reaLc

ASA best practices

reaLc — Thu, 22 Sep 2011 19:10:00 +0200

Un lien bien pratique sur les "best practices"pour configurer un ASA from scratch ici

Création context FWSM

admin — Thu, 22 Sep 2011 18:54:00 +0200

conf t
# description Interco_GRT
 vlan 701
exit

interface Ethernet0/1.702
# description Interco Pub_OPO
 vlan 702
exit

interface Ethernet0/1.1249
# description Interco Pub_LB
 vlan 1249
exit

# context GRT

description "OPIT/OPO"

allocate-interface Ethernet0/1.701 VLAN701
allocate-interface Ethernet0/1.702 VLAN702
allocate-interface Ethernet0/1.1249 VLAN1249

# config-url disk0:/GRT.cfg

Sur le context system nous attachons les VLANs au context

Dans les context eux meme il faut créer les VLANs et leurs assigner des IP.

changeto context GRT

interface vlan701
 description GRT_RBCI
 nameif GRT
 security-level 0
 ip address 193.252.165.73 255.255.255.248 standby 193.252.165.74

interface vlan702
 description PUB_OPO
 nameif PUB_OPO
 security-level 70
 ip address 10.65.225.1 255.255.255.248 standby 10.65.225.2

interface vlan1249
 mac-address 5555.1111.1249
 description PUB LB
 nameif PUB_LB
 security-level 75
 ip address 10.99.96.11 255.255.255.240 standby 10.99.96.11

Monitoring des context :

monitor-interface GRT
monitor-interface PUB_OPO
monitor-interface PUB_LB

Ajout des routes

route GRT 0.0.0.0 0.0.0.0 193.252.165.78
route PUB_OPO 193.252.165.0 255.255.255.224 10.65.225.6 
route PUB_LB 193.252.164.144 255.255.255.255 10.99.96.3

changeto sys
changeto context BIV
interface vlan1249
mac-address 5555.0000.1249

Ajout licence FWSM

admin — Thu, 22 Sep 2011 18:50:00 +0200

Ajout de licence FWSM pour passer à 20 contexts

changeto sys
show version | include Number
Serial Number: JMX1345L0CK
activation-key c4267d40 d0eca1bf 9dbbf9ee 6aa060cb 44968998

Création Vsys Netscreen

admin — Thu, 22 Sep 2011 18:38:00 +0200

Definition du VSYS et du Vrouteur :

set vsys #VSYS NAME#_Proxy vrouter name #Vrouteur NAME#
set zone name #Zone NAME#    
unset zone #Zone NAME# tcp-rst

Choix de l'interface à attribuer au Vsys (verifier les int déja en place : show int all)

set interface aggregate1.8 tag 704 zone #Zone NAME#
set interface aggregate1.8 ip 10.65.224.254/27
set interface aggregate1.8 route 
unset interface aggregate1.8 ip manageable 
unset interface aggregate1.8 manage ssh 
unset interface aggregate1.8 manage telnet 
unset interface aggregate1.8 manage ssl 
unset interface aggregate1.8 manage web 
set interface aggregate1.8 manage ping

Definition de la route par defaut sur le Vsys root

enter vsys #VSYS NAME#
set route 0.0.0.0/0 vrouter untrust-vr preference 20 metric 1g

Definition des routes static ds le Vsys root

set route 10.65.224.254/27 vrouter #Vrouteur NAME# preference 20 metric 1
set route 10.65.224.224/27 vrouter #Vrouteur NAME# preference 20 metric 1

exit

save

[ NOKIA ] TOPOLOGIE CKP

reaLc — Thu, 22 Sep 2011 18:03:00 +0200

Voici le model type d'une topologie nokia CKP avec cluster de firewall

CRÉATION INTERFACE SUR LE VOYAGER

reaLc — Thu, 22 Sep 2011 17:31:00 +0200

1 - CRÉATION DES SOUS-INTERFACE SUR LE VOYAGER :

Se connecter sur la GUI du FWL Primaire actif :

