Problema con la configuración bridge ASA 5506 X, y como poder quitarla

[DavidGustavoSanabriaRocha3330]

Buenas recientemente adquirí el ASA5506X y al momento de configurarlo vi que esta configurado en modo bridge en el grupo BVI1 y deseo quitarla ya que en la configuración que necesito implantar no tendría que estar configurada de esta manera, intente ya quitar esa configuración con la que creo que viene predeterminada.

Si alguien sabe como quitar esa configuración y cambiarla a modo normal le agradecería mucho.

Gracias

[Diana Karolina Rojas]

Buenos días estimado,

Cuando intentaste eliminar la cofig ¿lo hiciste por consola? creo que tendrías que comenzar eliminando las configs en las interfaces (el nameif y el bridge-group X) y luego pasar a eliminar el BVI. La otra opción es haciendo un "write erase" en el equipo para que te genere una config vacía. Prueba y me comentas los resultados.

***Por favor no olvides calificar y/o marcar como solución las respuestas útiles, tu calificación promueve nuestra participación.***

Saludos,

[Hilda Arteaga]

Gracias por buscar asistir a David, Diana 

[DavidGustavoSanabriaRocha3330]

Gracias por la ayuda y la sugerencia probé con eliminar por ASDM el nameif y el bridge-group, después eliminando el interfaz del BVI1 a lo que después al aplicar el ASDM me informa un error:

Ya me paso varias veces cuando intente ahora también intente hacer por consola pero no me funciona el comando para eliminar el bridge-group de cada interface, talvez algún paso lo realizo mal si tuvieras alguna sugerencia u olvide algo te agradecería mucho.

Gracias 

[Javier Acuña]

Saludos @DavidGustavoSanabriaRocha3330 Gracias por comunicarte con la comunidad de Cisco, estas utilizando ASD o estas UTilizando CLI, para CLi utiliza lo siguiente:

sh run | in BVI1

sh run object-group id BVI1

# configure terminal 

#no object- group network BVI1

Debes tomar en  consideración que al eliminar este grupo estarás eliminando todos los objetos que se encuentren dentro de el y la configuración (esto será disruptivo).

Recuerda calificar esta y todas las respuestas positivas en la comunidad esto mantiene activa la comunidad.!!!

[DavidGustavoSanabriaRocha3330]

Muchas gracias por la respuesta estoy trabajando con las dos interfaces CLI y ASDM, el problema se me presenta cuando elimino el bridge-group por CLI y utilizo el sh run para ver la configuración aun devuelve:

interface GigabitEthernet1/2
bridge-group 1
nameif inside_1
security-level 100

También que ya no tengo acceso al ASDM

Bien ahora cuando elimino mediante el ASDM el bridge-group también se pierde el contacto con el ASA y pierdo el acceso puedo entrar por CLI pero ya no me permite cambiar nada, quizá un paso de no estoy tomando en cuenta o alguna configuración que estoy obviando agradecería mucho alguna sugerencia o ejemplo de como poder hacerlo.

gracias

[Julio E. Moisa]

Hola

Para poder quitarlo (definitivamente eliminar los BVI) tienes que cambiar el modo de transparente a routing. Si esta viendo interfaces BVI, es porque el firewall esta en modo transparente. 

enable

config 

No firewall transparent

Si solo es quitar el BVI, te recomiendo que quites las interfaces que son miembro y luego eliminar la interface BVI, pero ten cuidado que eso te puede eliminar ciertas configuraciones relacionadas (por si deseabas hacer alguna reconfiguracion, pero si es eliminar permanentemente, entonces procede)

Saludos 

[DavidGustavoSanabriaRocha3330]

Saludos 

Gracias por la ayuda y el dato, utilice :

enable

config 

No firewall transparent

dando como respuesta

WARNING: Context already in router mode

después procedí a la limpieza del grupo BVI1 en el ASDM, ahora me sale un error que ya no puedo ingresar al ASDM:

Unable to launch device manager from 192.168.1.1

[Julio E. Moisa]

Hola

Si ingresabas a traves de ASDM por esa interface entonces ya no podras, tendrias que conectarte por otra Interface. 

Mi sugerencia es utilizar CLI, y si necesitas apoyo con alguna config con mucho gusto te ayudo.

Si el firewall esta en modo Router entonces ya esta en modo NAT, lo que quiere decir que puedes aplicar direcciones IP a cada interface. Este el modo por defecto de un firewall. 

Saludos 

[DavidGustavoSanabriaRocha3330]

Muchas gracias si efectivamente necesito algo de ayuda, como comente en el anterior post ya pude cambiar y quitar el BVI1 tampoco sabia que si se lo quita ya no se puede ingresar al ASDM, si estoy utilizando CLI a través del PuTTY.

