cisco asa学习笔记

OceanWaves1993

已于 2022-12-01 22:32:24 修改

阅读量1k

点赞数

分类专栏： cisco ASA学习笔记 GNS3学习笔记文章标签：服务器网络 linux

于 2022-11-30 17:23:01 首次发布

本文链接：https://blog.csdn.net/OceanWaves1993/article/details/128118635

版权

GNS3学习笔记同时被 2 个专栏收录

2 篇文章

订阅专栏

cisco ASA学习笔记

1 篇文章

订阅专栏

本文档记录了在Cisco ASA防火墙上遇到的网络问题及解决方法。问题包括ASA接口无法响应ICMP请求，同安全级别接口间的通信限制，以及多路由器互联的ping不通情况。解决方案涉及开启全局的ICMP inspect策略和使用ACL允许ICMP流量。通过这些配置，可以实现不同安全级别接口间的基本通信。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

cisco asa学习笔记

一、网络模拟实验中的问题调试记录

一、网络模拟实验中的问题调试记录

1、ASA自身接口地址不能被ping通(从远端路由过来的主机)

Interfaces will not respond to ICMP from host routing by other interfaces.
ASA自身接口地址不回应icmp ping request（从远端路由过来的主机）。
直连的设备可以ping通ASA自身接口地址。

2、同安全级别的接口默认不能通信，怎么才能通信？

same-security-traffic permit inter-interface same-security-traffic-communiacte 允许通安全级别的接口间通信

3、一个asa连接3个路由器，互联互通解决方案

默认情况下：
高安全级别接口到低安全级别接口：ping不通 (因为ping回包没有放行)
https://community.cisco.com/t5/security-blogs/cisco-asa-and-icmp-inspection/ba-p/3773485
https://networkdirection.net/articles/firewalls/icmpinspection/
https://www.tunnelsup.com/cisco-asa-order-of-operation/

低安全级别接口到低高安全级别接口：ping不通
一个asa连接3个路由器，互联互通解决方案

<1>方案1 全局开启policy-map inspect icmp流量

全局开启policy-map inspect icmp 这样做的效果：
高安全级别接口到低安全级别接口：可以ping通
低安全级别接口到高安全级别接口：ping不通
为什么ping不通呢，因为inspect icmp使得icmp变成statuful从而可以被asa追踪-这有个条件(数据流中的第一个包需要满足安全策略的条件，低安全级别到高安全级别的流量默认是不允许的，所以ping不通)，inspect 只会作用于建立起会话的数据流(流中的第2个包开始)。
ACL Evaluation
Please note that ICMP inspection does not bypass all ACLs. An ICMP packet will be allowed through the ASA without an ACL evaluation, only if it is part of an already established session. Like TCP or UDP, the first packet in the ICMP flow must still be evaluated against security policies, and allowed, in order for the flow to be established.