Jump to content

Cisco PIX 501 VPN einrichten


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hi ich brauche wieder einmal Hilfe!

Habe eine Cisco PIX 501 üder einen ADSL Anschluss angebunden.

 

Nun möchte ich mich an VPN rantrauen.

Könnt ihr mir sagen wie ich das einrichte, über die Suchfunktion habe ich nichts gefunden.

 

Poste schonmal meine Config

 

PIX Version 6.3(3)

interface ethernet0 auto

interface ethernet1 100full

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password ******** encrypted

passwd ******* encrypted

hostname pixfirewall

domain-name ciscopix.com

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

name 192.168.1.9 Tobias

object-group service BitTorrent tcp

description BitTorrent

port-object range 6881 6889

port-object eq 6969

access-list 100 permit tcp any host Tobias object-group BitTorrent

access-list 100 permit icmp any any echo-reply

access-list 100 permit icmp any any unreachable

access-list 100 permit icmp any any time-exceeded

access-list 100 permit icmp any any traceroute

access-list outside_access_in permit tcp any interface outside eq 6881

pager lines 24

logging on

mtu outside 1500

mtu inside 1500

ip address outside pppoe setroute

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

 

pdm logging informational 100

pdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 1 192.168.1.0 255.255.255.0 0 0

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

access-group outside_access_in in interface outside

timeout xlate 0:05:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

aaa-server LOCAL protocol local

http server enable

http 192.168.1.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

telnet 192.168.1.0 255.255.255.0 inside

telnet timeout 5

ssh timeout 5

console timeout 0

vpdn group pppoe_group request dialout pppoe

vpdn group pppoe_group localname ******@t-online.de

vpdn group pppoe_group ppp authentication pap

vpdn username ***************@t-online.de password *********

dhcpd address 192.168.1.100-192.168.1.130 inside

dhcpd dns 194.25.2.129

dhcpd lease 3600

dhcpd ping_timeout 750

dhcpd auto_config outside

 

terminal width 80

 

: end

[OK]

Link zu diesem Kommentar

Darf ich mal fragen ob Du eine VPN zu einer anderen Pix aufbauen möchtest oder von außen über einen VPN-Client zugreifen möchtest?

 

Eine Frage habe ich mal zu Deiner Konfig. Bedeutet das, daß Du über folgende Befehle auch on außen erreichbar bist? Sprich Du könntest http anfragen an einen Webserver im internen Netzwerk senden?

 

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

 

Gruß Zodiac

Link zu diesem Kommentar

Möchte VPN nutzen, damit wenn ich wo anders bin auf einen Server in meinem Netz drauf zu greifen kann, sprich über einen VPN Client von Microsoft.

 

Mit dem Befehl:

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

leite ich die ports 6881 udp und tcp auf die Adresse von meinem Rechner 192.168.1.9 (richtig?)!

Link zu diesem Kommentar

Also dann fangen wir mal an. :D

 

isakmp enable outside

isakmp policy 8 encr 3des

isakmp policy 8 hash md5

isakmp policy 8 authentication pre-share

isakmp policy 8 group 2

isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0

 

access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

nat (inside) 0 access-list 80

 

crypto ipsec transform-set strong-des esp-3des esp-sha-hmac

crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des

crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map

crypto map vpn-map interface outside

 

ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10

 

vpngroup vpn address-pool vpn_ip_pool

vpngroup superteam dns-server x.x.x.x (optional)

vpngroup superteam wins-server x.x.x.x (optional)

vpngroup superteam split-tunnel 80

vpngroup superteam idle-time 1800

 

sysopt connection permit-ipsec

 

Mit diesen Zusätzen zu Deiner Konfig müßte es jedenfalls funktionieren. Bei Fragen, weißt Du wo Du mich findest. ;)

 

Gruß Zodiac

Link zu diesem Kommentar

Danke für die zügige Antwort! ;) :D :p

So ich habe ein paar fragen dazu

isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0

"cisco1234" ist das Passwort? Und was ist der Benutzername? :(

 

Habe es erstmal soweit wie du gesag hast gemacht bekomme nur Fehler 8000 (Benutze den VPN Client von Microsoft)

VPN Server ist eventuell nicht erreichbar oder die Sicherheitsparameter sind für diese Verbindung nicht korrekt konfiguriert.

 

Mag wahrscheinlich daran liegen, das ich den falschen Benutzername eingebe.

Oder ich habe Falsche Einstellungen im Client getroffen..

 

Bei mir im Netz habe ich einen Server stehen (192.168.1.XXX) und wenn ich mich mit vpn einwähle bekomme ich ja eine IP aus dem Pool 192.168.2.XX! Kann ich dann auf den Server drauf zu greifen?

 

Wenn ihr mir noch mal helfen könnt?!

 

Gruss Tobias :confused:

 

PS: Mein conf zurzeit

Link zu diesem Kommentar

Building configuration...

