Ein paar unklare Cisco Pix 515E VPN-bezogene Befehle

[Jay_Fisi 10]

Hallo,

 

Mir ist die genaue Bedeutung folgender Befehle, trotz lesen der Doku, bei einer Pix 515E nicht ganz klar. Kann da wer helfen :

ip local pool ippool 192.168.1.1-192.168.1.254

Das ist ja um die IP bei einer VPN Verbindung festzulegen, richtig? Auf welche Seite bezieht sich das, wenn ich mich irgendwo einwähle oder wenn sich jemand bei mir einwählt?

 

crypto ipsec transform-set myset esp-des esp-md5-hmac

Dieses "myset" ist einfach nur eine selbst erstellter Transform-set Name?D.h. damit wird die Verschlüsselungsart festgelegt?

 

crypto dynamic-map xyz 10 set transform-set myset

Was ich auch nicht ganz verstehe ist, wofür ich die sequence number genau benötige? bzw. wofür die dynamic-maps gut sind?

 

 

Vielen Dank schon mal!

[Wordo 11]

Den local pool vergibst du den Clients die sich bei dir einwaehlen.

"myset" kann xbeliebig heissen. Du brauchst halt in anderen Commands einen Bezug, deswegen der Name.

Eine Dynamic-Map machst du wenn das andere Peer eine dynamische IP hat. Die Sequence Number macht vor allem bei statischen crypto maps Sinn, da du ja mehrere Tunnel verwenden kannst.

crypto map mymap 10 -> VPN zu 10.10.10.10

crypto map mymap 20 -> VPN zu 20.20.20.20

...

[Jay_Fisi 10]

Super, dankeschön!

[Jay_Fisi 10]

Habe noch eine kleine Frage:

 

Situation:

1. Pix Firewall mit Firmennetzwerk hinten dran

2. Externes Rechenzentrum: mit FreeSwan Server

 

Das Netzwerk des externen Rechenzentrums soll per VPN durch das Internet an das Firmennetzwerk angebunden werden d.h alle Kommunikation die zwischen den beiden erfolgt soll verschlüsselt sein.

 

Wo gebe ich denn bei der PIX Konfiguration an, dass nur alles was zum externen Rechenzentrum geht, auch wirklich verschlüsselt wird? Die Kommunikation eines unserer Server z.B. mit irgendwelchen anderen Webseiten/oder beim Download von Updates soll ja nicht verschlüsselt werden. Oder weiss die Pix das anhand der Datenpakete was verschlüsselt werden soll und was nicht? Und zwar konfiguriere ich das gerade über die PIX Weboberfläche, da fragt er gerade danach. Gebe ich da das komplette interne Netz an, oder nur die Pix?

 

Danke

[Wordo 11]

Das geht ueber eine Access-Liste:

 

access-list Freeswan permit ip 10.0.9.0 255.255.255.0 10.0.1.0 255.255.255.0

crypto map mymap 10 match address Freeswan