CiscoForums.it

Inviato: **lun 05 nov , 2007 9:25 pm**

Ciao a tutti.
Attualmente il mio cisco 837 è configurato senza firewall, e mi sento leggermente scoperto.

Ho letto una bella configurazione postata da Wizard e ne ho preso spunto per crearmi un template di firewall.
Il mio problema è che quando applico queste access list in ingresso, sull'interfaccia Dialer0:

ccess-list 100 remark *************************************************************
access-list 100 remark *** ACL PER PAT E NAT0 ***
access-list 100 permit ip 10.0.0.0 0.0.0.255 any

access-list 131 remark *************************************************************
access-list 131 remark *** ACL ANTI-SPOOFING ***
access-list 131 deny ip host 0.0.0.0 any log
access-list 131 deny ip 127.0.0.0 0.255.255.255 any log
access-list 131 deny ip 192.0.2.0 0.0.0.255 any log
access-list 131 deny ip 224.0.0.0 31.255.255.255 any log
access-list 131 deny ip 10.0.0.0 0.255.255.255 any log
access-list 131 deny ip 172.16.0.0 0.15.255.255 any log
access-list 131 deny ip 192.168.0.0 0.0.255.255 any log
access-list 131 remark *************************************************************
access-list 131 remark *** ACL PER CONTROLLARE TRAFFICO ICMP ***
access-list 131 permit icmp any any echo
access-list 131 permit icmp any any echo-reply
access-list 131 permit icmp any any time-exceeded
access-list 131 permit icmp any any unreachable
access-list 131 permit icmp any any administratively-prohibited
access-list 131 permit icmp any any packet-too-big
access-list 131 permit icmp any any traceroute
access-list 131 deny icmp any any
access-list 131 remark *************************************************************
access-list 131 remark *** ACL PER BLOCCARE L'ACCESSO A VIRUS E ATTACCHI ***
access-list 131 deny tcp any any eq 135
access-list 131 deny udp any any eq 135
access-list 131 deny udp any any eq netbios-ns
access-list 131 deny udp any any eq netbios-dgm
access-list 131 deny tcp any any eq 139
access-list 131 deny udp any any eq netbios-ss
access-list 131 deny tcp any any eq 445
access-list 131 deny tcp any any eq 593
access-list 131 deny tcp any any eq 2049
access-list 131 deny udp any any eq 2049
access-list 131 deny tcp any any eq 2000
access-list 131 deny tcp any any range 6000 6010
access-list 131 deny udp any any eq 1433
access-list 131 deny udp any any eq 1434
access-list 131 deny udp any any eq 5554
access-list 131 deny udp any any eq 9996
access-list 131 deny udp any any eq 113
access-list 131 deny udp any any eq 3067
access-list 131 remark *************************************************************
access-list 131 remark *** ACL PER BLOCCARE ACCESSI NON AUTORIZZATI ***
access-list 131 deny ip any any log

il mio router, che è configrato come proxy dns (ip dns server)
non mi risolve più i nomi, per il resto funziona bene.
ho provato ad aggiungere
access-list 102 permit udp any any eq 53, ma niente da fare.
chi mi sa aiutare?

Inviato: **lun 05 nov , 2007 10:33 pm**

ciao,

forse leggo male, ma tra tutte le acl 131 non ne vedo una che permette il traffico verso l'interfaccia Dialer0.

potresti postare anche la parte di configurazione riguardante la Dialer0??

Inviato: **lun 05 nov , 2007 11:02 pm**

Grazie, queste sono le mie interfacce:

interface Ethernet0
ip address 10.0.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly
hold-queue 100 out
!
interface ATM0
no ip address
no atm ilmi-keepalive
dsl operating-mode auto
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
!
interface Virtual-Template1
ip unnumbered Ethernet0
peer default ip address pool VPN_POOL
ppp encrypt mppe auto
ppp authentication pap chap ms-chap
!
interface Dialer0
ip address negotiated
ip nat outside
ip virtual-reassembly
ip access-group 131 in
encapsulation ppp
dialer pool 1
dialer-group 1
ppp authentication chap pap callin
ppp chap hostname xxxxxxxxxxxxxxxxxxxx
ppp chap password 7 xxxxxxxxxxxxxxxxxxx
ppp pap sent-username xxxxxxxxxxxxxxx password 7 xxxxxxxxxxxxxxxxxx

mi permetto anche di chiedere:
per permettere in ingresso anche le chiamate pptp bastano queste 2 righe?
access-list 131 permit gre any any
access-list 131 permit tcp any any eq 1723

Inviato: **lun 05 nov , 2007 11:39 pm**

ariciao,

allora secondo me per il problema del dns dovresti inserire come penultima questa access-list qua:

access-list 131 permit udp any any eq 53

(il deny ip any any log deve essere l'ultima!!)

per le access-list riguardanti le chiamate pptp nn sò aiutarti.

sorry!!

Inviato: **mar 06 nov , 2007 10:11 am**

Configura l'ip inspect in uscita su tcp, udp e dns!
Lascia perdere le acl in ingresso x la porta 53 udp.

Inviato: **lun 12 nov , 2007 12:54 am**

Scusate il ritardo con cui rispondo.

Ho fatto molte prove è ho risolto come diceva hashashin.
Ho provato ache con l'sdm, infatti il wizard di creazione del firewall,
quando ha visto che avevo i 3 name server ha aggiunto queste
access.list:

access-list 131 permit udp host 212.216.112.11 eq domain any
access-list 131 permit udp host 151.99.125.3 eq domain any
access-list 131 permit udp host 151.99.125.2 eq domain any

Con queste mi risolve bene i nomi.

Grazie.

Inviato: **lun 12 nov , 2007 9:53 am**

Ripeto che non è la configurazione migliore quella messa da te anche se funzionale.

Inviato: **lun 12 nov , 2007 12:13 pm**

Prima ti tutto grazie per l'aiuto e il tempo che perdi per rispondere.

Io ho già configurato ip inspect in uscita su tcp,udp, dns e anche altri protocolli.

Resta il fatto che senza quelle access-list i client non risolvono.

Forse la migliore configurazione è passare in dhcp direttamente i dns esterni.

Inviato: **lun 12 nov , 2007 2:56 pm**

Faccio un ultima domanda, solo perchè mi piace capire la logica piuttosto che imparare a pappagallo.

dato che in fondo c'è la regola
access-list 131 deny ip any any log

che in teoria dovrebbe bloccare tutto.

Perhè è necessario mettere tutti quei deny prima?

Inviato: **lun 12 nov , 2007 3:57 pm**

Non è necessario!
Io le metto perchè mi piace vedere ed eventualmente loggare i tentativi di attacco (ip spoofing, virus...).
Se non te ne frega basta che fai:

Codice: Seleziona tutto

no access-l 131
access-l 131 permit ....
access-l 131 permit ....
access-l 131 permit ....
access-l 131 permit ....
access-l 131 deny ip any any

Cioè al inizio della acl devi mettere quello che permetti esplicitamente, e, alla fine, un bel deny ip any any che nega tutto il resto.

Inviato: **lun 12 nov , 2007 4:00 pm**

finalmente mi è tutto chiaro!

grazie ancora

Inviato: **gio 15 nov , 2007 3:05 pm**

ciao wizard,

gentilmente potresti spiegarmi in due parole cosa sarebbe l' "ip inspect"??

grazie mille!!!

CiscoForums.it

Firewall mi blocca risoluzione nomi

Firewall mi blocca risoluzione nomi