Configuration > Interface Configuration > Interfaces ae1

Choisir l’interface physique ae1 pour l'ajout des Vlan 717-718-719

VLAN 717 : ae1c23 : 10.104.59.252

VLAN 718 : ae1c24 : 10.104.59.220

-Faire la mm chose sur le FWL backup :

Configuration > Interface Configuration > Interfaces ae1

Choisir l’interface physique ae1 pour l'ajout des Vlan 717-718-719

VLAN 717 : ae1c23 : 10.104.59.253

VLAN 718 : ae1c24 : 10.104.59.221

2 -VRRP

Configuration > High Availability > VRRP

ajouter l’adresse VRRP:

VLAN 717 : 10.104.59.254

VLAN 718 : 10.104.59.222

3 - AJOUT DE ROUTE

10.104.59.128/25 10.163.149.126

Dans la marge à gauche, ouvrir le menu « Monitor / Route », vérifier que la route à créer existe

« save »

« log off »

4 - Récupération de la topologie sur le Smart-Dashboard :

[ALTEON] VIP en état "blocked"

reaLc — Fri, 16 Sep 2011 17:12:00 +0200

Aujourd'hui tout petit mémo.

lorsqu'une VIP alteon est en état "blocked"

Cela signifie qu'un groupe est utilisé dans deux vip différentes et que l'une d'entre elle est failed.

Pour le KB chez nortel/radware :

Le lien vers le KB

[Generique] Correspondance CIDR masque sous réseau

reaLc — Fri, 16 Sep 2011 17:10:00 +0200

Un des meilleurs pense pas bête que je puisse publier ici.
En Cas de doute voici la correspondance CIDR / masque sous réseau.( Classless Inter-Domain Routing )
Je ne mettrais pas les methodes pour les retrouver. Il y a tout ce qu'il faut et en bien mieux sur le net

CIDR  	 Netmask  	    Reverse Netmask     IPs 
 
 /32 	 255.255.255.255     0.0.0.0            1 
 /31 	 255.255.255.254     0.0.0.1            2 
 /30 	 255.255.255.252     0.0.0.3            4 
 /29 	 255.255.255.248     0.0.0.7            8 
 /28 	 255.255.255.240     0.0.0.15           16 
 /27 	 255.255.255.224     0.0.0.31           32 
 /26 	 255.255.255.192     0.0.0.63           64 
 /25 	 255.255.255.128     0.0.0.127          128 
 /24 	 255.255.255.0       0.0.0.255          256 
 /23 	 255.255.254.0       0.0.1.255          512 
 /22 	 255.255.252.0       0.0.3.255          1 024 
 /21 	 255.255.248.0       0.0.7.255          2 048 
 /20 	 255.255.240.0       0.0.15.255         4 096 
 /19 	 255.255.224.0       0.0.31.255         8 192 
 /18 	 255.255.192.0       0.0.63.255         16 384 
 /17 	 255.255.128.0       0.0.127.255        32 768 
 /16 	 255.255.0.0         0.0.255.255        65 536 
 /15 	 255.254.0.0         0.1.255.255        131 072 
 /14 	 255.252.0.0         0.3.255.255        262 144 
 /13 	 255.248.0.0         0.7.255.255        524 288 
 /12 	 255.240.0.0         0.15.255.255       1 048 576 
 /11 	 255.224.0.0         0.31.255.255       2 097 152 
 /10 	 255.192.0.0         0.63.255.255       4 194 304 
 /9 	 255.128.0.0         0.127.255.255      8 388 608 
 /8 	 255.0.0.0           0.255.255.255      16 777 216
 /7 	 254.0.0.0           1.255.255.255      33 554 432
 /6 	 252.0.0.0           3.255.255.255      67 108 864
 /5 	 248.0.0.0           7.255.255.255      134 217 728
 /4 	 240.0.0.0           15.255.255.255     268 435 456
 /3 	 224.0.0.0           31.255.255.255     536 870 912
 /2 	 192.0.0.0           63.255.255.255     1 073 741 824
 /1 	 128.0.0.0           127.255.255.255    2 147 483 648
 /0 	 0.0.0.0             255.255.255.255    4 294 967 296