Firewall "IP Inspect" auf 836

[Alex_K._aus_M. 10]

Hallo,

 

ich beschäftige mich seit eineiger Zeit mit einem 836 an DSL (Nur Surfen und co. kein VPN oder sonst was). Jetzt habe ich die Firewall aktiviert mit ein paar Standart Reglen. Als ich bei Cisco versuchte nachzulesen wurde es nicht gerade klarer, sondern eher verwirrender. Die schreiben da ...

 

Configure and apply the "deny any" ACL on the public-facing interface, fastethernet 0/0, to block requests from the unsecure network.

access-list 101 deny ip any any

interface fastethernet 0/0

ip access-group 101 in

 

(fastethernet 0/0 ist in diesem Bsp. das Interface in Richtung Internet, und fast0/1 ins LAN)

 

Nun kommen die Reglen und die Bindung ans Interface

 

Define the inspection set:

ip inspect name myfw tcp

ip inspect name myfw udp

ip inspect name myfw icmp

Apply the inspection inbound to the inside interface:

interface fastethernet 0/1

ip inspect myfw in

Or, apply inspection outbound to the outside interface:

interface fastethernet 0/0

ip inspect myfw out

 

So jetzt kommt meine Fragen :)

 

1.Frage

wenn in der Access-Liste 101 "deny ip any any" steht. Wie soll dann noch Traffic reinkommen. Oder öffnet die Firewall trotz der Access Liste ein Loch ? :suspect:

 

2.Frage

wie sinvoll ist es die Firewall in beide Richtungen zu aktivieren. Reicht in meinem Fall den nicht nur.

interface fastethernet 0/0

ip inspect myfw out

 

3.Frage

Diese "Complete List of Granular Protocol Inspection-Supported Services" ist ja endlos lang bei Cisco. Gibt es da nicht einen quasi Standart für den "normalen" Internet User.

 

Ich hoffe das war jetzt nicht zuviel gefragt. Und bitte nicht Schlagen wenn ich da was Grundsätzliches übersehen habe. Danke

[Klettermaxx 10]

1. Mit dem Befehl blockst Du jeglichen reinkommenden IP-Verkehr auf dem Interface.

2. Die Firewall wäre sinnvoller incoming auf dem ausgehenden Interface, sprich dem Dialer für die Internetverbindung.

3.Erzeuge einfach Einträge mit ip inspect. Ich würde empfehlen einfach alles zu aktivieren. Dann lasse alle IP-Daten eingehend auf dem Dialer Interface prüfen. Quasi ip inspect myfw in.

 

Gruß Florian

[daking 10]

Hola,

 

incoming auf dem Dialer ist die fw sicherlich nicht sinnvoll, ausser du willst Requests auf Server in z.B. der DMZ überprüfen ! In deinem Fall wirst du die Verbindung aufbauen und nicht ein entfernter Client im Internet.

 

Hier ein Beispiel über die Funktion:

 

LAN--->fa0/0----router---fa0/1--->Internet

 

Sinnvoll ist hier das CBAC Feature entweder incoming auf dem fa0/0 interface oder outgoing auf dem fa0/1 zu aktivieren. Die zusätzliche ACL mit minimal deny ip any any benötigst du , da wenn auf der LAN Seite eine Verbindung aufgebaut wird, automatisch der Rückweg in dieser ACL durch das CBAC Feature definiert wird (solltest du auch mit sh access-list xx sehen, ausser bei aktuellen IOS). Existiert keine ACL in der Gegenrichtung funktioniert dieses Feature nicht.

 

Ein Standard set von Protokollen deren Inhalt (Befehle...Grösse...Anzahl SYN..) gescheckt werden soll gibt es nicht. Musst du selber entscheiden. Wenn du z.B. SMTP überprüft kannst du keine erweiterten Befehle benutzen, die für manche Server benötigt werden, FTP.. H323... usw.

 

Ciao

[Alex_K._aus_M. 10]

Danke für dir Antworten,

habe jetzt mal die Firewall Outgoing auf dem Dialer-Interface installiert, mit ACL Liste in gegenrichtung. - sieht gut aus und funktioniert - :)

Ich habe jetzt mal einen ganzen Stall von "Regle sets" auf der Firewall aktiviert und werde wohl das Ausschlussverfahren wählen. Sollte eine Anwendung nicht mehr gehen, muss ich das entsprechende Regel-Set halt wieder ausschalten :(

 

Nochmals Danke für die Antworten

[Alex_K._aus_M. 10]

Hmmmm,

 

funktioniert doch nicht, hatte die falsche access-liste aufs Interface gebunden. Ich habe jetzt die richtige Access-List aufs Dialer Interface gebunden, jetzt geht gar nichts mehr :shock:

 

Meine Konfig sieht jetzt auszugsweise so aus. Habe ich was übersehen ??