: Saved

:

PIX Version 6.3(3)

interface ethernet0 auto

interface ethernet1 100full

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password ***** encrypted

passwd ***** encrypted

hostname pixfirewall

domain-name ciscopix.com

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

name 192.168.1.9 Tobias

object-group service BitTorrent tcp

description BitTorrent

port-object range 6881 6889

port-object eq 6969

access-list 100 permit tcp any host Tobias object-group BitTorrent

access-list 100 deny icmp any any echo-reply

access-list 100 deny icmp any any unreachable

access-list 100 deny icmp any any time-exceeded

access-list 100 deny icmp any any traceroute

access-list outside_access_in permit tcp any interface outside eq 6881

access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

pager lines 24

logging on

mtu outside 1500

mtu inside 1500

ip address outside pppoe setroute

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10

pdm location Tobias 255.255.255.255 inside

pdm logging informational 100

pdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list 80

nat (inside) 1 192.168.1.0 255.255.255.0 0 0

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

access-group outside_access_in in interface outside

timeout xlate 0:05:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

aaa-server LOCAL protocol local

http server enable

http 192.168.1.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

crypto ipsec transform-set strong-des esp-3des esp-sha-hmac

crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des

crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map

crypto map vpn-map interface outside

isakmp enable outside

isakmp key ******** address 0.0.0.0 netmask 0.0.0.0

isakmp policy 8 authentication pre-share

isakmp policy 8 encryption 3des

isakmp policy 8 hash md5

isakmp policy 8 group 2

isakmp policy 8 lifetime 86400

vpngroup vpn address-pool vpn_ip_pool

vpngroup vpn idle-time 1800

vpngroup superteam dns-server 194.25.2.129

vpngroup superteam split-tunnel 80

vpngroup superteam idle-time 1800

telnet 192.168.1.0 255.255.255.0 inside

telnet timeout 5

ssh timeout 5

console timeout 0

vpdn group pppoe_group request dialout pppoe

vpdn group pppoe_group localname ****@t-online.de

vpdn group pppoe_group ppp authentication pap

vpdn username ****@t-online.de password *********

dhcpd address 192.168.1.100-192.168.1.130 inside

dhcpd dns 194.25.2.129

dhcpd lease 3600

dhcpd ping_timeout 750

dhcpd auto_config outside

username tobi password ****/ encrypted privilege 15

terminal width 80

Cryptochecksum:lalalala

: end

[OK]

Link zu diesem Kommentar

Hi Tobi,

füge noch eine Zeile ein und zwar:

vpngroup vpn password ++++++++

ein. Ich habe noch etwas falsch gemacht und zwar überall wo superteam steht, bittz durch vpn ersetzen.

 

Ich benutze nur einen VPN-Client von Cisco und dort authentifiziere ich mich mit der Vpngruppe (vpn) und dem dazugehörigen Passwort (+++++++). Deswegen kann ich leider nichts zu eine Microsoft Client sagen. Soweit ich weiß, kannst Du, wenn Du Dich erfolgreich eingewählt hast auf den Server 192.168.1.x zugreifen, denn die Pix fungiert dann als Router. Bei uns in der Firma ist es auch so, denn ich Verbinde 2 Pix übers Internet und dort habe ich das eine Netzwerk mit 192.168.1.0 und das andere mit 192.168.2.0. Beide können ohne Probleme miteinander kommunizieren.

 

isakmp key cisco1234 address 0.0.0.0 netmask 0.0.0.0 wurde deswegen gesetzt damit die Pix alle anfragen akzeptiert. isakmp ist für andere Pix wichtig, denn damit diese mit Deiner eine Verbindung eingehen können brauchen die auch den cisco1234 Eintrag.

Ich kann auch nicht 100%ig sagen, ob es notwendig ist, doch Du hast die Authentifizierung auf pre-share gesetzt.

Hoffe es klappt jetzt. ;-)

 

Gruß Zodiac

Link zu diesem Kommentar

Hi Jungs,

@ Zodiac habe jetzt alles gemacht wie du es mir gesagt hast, aber leider funktioniert es immer noch nicht! Habe mmir den VPN client von cisco runtergeladen v. 4.6.03.0021 - ich teste es immer von meinen rechner aus, im prinzip schalte ich ein schleife! Bitte um Hilfe!

