Cisco User

Hallo zusammen, Ich habe aktuell in meiner Firewall folgende Regeln hinterlegt: access-list 101 remark Traffic vom Internet zum Router access-list 101 permit udp any eq domain any access-list 101 permit icmp any any unreachable access-list 101 permit icmp any any echo-reply access-list 101 permit icmp any any packet-too-big access-list 101 permit icmp any any time-exceeded access-list 101 permit icmp any any traceroute access-list 101 permit icmp any any administratively-prohibited access-list 101 deny ip any any log ip inspect name fw-out dns ip inspect name fw-out http ip inspect name fw-out https ip inspect name fw-out ftp ip inspect name fw-out icmp ip inspect name fw-out h323 ip inspect name fw-out realaudio ip inspect name fw-out streamworks ip inspect name fw-out netshow ip inspect name fw-out smtp ip inspect name fw-out pop3 ip inspect name fw-out ntp Beide Regelsätze sind dem Interface Dialer 1 zugeordnet: interface Dialer1 ip access-group 101 in ip inspect fw-out out ... Ich möchte nun gerne mit einem lokalen Cisco-VPN-Client auf das Netzwerk eines Unternehmens zugreifen können, ohne dass ich zusätzlich die Rule "ip inspect name fw-out udp" einsetzen muss. Der Cisco VPN-Client benötigt nach meinem Wissen nur die UPD Ports 500 und 4500. Das Öffnen aller UDP-Protokolle halte ich für ein vermeidbares Sicherheitsloch, welches ich gerne mittels einer speziellen Inspect-Rule umgehen möchte. Gibt es eine Möglichkeit, nur diese beiden UDP-Ports in Form eines Stateful-Filters zu öffnen. Ich konnte für diese beiden Ports bisher keine Inspect-Rule ableiten, welche nur diese Ports öffnet. Bereits jetzt vielen Dank für eure Hilfe...:) Cisco User

Hallo Okatu19, Ich möchte mich sehr für deine Dokumentation bedanken. Ich habe gestern Abend deine Anleitung umgesetzt und auf meinen Router angepasst. Alles funktioniert prima. MfG Cisco User

Hallo Blackbox, Ich denke, dass die Dailer-Verbindung nur dann aktiviert wird, wenn Daten über die Access-Liste geleitet werden. Ich bin mir aber nicht sicher, ob die intern gesendeten Pakete auch von dem folgenden Regelwerk bearbeitet werden: access-list 102 permit ip any any dialer-list 1 protocol ip list 102 Zum anderen möchte ich gerne auf Firewall-Funktionen des Routers zurückgreifen. Da die IP-Adresse des Dailer-Interface bei jeder Anmeldung an das Internet geändert werden kann, kann ich die Source-Adresse in den zugehörigen Firewall-Filtern nicht benennen. MfG Cisco User

Hallo zusammen, Ich überlege momentan, ob es eine sinnvolle Option ist, dass ich den lokalen Cisco Router zugleich auch als DNS-Server verwenden könnte. Da der Router durchgängig von allen lokalen Komponenten genutzt werden kann, möchte ich neben der dort bereits integrierten Funktion des DHCP-Servers dort auch diesen Dienst installieren. Die Aktivierung dieses Dienstes erfolgt einfach über den Befehl "ip dns server". Wie kann ich aber steuern, mit welchem Interface der Router DNS-Abfragen, welche er nicht selber beantworten kann, an die Router des Internet´s weiterleitet. Die zugehörigen Adressen der DNS-Server des Providers wollte ich über den Befehl "ppp ipcp dns request" ermitteln. Wenn der Router die internen Adressen der lokalen VLAN´s verwendet, so kann es passieren, dass diese Interfaces gerade down sind, da an die VLan´s keine durchgängig aktiven Komponenten angeschlossen sind. Wenn der Router das Dialer-Interface verwendet, so wird dieses nicht immer funktionieren, da dieses erst mit dem Aufbau einer DSL-Verbindung aktiviert wird. Daher möchte ich euch fragen: 1. Kann ich das Interface irgendwie beeinflussen, welches der DNS-Server verwendet ? 2. Kann man ein intern immer aktives Interface programmieren und dieses für diese Funktion verwenden ? (Schlagwort Loopback-Interface) Für eure Hilfe möchte ich mich herzlich bedanken. MfG Cisco User

