Einrichtung einer Cisco ASA 5505 mit Dual ISP, PPPoE und PAT, Einrichtungsprobleme

Hallo aqui,

vielen Dank für den Hinweis mit dem MTU-Wert, ich habe das sofort geändert.

Die fehlende NAT-Regel habe ich hinzugefügt.

Die aktuelle "sho ru" sieht so aus:


ASA Version 8.0(2)
!
hostname ciscoasa
enable password 123456789 encrypted
names
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.1.5 255.255.255.0
ospf cost 10
!
interface Vlan2
nameif wan2
security-level 0
pppoe client vpdn group isp2
ip address pppoe setroute
ospf cost 10
!
interface Vlan12
nameif wan1
security-level 0
pppoe client vpdn group isp1
ip address pppoe setroute
ospf cost 10
!
interface Ethernet0/0
description WAN2 Zugang zu Telekom
switchport access vlan 12
!
interface Ethernet0/1
switchport access vlan 2
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
passwd 123456789 encrypted
boot system disk0:/asa802-k8.bin
ftp mode passive
dns domain-lookup inside
dns domain-lookup wan2
dns server-group t-com_dns_server
name-server 195.244.245.27
dns-group t-com_dns_server
object-group protocol TCPUDP
protocol-object udp
protocol-object tcp
access-list 100 extended permit ip any any
access-list wan2_access_in extended permit ip any any
access-list inside_access_out extended permit ip any any
pager lines 24
logging enable
logging buffered errors
logging asdm informational
mtu inside 1500
mtu wan2 1492
mtu wan1 1492
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-602.bin
no asdm history enable
arp timeout 14400
global (wan2) 1 interface
global (wan2) 1 80.*.*.*
nat (inside) 1 0.0.0.0 0.0.0.0
access-group 100 in interface inside
access-group inside_access_out out interface inside
access-group wan2_access_in in interface wan2
access-group 100 out interface wan2
route wan2 0.0.0.0 0.0.0.0 80.*.*.* 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
no crypto isakmp nat-traversal
telnet timeout 5
ssh timeout 5
console timeout 0
vpdn group isp2 request dialout pppoe
vpdn group isp2 localname feste-ip5/123456789@t-online-com.de
vpdn group isp2 ppp authentication pap
vpdn group isp1 request dialout pppoe
vpdn group isp1 localname feste-ip4/123456789@t-online-com.de
vpdn group isp1 ppp authentication pap
vpdn username feste-ip5/123456789@t-online-com.de password * store-local
vpdn username feste-ip4/123456789@t-online-com.de password * store-local
dhcpd auto_config wan2
!
dhcpd dns 195.244.245.27 interface inside
!

threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
<--- More --->

inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:123456789
: end

ciscoasa(config)#


Mit dem Packet-Tracer bekomme ich eine Erfolgsmeldung.

Eine Traceroute schlägt hingegen fehl.

Die IP auf WAN2 (erstmal zum Test, WAN1 kommt zum Schluß) wird über DHCP vom ISP vergeben. In der NAT Regel habe ich diese aber statisch eingetragen.

Ich habe die Firewall erstmal komplett geöffnet, eine Idee was ich falsch mache, scheint als verstehe ich die Grundsätze nicht ganz.

Hallo Aqui,

der Packet-Tracer bestätigt mir, dass es "theoretisch geht" und das simulierte Paket von Inside nach WAN2 durch NAT und ACL kommt.


"Traceroute" gibt hingegen aus "No route to host" aus, wobei doch der DNS korrekt eingetragen ist, oder?

Ein Ping von der ASA WAN2 zu einer externen IP-Adresse funktioniert!

Trotz der neuen MTU-Werte geht es nicht.

Hallo Aqui,

vielen Dank für Deine Hilfe. Langsam werde ich etwas sicherer im Umgang mit der ASA.
Das NAT/PAT Problem ist gelöst. Die Nat-Regel war nicht sauber eingestellt.

Jetzt ist nur noch ein kleines Problem, die DNS-Namen werden nicht von der ASA aufgelöst. Gebe ich im Notebook (internes netzwerk)einen externen DNS-Server (Internet) an funktionert das auflösen reibungslos.
Auch der Traffic geht korrekt durch.

Normalerweise beziehen sich die Clients von einem DCHP-Server die DNS-Adresse eines AD-Servers welcher an den Router weiterleitet, der wiederrum sollte einen externen DNS-Server ansprechen.

Hier bin ich allerdings noch ein wenig am rätseln. Siehst Du eine Fehlkonfiguration in der Config unterhalb? Ich probiere weiterhin und poste sobald ich selbst etwas gefunden habe. Ich habe bereits ein paar T-Com DNS-Server ausprobiert, wie gesagt, in den Clients eingetragen funktionieren sie, in der ASA leider nicht.

Saved

ASA Version 8.0(2)
!
hostname ciscoasa
domain-name default
enable password 123456789 encrypted
names
!
interface Vlan1
nameif inside
security-level 100
ip address 192.168.1.70 255.255.255.0
ospf cost 10
!
interface Vlan2
nameif wan2
security-level 0
pppoe client vpdn group isp2
ip address pppoe setroute
ospf cost 10
!
interface Vlan12
nameif wan1
security-level 0
pppoe client vpdn group isp1
ip address pppoe setroute
ospf cost 10
!
interface Ethernet0/0
description WAN2 Zugang zu Telekom
switchport access vlan 12
!
interface Ethernet0/1
switchport access vlan 2
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
passwd 123456789 encrypted
boot system disk0:/asa802-k8.bin
ftp mode passive
dns domain-lookup inside
dns domain-lookup wan2
dns server-group DefaultDNS
name-server 194.25.2.129
domain-name default
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
object-group protocol TCPUDP
protocol-object udp
protocol-object tcp
access-list 100 extended permit ip any any
access-list wan2_access_in extended permit ip any any
access-list inside_access_out extended permit ip any any
access-list inside_access_in extended permit ip any any
pager lines 24
logging enable
logging buffered errors
logging asdm informational
mtu inside 1500
mtu wan2 1492
mtu wan1 1492
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-602.bin
no asdm history enable
arp timeout 14400
nat-control
global (wan2) 1 interface
nat (inside) 1 192.168.1.0 255.255.255.0 dns
access-group inside_access_in in interface inside control-plane
access-group inside_access_out out interface inside
access-group wan2_access_in in interface wan2
access-group 100 out interface wan2
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
no crypto isakmp nat-traversal
telnet timeout 5
ssh timeout 5
console timeout 0
management-access inside
vpdn group isp2 request dialout pppoe
vpdn group isp2 localname feste-ip5/12345689@t-online-com.de
vpdn group isp2 ppp authentication pap
vpdn group isp1 request dialout pppoe
vpdn group isp1 localname feste-ip4/123456789@t-online-com.de
vpdn group isp1 ppp authentication pap
vpdn username feste-ip5/123456789@t-online-com.de password * store-local
vpdn username feste-ip4/123456789@t-online-com.de password * store-local
dhcpd auto_config wan2
!
dhcpd dns 195.244.245.27 interface inside
!

threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:123456
: end
asdm image disk0:/asdm-602.bin
no asdm history enable