ASA, DMZ Konfiguration

[hegl 10]

Folgendes Szenario: ASA mit outside, dmz und inside.

 

In der dmz stehen öffentlich zugängliche Server (globale IP´s), die aber auch selbst Verbindungen nach draußen initiieren dürfen/sollen/müssen.

 

Teilweise müssen aber auch manche dieser Server über fest definierte Ports ins LAN zugreifen.

 

Nun zu der Problematik: Für die globalen IP´s konfiguriere ich ein identy-nat für eingehende Verbindungen. Für ausgehende Verbindungen konfiguriere ich zunächst ein nat-0 mit anschließender ACL wie zB

access-list DMZ-OUT extended permit tcp object-group Webserver any eq http

 

Für die Verbindungen ins LAN konfiguriere ich dann ein static und schon ist das Problem da. Jeder Server in der object-group Webserver darf dann per http auf den per static definierten Server im LAN zugreifen.

 

Wie kann ich das eingrenzen, dass ich den Webservern ausschließlich den Zugriff nach draußen erlaube?

 

Konfiguriert habe ich bei den access-group

 

access-group DMZ_OUT in interface DMZ
access-group inside_out in interface inside
access-group outside_in in interface outside

 

Kann ich mit einer weiteren access-group

access-group inside_in out interface inside

 

diesem Problem begegnen, oder zerhaue ich mir da eine andere access-group?

 

Ich habe irgendwas im Kopf, dass ich auf einem interface nur eine access-group binden kann.

[hegl 10]

Moin moin,

 

wieso hat mich denn gestern keiner aus meiner Lethargie geweckt? :D:D:D

 

Habe mal wieder den Wald vor lauter Bäume nicht gesehen.

 

Die Lösung ist doch recht simpel (Reihenfolge beachten):

- alle benötigten Verbindungen zu internen Netzen werden permitted

- der Zugriff auf alle angeschlossenen Netze wird denied

- der Zugriffauf "any" wird permitted

 

Und schon läuft´s wie gewünscht ;)