Hallo Blackbox, du hast die richtige Frage gestellt. :) Ich habe gerade meinen Vertrag überprüft. Hierbei habe ich festgestellt, dass ich einen Volume-Vertrag abgeschlossen habe, welcher nach erstem Eindruck nur die maximale Übertragungsgeschwindigkeit für Up- und Download regelt. Hierdurch ist das Thema erst einmal nach hinten gestellt, da ich aktuell keine Hinweise auf eine zeitliche Abrechnung finden konnte. Eine volumeabhändige Abrechnung habe ich nicht erwartet, da ich in Erinnerung hatte, dass ich einen Vertrag mit zeitlicher Abrechnung haben würde. Dieses bezog sich aber auf das vorher verwendete analoge Modem. :wink2: Ich Danke Dir für deine Hilfe. MfG Cisco User

Hallo Blackbox, genau an dieser Stelle stehe ich mit meiner Frage. Ich weiss aktuell nicht, wie ich bestimmen kann, ob das Interface noch aktiv genutzt wird, ob nur das WAN-Interface nur einen aktiven Link hat, ob das DSL-Modem die Verbindung noch zum Provider aufgebaut hat, ob eine kostenpflichtige Verbindung besteht. Mein Anschluss erfolgt über ein externens DSL-Modem, welches vom Provider gestellt wurde. Ich kann das interne DSL-Modem nicht verwenden, da dieses eine falsche DSL-Norm unterstützt (Annex A ist eingebaut, Annex B wird vom Provider benötigt). Somit lassen sich die internen Funktionen zur Zustandsanzeige nicht nutzen. Wie kann ich nun untersuchen, ob die Verbindung noch besteht ?? Die RXD und TXD Anzeige lässt sich nicht nutzen. Die Ports bleiben aktiv, da die angeschlossenen Komponenten nicht ausgeschaltet werden. Momentan fällt mir nur der Paketezähler ein. Aber ob ich daraus eine brauchbare Aussage über die Abrechnung meines Providers definieren kann ?? Vielleicht habt Ihr ja noch eine nachvollziehbare Information. Wenn ich nachvollziehen kann, ob und was gesendet wird, kann man ggf. einen entsprechenden Filter definieren. Danke für deine Hilfe. MfG Cisco User ;)

Hallo zusammen, Ich habe mittels eines Cisco Routers und eines externen DSL-Modems eine Verbindung zum Provider Netcologne aufgebaut. Da ich mit dem Provider momentan keinen DSL-Flatrate-Vertrag abgeschlossen habe, möchte ich gerne sicherstellen, dass die Verbindung zum Provider nach einer gewissen Zeit aufgelöst wird. Die Verbindung soll vor allem nicht durch unbenötigte Datenpakete (z.B.CDP-Pakete) wieder aktiviert werden. ip dhcp pool LAN-Clients network 172.16.12.0 255.255.255.0 default-router 172.16.12.1 domain-name meinlan.local dns-server 213.168.112.80 194.8.194.60 lease 3 2 ! ip domain name meinlan.local ! interface FastEthernet0 no logging event link-status spanning-tree portfast ! interface FastEthernet3 switchport access vlan 100 no logging event link-status spanning-tree portfast ! interface Vlan1 description lokales Netzwerk ip address 172.16.12.1 255.255.255.0 ip nat inside ip virtual-reassembly ! interface Vlan100 description DSL Modem Anschluss no ip address pppoe enable group global pppoe-client dial-pool-number 1 ! interface Dialer1 ip address negotiated ip mtu 1492 ip nat outside ip virtual-reassembly encapsulation ppp ip tcp adjust-mss 1452 dialer pool 1 dialer-group 1 no cdp enable ppp authentication pap callin ppp pap sent-username nc-seginwi@USERNAME password PASSWORT ppp ipcp dns request ! ip route 0.0.0.0 0.0.0.0 Dialer1 ! ip nat inside source list 1 interface Dialer1 overload ! access-list 1 permit 172.16.12.0 0.0.0.255 access-list 102 deny udp any eq netbios-dgm any access-list 102 deny udp any eq netbios-ns any access-list 102 deny udp any eq netbios-ss any access-list 102 deny udp any range snmp snmptrap any access-list 102 deny udp any range bootps bootpc any access-list 102 deny tcp any eq 137 any access-list 102 deny tcp any eq 138 any access-list 102 deny tcp any eq 139 any access-list 102 permit ip any any dialer-list 1 protocol ip list 102 ! Wie kann ich meine bestehende Konfiguration sinnvoll erweitern, um eine Reaktivierung durch interne Dienste möglichst zu vermeiden ? Wie kann ich Sicherstellen, dass die DSL-Verbindung nicht unnötig offengehalten wird ? Ich möchte mich schon jetzt für eure Hilfe bedanken. :wink2: MfG Cisco User.

