Debug Firewall Cisco PIX

[Gig]

Problema: avevamo un router Cisco 1700 (HDSL Wind) collegato ad un firewall Cisco PIX. In generale, tutti i computer sono nattati verso l'esterno, tranne alcuni che offrono servizi particolari che quindi hanno impostato tipo
-------------
name 10.X.X.X PIPPO
access-list outside_access_in (1) permit tcp any host ind_ip_esterno_diverso_dal_predefinito_del_firewall eq www
static (inside,outside) stesso_indirizzo_ip_esterno_come_sopra PIPPO netmask 255.255.255.255 0 0
-------------
Abbiamo sostituito la linea con una più economica ADSL2+, e ci hanno messo un router 873 o simile, sul quale hanno passato la precedente classe di 16 indirizzi ip esterni. Collegando il nuovo router al firewall, riesco a navigare, ma non riesco più in nessuna maniera ad accedere ai servizi dei computer non nattati dall'esterno. E non capisco proprio perché.

Figuriamoci che se da tali computer provo a navigare, il mio ip esterno risulta proprio quello che ho associato sul firewall a quel computer tramite i comandi che vi ho elencato sopra (e non con l'indirizzo predefinito con cui esco dai computer che nattano), ma se provo ad eseguire anche il test di ShieldsUp https://www.grc.com/x/ne.dll?bh0bkyd2, tutte le porte risultano nascoste come se non ci fosse nessun computer (eccetto che puntando all'ip del nat)...

Sto cercando di trovare il modo di monitorare l'attività del router per capire se i pacchetti vengono persi o scartati da qualche parte.

Ma non riesco bene a capire il funzionamento di comandi di DEBUG sul pix... aiuto!!!!

[Gig]

Aggiornamento:
Sono riuscito a farlo funzionare, ma non capisco come potesse funzionare prima.

Stavo seguendo le semplici istruzioni trovate qui:
http://openskills.info/infobox.php?ID=802

E mi sono accorto che lì avevano l'access-group con lo stesso nome dell'access list sulla quale erano aperte le porte.
Invece io avevo l'access-group impostato su un'altra access list, sulla quale c'erano altre impostazioni su altri servizi (che non servono più). Ma comunque prima di cambiare il router funzionava tutto perfettamente.

Ho provato ad aggiungere una seconda riga di access-group, con il nome della access list delle porte aperte, e da quel momento la cosa ha ricominciato a funzionare. Purtroppo però invece che aggiungere la riga, il sistema ha sostituito quella che già c'era, disabilitando quindi le opzioni legate all'altra access-list (fra cui ad esempio il supporto icmp, che avevo attivato qualche giorno prima per fare queste prove).

Che cosa ne pensate????

[betaxp86]

ciao, purtroppo non ho mai lavorato su questi apparati, il comportamento anomalo potrebbe essere legato ad una differente versione del software installato?