VPN mit PIX 501

Brauche irgendeine VPN-verbindung meinem Netzwerk

Hallo Leutz,
ich habe hier vollgende Konfiguration,
ich bekomme weder über IPSEC noch über pptp eine VPN-verbingung hin.

Könnte mir jemand helfen?

ich weiß echt nicht mehr weiter... Und mit der Pix habe ich absolut keine erfahrung.

Danke.

Building configuration...

Saved

PIX Version 6.3(3)
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password xxxx encrypted
passwd xxxx encrypted
hostname pixfirewall
domain-name con.de
fixup protocol dns maximum-length 512
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
name 10.200.10.53 ffmdc01
name 10.200.10.0 Server
object-group service ServiceWWW tcp
port-object eq www
object-group service ServiceMail tcp
port-object eq smtp
port-object eq https
object-group service ServiceDNS udp
port-object eq domain
access-list inside_access_in permit ip any any
access-list inside_access_in permit icmp any any
access-list inside_access_in permit udp host ffmdc01 any object-group ServiceDNS
access-list outside_access_in permit tcp any interface outside object-group ServiceMail
access-list outside_access_in remark POP3 und SMTP auf den Exchange
access-list outside_access_in remark HTTPS und SMTP auf den Exchange
pager lines 24
logging on
logging trap debugging
logging host inside 10.200.20.2
mtu outside 1500
mtu inside 1500
ip address outside xxx.94.72.138 255.255.255.0
ip address inside 10.200.1.1 255.0.0.0
ip audit info action alarm
ip audit attack action alarm
ip local pool -vpn 10.200.20.115-10.200.20.120
pdm location ffmdc01 255.255.255.255 inside
pdm location 10.200.0.0 255.255.0.0 inside
pdm location 10.200.20.8 255.255.255.255 inside
pdm location 10.200.20.7 255.255.255.255 inside
pdm location 10.200.20.2 255.255.255.255 inside
pdm location 10.200.30.0 255.255.255.240 outside
pdm location 10.200.20.112 255.255.255.240 outside
pdm logging informational 100
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface smtp ffmdc01 smtp netmask 255.255.255.255 0 0
static (inside,outside) tcp interface https ffmdc01 https netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 xxx.94.72.125 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
aaa authentication ssh console LOCAL
http server enable
http 10.0.0.0 255.0.0.0 inside
no snmp-server location
no snmp-server contact
snmp-server community con
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
sysopt connection permit-pptp
sysopt connection permit-l2tp
crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 esp-3des esp-md5-hmac
crypto ipsec transform-set TRANS_ESP_3DES_MD5 mode transport
isakmp enable outside
isakmp enable inside
isakmp identity address
telnet timeout 5
ssh 10.200.0.0 255.255.0.0 inside
ssh timeout 5
console timeout 0
vpdn group con accept dialin pptp
vpdn group con ppp authentication chap
vpdn group con ppp authentication mschap
vpdn group con client configuration address local -vpn
vpdn group con client configuration dns ffmdc01
vpdn group con client configuration wins ffmdc01
vpdn group con pptp echo 60
vpdn group con client authentication local
vpdn username pastor password *
vpdn enable outside
vpdn enable inside
dhcpd address 10.200.20.1-10.200.20.30 inside
dhcpd dns ffmdc01 xxx.25.0.69
dhcpd wins ffmdc01
dhcpd lease 36000
dhcpd ping_timeout 750
dhcpd domain xxx.local
dhcpd auto_config outside
dhcpd enable inside
username pastor password xxxx encrypted privilege 15
vpnclient mode client-mode
vpnclient vpngroup xxx password
vpnclient username xxx password
terminal width 80
Cryptochecksum:xxxx
: end
[OK]

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 40199

Url: https://administrator.de/contentid/40199

Ausgedruckt am: 20.11.2024 um 03:11 Uhr

5 Kommentare

Neuester Kommentar

Hi Pastor,

ich halte den Cisco VPN Client für besser geeignet als eine PPTP Verbindung. Aber das ist halt meine Meinung.

Leider wurde keine Fehlermeldung angegeben für die erfolglosen PPTP und Cisco VPN Client Versuche. Darf ich mal vermuten, dass es zu einem Timeout kommt und die Firewall scheinbar nicht antwortet?

access-list outside_access_in permit tcp any interface outside object-group ServiceMail

Diese access-liste erlaubt nur TCP zum Exchange Server. Da kommt der Versuch eine VPN Verbindung aufzubauen leider nicht an der Firewall an. Das muss berichtigt werden.