Hallo Wordo, der Router funktioniert !!!! :jau: Nach der gestrigen Änderung habe ich noch einige Artikel des Forums gelesen. Hierbei musste ich erkennen, dass man als DNS-Server nicht den eigenen Router verwendet, sondern das es sinnvoll ist, auf Clientseite die IP-Adresse des DNS-Server des Providers zu verwenden. Die notwendigen Informationen kann man manuell vorgeben oder einfacher per IPCP Protokoll vom Provider mitgeliefert bekommen. Hierzu ist es aber notwendig, dass man innerhalb der DHCP-Konfiguration die Zeile "import all" einträgt, da hierdurch die per IPCP ermittelten Informationen in die DHCP-Konfiguration eingebunden werden. Diese Befehle als auch das entsprechende Vorgehen kannte ich bisher nicht. Zusätzlich habe ich im Dialer-Interface die beiden Befehle "ip mtu 1492" und "ip tcp adjust-mss 1452" hinterlegt. Auch diese Einstellungen habe ich in diversen Forenartikeln gefunden. Nach meiner Einschätzung müssen die Parameter nur dem Dialer Interface zugeordnet werden, da nur dieses (neben den internen Lan-Interface) eine IP-Adresse erhält, welche danach aktiv nach außen kommuniziert. Die Zuordnung auf die LAN-Schnittstellen als auch dem VLAN-Interface des Modems sind scheinbar nicht notwendig. Seitdem ich alles eingetragen habe, kann ich mit bisher ungesehener Geschwindigkeit im Internet Surfen. Somit bleibt mir aktuell nichts anderes übrig, als Dir und allen Mitgliedern des Forums ganz herzlich zu danken. Nachfolgend habe ich nochmals die aktuelle Konfiguration des Routers ausgedruckt. Diese Konfiguration soll allen Anwendern dieses Forums in vergleichbaren Situationen als Ansatz dienen. Danke. :) Current configuration : 1842 bytes ! version 12.4 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! no aaa new-model ! ip cef no ip dhcp use vrf connected ! ip dhcp pool LAN-Clients import all network 172.16.12.0 255.255.255.0 default-router 172.16.12.1 domain-name meinlan.local lease 3 2 ! archive log config hidekeys ! interface FastEthernet0 spanning-tree portfast ! interface FastEthernet3 switchport access vlan 100 spanning-tree portfast ! interface Vlan1 description lokales Netzwerk ip address 172.16.12.1 255.255.255.0 ip nat inside ip virtual-reassembly ! interface Vlan100 description DSL Modem Anschluss no ip address pppoe enable group global pppoe-client dial-pool-number 1 ! interface Dialer1 ip address negotiated ip mtu 1492 ip nat outside ip virtual-reassembly encapsulation ppp ip tcp adjust-mss 1452 dialer pool 1 dialer-group 1 no cdp enable ppp authentication pap callin ppp pap sent-username nc-Username@netcologne.de password Password ppp ipcp dns request ! ip route 0.0.0.0 0.0.0.0 Dialer1 ! no ip http server no ip http secure-server ip nat inside source list 1 interface Dialer1 overload ! access-list 1 permit 172.16.12.0 0.0.0.255 access-list 102 permit ip any any dialer-list 1 protocol ip list 102 ! control-plane ! line con 0 logging synchronous ! scheduler max-task-time 5000 ! webvpn cef end Router# Danke !!! ;) MfG Cisco User

