CiscoForums.it

Inviato: **lun 25 feb , 2008 9:24 pm**

Ho un PIX con vpn server perfettamente funzionante. Da client, dopo aver stabilito una connessione vpn, vorrei accedere alla console del pix tramite telnet. Con l'attuale configurazione non mi e' possibile farlo, potreste indicarmi come modificarla opportunamente ?
Non vorrei facesse casino la mia scelta di assegnare al pool vpn la stessa sottorete dell'interfaccia esterna, creando forse confusione sull'abilitazione della chiamata telnet dell'outside ? La vereita' e' che non ho ben capito il pool vpn dove si colloca, se lato inside o outside, per cui non so neppure se devo impostare acl per l'access-group in ingresso dell'inside. Spero possiate darmi indicazioni.

Codice: Seleziona tutto

PIX Version 6.3(5)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxxxxxxxx encrypted
passwd xxxxxxxxxx
hostname host
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
access-list 90 permit icmp any any 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.100
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.101 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.102 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.103 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.104 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.105 
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.106
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.107
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.108
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.109
access-list no-nat permit ip 192.168.1.0 255.255.255.0 host 10.10.10.110
pager lines 24
mtu outside 1500
mtu inside 1500
ip address outside 10.10.10.2 255.255.255.0
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
ip local pool vpn-pool 10.10.10.100-10.10.10.110
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list no-nat
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group 90 in interface outside
route outside 0.0.0.0 0.0.0.0 10.10.10.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout sip-disconnect 0:02:00 sip-invite 0:03:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+ 
aaa-server TACACS+ max-failed-attempts 3 
aaa-server TACACS+ deadtime 10 
aaa-server RADIUS protocol radius 
aaa-server RADIUS max-failed-attempts 3 
aaa-server RADIUS deadtime 10 
aaa-server LOCAL protocol local 
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
crypto ipsec transform-set strong-set esp-3des esp-md5-hmac 
crypto dynamic-map my-dynmap 10 set transform-set strong-set
crypto map my-map 10 ipsec-isakmp dynamic my-dynmap
crypto map my-map client configuration address initiate
crypto map my-map interface outside
isakmp enable outside
isakmp nat-traversal 10
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash md5
isakmp policy 10 group 2
isakmp policy 10 lifetime 86400
vpngroup vpngroup address-pool vpn-pool
vpngroup vpngroup dns-server 151.xx.xx.xx 151.xx.xx.xx
vpngroup vpngroup split-tunnel no-nat
vpngroup vpngroup idle-time 1800
vpngroup vpngroup password xxxxxx
vpngroup dns-server idle-time 1800
telnet 10.10.10.1 255.255.255.0 outside
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.111-192.168.1.142 inside
dhcpd dns 151.xx.xx.xx 151.xx.xx.xx
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
dhcpd enable inside
terminal width 80
Cryptochecksum:8e26777b4c7de74c78a747da45072451
: end

Inviato: **mar 26 feb , 2008 10:38 am**

Codice: Seleziona tutto

conf t
management-access inside

no telnet 10.10.10.1 255.255.255.0 outside
telnet 10.10.10.1 255.255.255.0  inside
ssh 10.10.10.1 255.255.255.0 inside
ssh 10.10.10.1 255.255.255.0 outside

Inviato: **mer 27 feb , 2008 9:07 pm**

Ok Wiz e' andata, con management-access inside e l'abilitazione telnet sull'outside con la sottorete del pool ha funzionato, grazie.

Purtroppo m'e' servito a poco :( non potendo dal vpn client, raggiungere direttamente il router che si trova nell'outside del pix, pensavo di collegarmi prima alla console del pix e poi da questa eseguire una chiamata telnet verso il router. Ma dalla console del pix (non come quella del router) non ho trovato alcun comando per aprire connessione telnet.. possibile o mi sono perso qualcosa ? E se non fosse possibile.. qualche suggerimento su come il router nella outside del pix da un vpn client ?

Inviato: **gio 28 feb , 2008 11:31 am**

Dal PIX non puoi fare telnet o ssh da altri apparati...
Io per fare prima accederei in rdp o vnc ad un server e da li telnet sulla inside del PIX

Inviato: **gio 28 feb , 2008 12:37 pm**

Wizard ha scritto:Io per fare prima accederei in rdp o vnc ad un server e da li telnet sulla inside del PIX

E' quello che faccio attualmente, mi collego in desktop remoto ad un pc della inside del pix, da li raggiungo sia la console di quest'ultimo che quella del router, ma vorrei procedere come dire, in background, senza coinvolgere le macchine della lan .. quindi mi sa che l'unica soluzione e' quella di abilitare il pix a gestire il traffico del tunnel vpn anche quando questo e' diretto verso l'outside.. ma come se fa ? Non che voglia la pappetta pronta perche penso che richieda un minimo studio, ma almeno un suggerimento ?

Inviato: **gio 28 feb , 2008 3:01 pm**

Allora, il telnet quando arrivi dalla outside non va al 100%
Dal outside via cli va solo ssh

Inviato: **gio 28 feb , 2008 5:13 pm**

Wizard ha scritto:Allora, il telnet quando arrivi dalla outside non va al 100%
Dal outside via cli va solo ssh

Quindi se mi collego via telnet all'outside del pix, tra i comandi "enabled" trovo ssh o ha altro nome ? Adesso non ricordo con precisione, ma mi sembra di non averlo trovato tra i comandi disponibili.

Inviato: **lun 03 mar , 2008 10:53 am**

Il comando "telnet x.x.x.x 255.255.255.0 outside" lo prende ma nn funziona poichè l'accesso telnet da internet non funziona!
Funziona l'accesso ssh da outside:

ssh x.x.x.x 255.255.255.255 outside

Inviato: **lun 03 mar , 2008 12:21 pm**

Wizard ha scritto:Funziona l'accesso ssh da outside:
ssh x.x.x.x 255.255.255.255 outside

Ci siamo persi nel discorso. L'accesso al PIX l'ho risolto grazie alle tue indicazioni su come abilitarlo ad accettare chiamate telnet da vpn client. Poi ho seguitato col chiederti se ci fosse modo di eseguire chiamate telnet dalla console del pix, perche devo raggiungere un 837 che sta nell'outside. Mi hai detto che il pix non prevede questa funzionalita', e quindi mi hai suggerito di accedere in desktop remoto ad un pc nell'inside del pix e da questo fare telnet verso l'837. Ma cosi facendo impegnerei un pc della lan, quindi speravo in un metodo indipendente.

Inviato: **mar 04 mar , 2008 11:24 am**

Confermo che dalla console del PIX non riesci a fare telnet o ssh verso altri apparati.

CiscoForums.it

Accesso alla console del PIX via telnet da VPN client

Accesso alla console del PIX via telnet da VPN client