VPN unter CISCO PIX 506 einrichten

[lalyboy 10]

Herzliche Grüsse an alle Euch hier im Form.

 

Ich habe von meinen Vorgesetzen einen CISCO PIX 506E zum konfigurieren bekommen. Zuerst versuchte ich den PIX Router über PPPoE zu konfigurieren, dummerweise kann man das VPN für PPTP oder L2TP nicht enablen, denn über das Outside Interface läuft die PPPoE. Einwählung.

 

Nun habe ich den Router auf Werkseinstellung zurück gesetz und über den Wizard den Router mit einer öffentlichen statischen IP konfiguriert, nun kann man VPN für PPTP und L2TP enablen. :)

 

So nun meine Frage, wie kann ich über VPN auf das Netzwerk, dass an dem Inside Interface hängt zugreifen. Bei mir war es so, dass wenn ich über VPN (Remote) eingewählt habe in einem anderem privaten Netzwerk landete. Ich würde ja gerne die Ressource im privaten Netzwerk nützen können.

 

Ich wäre für jede Hilfe dankbar.

[lalyboy 10]

Mittlerweile habe ich eine Lösung mit dem CISCO VPN Client mit IPSec gefunden und ich kann über remote auf die Rechner hinter dem CISCO PIX zugreifen.

 

PPTP ging auch aber beides gleichzeitig lief nicht Microsoft VPN Client (PPTP) und Cisco VPN Client.

[evildave 10]

habe nun auch das problem, dass ich in einem privaten netzwerk bleibe? kannst du mir sagen, was du gemacht hast, damit du auf die resourcen hinter der pix zugreifen konntest?

[s21it21 10]

hello,

 

@evildave: was meinst du genau?

 

wenn du eine vpn-verbindung aus dem internet auf die pix aufbaust, dann kommst du am outside-interface an, der tunnel wird aufgebaut und basierend auf den access-listen kannst du dann dich ins inside-interface (also ins interne lan) verbinden. dabei kannst du es so einrichten, dass der vpn-client zb. eine eigene ip-adresse von der pix bekommt (damit verhinderst du routing-probleme, falls das lan, aus dem der client kommt, den selben internen ip-range verwendet wie das zielnetz hinter der pix).

 

wichtig ist eben, nachdem der tunnel steht (phase 1 und phase 2), dass du geeingente access-listen definiert hast (inkl. nonat-zeug).

 

lg

 

martin

[lalyboy 10]

192.168.1.0 = Firmennetz

192.168.2.0 = VPN-Netz

 

//Gegenseitiger Zugriff auf das Firmennetz und VPN-Netz

access-list 101 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

 

access-list 102 permit ip 192.168.1.0 255.255.255.0 any

 

//Kein NAT anwenden wenn das Ziel das Firmen-Netz oder das VPN-Netz ist.

nat (inside) 0 access-list 101

//Für alles andere wird NAT benutzt

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

 

 

// ;) Falls Ihr einen Cisco VPN Client hinter einem ISA geschützen Netz benutzt.

//Natürlich müssen auch die VPN-Client Protokolle (IPSec) beim ISA freigeschaltet werden.

isakmp nat-traversal 20

 

//Erlaubt gleichzeitiger Zugriff auf das interne Netz und zu dem Internet.

//vpn3000 ist nur ein Gruppennamen und kann durch einen anderen Namen ersetzt werden.

vpngroup vpn3000 split-tunnel 102

 

Ich bin nur auf die wichtisten Sachen eingegangen die man von Hand machen musste, den rest habe ich mit den Wizzards gemacht.