Hallo Wardo, Ich habe die Konfiguraton nochmals geändert. Ich habe die Adresse des internen Netzwerkes (VLAN 1) auf 172.16.12.x geändert. Zusätzlich habe ich die VLAN 100 Beschränkung für Ethernet-Pakete aufgehoben und den Parameter "ip tcp adjust-mss 1300" eingetragen. Current configuration : 1855 bytes ! version 12.4 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! no aaa new-model ! ip cef no ip dhcp use vrf connected ! ip dhcp pool LAN-Clients network 172.16.12.0 255.255.255.0 default-router 172.16.12.1 dns-server 172.16.12.1 domain-name meinlan.local lease 3 2 ! archive log config hidekeys ! interface FastEthernet0 spanning-tree portfast ! interface FastEthernet3 switchport access vlan 100 spanning-tree portfast ! interface Vlan1 description lokales Netzwerk ip address 172.16.12.1 255.255.255.0 ip nat inside ip virtual-reassembly ip tcp adjust-mss 1300 ! interface Vlan100 description DSL Modem Anschluss no ip address pppoe enable group global pppoe-client dial-pool-number 1 ! interface Dialer1 ip address negotiated ip nat outside ip virtual-reassembly encapsulation ppp dialer pool 1 dialer-group 1 no cdp enable ppp authentication pap callin ppp pap sent-username nc-Username@netcologne.de password Password ppp ipcp dns request ! ip route 0.0.0.0 0.0.0.0 Dialer1 ! no ip http server no ip http secure-server ip nat inside source list 1 interface Dialer1 overload ! access-list 1 permit 172.16.12.0 0.0.0.255 access-list 102 permit ip any any dialer-list 1 protocol ip list 102 ! control-plane ! line con 0 logging synchronous no modem enable line aux 0 line vty 0 4 login ! scheduler max-task-time 5000 ! webvpn cef end Leider hat die Änderung der Netzwerkadresse als auch die Änderung der von Dir genannten Parameter keine Veränderung in der Netzwerkkommunikation gebracht. Ich hoffe dass Du (Ihr) noch eine Idee habt. MfG Cisco User

Hallo Wordo, Du hattest mich gebeten, die aktuelle Konfiguration nochmals zu posten. Ich habe mir erlaubt die Passwörter. sowie die Einstellungen nicht genutzer Schnittstellen aus der Konfiguration zu löschen. Current configuration : 1829 bytes ! version 12.4 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! no aaa new-model ! ip cef no ip dhcp use vrf connected ! ip dhcp pool LAN-Clients network 172.168.12.0 255.255.255.0 default-router 172.168.12.1 dns-server 172.168.12.1 domain-name meinlan.local lease 3 2 ! archive log config hidekeys ! interface FastEthernet0 spanning-tree portfast ! interface FastEthernet3 switchport access vlan 100 spanning-tree portfast ! interface Vlan1 description lokales Netzwerk ip address 172.168.12.1 255.255.255.0 ip nat inside ip virtual-reassembly ! interface Vlan100 description DSL Modem Anschluss no ip address ip mtu 1452 pppoe enable group global pppoe-client dial-pool-number 1 ! interface Dialer1 ip address negotiated ip nat outside ip virtual-reassembly encapsulation ppp dialer pool 1 dialer-group 1 no cdp enable ppp authentication pap callin ppp pap sent-username nc-USERNAME@netcologne.de password PASSWORT ppp ipcp dns request ! ip route 0.0.0.0 0.0.0.0 Dialer1 ! no ip http server no ip http secure-server ip nat inside source list 1 interface Dialer1 overload ! access-list 1 permit 172.168.12.0 0.0.0.255 access-list 102 permit ip any any dialer-list 1 protocol ip list 102 ! control-plane ! line con 0 logging synchronous no modem enable line aux 0 line vty 0 4 ! scheduler max-task-time 5000 ! webvpn cef end Wenn ich die aufgeführte Konfig nutze, dann habe ich sehr viele Probleme mit der Namensauflösung von Webseiten. Am Beispiel "www.netcologne.de" konnte ich die Adressen der zugehörigen Systeme nicht mehr aufösen, da scheinbar der Router (172.168.12.1) die Namensauflösung über das Internet nicht ausführen kann: :( NSLOOKUP vom angeschlossenen Notebook mit DNS-Aufösung über den Router: > NetCologne Server: ACA80C01.ipt.aol.com Address: 172.168.12.1 *** NetCologne wurde von ACA80C01.ipt.aol.com nicht gefunden: No response from server > NetCologne Server: ACA80C01.ipt.aol.com Address: 172.168.12.1 Interessant finde ich den Namen des Servers "ACA80C01.ipt.aol.com", da ich den Router als Netcologne-Kunde nutzen wollte. Zu AOL habe ich keine Vertragsbeziehungen. Auch trägt mein Router den Hostnamen "Router", welcher als Cisco default nicht verändert wurde. Nur richtig ist, dass die IP-Adresse meines Routers 172.168.12.1 lautet. :confused: Wenn ich auf dem Client die Namensauflösung auf einen externen DNS-Server umstelle, kann ich zwar die IP-Adresse des zugehörigen Webservers bestimmen, aber die Webseite kann scheinbar nicht heruntergeladen werden. Interessanter Weise werden einige Webseiten ohne Probleme geladen, wenn ich die DNS-Namensauflösung umgehe und statt dessen die zugehörigen Serveradressen in der HOSTS-Tab des angeschlossenen Rechners manuell registriere. Einige Webseiten lassen sich auch ohne diesen Trick aufrufen. Ebay konnte ich mal die Startseite aufrufen, mal wurde nur die Hälfte dargestellt, mal funktionierte die Seite überhaupt nicht. Wenn ich ein Ping auf beliebige IP-Adressen mache und der Zielhost aufgrund seiner Konfiguration auf ein Ping antwortet, kann ich alle Hosts ohne Probleme anpingen. Ich hoffe, dass du (ihr) mit diesen Ausagen etwas anfangen könnt. Daher Danke an alle, welche zu einem sinnvollen Ansatz beitragen können. MfG Cisco User

