Về việc ping giữa các vùng khác nhau trên PIX-Firewall

[hoanguyenvn]

Hi các bạn.

Mình cũng đã nghiên cứu Pix được một thời gian, sau khi search trên mạng thấy khá nhiều bài viết về việc cấu hình ping giữa các vùng mạng khác nhau trên PIX, mình thấy có khá nhiều luồng thông tin. Hôm nay xin được tổng hợp lại, hy vọng sẽ có ích cho những người đang mò mẫm ;));)).

Trước tiên, xin khẳng định không thể ping “cross interface” tức là ko cho phép ping trực tiếp lên các interface inside, outside hay DMZ. Mình đã có thể ping từ một host thuộc vùng Inside ra một host của vùng Outside tuy nhiên, ping trực tiếp lên IP của Outside thì vẫn không thể được. Có thể đây là tính năng bảo mật của PIX.


Trong bài viết này mình sẽ hướng dẫn các bạn build lab để kiểm tra việc giao dịch giữa 2 vùng inside và outside của PIX.

Sơ đồ như sau: R1--->PIX<-----R2.


R1-->Inside: 192.168.5.0/24

R2--->Outside: 192.168.6.0/24


Trước tiên cấu hình trên R1,R2 các thông số về IP,subnet để từ R1 có thể ping đến được Inside Interface và Outside Interface của PIX.

Trên PIX cấu hình thêm như sau.
Để ping từ Outside vào vùng Inside.
- Trước hết, thực hiện lệnh static để ánh xạ một host từ vùng Inside ra vùng Outside
static (inside, outside) 192.168.6.10 192.168.5.10 netmask 255.255.255.255
(ánh xạ 1-1 host 192.168.5.10 sẽ được xem như 192.168.6.10).
- Tiep den tao access-list cho phép icmp trả về trên cổng Inside
- Luc nay từ host của vùng Outside ta ping 192.168.6.10, success 100%.

[convoi]

Từ inside gửi icmp/echo ra outside thì được nhưng PIX/ASA chặn icmp/echo-reply từ outside vào inside, nên nếu cần ping từ inside ra outside ta chỉ cần 2 lệnh:

access-list 101 permit icmp any any echo-reply
access-group 101 in interface outside

[thanhnam0707]

Cũng tùy theo mô hình,chứ ko phải lúc nào cũng Nat,nếu hệ thống xài no nat-control thì chỉ cần acl và ko cần nat ở firewall,