 

ip inspect name myfw cuseeme timeout 360

ip inspect name myfw ftp timeout 360

ip inspect name myfw h323 timeout 360

ip inspect name myfw icmp timeout 360

ip inspect name myfw netshow timeout 360

ip inspect name myfw rcmd timeout 360

..........................usw....

ip inspect name myfw udp

ip inspect name myfw vdolive timeout 360

 

interface Dialer1

description connected to Internet

ip access-group 101 in

ip nat outside

ip inspect myfw out

 

access-list 101 deny ip any any

[daking 10]

Hola,

 

kannst du nicht mal eine externe IP pingen?

Einfach mal das logging mit :

 

ip inspect audit-trail

logging on

 

und optional

 

no ip inspect alert-off.

 

Funktioniert das nat ?

 

sh ip nat trans

 

debug ip nat?

 

Ciao

[Alex_K._aus_M. 10]

Upps ................ daking woher wusstest du das. Stimmt - Ich kann IP Adressen im Internet noch noch Pingen. NAT sollte also funtionieren. Was könnte das sein ?

 

Anbei das logging wie du vorgeschlagen hast. (Verstehen tu ich die Einträge zwar nicht)

 

*Mar 1 06:14:43: %FW-6-SESS_AUDIT_TRAIL: Stop tcp session: initiator (192.168.2

.11:1382) sent 357 bytes -- responder (217.72.200.153:80) sent 987 bytes

*Mar 1 06:14:43: %FW-6-SESS_AUDIT_TRAIL: Stop tcp session: initiator (192.168.2

.11:1384) sent 332 bytes -- responder (217.72.200.6:80) sent 326 bytes

*Mar 1 06:14:43: %FW-6-SESS_AUDIT_TRAIL: Stop tcp session: initiator (192.168.2

.11:1372) sent 343 bytes -- responder (217.72.200.153:80) sent 1921 bytes

*Mar 1 06:14:43: %FW-6-SESS_AUDIT_TRAIL: Stop tcp session: initiator (192.168.2

.11:1383) sent 364 bytes -- responder (217.72.200.153:80) sent 3627 bytes

*Mar 1 06:14:43: %FW-6-SESS_AUDIT_TRAIL: Stop tcp session: initiator (192.168.2

.11:1385) sent 427 bytes -- responder (62.26.220.2:80) sent 1274 bytes

[daking 10]

hola,

 

ip inspect name myfw http extistiert?

 

Ciao

[Alex_K._aus_M. 10]

Jep die gibt es "jetzt" . Hatte ich vergessen. Ich schäme mich :o

 

 

 

ip inspect audit-trail

ip inspect name myfw cuseeme timeout 360

ip inspect name myfw ftp timeout 360

ip inspect name myfw h323 timeout 360

ip inspect name myfw icmp timeout 360

ip inspect name myfw netshow timeout 360

ip inspect name myfw rcmd timeout 360

ip inspect name myfw realaudio timeout 360

ip inspect name myfw rtsp timeout 360

ip inspect name myfw sqlnet timeout 360

ip inspect name myfw streamworks timeout 30

ip inspect name myfw tcp timeout 360

ip inspect name myfw tftp

ip inspect name myfw udp

ip inspect name myfw vdolive timeout 360

ip inspect name myfw http

ip ips po max-events 100

 

 

 

Leider geht es immer nich nicht. Jetzt meint er er müsse die http Session Stoppen !? Kann ich ihm das abgewöhnen ?

 

--> Aber jetzt ab ins Bett --- morgen weiter

 

 

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1300) sent 615 bytes -- responder (80.67.19.44:80) sent 672 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1301) sent 610 bytes -- responder (80.67.19.44:80) sent 689 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1302) sent 610 bytes -- responder (80.67.19.44:80) sent 683 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1303) sent 615 bytes -- responder (80.67.19.44:80) sent 707 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1304) sent 612 bytes -- responder (80.67.19.44:80) sent 896 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1305) sent 610 bytes -- responder (80.67.19.44:80) sent 669 bytes

*Mar 1 11:36:24: %FW-6-SESS_AUDIT_TRAIL: Stop http session: initiator (192.168.2.66:1306) sent 604 bytes -- responder (80.67.19.44:80) sent 2904 bytes

[daking 10]

Hola,

 

scheint so wie, dass DNS nicht läuft. Denke die angezeigten Adressen werden direkt beim starten des Browsers angezeigt => Ads (ad1.adsolution.de [62.26.220.2], img.web.de [217.72.200.153], m12s01db.ispgateway.de [80.67.19.44]).

