mturba

Es reicht eine Teilprüfung aus.

"privilege 15" sagt aus, dass der User "admin" den privilege level 15, also den höchsten privilege level, hat.

Cisco IOS Security Configuration Guide, Release 12.2 - Configuring Passwords and Privileges  [Cisco IOS Software Releases 12.2 Mainline] - Cisco Systems

Hier der allgemeine Link:

PARTNERS & RESELLERS - Portable Product Sheets

Auch nochmal danke :)

Oder alternativ

copy running-config tftp:/

Ich verstehe die Frage nicht ganz. Diese Zeilen tauchen immer dann auf, wenn man

show running-config

bzw.

show startup-config

auf der CLI eingibt. Falls die Konfiguration nach dem Reboot geändert wurde, wird eine Zeile ähnlich deiner ersten Zeile ausgegeben, ist das nicht der Fall, dann wird eine Zeile ähnlich deiner zweiten Zeile ausgegeben.

Wenn die Konfiguration nicht irgendwie sehr außergewöhnlich ist, sieht das für mich eher nach einem Hardwareproblem aus - diese Version verwenden wir auf mehreren unserer 515E's seit geraumer Zeit, ohne dass solche Probleme aufgetreten wären.

Nein, für die Einzelprüfungen gibt es keine Zertifikate. Es handelt sich ja im Gegensatz zum CCNA bei BCRAN und BCMSN nicht um Zertifizierungen, sondern nur um Prüfungen, die Teil eines Zertifizierungspfades sind, also notwendig sind, um eine bestimmte Zertifizierung zu erreichen.

Woher beziehen die Windows XP-Clients an Standort B denn ihre Adressen? Bei einem Site-to-Site-Tunnel besteht keine Möglichkeit, die DNS-Konfiguration der Clients zu beeinflussen. Das muss entweder per Hand auf den Clients am Standort B passieren oder aber in der Konfiguration des DHCP-Servers, von dem die Clients ihre Adressen beziehen. Generell wäre auch zu überdenken, ob es evtl. sinnvoll sein könnte, einen Secondary DNS an Standort B zu betreiben.

Kannst du die Konfiguration deines Routers mal posten sowie Informationen darüber, bei welchem Provider du bist und um welche Art Breitbandanbindung es sich handelt?

Findet sich in deiner PIX-Konfiguration ein

fixup protocol pptp 1723

?

Permitting PPTP Connections Through the PIX [Cisco PIX 500 Series Security Appliances] - Cisco Systems

Hast du auf der ASA ESMTP-Inspection konfiguriert? Falls ja, probiers mal ohne - wir hatten damit schon in früheren PIX-Versionen gerne mal Probleme...

Welche Version läuft denn auf der 515E? Wir haben einige ähnliche Erfahrungen mit den frühen 7.x-er Versionen gemacht.

Soweit ich weiß, hängt das auch vom Modell ab, mir ist bisher noch keine allgemeingültige Tabelle über den Weg gelaufen. Aber die Suche auf cisco.com gibt da einiges her, wenn man nach LED colors für das entsprechende Modell sucht.

Am Beispiel eines 3550 ist hier z.B. eine Übersicht zu finden:

Catalyst 3550 Multilayer Switch Hardware Installation Guide, May 2001 - Product Overview [Cisco Catalyst 3550 Series Switches] - Cisco Systems

Wie sieht denn die Konfiguration der Gegenseite aus, also der 3030er?

Ab PIX Version 7.x ist es möglich, dies explizit zu erlauben mit "same-security-traffic permit inter-interface".

Ääähm, ich meine natürlich "same-security-traffic permit intra-interface" - dies erlaubt das hairpinning, d.h. Verkehr sowohl ein- als auch ausgehend auf dem selben Interface. "same-security-traffic permit inter-interface" hingegen erlaubt die Kommunikation zwischen verschiedenen Interfaces mit gleichem Securitylevel.

Auch wenn dieser Thread schon älter ist, noch ein paar Anmerkungen, da sich gerade ein aktueller Thread hierauf bezogen hat und mir zwei Sachen aufgefallen sind, die so nicht vollständig richtig zu sein scheinen:

Traffic kann nicht durch das Interface raus durch das er reingekommen ist - "Traffic may not exit the PIX Firewall on the same network interface it entered."

Ab PIX Version 7.x ist es möglich, dies explizit zu erlauben mit "same-security-traffic permit inter-interface".

VPNs werden in der Mitte von der PIX terminiert, deswegen kannst Du VPN-Traffic nicht mit ACLs auf dem Outside-If kontrollieren

Nein, VPNs werden an dem Interface terminiert, an dem die Verbindung hereinkommt, in diesem Beispiel also am Outside-Interface. Es ist deswegen auch möglich, den VPN-Traffic in der Outside-ACL zu filtern, es sei denn, man hat "sysopt connection permit-ipsec" verwendet, da dann jeglichem IPSec-Traffic implizit vertraut wird.

Gruß,

Martin

Wie siehts aus mit Clientfirewalls?

Möglich, ich habe keine Preise von den 1800ern, der 876 mit Advanced Enterprise Feature Set (welches für die richtige Nutzung des ISDN-Interface nötig wäre) ist laut preistrend.de ab ca. 500 Euro zu haben.

@Hendrik: Danke, ich bin mal gespannt auf deinen Bericht.

Hallo,

läuft der 6500 im native mode oder im hybrid mode? Mit CatOS kann man sich mit

show port counters

die Fehlercounter ausgeben lassen, unter IOS erreicht man das mit

show interfaces counters errors

Hi,

ich hatte schonmal gepostet übers letzte WE, der Beitrag ist allerdings (wie auch einige andere in diesem Forum, habe ich gelesen) wieder verschwunden. Dort hatte ich auch noch zwei Links angegeben, einmal zur Produktinfoseite der 870er-Reihe mit einem Vergleich zwischen den verschiedenen Modellen:

Cisco 870 Series Integrated Services Routers for Small Offices [Cisco 800 Series Routers] - Cisco Systems

Daraus ist z.B. zu erlesen, dass die 870er-Serie erst ab dem Advanced IP Services Feature Set bis zu 4 VLANs unterstützt. Evtl. war das bei besagtem 871 das Problem.

Ausserdem einen Link zu den FAQ zur 800er-Reihe:

Cisco 800 Series Integrated Services Router [Cisco 800 Series Routers] - Cisco Systems

Der 871 unterscheidet sich von dem 876 dadurch, dass er als WAN-Interface nur ein FastEthernet-Interface hat, während der 876 stattdessen ein ATM-Interface und ein ISDN-Interface hat.

Das ISDN-Interface des 876 ist zusammen mit dem Advanced Enterprise Image als Dial-Backup-Interface nutzbar (vermutlich aber auch als primäres WAN-Interface), mit dem Advanced IP Services Image nur zum Out-of-Band-Management.

Gruß,

Martin

Hi,

Tirith kann das zum Beispiel:

Tirith

Der 876 erfüllt auch (fast) alle deiner Anforderungen. Er kann zwischen max. 4 VLANs routen, kann NAT und verfügt unter anderem über 4 Ethernet-Interfaces und ein ISDN BRI, allerdings bin ich nicht sicher, ob man dieses für eine permanente Verbindung nutzen kann, da es laut Anleitung nur ein Dial-Backup-Interface ist.

Andere Hardware, aber gleiche Betriebssysteme - mit dem Unterschied, dass die ASA erst ab 7.x unterstützt wird.

Hi Data,

gerade eben habe ich meinen 876 so konfiguriert.

Relevante Teile der Konfig:

!
interface FastEthernet3
description Cisco 876 <--> DSL-Modem
switchport access vlan 2
!
interface Vlan2
no ip address
pppoe enable
pppoe-client dial-pool-number 1
!

Der Rest wie üblich...

Gruß,

Martin