The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"IPSec между 7200 и PIX 501"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (VPN, VLAN, туннель)
Изначальное сообщение [ Отслеживать ]

"IPSec между 7200 и PIX 501"  +/
Сообщение от _RAW_ email(ok) on 17-Мрт-10, 14:15 
Добрый день!
Имеется необходимость поднять очередной IPSec туннель между двумя организациями.
Имеется две маленькие изюминки:
1. На дальней стороне нет полноценного маршрутизатора, а есть только PIX501
2. С моей стороны сеть, которой требуется доступ к дальней приватной сети является публичной

Ранее имел дело с приватными сетями и двумя маршрутизаторами. Поднимал Tunnel интерфейсы, закрывал их IPSec и все было нормально, а тут PIX с урезанными возможностями.

Почитал пример организации IPSec между циско роутером и пиксом вот тут: http://www.ciscolab.ru/security/ipsec/152-pixrouter.html

но не могу переложить конфигурацию для своих нужд, когда с моей стороны не приватные адреса.

Имею:
Fa2/0 подключенный к провайдеру, соответственно ip nat outside
Fa0/0 в локалку с приватными адресами, соответственно ip nat inside
Fa0/1 в DMZ с публичными адресами, соответственно ip nat inside без роутмапа

Публичные адреса с моей стороны и стороны провайдера маршрутизированы static роутами.

Подумал следующую конфигурацию 7200:

!полиси
crypto isakmp policy 4
hash md5
authentication pre-share
crypto isakmp key ключтакойто address внешний.публичный.адрес.пикса

!трансформсет
crypto ipsec transform-set мойтрансформсет esp-des esp-md5-hmac

!создаю аксесслист для разрешения трафика между моим DMZ и их приватной сетью
ip access-list extended такойтолист
permit ip моя.дмз.подсеть.такаято 0.0.0.15 их.приватная.подсеть.такаято 0.0.0.255

А вот дальше пока затык... Мыслю так:
crypto map моймап 10 ipsec-isakmp
set peer внешний.публичный.адрес.пикса
set transform-set мойтрансформсет
match address такойтолист

ip access-list extended разрешенныйтрафик
permit ip моя.дмз.подсеть.такаято 0.0.0.15 их.приватная.подсеть.такаято 0.0.0.255

route-map такойто permit 10
match ip address разрешенныйтрафик

потом по идее по докам надо на  интерфейс к провайдеру повесить crypto map моймап
но вот куда вешать - непонятно... или на f2/0 который канальный или на f0/1 который в дмз...

в общем нид хелп, мысль застряла %)

Высказать мнение | Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "IPSec между 7200 и PIX 501"  +/
Сообщение от _RAW_ email(ok) on 22-Мрт-10, 15:32 
В общем пока никто не отвечал - все решил сам.
Оказалось тривиально.

crypto isakmp policy 4
authentication pre-share

crypto isakmp key ******* address удаленныйузел

crypto ipsec transform-set *** esp-des esp-sha-hmac
mode transport

crypto map **** 4 ipsec-isakmp
set peer удаленныйузел
set security-association lifetime kilobytes 8192
set security-association lifetime seconds 360
set transform-set ***
match address **

на интерфейс, смотрящий в провайдера
crypto map ****

ip route удаленнаяприватнаясеть удаленный хост

ip access-list extended **
permit ip нашареальнаясеть удаленнаяприватнаясеть

и все. всё застреляло.

show crypto ipsec sa показывает
    #pkts encaps: 263947, #pkts encrypt: 263947, #pkts digest 263947
    #pkts decaps: 263974, #pkts decrypt: 263974, #pkts verify 263974

Транспортный режим IPSec рулит в данном случае.

Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2021 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру