PIX 515 Vlan routing Catalyst 2950

Mitglied: Ueba3ba

Ueba3ba (Level 1) - Jetzt verbinden

02.04.2021 um 04:55 Uhr, 450 Aufrufe, 12 Kommentare

Hallo, ich betreibe zur Übung eine Cisco Pix 515 Firewall mit aktuellem IOS und einen Cisco Catalyst Switch 2950, mit aktuellem IOS.

Auf dem Switch ist Port 0 als Trunk für Vlan 10 und 20.

Port 1 und 2 sind VLAN10
Port 6 bis 8 sind VLAN 20

VLAN10 = 4.4.10.0 Client 4.4.10.10 255.0.0.0
VLAN20 = 4.4.20.0 Client 4.4.20.20 255.0.0.0

Auf der PIX ist das Outside interface mit meiner FritzBox verbunden.
Route: Int. Outside 0.0.0.0 0.0.0.0 192.168.178.1

Auf Interface 2 sind 2 Subinterfaces eingerichtet.

1. SubInt = 4.4.10.1 255.0.0.0
2. SubInt = 4.4.20.1 255.0.0.0

Nat Regeln wurden erstellt.

Beide Clienten, einer im vlan10 und der andere im vlan20, können über die PIX peer NAT inst Internet.

Nur leider klappt der ping zwischen beiden Clienten nicht.

Rules wurden auch erstellt.

Config vom Switch:




Config von der PIX:

Wie schaffe ich es nun die Rechner pingen zu könne und auch zum Beispiel Dateifreigabe zu verwenden?

Ich danke schon mal für alle Antworten. Gn8
Mitglied: aqui
02.04.2021, aktualisiert um 12:46 Uhr
Auf dem Switch ist Port 0 als Trunk für Vlan 10 und 20.
Einen solchen Port gibt es auf einem Cat 2950 gar nicht. Wenn, bitte immer korrekte Ports angeben um die Community hier nicht in die Irre zu führen. :-( face-sad
Du meinst vermutlich den Port FastEthernet 0/1 ,richtig ?
Den hast du falsch konfiguriert ! Siehst du auch selber, denn vlan 10 ist gleichzeitig als Access Port (untagged) und als tagged Port definiert. Das ist natürlich Konfig technischer Quatsch und kann nie funktionieren. Pruning solltest du als VLAN Anfänger erstmal weglassen !
Mit "no switchport access vlan 10" korrigierst du das. Damit wird wieder das VLAN 1 als Native VLAN gesetzt auf dem Port. Im Endeffekt darf die Port Konfig ausschliesslich nur so aussehen:
!
interface FastEthernet0/1
description Tagged Uplink Pix 515
switchport mode trunk
switchport trunk allowed vlan 1,10,20
!

Desweiteren hast du ein großes Problem, denn du hast die Management IP des Catalyst 2950 im VLAN 1 konfiguriert aber mit einer IP Adresse aus deinem VLAN 10.
Das VLAN 1 hat aber auf deiner PIX keinerlei IP so das sich die Pix und der Cat 2950 Management technisch niemals "sehen" können. Ein Management ist also unmöglich da die Management IPs beider Geräte in getrennten VLANs liegen.
Diese VLAN Diskrepanz in deiner Konfig springt aber auch einem Laien sofort ins Auge und hätte dir auffallen müssen.

Hier musst du dich jetzt entscheiden ob du das Management in VLAN 1 belassen willst oder ob du das aufs VLAN 10 migrieren willst.
So sehen beide Optionen aus:

Management in VLAN 1:

Catalyst 2950 Konfig:
!
interface FastEthernet0/1
description Tagged Uplink Pix 515
switchport mode trunk
switchport trunk allowed vlan 1,10,20
!
interface Vlan1
description Management IP Interface
ip address 4.4.1.100 255.255.255.0
!

