PIX, remote administration

[hegl 10]

Was gibt es für Lösungen eine PIX aus der Ferne, sprich aus dem Internet heraus, zu administrieren? Per Modem auf die Console? Per VPN über ein anderes internes device?

Wer hat Erfahrung und kann was empfehlen?

 

Thx

[Blacky_24 10]

SSH oder durch einen VPN-Tunnel per PDM.

 

Gruss

Markus

[maegl 10]

Hallo,

 

wir gehen über VPN auf einen Rechner (Server) und gehen dann davon auf die PIX.

Bei unseren RemotePixen ist der PDM Zugang für unsere statische IP Adresse freigeschaltet. Wenn der PDM nicht mehr reicht, dann auch wieder über VPN auf einen Rechner und dann mit Telnet weiter auf die PIX.

[weg5st0 10]

Bei unseren RemotePixen ist der PDM Zugang für unsere statische IP Adresse freigeschaltet.

 

Ich wundere mich immer wieder, was Kunden alles zulassen ... *kopfschüttel*.

[hegl 10]

ssh hört sich erstmal ganz gut an.

Habe gerade was bei CISCO über

 

management-access mgmt_ifc

 

gelesen. Ist dieses auch dafür verwendbar?

[Blacky_24 10]

Die Kurzfassung:

 

SSH freigeben für die Management-IPs

 

ssh NETZ MASKE outside

 

Der PIX sagen dass sie die SSH-User gegen die lokale User-DB authentifizieren soll:

 

aaa-server LOCAL protocol local

aaa authentication ssh console LOCAL

 

Benutzer einrichten und Rechte zuweisen:

 

username USER password SUPERSECRET privilege 15

 

(ggf. zuerst die User eintragen, dann die Authentifizierung einschalten, sonst gibts mecker)

 

Hostname und domain-name setzen.

 

Zertifikate generieren:

 

ca gen rsa key 1024

 

Zertifikate abspeichern:

 

ca save all

 

Konfig speichern:

 

wr me

 

Fertig.

 

Anzeigen kann man das Zertifikat mit "show ca mypubkey rsa", löschen mit "ca zeroize rsa".

 

Zu beachten: Wenn man nach dem Generieren der Zertifikate den Host- oder Domain-Name ändert muss man die Zertifikate neu generieren, ansonsten ists Essig mit SSH.

 

Die Zertifikate müssen mit "ca save all" gespeichert werden, "wr me" speichert die Zertifikate NICHT.

 

Man kann das natürlich noch mit zig Nickeligkeiten verfeinern - externe CA, RADIUS-Authentifizierung, andere Keylängen, u.s.w.

 

Man sollte darauf achten dass man für die User wirklich komplexe Passwörter einrichtet - wenn man sich schon nachts hinter den Bahnhof stellt muss man ja nicht auch noch gleich die Hose runter lassen und sich bücken.

 

Gruss

Markus

[hegl 10]

Die Kurzfassung:

 

D A N K E :) :) :)

[hegl 10]

und wie stelle ich es an, wenn die remote pix an einem dsl-anschluss mit dynamischer ip hängt? :confused:

[Wordo 11]

DynDNS fals die PIX das beherrscht. Ansonsten sagst du den Leuten die sollen halt irgend ne Seite ansurfen mit IP-info. Keine Ahnung wie die heissen ...

Da .. sowas:

 

heise Netze - My-IP-Service

[hegl 10]

Meines Wissens nach unterstützt die PIX kein DynDNS.