Port-forwarding Pix-501?

[ooAlbert]

Hi,

ich hab hier leihweise eine PIX-501 von Cisco ... das ding hab ich mittlerweile soweit das internet über dhcp und feste ip-adresse geht ...nun muß ich aber noch einige ports weiterleiten.

Ich hab den neusten pdm (6.3.5) drauf. die sache ist jetzt die wenn ich unter:

"Configuration/ Access rules" gehe, wovon ich meine das es für mein problem zuständig ist :) und da eine "Rule" addiere meint das programm nachd em eingebend er festen ipadesse die wäre nicht im beriehc ...?

Ich vermute mal das prinzip dahinter ist noch unklar. Kennt sich wer damit aus? Ich hab jetzt kein serielles kabel um das über eine konsole zu machen deshalb der PDM, der geht ja genauso dafür.

Also das gateway ist 192.168.1.250, der dhcp hat 192.168.1.1-192.168.1.50, die feste ip hat 192.168.1.6.

von allen adressen geht problemlos internet, email und son kram.

mfg

[ooAlbert]

also irgendwie wird es sehr schwammig ... ich hab grad mal etwas überlegt und der begriff "port-forwarding" existiert ja komischerweise garnicht in dieser kiste, warum auch immer ... aber kann es sein, das ich erst eine relation mittels "translation ruels" herstellen muß?

weil wenn ich das richtig verstanden habe muß ich eine regel erstellen die outbound-Adresse mit Port X in bezug zur inbound-adresse mit dem gleichen port setzt... blöd nur das sich die Internet-ip ja jedesmal ändert :)

Also alles sehr verwirrend.

[ooAlbert]

ich nochmal ... ich hab jetzt zugang zur konsole, da dazu wenigstens beipsiele existieren der PDM ist ja fast garnicht dokumentiert...

ich hab das gefunden:
static (inside,outside) x.x.x.x x.x.x.x netmask 255.255.255.255

das soll eine externe ip auf eine interne weiterleiten ... das problem ist nur was amcht man bei einer pppoe verbindung? Da ändet sich doch dauernd die externe IP.

[mischi]

Schau mal unter diesem Link
http://www.cisco.com/en/US/docs/security/pix/pix63/configuration/guide/mngacl.html#wp1090663

Das sich die IP ändert ist kein Problem, du kannst statt einer festen IP auch einen Interfacenamen benutzen.
Ich kenne übrigens niemanden, der ernsthaft den pdm einsetzt, eine pix wird über die konsole im textmodus administriert, zumindest bei uns

[ooAlbert]

nun der pdm ist nicht verkehrt und bis auf die ziemlich eigenwillige übersetzung doch sinnvoll ...

im übrigen hab ich das jetzt auchr ausgefunden:

static (inside,outside) tcp(udp) interface port interne-ip port netmask 255.255.255.255 0 0

wäre die nat-regel ... jetzt muß noch bestimmt werden das von außen überhaupt was angenommen wird, damit das nat aktiv wird.

access-list inbound permit tcp(udp) anny anny eq port

das wars dann auch schon.
Was natürlich unkalr ist warum das PDMm so lieblos gestalltet ist und die konsoleneingaben oft unlogisch erscheinen ... aber das liegt wohl an der historie von cisco.