pix site to site dns

[tisad07 10]

Hallo,

Ich habe zwei Standorte die mit einer Pix 506 und Pix 501 mittels site to site Konfiguration verbunden sind.

In Standort A habe ich ein Windows 2003 Domänenserver mit einen ExchangeServer stehen wo sich alle Client-Pc's anmelden. Weiters ist in diesem Standort noch ein Terminalserver für die Clients vom Standort B.

Im Standort B sind nur Windows XP - Client Pc's die sich am Server im Standort A anmelden sollen und da habe ich schon meine Probleme. Den diese Anmeldung klappt nicht einwandfrei, und mein Verdacht ist das Dns nicht richtig funktioniert.

Und ich weis nicht wie im in der Site to Site - Konfiguration die Zuweisung für Dns-Server einrichte.

Wenn ich jedoch die Verbindung über den VPN-Client herstelle funkioniert alles einwandfrei.

 

Meine Konfiguration Pix 506

 

fixup protocol .............

names

access-list inside_access_in permit tcp 192.168.1.0 255.255.255.0 any eq ftp

access-list inside_access_in permit tcp ............

access-list inside_outbound_nat0_acl permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

access-list outside_cryptomap_20 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

pager lines 24

mtu outside 1500

mtu inside 1500

ip address outside xxx.xxx.xxx.xxx 255.255.255.252

ip address inside 192.168.1.254 255.255.255.0

ip audit info action alarm

ip audit attack action alarm

ip local pool netcon 192.168.1.101-192.168.1.110

pdm location 192.168.1.0 255.255.255.255 inside

pdm logging informational 100

pdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 0 access-list inside_outbound_nat0_acl

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

access-group inside_access_in in interface inside

route outside 0.0.0.0 0.0.0.0 xxx.xxx.xxx.xxx 1

timeout xlate 0:05:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00

timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout sip-disconnect 0:02:00 sip-invite 0:03:00

timeout uauth 0:05:00 absolute

aaa-server TACACS+ protocol tacacs+

aaa-server TACACS+ max-failed-attempts 3

aaa-server TACACS+ deadtime 10

aaa-server RADIUS protocol radius

aaa-server RADIUS max-failed-attempts 3

aaa-server RADIUS deadtime 10

aaa-server LOCAL protocol local

aaa authentication enable console LOCAL

aaa authentication http console LOCAL

aaa authentication ssh console LOCAL

http server enable

http 192.168.1.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server community public

no snmp-server enable traps

floodguard enable

sysopt connection permit-ipsec

sysopt connection permit-pptp

crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac

crypto map outside_map 20 ipsec-isakmp

crypto map outside_map 20 match address outside_cryptomap_20

crypto map outside_map 20 set peer xxx.xxx.xxx.xxx

crypto map outside_map 20 set transform-set ESP-3DES-SHA

crypto map outside_map interface outside

isakmp enable outside

isakmp key ******** address xxx.xxx.xxx.xxx netmask 255.255.255.255

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption 3des

isakmp policy 20 hash sha

isakmp policy 20 group 2

isakmp policy 20 lifetime 86400

telnet timeout 5

ssh 0.0.0.0 0.0.0.0 outside

ssh 0.0.0.0 0.0.0.0 inside

ssh timeout 30

console timeout 0

vpdn group PPTP-VPDN-GROUP accept dialin pptp

vpdn group PPTP-VPDN-GROUP ppp authentication chap

vpdn group PPTP-VPDN-GROUP ppp authentication mschap

vpdn group PPTP-VPDN-GROUP ppp encryption mppe auto

vpdn group PPTP-VPDN-GROUP client configuration address local xxxx

vpdn group PPTP-VPDN-GROUP client configuration dns 192.168.1.10

vpdn group PPTP-VPDN-GROUP pptp echo 60

vpdn group PPTP-VPDN-GROUP client authentication local

vpdn username xxxx password *********

vpdn enable outside

vpdn enable inside

[mturba 10]

Woher beziehen die Windows XP-Clients an Standort B denn ihre Adressen? Bei einem Site-to-Site-Tunnel besteht keine Möglichkeit, die DNS-Konfiguration der Clients zu beeinflussen. Das muss entweder per Hand auf den Clients am Standort B passieren oder aber in der Konfiguration des DHCP-Servers, von dem die Clients ihre Adressen beziehen. Generell wäre auch zu überdenken, ob es evtl. sinnvoll sein könnte, einen Secondary DNS an Standort B zu betreiben.

[tisad07 10]

Die Ip-Adressen hab ich Statisch eingegeben mit dem DNS-Server von Standort A wo mein Server steht.