Publicar Servidor Web ASA 5505

[David Aguirre]

Hola a todos!

Desde hace varios días estoy intentado publicar mi servidor Web, el escenario es el siguiente:

Ya he configurado lo principal del Firewall ASA5505

Inside: 192.168.10.10

Outside: Le he puesto la IP Pública que hemos adquirido (x.x.x.26)

DMZ: 10.10.10.1

Ahora tengo un Windows Server 2008, a este le he colocado la dirección 10.10.10.15 y puerta de enlace 10.10.10.1, He intenado con el siguiente código:

static (dmz,outside) tcp interface 80 10.10.10.1 80

static (dmz,outside) tcp interface 443 10.10.10.1 443

access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 443

access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 80

access-group out_in in interface outside

Aun no consigo al ingresar la dirección IP pública en un explorador (x.x.x.26) acceder al servidor Web.

Lo he intenado Vía ASDM, y por Línea de comandos.

Desde ya muchas gracias por su colaboración.

[jj27]

Hi.

Si la dirección del servidor es 10.10.10.15 necesita NAT para esa dirección IP. Parece que están actualmente NAT para la puerta de enlace predeterminada en lugar de 10.10.10.1.

Prueba esto:

access-list out_in permit tcp any interface outside eq 443

access-list out_in permit tcp any interface outside eq 80

no access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 443

no access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 80

no static (dmz,outside) tcp interface 80 10.10.10.1 80

no static (dmz,outside) tcp interface 443 10.10.10.1 443

static (dmz,outside) tcp interface 80 10.10.10.25 80

static (dmz,outside) tcp interface 443 10.10.10.25 443

[David Aguirre]

Hola Muchas gracias por tu respuesta;

He ingresado las lineas de código, excepto estas:

no access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 443

no access-list out_in permit tcp any x.x.x.x ( ip address of outside interface) eq 80

Me da error con x.x.x.x, no se si las he ingresado correctamente;

[jj27]

Sí, el ejemplo anterior para esas líneas no era exacta a la configuración en su lugar, por lo que las usé en mi respuesta. Con las nuevas líneas de NAT el tráfico hacia el trabajo del servidor ahora?

[David Aguirre]

Aun no funciona;

Cuando ingrese estas lineas

access-list out_in permit tcp any interface outside eq 443

access-list out_in permit tcp any interface outside eq 80

Me muestra:

WARNING: found duplicate element

Otra cosa: He probado la HERRAMIENTA PACKET TRACER, y no me deja el paso de tráfico, indicandome la reglas implicitas del ASA, será por esto?

[David Aguirre]

Esta es la configuración que estoy utilizando, si alguien puede ayudar muchas gracias.

ASA Version 8.2(5)

!

hostname ASA5505-MA

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0/0

switchport access vlan 2

!

interface Ethernet0/1

switchport access vlan 3

!

interface Ethernet0/2

!

interface Ethernet0/3

!

interface Ethernet0/4

!

interface Ethernet0/5

!

interface Ethernet0/6

!

interface Ethernet0/7

!

interface Vlan1

nameif inside

security-level 100

ip address 192.168.10.1 255.255.255.0

!

interface Vlan2

nameif outside

security-level 0

ip address 186.151.161.26 255.255.255.252

!

interface Vlan3

no forward interface Vlan1

nameif DMZ

security-level 50

ip address 10.0.0.1 255.255.255.0

!

ftp mode passive

dns server-group DefaultDNS

domain-name mancuerna.org

access-list outside_in extended permit tcp any host 186.151.161.26 eq www

access-list outside_in extended deny ip any any log

pager lines 24

logging asdm informational

mtu outside 1500

mtu inside 1500

mtu DMZ 1500

icmp unreachable rate-limit 1 burst-size 1

no asdm history enable

arp timeout 14400

global (outside) 1 interface

nat (inside) 1 0.0.0.0 0.0.0.0

static (DMZ,outside) tcp interface www 10.0.0.10 www netmask 255.255.255.255

static (DMZ,outside) tcp interface https 10.0.0.10 https netmask 255.255.255.255

access-group outside_in in interface outside

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute

timeout tcp-proxy-reassembly 0:01:00

timeout floating-conn 0:00:00

dynamic-access-policy-record DfltAccessPolicy

http server enable

http 192.168.10.0 255.255.255.0 inside

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec security-association lifetime seconds 28800

crypto ipsec security-association lifetime kilobytes 4608000

telnet timeout 5

ssh timeout 5

console timeout 0

dhcpd auto_config outside

!

dhcpd address 192.168.10.5-192.168.10.36 inside

dhcpd enable inside

!

threat-detection basic-threat

threat-detection statistics access-list

no threat-detection statistics tcp-intercept

webvpn

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

  message-length maximum client auto

  message-length maximum 512

policy-map global_policy

class inspection_default

  inspect dns preset_dns_map

  inspect ftp

  inspect h323 h225

  inspect h323 ras

  inspect rsh

  inspect rtsp

  inspect esmtp

  inspect sqlnet

  inspect skinny

  inspect sunrpc

  inspect xdmcp

  inspect sip

  inspect netbios

  inspect tftp

  inspect ip-options

!

service-policy global_policy global

prompt hostname context

Cryptochecksum:2f086974f02bfe6374380e9f1d09e692

: end

[jj27]

¿Cuál es la salida del siguiente comando?: show access-list outside_in

¿Es posible que el servidor tiene tiene el firewall activado y no se permite que el tráfico o el servidor no está escuchando en los puertos?

[David Aguirre]

Este es el resultado:

access-list outside_in; 2 elements; name hash: 0xc5896c24

access-list outside_in line 1 extended permit tcp any host 186.151.161.26 eq www (hitcnt=0) 0xd3dcee66

access-list outside_in line 2 extended permit ip any any log informational interval 300 (hitcnt=0) 0xc3dd4303

Pues he deshabilitado el Firewall totalmente y también el antivirus.

De hecho la IP pública también se las he asigando al servidor directamente del Router del ISP y funciona.

Por eso no se que esta pasando.

Muchas gracias por tu ayuda.

[jj27]

En cuanto a la lista de acceso, el recuento de visitas a la regla de acceso es 0, que significa que el tráfico no está alcanzando el firewall. Tal vez el router del ISP tiene un servidor de seguridad en lo que debe ser desactivada. Muchas veces, usted tiene que poner el cortafuegos en modo de pass-through o puente para desactivar el firewall en él y pasar a través de todo el tráfico de la ASA.

[David Aguirre]

El Router del ISP tiene desactivado el Firewall

También me da esta información

ciscoasa

Información Estado: Activa Tipo: Generic Device Conectado a: ethport2 (Ethernet)

Direccionamiento Dirección física: 6c:20:56:15:24:78 Asignación de dirección IP: Estático Dirección IP: 186.151.161.26

[David Aguirre]

he abierto el asdm y me he dado cuenta q donse dice kbps en el otside y dmz siempre esta en 0 asi q no hay trafico en ambas interfaces a q se puede deber?