The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]



"ASA не пускает PING и TRACEROUTE."
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (ACL, фильтрация и ограничение трафика)
Изначальное сообщение [ Отслеживать ]

"ASA не пускает PING и TRACEROUTE."  +/
Сообщение от dimitriy85 email(ok) on 17-Ноя-10, 14:09 
Всем доброго дня!
Имеется ASA 5510 IOS:ASA821-K8.bin ASDM: asdm-621.bin
Все что мне нужно работает, только Ping и traceroute не проходят.
Подскажите, где копать?


ASA не пускает PING и TRACEROUTE.

Всем доброго дня!
Имеется ASA 5510 IOS:ASA821-K8.bin ASDM: asdm-621.bin
Все что мне нужно работает, только Ping и traceroute не проходят.
Подскажите, где копать?

> Конфиг ASA:

ASA Version 8.2(1)
!
hostname KTPASA
domain-name default
enable password --- encrypted
passwd ---- encrypted
names
dns-guard
!
interface Ethernet0/0
description TO_7204VXR-INTERNET
no nameif
no security-level
no ip address
!
interface Ethernet0/0.10
description Inernet for KTP
vlan 10
nameif Internet
security-level 0
ip address 214.185.13.6 255.255.255.252
!
interface Ethernet0/1
nameif KTP
security-level 100
ip address 192.168.91.1 255.255.255.252
!
interface Ethernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
boot system disk0:/asa821-k8.bin
ftp mode passive
clock timezone ALMST 6
clock summer-time ALMDT recurring last Sun Mar 0:00 last Sun Oct 0:00
dns server-group DefaultDNS
domain-name default.domain.invalid
access-list KTP_access_in extended permit icmp any any
access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any
pager lines 24
logging enable
logging asdm informational
mtu Internet 1500
mtu KTP 1500
mtu management 1500
ip verify reverse-path interface Internet
ip verify reverse-path interface KTP
icmp unreachable rate-limit 1 burst-size 1
asdm history enable
arp timeout 14400
global (Internet) 2 214.185.13.1 netmask 255.255.255.252
nat (KTP) 2 192.168.182.0 255.255.255.0
access-group KTP_access_in in interface KTP
route Internet 0.0.0.0 0.0.0.0 214.185.13.5 1
route KTP 192.168.182.0 255.255.255.0 192.168.91.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet 192.168.91.0 255.255.255.252 KTP
telnet 192.168.182.0 255.255.255.0 KTP
telnet timeout 5
ssh timeout 5
console timeout 10
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
webvpn
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
parameters
  message-length maximum 512
policy-map global_policy
class inspection_default
  inspect dns migrated_dns_map_1
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny  
  inspect sunrpc
  inspect xdmcp
  inspect sip  
  inspect netbios
  inspect tftp
!
service-policy global_policy global
prompt hostname context
: end

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от ural_sm (ok) on 17-Ноя-10, 14:57 
access-list KTP_access_in  extended permit icmp any any unreachable
access-list KTP_access_in  extended permit icmp any any time-exceeded
> access-list KTP_access_in extended permit icmp any any
> access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от dimitriy85 email(??) on 18-Ноя-10, 15:36 
> access-list KTP_access_in  extended permit icmp any any unreachable
> access-list KTP_access_in  extended permit icmp any any time-exceeded
>> access-list KTP_access_in extended permit icmp any any
>> access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any

Спасибо за ответ, но не помогло.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от crash (ok) on 18-Ноя-10, 05:48 
>[оверквотинг удален]
>   inspect rtsp
>   inspect esmtp
>   inspect sqlnet
>   inspect skinny
>   inspect sunrpc
>   inspect xdmcp
>   inspect sip
>   inspect netbios
>   inspect tftp
> !

добавить inspect icmp

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от dimitriy85 email(??) on 18-Ноя-10, 15:37 
> добавить inspect icmp

И Вам спасибо! Теперь PING проходит, а вот TRACEROUTE пока нет.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от dimitriy85 email(??) on 22-Ноя-10, 14:08 
Можно подвести итоги т.к. все заработало!
PING побеждается добавлением inspect icmp:
policy-map global_policy
class inspection_default
  inspect dns migrated_dns_map_1
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny  
  inspect sunrpc
  inspect xdmcp
  inspect sip  
  inspect netbios
  inspect tftp
  inspect icmp
(Еще раз спасибо crash)

TRACEROUTE также был побежден:
icmp unreachable rate-limit 10 burst-size 5
access-list Internet_access_in remark Allow ICMP Type 11 for Windows tracert
access-list Internet_access_in extended permit icmp any any time-exceeded
pager lines 24
access-group Internet_access_in in interface Internet
(тут описание: http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от Alex (??) on 20-Фев-13, 16:57 
Спасибо, мне тоже помогло.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "ASA не пускает PING и TRACEROUTE."  +/
Сообщение от Денис (??) on 11-Янв-18, 10:07 
> Спасибо, мне тоже помогло.

И мне помогло! Спасибо.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру