PIX 501 - Gezielt Connection sofort trennen

[1000dinge 10]

Hallo Zusammen,

 

Mein System: PIX 501, per DSL PPPEO am Internet.

 

Ich habe eine Object-Group, in der (externe) IPs stehen, welche per FTP auf einen (internen) Server zugreifen dürfen. Wenn ich eine IP aus der Object-Group entferne, sollen alle Connections zu dieser IP sofort getrennt werden.

 

Das Problem: eine bestehende FTP-Connection bleibt erstmal gültig. Erst, wenn eine neue Verbindung angefordert wird, schlägt dies fehl. Ist ja auch alles soweit in Ordnung und ok.

 

Was ich suche: ich möchte gezielt eine Verbindung einer externen IP (wie in z.B. "show conn" angezeigt) trennen. Und zwar sofort und vollständig. Alles was ich bisher gefunden habe ist, dass ich mit "clear xlate" diesen Effekt hinbekomme, dann aber natürlich alle Connections beendet werden.

 

*seufz* Habe ich irgendetwas übersehen?

 

Danke für jede Hilfe,

Oliver

[1000dinge 10]

Ich versuchs noch mal:

 

Es muss doch eine Möglichkeit geben auf der PIX eine Verbindung eines Clients durch die FW zu trennen bzw. die PIX zu veranlassen, alle bestehenden Verbindungen noch mal gegen die (aktualisierten) Accesslists zu prüfen?

 

Es kann doch nicht sein, dass man in einem solchen Fall faktisch alle Connections zurücksetzen muss!

 

Wirlkich niemand einen Ansatz oder Idee?

 

Viele Grüße,

Oliver

[MYOEY 10]

hi 1000dinge,

Mithilfe der folgenden Befehle könntest du dir mal alle Connections anzeigen lassen:

 

show conn

show xlate

 

Mit dem Command clear xlate werden alle Verbindugen beendet, aber mit

z. B. ein locale Rechner mit dem IP 192.168.1.10 hat eine Verbindung, mit dem folgendem Bewfehl kannst du explizit diese Verbindung zu beenden:

 

clear xlate local 192.168.1.10

 

 

probiere 's mal!

 

Gruß

 

MYOEY

[s21it21 10]

hallo,

 

um eine verbindung SOFORT zu löschen (zb. hackattacke) nimmt man auf der pix den SHUN befehl.

 

im enable-mode einfach shun <ip-adresse> eingeben. die pix dropped dann alle verbindungen von dieser ip.

 

das shunning (sorry habe deinen beitrag erst jetzt genau gelesen) ist aber nur dafür da, wenn man schnell jemanden blockieren muss. sonst macht man das wie meine vorredner beschrieben haben.

 

lg

martin

[1000dinge 10]

Vielen Dank an euch Beide, dass hört sich doch vielversprechend an. Ich werde das die Tage ausprobieren.

 

Danke,

Oliver