Damit ein Cisco VPN Client von draußen auf das Netz zugreifen darf fehlt noch die Konfiguration für den remote VPN Client. Bitte beachte die Beispiele in "Document ID: 14095" von Cisco, für Pix 6.3 und Cisco VPN Client. Folgender Link sollte sogar ohne Login funktionieren.
http://www.cisco.com/warp/public/110/pptpcrypto3.pdf
Wenn du möchtest, passe ich dir das Beispiel aus dem Dokument für deine Pix an, melde dich mal.

ip local pool -vpn 10.200.20.115-10.200.20.120

Ich finde den Namen mit einem - am Anfang unglücklich gewählt. Wie wäre es mit ffmvpnpool?

snmp-server community con

Warnung die SNMPcommunity ist zukurz und könnte mit brute force erraten werden! Besser ist eine 10 Zeichen lange zufällige a-z,A-Z,0-9 Kombination.

Gruß Rafiki
PS: Ich freue mich immer, wenn jemand im Forum kurz berichtet ob eine angebotene Lösung erfolgreich war oder auch nicht.

Hallo Rafiki,
ersteinmal Danke für die schnelle Antwort.

Du hast recht, es war ein TimeOut. Der mich hinderte mich zu Authentifizieren.

Wie gesagt, ich habe keine Ahnung von der PIX. Und ich wäre Dir sehr dankbar, wenn Du mir die entsprechenden Stellen anpassen könntest.

Mir persönlich wäre es auch lieber mit dem Ciscoclient ein VPN zu machen, aber der kostet ja wieder Geld. Und wenn es eine Lösung geben würde trotzdem mit IPSEC ein VPN herzustellen
wäre ich noch glücklicher. Wenn es aber einfacher ist, dieses mit dem Ciscoclient 4.x zu veranstalten, muß ich wohl oder über das Geld ausgeben.

Das VPN sollte so freigeschaltet werden, das es egal ist, ob ich direkt im lokalen Netz bin oder als VPNuser eingeloggt.

Vielen Dank für deine Hilfe schon im Vorraus.

Gruß
Pastor

Hi Pastor.

Die PIX 501 kommt, nach meinem Verständnis der Produktbeschreibung von Cisco, mit mindestens einer 10 Benutzerlizenz daher. Das beinhaltet für 10 Benutzer den VPN Client.
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_data_she ...

Aber ich kann mich natürlich auch täuschen. Eine verbindliche Antwort gibt der Vertrieb von Cisco oder dein Cisco Partner.
http://www.cisco.com/global/DE/local_offices/hallbergmoos.shtml

PPTP mag ich nicht so gerne da es nach meiner Erfahrung nicht so zuverlässig ist. Insbesondere von einigen NAT Routern (z.B. T-Com hotspot
oder von Zuhause) funktioniert der Tunnelaufbau einfach nicht. Es ist dann schwer den Benutzer klarzumachen das es nicht an deiner Firewall
liegt sondern eine Eigenart des PPTP ist. Dann gibt es noch eine theoretische Möglichkeit eine "man in the middle attacke" durchzuführen und das Passwort abzufangen. http://www.heise.de/security/artikel/71967/3

Eine IPsec Verbindung zwischen einer PIX und einem Windows Client ohne Cisco VPN Client müsste wohl auch möglich sein, aber das übersteigt meine Kenntnisse gegenwärtig. Das Problem dabei ist das die die IP Adresse von dem Benutzer dynamisch ist. Wenn beide Seiten eine feste IP Adresse haben, dann würde eine statische LAN to LAN (l2l) Verbindung Sinn machen.

Deshalb schlage ich vor, du versucht den VPN Client einzusetzen. Der VPN Client hat zudem noch eine nette Funktion: Bei einem Notebook, das eine VPN Verbindung von unterwegs in dein Netzwerk aufgebaut hat, wird alles andere an Netzwerkverkehr unterbunden. Das funktioniert sogar ziemlich gut und ist für normale Anwender, Viren oder Trojaner nicht zu umgehen.

So nun zu der Konfig. Die Befehle sind für copy & paste vorgesehen, jeweils in den Böcken wie ich das hier so schreibe.
Ich habe gerade keine PIX mit einer 6.3'er Version zur Hand, deshalb alles ungetestet. Wenn ich mich vertippt habe oder du unerwartete Fehlermeldungen bekommst dann bitte melden!

Zuerst möchte ich gerne die Konfiguration kleiner und übersichtlicher machen. Den PPTP Teil löschen:
clear vpdn all
no sysopt connection permit-pptp
no sysopt connection permit-l2tp

VPN von inside macht keinen Sinn, löschen:
no isakmp enable inside

Den IP pool umbenennen:
no ip local pool -vpn 10.200.20.115-10.200.20.120
no ip local pool ffmvpnpool 10.200.20.115-10.200.20.120

Ein neuer Name für das Transformset
no crypto ipsec transform-set ESP-3DES-MD5
no crypto ipsec transform-set TRANS_ESP_3DES_MD5
crypto ipsec transform-set ffmTS esp-3des esp-md5-hmac

crypto dynamic-map dynmap 10 set transform-set ffmTS
crypto map ffmCM 10 ipsec-isakmp dynamic dynmap
crypto map ffmCM client configuration address initiate
crypto map ffmCM client configuration address respond
crypto map ffmCM interface outside

Für dynamische Clients (0.0.0.0) einen Key festlegen. Dieser wird später in das Feld Group Authentication im VPN Client eingetragen.
isakmp key mEin0verDammt1lAnGer3GuTer4KEY address 0.0.0.0 netmask 0.0.0.0
isakmp identity address
isakmp client configuration address-pool local ffmvpnpool outside

Zwischen einem VPN Client und dem Netzwerk soll kein NAT stattfinden:
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.115
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.116
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.117
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.118
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.119
access-list 80 permit ip 10.0.0.0 255.0.0.0 host 10.200.20.120
nat (inside) 0 access-list 80

So hier endet mein Bildflug. Versuche jetzt mal mit dem VPN Client eine Verbindung von draußen aufzubauen.
Wenn das noch nicht funktioniert, dann schicke mir die aktuelle Konfiguration am besten über die Nachrichtenfunktion hier im Forum. (Oben rechts auf der Webseite.)

Gruß Rafiki

So ich bekomme eine Fehlermeldung diverse Fehlermeldungen....

habe dir eine PM geschickt.
gruß
Pastor

So nach langen hin und herprobieren mit einzweimal reseten der PIX habe ich eine Funktionierende konfig.Jedenfalls alles notwendige für das VPN...
( könnte sogar zu viel drinnen stehen)

// interface
interface ethernet0 auto
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password ###### encrypted
passwd ###### encrypted
hostname pixfirewall
domain-name domain.de
names
access-list 101 permit ip 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0 
access-list 101 permit tcp 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0 
access-list inside_access_in permit ip 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0 
pager lines 24
icmp permit any outside
icmp permit any inside
mtu outside 1500
mtu inside 1500
ip address outside ###.##.72.238 255.255.255.0
ip address inside 10.200.1.1 255.0.0.0
ip audit info action alarm
ip audit attack action alarm
ip local pool ippool 192.168.1.1-192.168.1.254
global (outside) 1 interface
nat (inside) 0 access-list 101
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
access-group outside_access_in in interface outside
access-group inside_access_in in interface inside
route outside 0.0.0.0 0.0.0.0 ###.##.72.225 1
timeout xlate 0:05:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:05:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:05:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+ 
aaa-server RADIUS protocol radius 
aaa-server LOCAL protocol local 
aaa authentication ssh console LOCAL
sysopt connection permit-ipsec
sysopt noproxyarp outside
sysopt noproxyarp inside
crypto ipsec transform-set FFMVPN esp-des esp-md5-hmac 
crypto dynamic-map dynmap 10 set transform-set FFMVPN
crypto map FFMVPN 10 ipsec-isakmp dynamic dynmap
crypto map FFMVPN client configuration address initiate
crypto map FFMVPN client configuration address respond
crypto map FFMVPN client authentication LOCAL
crypto map FFMVPN interface outside
isakmp enable outside
isakmp key ******** address 0.0.0.0 netmask 0.0.0.0 
isakmp identity address
isakmp client configuration address-pool local ippool outside
isakmp policy 20 authentication pre-share
isakmp policy 20 encryption des
isakmp policy 20 hash md5
isakmp policy 20 group 2
isakmp policy 20 lifetime 86400
vpngroup vpn3000-all address-pool bigpool
vpngroup vpn3000-all dns-server 10.200.53.1
vpngroup vpn3000-all wins-server 10.200.53.1
vpngroup vpn3000-all default-domain domain.local
vpngroup vpn3000-all idle-time 1800
vpngroup vpn3000-all password ********
console timeout 0
username user1 password ##### encrypted privilege 3
username user2 password ##### encrypted privilege 3
username user3 password ##### encrypted privilege 3
terminal width 80
Cryptochecksum:######