PIX Newbie braucht hilfe bei NAT und IPSec Tunnel

[newbie2007 10]

Hallo erstmal an ALLE !!!

Ich bin in Sachen Firewall besonders in Sachen PIX ein kompletter Newbie ( habe zwar schon die eine oder andere Firewall mit IPTABLES realisiert, aber noch nie eine auf einer PIX)

 

Zur Hardware: Ich habe 2 Stk. PIX 501

 

Schema, was will ich :

 

PC1 ----- > PIX1 ----- > PIX2 ----- > PC2

 

PC1 : Adresse 10.248.16.1/24

PIX1 : interne Adresse 10.0.1.23/24 (Natürlich sind hier noch diverse

Router dazwischen damit die PIX auch den PC1 erreichen kann)

externe Adresse 88.101.102.103/24

PIX2 : interne Adresse 192.168.233.22/24

externe Adresse 88.101.102.104/24

PC2 : Adresse 192.168.233.10/24

 

Nun habe ich es soweit hinbekommen, dass zwischen den beiden PIXen ein IPSec Tunnel steht, ich kann auch alle Devices hinter den Netzen Pingen usw.

Ich möchte aber jetzt, dass der PC2 nicht über die interne 10.248.16.1 mit PC1 kommuniziert, sondern wenn der PC2 212.33.35.201 sollte er durch den Tunnel auf den PC1 kommen.

Also sollte die interne Adresse des PC1 auf PC2 nicht erscheinen, also ein völlig normales NAT (es ist nicht einfach einen NAT zu beschreiben *g*)

 

Ich danke euch für eure Unterstützung.

–

Ist mein Problem so trivial oder hab ich es schlecht rübergebracht.

Falls ich es nicht gut erklärt habe ich versuche es nochmal :

 

Ich habe folgendes Problem, ich muss zwei destinationen per IPSEC über zwei CISCO PIX 501 miteinander verbinden, der IPSEC Tunnel steht jetzt auch schon, es soll auf der PIX ein nat durchgeführt werden. Und ich weiß überhaupt nicht wie das geht!!!!!

 

PC1 --> PIX1 --- IPSEC --- PIX2 ---> PC2

 

PC1 hat als echte IP 10.248.16.1 und soll von extern jedoch durch den Tunnel unter 212.33.35.201 erreicht werden. Und wenn der PC1 was verschickt und das Paket hat als Destination Adresse PC2 drinnen, dann soll es ebenfalls auf die 212.33.35.201 genated werden.

 

Ich hoffe es kann mir jemand helfen, weil der Ausfall ist total lästig.

 

newbie2007

[makana 10]

du must zum ein nat -t dekativieren auf pix1

dann auf pix1

- static (inside,outside) 10.248.16.1 212.33.35.201 netmask 255.255.255.255

auf pix2 musst du dann die crypto acl anpassen und die nat ip (212.33.35.201) durchlassen

und das ganze dann nochmal umgedreht auf pix 2

 

 

das sollte reichen denke ich