Cisco Aironet 1242AG AccessPoint als WLAN Bridge

Im folgenden die Konfiguration für einen Cisco Aironet 1242AG AccessPoint, der als WLAN Bridge für ein kleines Netzwerk eingerichtet wurde. Das lokale Netzwerk hat das IP-Netz 192.168.1.0/24. Das Gateway und der DNS-Server haben die IP-Adresse 192.168.1.1 und der Accesspoint selber hat die IP-Adresse 192.168.1.2. Der Accesspoint fungiert zudem als DHCP-Server und verteilt dynamischen IP-Adressen im Bereich von 192.168.1.101 bis 192.168.1.199.



!
version 12.4
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname accesspoint
!
!
aaa new-model
!
!
aaa authentication login default local
aaa authorization exec default local 
!
aaa session-id common
!
resource policy
!
ip subnet-zero
ip dhcp use vrf connected
ip dhcp excluded-address 192.168.1.1 192.168.1.100
ip dhcp excluded-address 192.168.1.200 192.168.1.254
!
ip dhcp pool LAN
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.1 
   dns-server 192.168.1.1 
!
!
!
dot11 ssid WLAN
   authentication open 
   authentication key-management wpa
   wpa-psk ascii geheimespasswort
!         
power inline negotiation prestandard source
!
!
username admin privilege 15 password geheimespasswort
!
bridge irb
!
!
interface Dot11Radio0
 no ip address
 no ip route-cache
 !
 encryption mode ciphers tkip 
 !
 ssid WLAN
 !
 station-role root
 no cdp enable
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
 bridge-group 1 spanning-disabled
!
interface Dot11Radio1
 no ip address
 no ip route-cache
 shutdown
 no dfs band block
 channel dfs
 station-role root
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
 bridge-group 1 spanning-disabled
!
interface FastEthernet0
 no ip address
 no ip route-cache
 duplex auto
 speed auto
 no cdp enable
 bridge-group 1
 no bridge-group 1 source-learning
 bridge-group 1 spanning-disabled
!
interface BVI1
 ip address 192.168.1.2 255.255.255.0
 no ip route-cache
!
ip http server
ip http authentication aaa
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
bridge 1 route ip
!
!
!
line con 0
line vty 0 4
!
end

Cisco IOS: PPPoE für einen symmetrischen T-DSL Business 2000 Anschluss einrichten

Ich habe gerade einen Cisco 871 Router mit einem IOS in der Version 12.4 für einen symmetrischen T-DSL Business 2000 Anschluss verwendet. Die Telekom liefert bei diesem Anschluss im Augenblick einen Sphairon G5100 SHDSL Router mit, der aber nur als DSL-Modem konfiguriert wird. Dies liegt sicherlich daran, dass SHDSL Router im Augenblick in Deutschland noch nicht weit verbreitet sind und deshalb nicht so leicht und kostengünstig im normalen Einzelhandel zu bekommen sind.

Um den Cisco Router dazu zu bringen das DSL-Modem zu benutzen muss man auf einem Ethernet-Interface PPPoE konfigurieren. Dies kann IOS ab der Version 12.1. Eine recht gute Anleitung für die Konfiguration von T-DSL ist auf der Webseite von GepaNet zu finden. In meinem Fall brauchte ich jedoch kein vpdn. Außerdem funktionierte die Authentifizierung nur mit CHAP anstelle von PAP.

Ich brauchte also nur das Inside Interface konfigurieren:

interface Ethernet0
ip address 192.168.37.254 255.255.255.0
ip nat inside 

Das Outside Interface konfigurieren:

interface Ethernet4
no ip address
pppoe-client dial-pool-number 1
no cdp enable

Den Dialer konfigurieren (natürlich mit den entsprechenden Zugangskennung und dem Passwort):

interface Dialer1
ip address negotiated
ip mtu 1492
ip nat outside
encapsulation ppp
no ip mroute-cache
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication chap callin
ppp chap hostname feste-ip7/zugangskennung@t-online-com.de
ppp chap password geheimeskennwort

NAT definieren und die Route setzen:

ip nat inside source list 101 interface Dialer1 overload
ip route 0.0.0.0 0.0.0.0 Dialer1
access - list 101 permit ip 192.168.37.0 0.255.255.255 any
dialer-list 1 protocol ip permit

Danach funktionierte die Verbindung.

