen v. 4.6.03.0021 - ich teste es immer von meinen rechner aus, im prinzip schalte ich ein schleife! Bitte um Hilfe!

PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password XXXXXXXXXXXXXXXXXXXXx encrypted
passwd XXXXXXXXXXXXXXXXXXXXXXXXXXx encrypted
hostname pixfirewall
domain-name ciscopix.com
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 192.168.1.9 Tobias
object-group service BitTorrent tcp
description BitTorrent
port-object range 6881 6889
port-object eq 6969
access-list 100 permit tcp any host Tobias object-group BitTorrent
access-list 100 deny icmp any any echo-reply
access-list 100 deny icmp any any unreachable
access-list 100 deny icmp any any time-exceeded
access-list 100 deny icmp any any traceroute
access-list outside_access_in permit tcp any interface outside eq 6881
access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
pager lines 24
logging on
mtu outside 1500
mtu inside 1500
ip address outside pppoe setroute
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10
pdm location Tobias 255.255.255.255 inside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list 80
nat (inside) 1 192.168.1.0 255.255.255.0 0 0
static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
crypto ipsec transform-set strong-des esp-3des esp-sha-hmac
crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des
crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map
crypto map vpn-map interface outside
isakmp key xxxxxxxxxxxxxxxxx address 0.0.0.0 netmask 0.0.0.0
isakmp policy 8 authentication pre-share
isakmp policy 8 encryption 3des
isakmp policy 8 hash md5
isakmp policy 8 group 2
isakmp policy 8 lifetime 86400
vpngroup vpn address-pool vpn_ip_pool
vpngroup vpn idle-time 1800
vpngroup vpn password xxxxxxxxxx
vpngroup bittz dns-server 194.25.2.129
vpngroup bittz split-tunnel 80
vpngroup bittz idle-time 1800
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn group pppoe_group request dialout pppoe
vpdn group pppoe_group localname xxxx@t-online.de
vpdn group pppoe_group ppp authentication pap
vpdn username xxxxxxxxxxxxxxx@t-online.de password xxxxxxx
dhcpd address 192.168.1.100-192.168.1.130 inside
dhcpd dns 194.25.2.129
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
username tobi password xxxxxxxx/ encrypted privilege 15
terminal width 80

pixfirewall(config)#

[Zodiac]

Hi Tobi,
teste es mal von außen und nicht aus dem internen Netz. Denn aus demm internen Netz funktioniert es nicht. :-)

Gruß Zodiac

[tobi_1985]

so habe es jetzt getestet, aber leider funktioniert es immer noch nicht, ich weis aber auch erlich gesagt nicht was ich in diesem cisco vpn client einrichten muss!
Bitte nochmals um Hilfe!
Bis jetzt stelle in im VPN client ein Connection entry ist ja egal
bei description ist ja egal
unter host die ip adresse
unter authentication
group authentication
name "vpn"
unter password das password

Schon mal ein rechthezliches Dankeschön!