 

PIX Version 6.3(3)

interface ethernet0 auto

interface ethernet1 100full

nameif ethernet0 outside security0

nameif ethernet1 inside security100

enable password XXXXXXXXXXXXXXXXXXXXx encrypted

passwd XXXXXXXXXXXXXXXXXXXXXXXXXXx encrypted

hostname pixfirewall

domain-name ciscopix.com

fixup protocol dns maximum-length 512

fixup protocol ftp 21

fixup protocol h323 h225 1720

fixup protocol h323 ras 1718-1719

fixup protocol http 80

fixup protocol rsh 514

fixup protocol rtsp 554

fixup protocol sip 5060

fixup protocol sip udp 5060

fixup protocol skinny 2000

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol tftp 69

names

name 192.168.1.9 Tobias

object-group service BitTorrent tcp

description BitTorrent

port-object range 6881 6889

port-object eq 6969

access-list 100 permit tcp any host Tobias object-group BitTorrent

access-list 100 deny icmp any any echo-reply

access-list 100 deny icmp any any unreachable

access-list 100 deny icmp any any time-exceeded

access-list 100 deny icmp any any traceroute

access-list outside_access_in permit tcp any interface outside eq 6881

access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

pager lines 24

logging on

mtu outside 1500

mtu inside 1500

ip address outside pppoe setroute

ip address inside 192.168.1.1 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool vpn_ip_pool 192.168.2.1-192.168.2.10

pdm location Tobias 255.255.255.255 inside

pdm logging informational 100

pdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list 80

nat (inside) 1 192.168.1.0 255.255.255.0 0 0

static (inside,outside) tcp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

static (inside,outside) udp interface 6881 Tobias 6881 netmask 255.255.255.255 0 0

access-group outside_access_in in interface outside

timeout xlate 0:05:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server RADIUS protocol radius

aaa-server LOCAL protocol local

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

crypto ipsec transform-set strong-des esp-3des esp-sha-hmac

crypto dynamic-map vpn-dyn-map 1 set transform-set strong-des

crypto map vpn-map 20 ipsec-isakmp dynamic vpn-dyn-map

crypto map vpn-map interface outside

isakmp key xxxxxxxxxxxxxxxxx address 0.0.0.0 netmask 0.0.0.0

isakmp policy 8 authentication pre-share

isakmp policy 8 encryption 3des

isakmp policy 8 hash md5

isakmp policy 8 group 2

isakmp policy 8 lifetime 86400

vpngroup vpn address-pool vpn_ip_pool

vpngroup vpn idle-time 1800

vpngroup vpn password xxxxxxxxxx

vpngroup bittz dns-server 194.25.2.129

vpngroup bittz split-tunnel 80

vpngroup bittz idle-time 1800

telnet 192.168.1.0 255.255.255.0 inside

telnet timeout 5

ssh timeout 5

console timeout 0

vpdn group pppoe_group request dialout pppoe

vpdn group pppoe_group localname xxxx@t-online.de

vpdn group pppoe_group ppp authentication pap

vpdn username xxxxxxxxxxxxxxx@t-online.de password xxxxxxx

dhcpd address 192.168.1.100-192.168.1.130 inside

dhcpd dns 194.25.2.129

dhcpd lease 3600

dhcpd ping_timeout 750

dhcpd auto_config outside

username tobi password xxxxxxxx/ encrypted privilege 15

terminal width 80

 

pixfirewall(config)#

Link zu diesem Kommentar

so habe es jetzt getestet, aber leider funktioniert es immer noch nicht, ich weis aber auch erlich gesagt nicht was ich in diesem cisco vpn client einrichten muss!

Bitte nochmals um Hilfe!

Bis jetzt stelle in im VPN client ein Connection entry ist ja egal

bei description ist ja egal

unter host die ip adresse

unter authentication

group authentication

name "vpn"

unter password das password

 

Schon mal ein rechthezliches Dankeschön!

Link zu diesem Kommentar

Hi Tobi,

Deine Konfig sieht ganz gut aus bloß Du hast statt vpn bei vpngroup bittz stehen.

Ich habe Dir folgendes geschrieben:

"Ich habe noch etwas falsch gemacht und zwar überall wo superteam steht, bittz durch vpn ersetzen."

dabei habe ich bei bitte das "e" mit einem "z" verwechselt. ;-)

Vielleicht funktioniert es deswegen nicht.

Deine Einstellungen beim Vpn-Client sind auch richtig. Jetzt mal eine Frage, was meldet Dir der VPN-Client? Unten befindet sich nämlich eine Statusleiste in welcher z.B. Connecting to .... steht oder securing comunication channel usw.. Was steht eigentlich bei der Verbindung bei Dir? Deine IP ändert sich auch ständig. Versuchst Du Dich denn mit der richtigen IP zu verbinden?

 

Gruß Zodiac

Link zu diesem Kommentar

Cisco Systems VPN Client Version 4.6.03.0021

Copyright © 1998-2005 Cisco Systems, Inc. All Rights Reserved.

Client Type(s): Windows, WinNT

Running on: 5.1.2600 Service Pack 2

Config file directory: C:\Programme\Cisco Systems\VPN Client\

 

Hatte ich vorher schon an, hatte mich schon gewundert?!

 

edit/

 

so es taucht das gleiche, bzw. es passiert weiterhin nichts. in der log steht auch nicht mehr drin!

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...