Man sollte anschließend natürlich noch ein paar Access-Listen einbauen, um für die nötige Sicherheit zu sorgen.

ISDN Einwahl auf einem Cisco Router

Hier eine kurze Zusammenfassung der einzelnen Einrichtungsschritte, einer EURO-ISDN-Einwahl auf einem Router von Cisco, bei der die IP-Adresse per DHCP vergeben wird. Als Authentifizierung wird CHAP verwendet.

ISDN-Einwahl auf einem CISCO-Router

Als erstes muss ein IP-Adress-Pool eingerichtet werden, der die IP-Adressen beinhaltet, die an den Anrufer vergeben werden soll. Dabei muss die Start-IP-Adrresse und die End-IP-Adresse angegeben werden. Wenn man hinterher im Dialer-Interface ip unnumbered verwenden will, sollte der IP-Adress-Pool innerhalb des IP-Netzes des Interfaces liegen, auf das sich dieses bezieht.

ip local pool poolname 192.168.0.101 192.168.0.110

Danach muss ein BRI-Interface konfiguriert werden.


interface BRI0
 description ISDN-Interface
 ip unnumbered FastEthernet0
 encapsulation ppp
 no keepalive
 dialer pool-member 1
 isdn switch-type basic-net3
 isdn send-alerting
 no fair-queue
 no cdp enable
 ppp authentication chap callin
!

Jetzt muss das Dialer-Interface eingerichtet werden.

interface Dialer0
 description "Einwahlkonfig"
 ip unnumbered FastEthernet0
 encapsulation ppp
 no keepalive
 dialer pool 1
 dialer remote-name einwahlbenutzer
 dialer idle-timeout 180
 dialer-group 1
 peer default ip address pool poolname
 no cdp enable
 ppp authentication chap
!

Zum Schluss muss dann noch der Login angelegt werden und das Dialer-Interface für IP-Pakete freigeschaltet werden. Dabei ist zu beachten, dass der „username“ mit dem „dialer remote-name“ des Dialer-Interfaces übereinstimmt.

username einwahlbenutzer password einwahlpasswort
dialer-list 1 protocol ip permit

Cisco ASDM 6.1(5) läuft nicht mit Java 6 Update 10

Nachdem Cisco dauernd von den neuen, tollen Möglichkeiten der ASA Software 8.x und des ASDM 6.x schwärmt wollte ich mir diese auch mal anschauen. Nachdem ich die auf einer ASA5505 die ASA Software 8.0(4) und den ASDM 6.1(5) installiert hatte und mit meinem Browser auf den ASDM wollte bekam ich jedoch den folgenden Fehler: Unconnected sockets not implemented.

Cisco ADSM Error

Zuerst dachte ich, dass es an meinem Notebook (Ubuntu Linux / Firefox) liegt. Wäre ja nicht das erste mal, dass Firefox unter Linux Probleme mit bestimmten Java-Programmen hat. Allerdings trat das Problem auch unter Windows Vista, einem Internet Explorer 7, Java 6 und allen Sicherheitsupdates auf. Nach einer Internetsuche fand ich eine Beschreibung des Problems in dem The Network Guy Blog. Es wird offensichtlich durch das Update 10 für Java 6 ausgelöst. Bis jetzt konnte ich leider noch keine andere Lösung finden, als ein älteres Java zu verwenden.

