Comments / Profile of Fedia / Habr

Сергей Фёдоров @Fedia

User

Profile Publications 44Comments 579Bookmarks 1

Fedia May 20 2009 at 17:04

Ну что же, дорогие мои. Первое решение.

Итак, что мы имеем:
1. На компе нет езернета — его только для конфига
2. На АСА тоже нет клиента (телнет и ssh) — значит её надо как то по-другому использовать
3. Циска сама на себя зайти не сможет, т.к. телнет и ssh пропущены только с некоего хоста 4.4.4.4
4. Про маршрутизацию мы знаем, что есть дефолтный маршрут на 10.100.100.254
5. Про интерфейсы мы знаем, что их 2, логических, значит работают с 802.1q метками
6. Надо ещё поинтересоваться (никто не спросил вывод команды sh int), какие же VLANы обслуживаются подынтерфейсами. На антицискином форуме поинтересовались.
тут маленький подвох: номер подынтерфейса не совпадает с обслуживаемым VLAN.
int f0/0.10 — VLAN 100, int f0/0.20 — VLAN 200

Задача сводится к следующему: надо с маршрутизатора (только там есть встроенный телнет клиент) открыть на КАКОЙ ТО адрес телнет сессию так, чтобы пакет убежал на АСУ, там куда то странслировался и прибежал ОБРАТНО на циску, но уже с другими адресами, причём адрес источника должен быть 4.4.4.4

Решение:
1. Подключаем хвост АСЫ е0/0 к порту f0/0
2. Создаём 2 подынтерфейса

asa(config)# int e0/0.10
asa(config-if)# vlan 100
asa(config-if)# ip address 10.100.100.254 255.255.255.0
asa(config-if)# security-l 0
asa(config-if)# nameif outside

asa(config)# int e0/0.20
asa(config-if)# vlan 200
asa(config-if)# ip address 10.200.200.254 255.255.255.0
asa(config-if)# security-l 100
asa(config-if)# nameif inside

3. Как заставить циску обратиться не через дефолтный маршрут? Смотрим предыдущую задачку: нам поможет только АРП. Значит на АСЕ надо странслировать адрес 10.100.100.1 в некий адрес из сети 10.200.200.0/24

static (outside,inside) 10.200.200.2 10.100.100.1

Читаем: если пакет бежит с интерфейса outside на интерфейс inside, его адрес источника транслируется с 10.100.100.1 на 10.200.200.2. Ну а если мы обращаемся на 10.200.200.2, то прокидываемся на 10.100.100.1

Осталось малость: подделать адрес источника на 4.4.4.4

static (inside,outside) 4.4.4.4 10.200.200.1

Я транслирую именно адрес интерфейса 10.200.200, а обращаюсь на 10.100.100 не спроста: обратный пакет с рутера должен пробежать по дефолтному маршруту, т.к. адрес 4.4.4.4 ему не принадлежит, а значит ответ должен уйти с интерфейса 10.100.100

Осталось пропустить снаружи телнет (и ssh) трафик:

access-list FROMOUT permit tcp any any eq 23
access-list FROMOUT permit tcp any any eq 22

access-group FROMOUT in int outside

и мы в дамках :))