mal wieder Portforwarding ASA 5505 vs. PIX

[Dackel77 10]

Hallo Leute,

 

ich hab zwar über die SUchfunktion einiges gefunden aber ich hab auf einer ASA 5505 ein Problem: Die Portweiterleitung klappt nicht.Und das obwohl ich mit vielen Beispielen hier verglichen hab und hier auch auf einer anderen Leitung hier habe ich eine ältere PIX am laufen, über die genau der selbe Port ohne Probleme weitergeleitet ist.

 

Was muss bei der ASA zusätzlich noch gemacht werden und / oder was ist an diesen Eingaben nicht richtig??

 

habe:

 

 
access-list outside_access_in extended permit tcp any eq 5007 host 149.253.72.146 eq 5007

static (inside,outside) tcp interface 5007 192.168.13.4 5007 netmask255.255.255.255
access-group outside_access_in in interface outside

 

wobei halt Port 5007, der auf dem Outside Interface (149.253.72.146) reinkommt in unser Netz auf den Server 192.168.13.4 weitergeleitet werden soll.

Auf der Pix sieht das ganze so aus (meiner Meinung nach ist das identisch (bis auf die beteiligten IPs)

 

access-list acl_outside permit tcp any host 216.167.130.90 eq 5007

static (inside,outside) tcp 216.167.130.90 5007 192.168.13.3 5007 netmask 255.255.255.255 0 0

 

Vielen Dank für jeden Tipp !

 

Grüße

[hegl 10]

Sieht auf de ersten Blick nicht verkehrt aus...Was sagt denn das logging? Gerade wenn man die ASA hat, ist es doch über den ASDM ein Leichtes, auftretende Fehler zu erkennen.

[blackbox 10]

Ist die 149er Addresse die "echte" Addresse des Interfaces oder ne DHCP o. PPPoE Addresse - weil bei der PIX hast du das ganze auf "Interface" laufen und nicht auf die IP.

[Dackel77 10]

sorry, hab erst jetzt wieder Zeit für die Problematik gehabt.

 

Ist die 149er Addresse die "echte" Addresse des Interfaces oder ne DHCP o. PPPoE Addresse - weil bei der PIX hast du das ganze auf "Interface" laufen und nicht auf die IP.

 

 

bei der ASA hab ich es auf "Interface" laufen, ist aber die echte Outside-IP-Adresse.

 

Das loggin, sagt, dass die nat-rule das ganze dropped, aber was soll ich an der verändern... hm , bin etwas ratlos.

Hab auch schon den Port auf den selben internen server von der asa aus geleitet wie von der Pix, selbe ergebnis , von pix geht es, von asa nicht.

 

Ich bekomm auf der ganzen asa keinen einzigen Port geöffnet, gibt es noch irgendeine Einstellung, die den kompletten Verkehr per se verhindert?

(habe ASA auch auf Werkseinstellungen zurückgesetzt, dann nur Startup-Wizard über asdm und nur die oben gezeigten Einträge in der Console eingetragen.

[hegl 10]

Stell doch einfach einmal das entsprechende Syslog hier ein.

 

Hast du denn schon mal den Packet Tracer probiert? Hier kann man schön die Verbindungen simulieren.

[blackbox 10]

Hi,

 

du kannst das hier mal als "Anhaltspunkt" nehmen : Link