Cisco ASA Konfiguration für das iPhone

Ab der Softwareversion 2.0 kann das Apple iPhone nicht nur L2PT und PPTP sondern auch richtige IPSec Verbindungen zu Firewalls von CISCO (z.B. PIX oder ASA) aufbauen. Leiter konnte ich auf den Webseiten von Apple und Cisco nur die Information finden, dass es funktionieren soll. Eine Anleitung oder ein HowTo für die Konfiguration der PIX oder ASA konnte ich nicht finden. Deshalb habe ich selber herumprobiert und die folgende Konfiguration auf einer Cisco ASA 5505 mit einem iPhone 3G (Softwareversion 2.1) zu laufen gebracht:

Cisco ASA Konfiguration für das iPhone

ASA Version 7.2(4) 
!
hostname minastirith
domain-name domain.de
enable password testpasswort
passwd testpasswort
names
name 172.20.20.0 LAN
name 172.20.52.0 iPhones
!
interface Vlan1
 nameif LAN
 security-level 100
 ip address 172.20.20.1 255.255.255.0 
!
interface Vlan2
 nameif INTERNET
 security-level 0
 ip address 217.6.26.94 255.255.255.248 
!
interface Ethernet0/0
 switchport access vlan 2
!             
interface Ethernet0/1
!
interface Ethernet0/2
 shutdown
!
interface Ethernet0/3
 shutdown
!
interface Ethernet0/4
 shutdown
!
interface Ethernet0/5
 shutdown
!
interface Ethernet0/6
 shutdown
!
interface Ethernet0/7
 shutdown
!
ftp mode passive
clock timezone MET 1
dns server-group DefaultDNS
 domain-name domain.de
access-list INTERNET_access_in extended permit ip iPhones 255.255.255.0 LAN 255.255.255.0 
access-list iPhone_splitTunnelAcl standard permit LAN 255.255.255.0 
access-list inside_outbound_nat0_acl extended permit ip LAN 255.255.255.0 iPhones 255.255.255.0 
pager lines 24
logging enable
logging asdm informational
mtu LAN 1500
mtu INTERNET 1500
ip local pool iphone_pool 172.20.52.101-172.20.52.199
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
global (INTERNET) 1 interface
nat (LAN) 0 access-list inside_outbound_nat0_acl
nat (LAN) 1 0.0.0.0 0.0.0.0
access-group INTERNET_access_in in interface INTERNET
route INTERNET 0.0.0.0 0.0.0.0 217.6.26.89 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
aaa authentication serial console LOCAL 
aaa authentication ssh console LOCAL 
aaa authentication http console LOCAL 
http server enable
http LAN 255.255.255.255 LAN
http LAN 255.255.255.0 LAN
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac 
crypto dynamic-map INTERNET_dyn_map 20 set pfs 
crypto dynamic-map INTERNET_dyn_map 20 set transform-set ESP-3DES-SHA
crypto dynamic-map INTERNET_dyn_map 40 set pfs 
crypto dynamic-map INTERNET_dyn_map 40 set transform-set ESP-3DES-SHA
crypto map outside_map 65535 ipsec-isakmp dynamic INTERNET_dyn_map
crypto map outside_map interface INTERNET
crypto isakmp enable INTERNET
crypto isakmp policy 10
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
crypto isakmp policy 65535
 authentication pre-share
 encryption 3des
 hash sha
 group 2
 lifetime 86400
telnet timeout 5
ssh LAN 255.255.255.255 LAN
ssh timeout 60
console timeout 0

group-policy iPhone internal
group-policy iPhone attributes
 wins-server value 172.20.20.21
 dns-server value 172.20.20.21
 vpn-tunnel-protocol IPSec 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value iPhone_splitTunnelAcl
 default-domain value domain.de
username admin password testpasswort privilege 15
username marco password testpasswort privilege 0
username marco attributes
 vpn-group-policy iPhone
tunnel-group VPN-Clients type ipsec-ra
tunnel-group iPhone type ipsec-ra
tunnel-group iPhone general-attributes
 address-pool iphone_pool
 default-group-policy iPhone
tunnel-group iPhone ipsec-attributes
 pre-shared-key testkey
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect netbios 
  inspect rsh 
  inspect rtsp 
  inspect skinny 
  inspect esmtp 
  inspect sqlnet 
  inspect sunrpc 
  inspect tftp 
  inspect sip 
  inspect xdmcp 
!
service-policy global_policy global
prompt hostname context 
Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e
: end