FTP ativo e passivo entre dois Cisco ASA 5505s

1

Um cliente meu tem um servidor FTP IIS 7 no modo Ativo sentado atrás de um Cisco ASA 5505. Essa configuração é bem conhecida, pois os clientes externos (uma vez instruídos sobre as configurações do IE) podem se conectar ao servidor FTP sem problemas . O FTP de linha de comando no Windows e o FileZilla no modo Ativo também funcionam como esperado.

Uma empresa-irmã desse cliente agora tem usuários tentando se conectar, mas não consegue. Mesmo quando o IE está configurado corretamente e o FileZilla está definido como Ativo. Parece que o canal de comando às vezes faz uma conexão, mas o canal de dados sempre falha. Esta empresa irmã também usa um Cisco ASA 5505. Tenho certeza de que o problema é a configuração de seu ASA.

Como visto no snippet de configuração abaixo, seu ASA tem a opção de configuração global "ftp mode passive" ativada, e tenho certeza que esse é o problema. Eu estou tentando descobrir quais configurações sugerir que eles adicionam a sua configuração, mas eu realmente aprecio sugestões ... Eu sou um novato ASA e ainda tentando se atualizar sobre a coisa.

ASAVersion7.2(2)

!

**ftpmodepassive**

clocktimezoneEST-5

clocksummer-timeEDTrecurring

dnsserver-groupDefaultDNS

domain-namevbllc.com

same-security-trafficpermitinter-interface

same-security-trafficpermitintra-interface

access-listnonatextendedpermitip10.0.4.0255.255.255.0192.168.255.0255.255.255.0

access-listnonatextendedpermitip10.0.4.0255.255.255.010.0.0.0255.255.255.0

access-listnonatextendedpermitip10.0.4.0255.255.255.010.0.5.0255.255.255.0

access-listnonatextendedpermitipany10.0.14.0255.255.255.128

access-listny-vpnextendedpermitip10.0.4.0255.255.255.010.0.0.0255.255.255.0

access-listny-vpnextendedpermitip192.168.255.0255.255.255.010.0.0.0255.255.255.0

access-listacl_outside2extendedpermiticmpanyany

access-listacl_outside2extendedpermitiphost66.117.119.221host216.143.137.27

access-listacl_outside2extendedpermitiphost66.117.119.214host216.143.137.27

access-listOutsideNew_40_cryptomapextendedpermitip10.0.4.0255.255.255.010.0.5.0255.255.255.0

access-listOutsideOld_access_inextendedpermiticmpanyany

access-listSplitTunnel_splitTunnelAclstandardpermitany

access-listacl_outside_fiberextendedpermiticmpanyany

nopager

loggingenable

loggingbuffer-size10000

loggingbufferednotifications

loggingasdminformational

mtuOutsideOld1500

mtuInside1500

mtutest11500

mtuOutsideNew1500

mtuOutsideFiber1500

mtumanagement1500

iplocalpoolvpn192.168.255.1-192.168.255.254

iplocalpoolSplitTunnel10.0.14.50-10.0.14.99

icmpunreachablerate-limit1burst-size1

icmppermitanyOutsideOld

icmppermitanyInside

icmppermitanyOutsideNew

icmppermitanyOutsideFiber

asdmimagedisk0:/asdm-522.bin


noasdmhistoryenable

arptimeout14400

global(OutsideOld)1interface

global(OutsideNew)1interface

global(OutsideFiber)1interface

nat(Inside)0access-listnonat

nat(Inside)110.0.4.0255.255.255.0

static(Inside,OutsideNew)216.143.137.2710.0.4.5netmask255.255.255.255

access-groupOutsideOld_access_inininterfaceOutsideOld

access-groupacl_outside2ininterfaceOutsideNew

access-groupacl_outside_fiberininterfaceOutsideFiber

routeOutsideFiber0.0.0.00.0.0.065.220.55.2091track1

routeOutsideOld0.0.0.00.0.0.063.139.135.161100

routeInside152.179.153.229255.255.255.25510.0.4.110

routeOutsideNew208.110.65.18255.255.255.255216.143.137.251

routeOutsideNew0.0.0.00.0.0.0216.143.137.2550

routeOutsideFiber152.179.153.229255.255.255.25565.220.55.2091

timeoutxlate3:00:00

timeoutconn1:00:00half-closed0:10:00udp0:02:00icmp0:00:02

timeoutsunrpc0:10:00h3230:05:00h2251:00:00mgcp0:05:00mgcp-pat0:05:00

timeoutsip0:30:00sip_media0:02:00sip-invite0:03:00sip-disconnect0:02:00

timeoutuauth0:05:00absolute

group-policySplitTunnelinternal

group-policySplitTunnelattributes

wins-servervalue10.0.4.3

dns-servervalue10.0.4.310.0.4.4

vpn-tunnel-protocolIPSec

split-tunnel-policytunnelspecified

split-tunnel-network-listvalueSplitTunnel_splitTunnelAcl

default-domainvaluevbllc.com

group-policyremotevpninternal

group-policyremotevpnattributes

wins-servervalue10.0.4.310.0.0.2

dns-servervalue10.0.4.310.0.0.2
    
por Chris 14.02.2013 / 13:26

1 resposta

1

Três coisas ...

  • Esta é uma versão muito antiga do software Cisco ASA. Se esses forem dispositivos novos, eles devem ter sido enviados com um CD que contém utilitários de GUI e software mais recentes (especificamente as imagens de software ASA e ASDM ).

  • Como os firewalls da Cisco reconhecem os protocolos (e inspecionam os pacotes), é possível ativar a transferência de ftp através deles executando o comando fixup protocol ftp 21 nos dois firewalls ASA.

  • Para iniciantes em firewall da Cisco, recomendo usar a interface gráfica do ASDM. Claro, isso é aprimorado com versões de software mais recentes que estão atualmente instaladas ...

por 14.02.2013 / 14:32