 

mal mit nslookup testen, ob das durch die FW geht sont hinzufügen.

 

 

Ciao

[Alex_K._aus_M. 10]

Hmm,

 

in der Tat. DNS läuft nicht

 

DNS lässt sich nicht als Reglel hinzufügen. Eigenlich läuft doch DNS auf Port 53 TCP und UDP.Sollte ja freigegeben sein. Das einzigste was man freigenen kann ich der Timeout der DNS Abfrage.

 

Hat das was damit zu tun das ich auf dem Router keinen DNS Einetragen habe sondern ihn übers DialerInterface vom Provider "lerne"

 

ip cef

ip domain lookup source-interface Dialer1

 

ip inspect dns-timeout 30

ip inspect name myfw cuseeme timeout 360

ip inspect name myfw ftp timeout 360

ip inspect name myfw h323 timeout 360

ip inspect name myfw icmp timeout 360

ip inspect name myfw netshow timeout 360

ip inspect name myfw rcmd timeout 360

ip inspect name myfw realaudio timeout 360

ip inspect name myfw rtsp timeout 360

ip inspect name myfw sqlnet timeout 360

ip inspect name myfw streamworks timeout 30

ip inspect name myfw tcp timeout 360

ip inspect name myfw tftp

ip inspect name myfw udp

ip inspect name myfw vdolive timeout 360

ip ips po max-events 100

no ftp-server write-enable

!

interface Dialer1

description connected to

ip address negotiated

ip access-group 101 in

ip mtu 1492

ip nat outside

ip inspect myfw out

ip virtual-reassembly

encapsulation ppp

dialer pool 1

dialer idle-timeout 360

dialer string 123456

dialer-group 2

ppp XXXXXXXXXXXXXXXXXX

ppp chap XXXXXXXXXXXXXXXXXX

ppp chap XXXXXXXXXXXXXXXXx

ppp ipcp dns request

[daking 10]

Hola,

 

gibst du den gelernten DNS Server an die/den Client/s weiter? wenn du auf dem router einen dhcp server laufen hast sollte import all unter der scope helfen..

 

ciao

[Alex_K._aus_M. 10]

Nein ich habe kein DHCP. Mein Adressen im LAN sind statisch. Ich habe als Standart Gateway und als DNS Server jeweils den Router "192.168.2.1" angegeben.

Es klappt ja auch prima, nur eben nicht wenn ich die Firewall aktiviere bzw. wenn ich die Access Liste aufs Interface Binde. Gehen kein DNS Anfragen mehr. Würde es sinn machen den Server statisch in der Router Konfig anzugeben. (Wi e ging das nochmal )

 

PS: Danke für deine hilfe, daking

[rob_67 10]

hi,

 

auf den clients darfst du nicht den cisco als dns server eingeben, sondern immer die internet dns server direkt, beim bintec router ist sowas möglich, aber beim cisco nicht... frag mich bloss gerade, wie das funktionieren kann ohne firewall, also bei meinen verwendeten routern und iossen macht das keiner... oder kennst du da noch ein geheimkommando?

 

 

gruss

 

rob

[Pretender 10]

Wenn du auf den Clients den Router als DNS angibst, müsste auf dem Router der DNS Server enabled werden:

 

conf t

ip dns server

exit

write me

 

Die Name-Server sollten in der Config eingetragen sein.

 

ip name-server xxxx

 

Der Router würde als DNS Proxy fungieren.

 

Zu deinem Problem mit den Access-Listen - poste Sie doch einmal hier bzw. überprüf mal ob du domain/udp auch durchlässt.

 

Hier noch Links:

 

http://www.cisco.com/en/US/products/sw/iosswrel/ps5207/products_feature_guide09186a00801a7605.html

 

http://www.cisco.com/en/US/products/sw/iosswrel/ps5413/prod_release_note09186a00801c46b5.html

Absatz: DNS Proxy