Achtung: Die fehlerhaften und überflüssigen IP Interfaces vlan10, 20 und 30 mit no interface vlan 10 (Wiederholen für 20 und 30 !) unbedingt entfernen ! Der Catalyst braucht nur ein einziges IP Interface da du ihn ja ausschliesslich im Layer 2 Mode betreibst !
Pix 515 Konfig:
!
interface Ethernet2
nameif Vlan1
security-level 100
ip address 4.4.1.1 255.255.255.0
!
interface Ethernet2.10
vlan 10
nameif Vlan10
security-level 100
ip address 4.4.10.1 255.255.255.0
!
interface Ethernet2.20
vlan 20
nameif Vlan20
security-level 100
ip address 4.4.20.1 255.255.255.0
!

Management in VLAN 10:

Interface vlan1 mit no interface vlan 1 entfernen und ein Management IP Interface im VLAN 10 anlegen mit interface vlan 10 und dort die VLAN 10 IP setzen.
Catalyst 2950 Konfig:
!
interface FastEthernet0/1
description Tagged Uplink Pix 515
switchport mode trunk
switchport trunk allowed vlan 1,10,20
!
interface Vlan10
description Management IP Interface
ip address 4.4.10.100 255.255.255.0
!

Pix 515 Konfig:
!
interface Ethernet2
nameif Vlan1
security-level 100
ip address 4.4.1.1 255.255.255.0
!
interface Ethernet2.10
vlan 10
nameif Vlan10
security-level 100
ip address 4.4.10.1 255.255.255.0
!
interface Ethernet2.20
vlan 20
nameif Vlan20
security-level 100
ip address 4.4.20.1 255.255.255.0
!

Nur so wird ein richtiger (VLAN) Schuh draus !
Bitte warten ..
Mitglied: Ueba3ba
03.04.2021 um 01:27 Uhr
Danke für deine Antwort. Natürlich hast du Recht. Ich meinte den Port Ethernet 0/1 der als Trunk eingerichtet ist.

Die Management Ip im vlan1 habe ich mit Absicht so konfiguriert. Damit ich am Client nicht ständig die Ip ändern muss
wenn ich auf das ASDM der PIX wollte. Das mit dem Pruning ist ausversehen passiert, beim experimentieren.
Du hast auch damit recht, das ich ein VLan Anfänger/Einsteiger bin. Ich möchte den CCNA machen und habe erst angefangen dafür zu lernen. Meine Netzwerkkenntnisse sind nicht besonders. Noch nicht :-) face-smile

Ich habe deine Vorschläge ümgesetzt.
Ich kann immer noch mit beiden Clienten, die jeweills in einem anderen Vlan sind, ins Internet.
Passiert ja über das NAT Routing der PIX. Die PIX hat eine default GW zur FritzBox.
In meinem Videokurs funktioniert das mit dem Interl Vlan Routing. Allerdings mit HIlfe eines Routers.
Ich habe erst einen Switch und die Pix gekauft, für mein Hardware Lab, da die sehr günstig zu ersteigern gewesen sind.
Es folgen demnächst 4 Cisco 1841 Router, 2x PoE Switche WS-C3560-24PS-S, 1 Cisco Catalyst 3560G-48PS mit PoE, Layer-3 Switch und eine ASA.

Was noch nicht funktioniert ist, die Komunikation der beiden Clienten. Also kein Ping.

Ansonsten habe ich nur die Ip Adressen geändert.

Von:

Vlan10 4.4.10.0/24 > 10.10.10.1/24
Vlan20 4.4.20.0/24 > 10.20.20..0/24

An der PIX
Sub Intterface Ethernet 2.10 > 10.10.10.1/24
Sub Interface Ethernet 2.20 > 10.20.20.1/24

So wurde es in meinem Video Kurs gemacht. Im Kurs können sich auch beide vlan Clienten pingen.

Liegt es an der PIX? oder am NAT. Ich komm nicht weiter.


Danke sehr für deine Mühe die du dir gemacht hast, um mir zu antworten.

