pix 501

[WP3 10]

hallo,

 

hat schon mal jemand ne pix 501 configuriert ?

was muß man dabei besonders beachten ?

hat jemand ne beispielconfig ?

[s21it21 10]

hallo,

 

ja habe ich schon zu genüge gemacht.

eine gute quelle ist:

 

http://www.secwiz.com/ (im Menü oben Firewall --> PIX wählen).

 

Zu beachten bei der PIX ist, dass diese ein NAT-Device ist und mit Prioritäten handelt. Das heißt das interne LAN hat die höchste Priorität (inside-interface). Das Internet (outside-interface) hat die niedrigste Priorität. Dazwischen kann man weitere Interfaces definieren und nach Prioritäten abstufen. Entsprechend dieser arbeitet die Kiste auch.

 

Für JEDE Freischaltung (access-list) muss man irgendeine Art NAT (static, pat, etc.) definieren, sonst tut sich nichts.

 

Zu beachten ist auch noch, dass die Pix grundsätzlich JEDEN Traffic von einer höheren in die niedrigere Priorität zulässt (so fern es ein NAT gibt).

--> Dieses Verhalten finde ich pers. nicht sicher und sollte deaktiviert werden (mit einer access-list deny). Tut man dies, muss man, wie bei jeder guten Firewall, den gewünschten Traffic freischalten.

 

ACHTUNG: Macht man bei der Pix ein debug packet all inside (oder outside), dann kann die Kiste abstürzen. Dabei wird das Gerät einfach überlastet (weil der GESAMTE Traffic gedebuggt wird).

 

So long Martin

 

PS: Man kann alternativ auch noch den PDM (grafisches GUI) verwenden, finde ich pers. aber für Müll.