Commande Static pour le PIX

An article by Olivier Legras    Pas de Commentaire

Translation d’adresse (NAT)

La commande static permet de mapper une adresse interne d’un réseau interne ( haut niveau de sécurité) sur une adresse IP externe ( bas niveau de sécurité ). Ce la permet à un serveur externe d’accéder à un réseau interne.

exemple d’utilisation :

Rendre accéssible un ordinateur appartenant au réseau interne de l’exterieur :

adresse  interne : 10.1.1.10

adresse  externe : 192.168.10.10

PIXFIREWALL(conf)#static (inside, outside) 192.168.100.10 10.1.100.10 netmask
255.255.255.255

Nous pouvons mapper un reseau de cette manière :

PIXFIREWALL(conf)#static (inside, outside) 192.168.1.0 10.1.100.0 netmask 255.255.255.0

Dans cette exemple, le sous-reseau de classe A est mapper en class C. C’est à dire que un host appartenant au réseau 10.1.100.0 255.255.255.0 sera de l’exterieur visible sur le réseau  192.168.10.0 255.255.255.0

Redirection de port (PAT)

Cette commande permet également de faire de la redirection de port. C’est à dire qu’un client extérieur tenter d’accéder sur une adresse IP (généralement publique) et un port particulier. C’est le PIX qui ce chargera de redirigé le traffic passant par cette adresse IP et port vers l’adresse IP et le port choisis. En utilisant la commande static, nous pouvons rediriger les ports TCP et UDP et de façon permanente (static).

Voici un petit exemple :

Nous redirigeons le traffic provenant de l’exterieur ayant comme destination l’adresse IP 192.168.1.14 et le port tcp 21 (Ftp) vers l’adresse IP 10.1.2.8 sur le même port :

static (inside, outside) tcp 192.168.1.14 ftp 10.1.2.8 ftp

Nous pouvons également rediriger deux ports d’une adresse IP externe vers des adresses IP internes différentes.

Exemple :

static (inside,outside) tcp 192.168.1.24 telnet 10.1.2.19 telnet netmask
255.255.255.255
static (inside,outside) tcp 192.168.1.24. 8080 10.1.2.20 www netmask 255.255.255.255
access-list 101 permit tcp any host 192.168.1.24 eq 8080
access-list 101 permit tcp any host 172.18.124.99 eq telnet