Hallo Wordo, Ich werde die Konfiguration in etwa einer Stunde posten. Ich bin momentan noch außer Haus. Danke für die angebotene Hilfe. MfG Cisco User

Hallo Glady, In deiner Konfiguration fehlt auf jeden Fall ein Teil der NAT-Adressenübersetzung. Du hast geschrieben: interface Vlan10 ip nat inside Dir fehlt aber noch: interface Dialer 1 ip nat outside ! ip nat inside source list 1 interface Dialer1 overload access-list 1 permit 10.10.10.0 0.0.0.255 Ich hoffe, dass dir dieser Ansatz weiter hilft.... MfG Cisco User

Hallo Wordo, interessanter weise kann ich mittels "show ip int brief" erkennen, dass ich eine gültige IP-Adresse haben. Ich kann von dem Switch als auch vom angeschlossenen Notebook beliebige IP-Adressen anpingen. Auch die Namensauflösung von DNS-Adressen ist ohne Einschränkung möglich. Nur die Übermittlung von anderen Netzwerk-Protokollen ist scheinbar nicht möglich. MfG Cisco User

Hallo Wordo, die von Dir genannten Konfiguurationsbefehle sind in der von mir aufgelisteten Konfiguration schont unter der Überschrift "! NAT" aufgezeichnet. Dennoch Danke Ich Dir für die angebotene Hilfe. MfG Cisco User

Hallo zusammen, Ich habe die Konfiguration in einer Zeile geändert. ;) Seither erhalte ich vom Provider eine sinnvolle IP-Adresse für die Kommunikation, welche dem Interface Dialer1 zugeordnet ist. Leider kann ich damit noch nicht vollständig auf das Internet zugreifen, aber ich hoffe auch die letzten Fehler in der Konfiguration zu finden.... Vielleicht findet Ihr ja noch einen sinnvollen Ansatz. :rolleyes: en conf term ! Konfiguration des VLAN´s 1 interface Vlan1 description lokales Netzwerk ip address 172.168.12.1 255.255.255.0 ! Konfiguration des zugehörigen Ethernet-Ports interface FastEthernet0 spanning-tree portfast ! DHCP-Server zur Bereitstellung von IP-Adresse und DNS-Server ip dhcp pool LAN-Clients network 172.168.12.0 255.255.255.0 default-router 172.168.12.1 dns-server 213.168.112.60 194.8.194.60 domain-name meinlan.local lease 3 2 ! Konfiguration des VLAN´s 100 interface Vlan100 description DSL Modem Anschluss no ip address ip tcp adjust-mss 1452 pppoe enable pppoe-client dial-pool-number 1 ! Konfiguration des zugehörigen Ethernet-Ports interface FastEthernet3 switchport access vlan 100 spanning-tree portfast ! Konfiguration des Dialer-Modules interface Dialer1 ip address negotiated ip virtual-reassembly encapsulation ppp dialer pool 1 dialer-group 1 no cdp enable ppp authentication pap callin ppp pap sent-username nc-username@netcologne.de password passwort ! Routing der Default-Route auf das Dialer-Interface ip route 0.0.0.0 0.0.0.0 Dialer1 ! NAT interface Vlan1 ip nat inside interface Dialer1 ip nat outside ip nat inside source list 1 interface Dialer1 overload access-list 1 permit 172.168.12.0 0.0.0.255 ! Aktivierung des Dialer-Interfaces access-list 102 permit ip any any dialer-list 1 protocol ip list 102 ! Schon jetzt Danke für jede sinnvolle Hilfe... MfG Cisco User