LG
Bitte warten ..
Mitglied: aqui
03.04.2021, aktualisiert um 10:30 Uhr
Die Management Ip im vlan1 habe ich mit Absicht so konfiguriert. Damit ich am Client nicht ständig die Ip ändern muss
Sorry, aber diese Logik ist völlig unverständlich. So kannst du doch den Catalyst niemals aus deinem VLAN 10 erreichen und musst immer umstecken auf den Switch. Dann kannst du aber die PIX nicht mehr erreichen. Eigentlich doch ziemlicher Unsinn...
IP Adressen kann man in Terminal Programmen wie PuTTY oder TeraTerm (die du ja sicher auch verwendest) als festes Profil speichern. Mit einem simplen Doppelklick führst du die dann aus. Diese Argumentation von dir ist also irgendwie unsinnig.
Macht doch mehr Sinn wenn man das Management der PIX und Switch im gemeinsamen Zugriff hat...aber egal. Musst du wissen....
Was noch nicht funktioniert ist, die Komunikation der beiden Clienten. Also kein Ping.
Sind das Winblows Rechner ??
Wenn ja liegt das, wie immer, an 2 Gründen:
  • ICMP (Ping) ist generell in der lokalen Windows Firewall deaktiviert bzw. blockiert ! Das musst du erst erlauben: https://www.windowspro.de/wolfgang-sommergut/ping-windows-10-erlauben-gu ...
  • Die lokale Windows Firewall erlaubt generell keinen Zugriff aus IP Netzen mit anderen Absender IPs. Immer nur lokale IPs. Da du 2 VLANs hast musst du auch die IP Range in der lokalen Firewall entsprechen anpassen indem du Absender und lokale IP auf "Beliebig" setzt in der Winblows Firewall.
Liegt es an der PIX? oder am NAT. Ich komm nicht weiter.
Nein, es liegt am Winblows !! Siehe oben !

Nochwas...
Als angehender CCNA solltest du dir angewöhnen immer mit den privaten RFC 1918 IP Netzen im Lab zu arbeiten !
https://de.wikipedia.org/wiki/Private_IP-Adresse
Öffentliche IP Adressen zu verwenden die dir nicht gehören ist keine besonders intelligente Idee.
Bitte warten ..
Mitglied: Ueba3ba
03.04.2021 um 10:55 Uhr
Danke für deine Antwort. Windows Firewall ist auf beiden Rechnern deaktiviert.

Das mit den öffentlichen ip Adressen war mir nicht bewusst. Werde ich ändern. Danke dafür. LG
Bitte warten ..
Mitglied: aqui
03.04.2021, aktualisiert um 11:06 Uhr
Das mit den öffentlichen ip Adressen war mir nicht bewusst.
Oha, das lernt man doch schon in der Grundschule im Informatik Unterricht. ;-) face-wink
Meister Yoda würde sagen: "Viel lernen du noch musst junger Padawan" ! 😉
Bitte warten ..
Mitglied: Ueba3ba
05.04.2021, aktualisiert um 03:34 Uhr
Servus. Ich habe sehr lange versucht den Fehler zu finden. Doch leider hab ich ihn nicht finden können. Hab den Switch und die PIX resetet und alles neu konfiguriert. Selbe Ergebniss. Beide Rechner können sich nicht pingen bei ausgeschalterer Windows Firewall.


Zitat von @aqui:

Das mit den öffentlichen ip Adressen war mir nicht bewusst.
Oha, das lernt man doch schon in der Grundschule im Informatik Unterricht. ;-) face-wink
Meister Yoda würde sagen: "Viel lernen du noch musst junger Padawan" ! 😉

Ich hatte leider keinen Informatik Unterricht in der Grundschule. Witzig :-) face-smile

Spass bei Seite.

