13-思科防火墙:ASA对TTL的处理

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了13-思科防火墙:ASA对TTL的处理相关的知识,希望对你有一定的参考价值。

一、实验拓扑:
技术分享图片
二、实验要求:
一般排错会用到Traceroute;
Udp端口从33433开始,TTL=1回应一个报文;TTL=2,33434,端口号是累加的;
不减TTL的坏处:tracert时候流量过不去一直是 ,人员不知道哪出现了问题;
好处:×××不知道这里是一个ASA,ASA隐藏掉了;×××猜不到中间是防火墙,一直×××,但是×××的就是防火墙;
1、R2配置环回口Lo0:2.2.2.2,ASA上部署静态路由到2.2.2.2;
2、R1先PingR2,然后traceroute 2.2.2.2,查看路径;
3、防火墙ASA禁止出现:permit ip any any,这里为了实验测试 ;
4、
三、命令部署:
1、ASA部署静态路由和ACL:
ASA(config)# route inside 2.2.2.0 255.255.255.0 10.1.1.2

ASA(config)# access-list out extended permit ip any any
ASA(config)# access-group out in interface outside

2、R1应用Traceroute工具:
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2
1 10.1.1.2 16 msec 32 msec 20 msec
结论:ASA把TTL干掉了,默认不减TTL值

3、ASA可以不减TTL的做法,放行TTL的CLI:
ASA(config)# access-list ttl extended permit udp any any gt 33433 //抓取流量从33433开始抓, gt:Port greater than operator

ASA(config)# class-map abc
ASA(config-cmap)# match access-list ttl

ASA(config-cmap)# policy-map def
ASA(config-pmap)# class abc
ASA(config-pmap-c)# set connection decrement-ttl

ASA(config-pmap-c)# service-policy def interface outside

四、验证:
1、R1 Traceroute抓包查看:UDP33433端口
技术分享图片

技术分享图片
怎么看到是从:33434开始的呢?和视频讲的不一样
2、设置ASA可以减TTL值以后的效果:
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2

1 202.100.1.10 40 msec * 12 msec
2 10.1.1.2 20 msec 28 msec 8 msec
技术分享图片
从33437开始的?和书本有点出入

以上是关于13-思科防火墙:ASA对TTL的处理的主要内容,如果未能解决你的问题,请参考以下文章

思科ASA5520防火墙如何配置能正常上网?

27.思科防火墙(ASA)

cisco asa5520 防火墙如何配置路由,希望大虾帮忙!

10-思科防火墙:MPF对网管流量的控制

思科防火墙asa5505路由配置

思科ASA5505防火墙放行流量实验