Mira la configuración en la que necesito ayuda es en utilizar el ASA5506 como router en el cual pueda ingresar un ip publico,

y salir la red del 192.168.0.1 de ahi sale a un switch.

El dhcp repartir de 192.168.0.100 para adelante dinámicos

dejando los demás para ip estáticos 

y crear un acceso vpn a través de L2TP vi es la mas sencilla por q no necesita crear grupos ya solo accesos a los usuarios para poder conectar a la red y tener acceso a las carpetas compartidas.

Este es el diagrama que tengo de la configuración nota que todo esta en la misma red ya que utilizo plantillas de excel que me exige q todos tengamos acceso completo al servidor también por vpn por eso haciendo un estudio determine mi mejor opcion el L2TP, actualmente utilizo un router RV110W con el cual uso accesos de vpn por PPTP.

Utilizando el CLI si te agradecería mucho, un poco de apoyo para poder crear esta configuración si es posible.

Gracias

[Julio E. Moisa]

Hola

Vaya lo primero es configurar las interfaces, asi:

interface g0/0

description INTERNET

ip address 200.x.x.x <mascara de subred>

security-level 0

nameif OUTSIDE

no shut

interface g0/1

description LAN

ip address 192.x.x.x <mascara de subred>

security-level 100

nameif INSIDE

no shut

route OUTSIDE 0 0 <siguiente salto para alcanzar internet, ejemplo 200.x.x1>

access-list LAN extended permit icmp any any

access-list LAN extended permit ip any any (esto lo puedes modificar despues para hacerlo mas estricto)

access-list OUTSIDE extended permit icmp any any

access-group LAN in in LAN

access-group OUTSIDE in in OUTSIDE

De ahi ya configuras ASDM, L2TP etc. 

[DavidGustavoSanabriaRocha3330]

Muchas gracias 

Ya empece a configurar me quedo una duda para poder ingresar por ASDM utilizo el ip del INSIDE esa parte me confundió.

Gracias

[Julio E. Moisa]

Hola,

Si, es correcto, debes usar el INSIDE.

Saludos 

[DavidGustavoSanabriaRocha3330]

Gracias por la ayuda

Empece a configurarlo desde 0 todo funciono bien solo al momento de ingresar al ASDM con utilizando el INSIDE no me permite subo los pasos que utilice para la configuracion:

Empezando la configuracion utilice el

No firewall transparent

depues procedi a eliminar el bridge-group mediante el ASDM, luego configure en CLI.

ciscoasa(config)# interface gigabitEthernet1/1
ciscoasa(config-if)# ip address 200.XX.XX.10 255.255.255.0
ciscoasa(config-if)# nameif OUTSIDE
ciscoasa(config-if)# no shut

ciscoasa(config)# interface gigabitEthernet1/2
ciscoasa(config-if)# ip address 192.168.0.1 255.255.255.0
ciscoasa(config-if)# nameif INSIDE
ciscoasa(config-if)# no shut

ciscoasa(config)# route OUTSIDE 0 0 200.XX.XX.1

ciscoasa(config)# access-list INSIDE extended permit icmp any any
ciscoasa(config)# access-list INSIDE extended permit ip any any
ciscoasa(config)# access-list OUTSIDE extended permit icmp any any
ciscoasa(config)# access-group INSIDE in in INSIDE
ciscoasa(config)# access-group OUTSIDE in in OUTSIDE

La configuracion quedo asi:

interface GigabitEthernet1/1
nameif outside
security-level 0
ip address 200.58.82.10 255.255.255.0

interface GigabitEthernet1/2
nameif INSIDE
security-level 100
ip address 192.168.0.1 255.255.255.0

Pero al momento de ingresar al ASDM me sale error "Unable to launch device manager from 192.168.0.1" que el ip del INSIDE.

talvez pase por alto algo.

Gracias

[DavidGustavoSanabriaRocha3330]

Muchas gracias por la ayuda

Termine de configurar por CLI pero cuando intento entrar por ASDM con el ip del INSIDE no me lo permite "Unable to launch device manager from 192.168.0.1" que es el ip del inside. talves pase por alto alguna configuración o existe alguna configuración adicional. 

interface GigabitEthernet1/1
nameif outside
security-level 0
ip address 200.x.x.10 255.255.255.0

interface GigabitEthernet1/2
nameif INSIDE
security-level 100
ip address 192.168.0.1 255.255.255.0

Así quedo la configuración del OUTSIDE y de INSIDE

access-group OUTSIDE in interface outside
access-group INSIDE in interface INSIDE
route outside 0.0.0.0 0.0.0.0 200.x.x.1 1

Agradecería una ayuda con esta parte.

Gracias