Der Rechner im Vlan10 kann das Sub-Interface für Vlan10 auf der PIX pingen, aber nicht das für Vlan20 auf der PIX
Der Rechner im Vlan20 kann das Sub-Interface für Vlan20 auf der PIX pingen, aber nicht das für Vlan10 auf der PIX

Auch ist mir aufgefallen das ein Vlan immer administratively down ist.

Sollten nicht beide auf "UP" stehen?

Hier die Configs

Switch

PIX


Es kann doch nicht sein das dass nicht funktioniert. Mir fällt nichts mehr ein.

Am Routing liegt es nicht. Die PIX hat die Routen schon, auch wenn sie nicht in der routing-tab zu sehen sind.
Wenn ich die Routen für beide VLans konfigurieren mlchte, sagt mir die pix das es die schon gibt.
Am Switch kann es meiner Meinung auch nicht liegen. Der sollte richtig konfiguriert sein.

Ich hoffe das ich das mit deiner/eurer Hilfe gelöst bekomme.
Was hab ich übersehen? Wo liegt mein Fehler?
Bitte warten ..
Mitglied: aqui
05.04.2021, aktualisiert um 10:44 Uhr
Was für eine Firmware Version ist auf deiner PIX ?? Wenn es 6 oder niedriger ist geht das nicht, denn die PIX erlaubt kein gleichzeitiges in- und outbound Routing über das gleiche physische Interface mit diesen Versionen !
Das wurde erst aber Version 7.x und später aufgehoben !
https://community.cisco.com/t5/switching/inter-vlan-routing-w-multiple-d ...
https://community.cisco.com/t5/network-security/pix-and-inter-vlan-routi ...
Fazit:
Du musst zwingend 7.x oder höher auf der PIX haben. Ggf. wärst du mit einer preiswerten ASA 5505 besser gefahren, denn die hat die modernere Plattform und gibts auch preiswert bei eBay.
Ansonsten nimmst du einen preiswerten 886va Router der das auch kann:
https://administrator.de/tutorial/cisco-880-890-isr-router-konfiguration ...
Bitte warten ..
Mitglied: Ueba3ba
05.04.2021 um 11:37 Uhr
Hey servus.

Also die PIX hat das ketzte zur Verfügung stehende Update. 8.0.4 23

PIX: show version


PIX: show ip int brief

Oder meinstest du die Firmware vom Switch?

Hier der Switch.

Switch: show version

Sollte eigentlich auch die neuste Version sein.

Switch: show ip int brief

Wie hier zu erkennen ist, ist Vlan20 administratively down.

Ich glaube das dass der Grund ist, weshalb kein ping funktioniert.
Bitte warten ..
Mitglied: aqui
05.04.2021, aktualisiert um 16:28 Uhr
Ich glaube das dass der Grund ist, weshalb kein ping funktioniert.
Ohh man, nicht dein Ernst oder ? :-( face-sad
VLAN 1 ist ebenfals auf "shut". Mit so einem Kasperkram sucht man sich hier einen Wolf. Als Netzwerk Administrator solltest du gelernt haben das man solche Kindergarten Checks VORHER macht bevor man in einem Admin Forum einen Thread eröffnet..grrrr. !

Jetzt aber schnell
https://administrator.de/faq/32
bevor das mit dir hier noch peinlicher wird !
Bitte warten ..
Mitglied: Ueba3ba
05.04.2021 um 16:31 Uhr
Du bist mir ja einer. Lieber Sprüche klopfen als zu helfen. Danke dir, du ganz schlauer.
Bitte warten ..
Mitglied: aqui
05.04.2021, aktualisiert um 16:43 Uhr
Gehe über Ostern lieber mal in dich und denke mal über dein Konfig Vorgehen nach. Das hilft dir sicher mehr als sich hier über das Für und Wider deiner Troubleshooting Strategie auszulassen !
Case closed !!
Bitte warten ..
Mitglied: Dani
05.04.2021 um 20:09 Uhr
Moin,
so ihr zwei... wer es noch nicht getan hat, atmet jetzt tief durch.

