13-思科防火墙:ASA对TTL的处理
Posted
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了13-思科防火墙:ASA对TTL的处理相关的知识,希望对你有一定的参考价值。
一、实验拓扑:
二、实验要求:
一般排错会用到Traceroute;
Udp端口从33433开始,TTL=1回应一个报文;TTL=2,33434,端口号是累加的;
不减TTL的坏处:tracert时候流量过不去一直是 ,人员不知道哪出现了问题;
好处:×××不知道这里是一个ASA,ASA隐藏掉了;×××猜不到中间是防火墙,一直×××,但是×××的就是防火墙;
1、R2配置环回口Lo0:2.2.2.2,ASA上部署静态路由到2.2.2.2;
2、R1先PingR2,然后traceroute 2.2.2.2,查看路径;
3、防火墙ASA禁止出现:permit ip any any,这里为了实验测试 ;
4、
三、命令部署:
1、ASA部署静态路由和ACL:
ASA(config)# route inside 2.2.2.0 255.255.255.0 10.1.1.2
ASA(config)# access-list out extended permit ip any any
ASA(config)# access-group out in interface outside
2、R1应用Traceroute工具:
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2
1 10.1.1.2 16 msec 32 msec 20 msec
结论:ASA把TTL干掉了,默认不减TTL值
3、ASA可以不减TTL的做法,放行TTL的CLI:
ASA(config)# access-list ttl extended permit udp any any gt 33433 //抓取流量从33433开始抓, gt:Port greater than operator
ASA(config)# class-map abc
ASA(config-cmap)# match access-list ttl
ASA(config-cmap)# policy-map def
ASA(config-pmap)# class abc
ASA(config-pmap-c)# set connection decrement-ttl
ASA(config-pmap-c)# service-policy def interface outside
四、验证:
1、R1 Traceroute抓包查看:UDP33433端口
怎么看到是从:33434开始的呢?和视频讲的不一样
2、设置ASA可以减TTL值以后的效果:
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2
1 202.100.1.10 40 msec * 12 msec
2 10.1.1.2 20 msec 28 msec 8 msec
从33437开始的?和书本有点出入
以上是关于13-思科防火墙:ASA对TTL的处理的主要内容,如果未能解决你的问题,请参考以下文章