PIX fehler / SYN Timeout

[staga 10]

Hallo Leute

 

Ich hoffe das mir hier jemand helfen kann. Also ich bin (of course) ein Newbi in Sachen PIX Firewall. Folgendes Problem:

 

Von Outside möchte ein Kunde via DMZ auf einen Unix Server im Lan zugreifen. Habe folgendes gemacht.

 

- dem Unix Server eine DMZ Adresse gegeben auf die der Kunde von outside zugreift und die entsprechenden ports freigeschaltet.

 

Nun so weit funktioniert das auch (meiner Meinung nach) wenn ich aber mein log-file anschaue dann bekomme ich folgendes:

 

 

2006-03-23 11:42:17 Local4.Info 196.160.21.5 %PIX-6-302013: Built inbound TCP connection 720 for dmz:10.40.100.50/3415 (10.40.100.50/3415) to inside:196.160.21.100/23 (10.1.21.200/23)

 

2006-03-23 11:39:50 Local4.Info 196.160.21.5 %PIX-6-302014: Teardown TCP connection 719 for dmz:10.40.100.50/3407 to inside:196.160.21.100/23 duration 0:02:01 bytes 0 SYN Timeout

 

Per Internet hab ich rausgefunden das der Fehler (0 SYN Timeout) folgender ist:

 

-Force termination after two minutes awaiting three-way handshake completion.

 

What thee hell.....Ich habe keinen schimmer was ich mit dieser Antwort anfangen soll.

Bitte helft mir.

 

Gruss

staga

[rob_67 10]

Hi,

 

 

würde mal sagen, der server antwortet nicht?!

 

 

Gruss

 

 

rob

[staga 10]

hä was wie, der Server. Wie meinst du das......

[rob_67 10]

Hi,

 

du versuchst von aussen eine tcp TELNET verbindung mittels syn paket zu initiieren, aber aus dem internen netz von deinem server kommt keine antwort, möglicherweise weil da eine route fehlt?

 

 

gruss

 

 

rob

[Wordo 11]

Ich glaub auch dem UNIX-Server fehlt ne Route ...

[markber 10]

Hi,

 

Noch mal zum Verständnis, ein Kunde kommt vom Internet auf einen Host in der DM.. von dort soll eine Telent-Session ins interne LAN gestartet werden...?

 

Wenn ja... brauchst du einen static Eintrag...

 

static (inside,dmz) ip ip netmask 255.255.255.255 0 0

 

von einem Interface, das einen höheren Sicherheitslevel hat (outside), muss ein static Eintrag zum interne Host gesetzt werden.... man sollte auch NAT beachten...

 

Das Routing auf dem Host im internen LAN muss natürlich auch stimmen...Weiter muss eine Access-liste konfiguriert werden...