@Ueba3ba
Erst einmal herzliche Willkommen bei uns in Forum. Alle Meldungen werden von uns natürlich angeschaut und bearbeitet. Kollege @aqui hat manchmal einen harten, direkten Umgangston Umgangston. Das ist aber keinenfalls Böse von Ihm gemeint, sondern auf seine Weise liebevoll. Er meint es bisher keinenfalls persönlich. Im Gegenteil er hilft in seinem Bereich wo er kann und scheut auch nicht davor, den 20. Kommentar zu schreiben.

Du bist mir ja einer. Lieber Sprüche klopfen als zu helfen.
Bist du seinen Tipps bezüglich Ohh man, nicht dein Ernst oder ? und VLAN 1 ist ebenfals auf "shut". schon nachgegangen?

@aqui
Sei bitte so lieb und nimm die neuen Mitglieder nicht gleich so hart ran. Es ist mir natürlich bewusst, dass es dich auch nach über 15 Jahren vermutlich bei der einen oder anderen Frage juckt, aber da musst du durch. ;-) face-wink


Gruß,
Dani
Bitte warten ..
Heiß diskutierte Inhalte
Netzwerkgrundlagen
Frage der anderen Art
NeuerleVor 1 TagFrageNetzwerkgrundlagen16 Kommentare

Hi an alle, Ich bin InformatikStudi. Habe Ende des Monats Klausur im Fach Netzwerke zu schreiben und komme gar nicht klar. Entweder ich bin ...

Ubuntu
Cups-Server mit SMB lehnt Verbindungen ab (smb.conf)?
ErikHeinemannVor 1 TagFrageUbuntu17 Kommentare

Guten Morgen, ich habe einen Ubuntu 20.04 Server mit Cups als Printspooler. Nun Soll noch Samba hinzugefügt werden für eine einfache Verwendung unter Windows. ...

Exchange Server
Kaspersky for Exchange Meldungen
gelöst wieoderwasVor 1 TagFrageExchange Server11 Kommentare

Guten Morgen, wir haben bei uns einen Exchange 2013 mit Kaspersky for Exchange und Sophos auf Dateiebene. Heute Morgen habe ich einige von diesen ...

Groupware
Lokale Mini-Groupware für Mail, Adressbuch und Kalender gesucht
AndreasKasselVor 1 TagFrageGroupware10 Kommentare

Hallo zusammen, ich habe insgesamt 2 PCs, 1 Notebook, 1 Android-Tablet und ein Android-Smartphone. Weiterhin habe ich 2 Mail-Adressen bei 1&1 mit einer eigenen ...

Grafikkarten & Monitore
Unerklärliche Aussetzer Bildschirm und Maus
nixwissenderVor 1 TagFrageGrafikkarten & Monitore11 Kommentare

hallo! wir haben aktuell das unerklärliche phänomen, dass sich am arbeitsplatz vom mitarbeiter eines der beiden bildschirme kurzzeitig ausschaltet (und zwar der, der per ...

CPU, RAM, Mainboards
CPU Lüfter ausbauen
gelöst ben1300Vor 1 TagFrageCPU, RAM, Mainboards9 Kommentare

Hallo zusammen, ich habe mir damals einen Fertig PC gekauft. Ich würde gerne den Arbeitsspeichern austauschen, allerdings muss ich dafür - so wie es ...

Backup
Backup Datei
gelöst KanrishaVor 1 TagFrageBackup5 Kommentare

Hallo Zusammen, ich habe eine Frage ich will eine Backup bat Datei schreiben habe jedoch ein kleines Problem. Ich möchte ein Laufwerk in das ...

DNS
Android 10 und mein DNS Server
gelöst CyborgWeaselVor 1 TagFrageDNS7 Kommentare

Hallo allesamt, ich spiele gerade etwas mit einer Synology herum, habe unter Anderem einen eigenen DNS jetzt aufgesetzt. Die lokale Domäne ist HomeDomain.local und ...