Pix 501, Dns

[Darkshark 10]

Guten Tag

 

ich habe in unserer kleinen Firma die Aufgabe übernommen, für die Kunden die CISCO Gerät zu konfigurieren. Dabei passe ich jeweils eine vorgefertigte Konfiguration an, die uns von einem "Spezialisten" ausgestellt wurde, und kopiere sie dann per HyperTerminal auf die fabrikneue Firewall.

 

Das einzige Problem dass ich dabei feststelle ist, dass die PIX die DNS Anfragen von den Clients (Mac oder PC) offenbar nicht versteht. D.H, wir müssen die DNS-Server-IP's des Providers auf jedem Gerät manuell erfassen, damit ein Internetzugang möglich ist. Da wir vorwiegend mit statischen IP Adressen von Clients arbeiten (wegen VPN), ist das etwas mühsam.

 

Müsste das nicht einfacher gehen? Leider kenne ich CISCO Produkte nicht sehr gut. Ich weiss nur, dass bei anderen Herstellern als DNS Server die IP des Routers angegeben wird und das dieser dann die Weiterleitung übernimmt. Ich poste hier mal die Grundkonfiguration der Firewall, vielleicht kann mir jemand einen Tipp geben...würde mich sehr freuen...

 

 

enable password XXXXX

passwd XXXXX

hostname pixfirewall

domain-name ciscopix.com

no dhcpd enable inside

no dhcpd address 192.168.1.2-192.168.1.33 inside

ip address inside 192.168.0.1 255.255.255.0

access-list outside_cryptomap_dyn_20 permit ip any 172.16.0.0 255.255.255.240

access-list inside_outbound_nat0_acl permit ip 192.168.0.0 255.255.255.0 172.16.0.0 255.255.255.0

vpdn group pppoe_group request dialout pppoe

vpdn group pppoe_group localname <Benutzer@Provider.ch>

vpdn group pppoe_group ppp authentication chap

vpdn username <Benutzer@Provider> password <Provider-Passwort>

ip address outside pppoe setroute

ip local pool vpnpool 172.16.0.1-172.16.0.10

nat (inside) 0 access-list inside_outbound_nat0_acl

http server enable

http 62.2.168.248 255.255.255.248 outside

http 0.0.0.0 0.0.0.0 inside

no http 192.168.0.0 255.255.255.0 inside

sysopt connection permit-ipsec

crypto ipsec transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac

crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20

crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5

crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map

crypto map outside_map interface outside

isakmp enable outside

isakmp nat-traversal

isakmp policy 20 authentication pre-share

isakmp policy 20 encryption 3des

isakmp policy 20 hash md5

isakmp policy 20 group 2

isakmp policy 20 lifetime 86400

vpngroup <vpngroupname> address-pool vpnpool

vpngroup <vpngroupname> idle-time 1800

vpngroup <vpngroupname> password <VPN Passwort>

telnet 0.0.0.0 0.0.0.0 inside

ssh 62.2.168.248 255.255.255.248 outside

ssh 0.0.0.0 0.0.0.0 inside

write mem