Link aggregation oder was, bei Cisco Pix

Computer: Hardware Netzwerk
1

Hallo!

Ich habe ein paar Cisco PIX 501 Firewalls in Verwendung und ein Problem mit der Konfiguration.

Vielleicht kennt das jemand und kann mir helfen. Wenn ich mich unpräzise ausdrücke, dann bitte ich um Verständnis.

Meine Server beginnen z.B: bei 192.168.0.8 / 24 und enden bei 192.168.0.15. Damit kann ich mit einer Regel alle meine Server erreichen:
192.168.0.8 / 29 (255.255.255.248) (von 192.168.0.8 - 192.168.0.15)

Ich habe also Regeln (welche auch immer), die auf 192.168.0.8 / 29 adressieren.

Nun möchte ich auch Regeln verwenden, die sich auf einzelne Hosts beziehen, also /32 (=255.255.255.255).
Das ist solange kein Problem, solange ich in der Regel nicht die 192.168.0.8/32 verwende.

Nun wird mir jeder zustimmen, daß
192.168.0.8 / 29 ein Subnetz ist, und
192.168.0.8 / 32 ein Host ist, und eines das andere nicht auschließt.

Nun habe ich die leidige Sache, daß die Cisco Pix 501 ein Problem damit hat, wenn es einen Host gibt, der zu Beginn eines Subnetzes steht und beide mit unterschiedlichen Regeln verwendet wird.

Die Pix vergibt z.B für 192.168.0.8 einen Namen und unterschiedet ab dem Zeitpunkt nicht zwischen /29 und /32.
Ich verstehe nicht warum das so ist.

Warum sollt es nicht möglich sein, eine Regel zu haben die sich auf 192.168.0.8 / 29 bezieht, und eine andere, die sich auf den Host 192.168.0.8 /32 bezieht.

Bin ich der einzige, der sich mit so trivialen Sachen rumägert?

Wer kann helfen?
Ich hatte ein SupportPack von Cisco gekauft, und übersehen, daß ich es aktiviere - damit war die Ausgabe beim Fenster raus geschmissen!

Tks!
Herbert

2

Hi, wenn die Server die Adressen von 192.168.0.8/24 - 192.168.0.15/24 benutzen, dann ist 192.168.0.8/29 kein Subnetz sondern eine Summary Addresse mit Maske. Wird 192.168.0.8/29 als Subnetz benutzt, dann enthaelt es nur Hosts von 192.168.0.9/29 - 192.168.0.14/29. Die Adresse 192.168.0.8/29 ist dann das Subnetz selbst und 192.168.0.15/29 ist die Broadcast Adresse fuer dieses Subnetz. Dies sind keine Host Adressen.
Ich wuerde behaupten, dass dieses das Problem ist und dass die Accesslisten und Konfig ueberprueft werden muss.
Gruesse Guenther

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

3

Hi, wenn die Server die Adressen von 192.168.0.8/24 -
192.168.0.15/24 benutzen, dann ist 192.168.0.8/29 kein Subnetz
sondern eine Summary Addresse mit Maske. Wird 192.168.0.8/29
als Subnetz benutzt, dann enthaelt es nur Hosts von
192.168.0.9/29 - 192.168.0.14/29. Die Adresse 192.168.0.8/29
ist dann das Subnetz selbst und 192.168.0.15/29 ist die
Broadcast Adresse fuer dieses Subnetz. Dies sind keine Host
Adressen.
Ich wuerde behaupten, dass dieses das Problem ist und dass die
Accesslisten und Konfig ueberprueft werden muss.
Gruesse Guenther

Hallo Günter!

Nein, hier irrst Du!
Da alle meine Host im den Netzwerk eine /24 Subnetzmaske haben ist meine Netzwerknummer 192.168.0.0/24 und meine Broadcast 192.168.0.255/24.
Warum das so ist, will ich nicht diskutieren.

192.168.0.8/29 ist nur eine Zusammenfassung von mehreren Geräten im Netzwerk und die beginnt bei 192.168.0.8 und endet bei 192.168.0.15.

DAS IST SICHER NICHT MEIN PROBLEM!

Gruß und Dank!
Herbert

4

Hallo Herbert, kannst du mal die Teile der Config pasten, um die es geht. Dann ist es einfacher. Gruesse Guenther

5

Hallo -
Deine Erklärung ist richtig. Wenn du den gleichen IP Range mit einer 32 Maske und mit einer 29 Maske regelst, wird Cisco immer zuerst die Regel mit der /32 anziehen - Cisco schaut eben nach den „more specific“.

Was die Diskussion mit deinem Sub-Netz angeht habt ihr beide Recht - /24 ist die Maske des IP Subnetzes - und die .255 ist die Broadcast. Mit der Regel nutzt du nur einen Teil - das ist ja auch eine Filter-Regel und keine IP Konfiguration.

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]