[kim-aa]

shibzik,
Ознакомтесь http://forum.oszone.net/announcement-55-74.html
и приведите информацию о сервере и о ASA

[shibzik]

kim-aa, извените за несоблюдение правил
может ктонибудь сталкивался с этим раньше...

имеется cisco ASA5510
задача стоит следующая:
нужно организовать HTTP сервер который находился бы в демилитаризированной зоне(DMZ).

веб сервер стоит на win2003 small buisness edition sp2
клиентом управления ASA является Cisco ASDM 5.0 for ASA

при установки параметров проблем никаких нет, ошибок там и все такого. но если с сервера пинговать ASA то пинг не проходит. в чем может быть проблема?

show run:
Result of the command: "SHOW RUN"

: Saved
:
ASA Version 7.0(5)
!
hostname ciscoasa
domain-name default.domain.invalid
enable password Z4QbQKv6CqLeMZ85 encrypted
names
dns-guard
!
interface Ethernet0/0
nameif Inet
security-level 50
ip address 209.165.200.225 255.255.255.248
!
interface Ethernet0/1
nameif Local
security-level 45
ip address 192.168.13.1 255.255.255.0
!
interface Ethernet0/2
nameif DMZ
security-level 40
ip address 192.168.20.1 255.255.255.0
igmp access-group DMZ_multicastACL
!
interface Management0/0
nameif management
security-level 0
ip address 192.168.1.1 255.255.255.0
management-only
!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive
dns retries 5
dns timeout 5
dns domain-lookup Local
dns name-server 80.97.56.5
dns name-server 80.97.56.19
object-group network pdm_pool_200
network-object 209.165.200.225 255.255.255.255
network-object 192.168.13.0 255.255.255.240
access-list DMZ_nat0_outbound extended permit ip host 209.165.200.226 any
access-list DMZ_multicastACL standard permit host 0.0.0.0
access-list Inet_access_in extended permit tcp any host 192.168.20.2
pager lines 24
logging enable
logging asdm informational
mtu Inet 1500
mtu Local 1500
mtu management 1500
mtu DMZ 1500
asdm image disk0:/asdm505.bin
no asdm history enable
arp timeout 14400
nat-control
global (Inet) 200 interface
global (DMZ) 200 192.168.20.2-192.168.20.20 netmask 255.255.255.224
nat (Inet) 0 0.0.0.0 0.0.0.0
nat (Local) 200 192.168.13.3 255.255.255.255
nat (Local) 200 192.168.13.3 255.255.255.255 outside
nat (DMZ) 0 access-list DMZ_nat0_outbound
static (Inet,Local) 209.165.200.225 192.168.20.15 netmask 255.255.255.255
access-group Inet_access_in in interface Inet
route Inet 0.0.0.0 0.0.0.0 89.32.227.41 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
username vad75 password kV6nCdwuYqDLWZyj encrypted
aaa authentication telnet console LOCAL
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
no sysopt connection permit-ipsec
telnet 192.168.1.0 255.255.255.0 management
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd lease 3600
dhcpd ping_timeout 50
Cryptochecksum:e11d65922f58c0842d7f52022d8e9426
: end

[shibzik]

vot risunok

[kim-aa]

- Приведите ipconfig /all для сервера
- Проверьте не включен ли фаервол на сервере.
- По cisco вопрос изучаем, просто у нас такой модели нет, нада слегка разобраться в командах.

Вполне может быть что, тут действет правило - что не разрешено явно, то запрещено (запрет по умолчанию).

Тогда нужно добавить в acl-ы что-то типа

access-list DMZ_access_in extended permit ip host 192.168.20.2 host 192.168.20.1
access-list DMZ_access_out extended permit ip host 192.168.20.1 host 192.168.20.2

[shibzik]

ipconfig/all

[shibzik]

...

[shibzik]

Result of the command: "show access-list"

access-list cached ACL log flows: total 0, denied 0 (deny-flow-max 4096)
alert-interval 300
access-list DMZ_nat0_outbound; 1 elements
access-list DMZ_nat0_outbound line 1 extended permit ip host 209.650.200.226 any (hitcnt=0)
access-list DMZ_multicastACL; 1 elements
access-list DMZ_multicastACL line 1 standard permit host 0.0.0.0 (hitcnt=0)
access-list Inet_access_in; 1 elements
access-list Inet_access_in line 1 extended permit tcp any host 192.168.20.15 (hitcnt=0)


не могу понять, откуда взялся 192.168.20.15

изменения в АСL ничего не дало

[kim-aa]

shibzik,
Боюсь Вам придется читать User-жуть по устройству с текущей текущей прошивкой.
Особо обратить внимание на заводские установки (по умолчанию).