Comunicazione delle interfacce instradate per Cisco ASA 5506-X [chiuso]

Senza pubblicare la configurazione qui è abbastanza difficile per me, tuttavia, tenterò di darti un'idea del motivo per cui potrebbe non funzionare.

Innanzitutto, come hai dichiarato in base alla progettazione, non puoi eseguire il ping di un'interfaccia se provieni da un'altra interfaccia, questa è una funzionalità di sicurezza dell'ASA ed è completamente intesa in quel modo. Questa è talvolta nota come "Interfaccia Distante" - se ci pensi, è una buona cosa che non puoi eseguire il ping tra le interfacce, realisticamente non vorrai una cosa del genere anche se pensi che fai. Vorrei aggiungere che non può essere disabilitato.

In secondo luogo, senza alterare le tue regole di accesso non sarai in grado di raggiungere questo obiettivo. C'è una semplice ragione per questo, l'ASA ha qualcosa chiamato Modular Policy Framework questo è essenzialmente l'arresto di questa operazione. Per impostazione predefinita, MPF non ispezionerà il traffico ICMP; in sostanza, ciò significa che non sarai in grado di eseguire il ping o il traceroute dall'interno all'esterno. Ci sono due modi per ottenerlo.

• Ispezione ICMP
• regola di accesso per consentire risposte ping

Ispezionando il traffico ICMP questo consentirebbe successivamente questa funzione, in alternativa, è possibile aggiungere una regola di accesso per consentire il ritorno delle risposte al ping. Idealmente, si vorrebbe scegliere il primo perché è più sicuro. Se non stai ispezionando il traffico ICMP è possibile che qualcuno rilascino un attacco DoS ICMP altrimenti noto come " Ping flood "

Per l'ispezione del traffico ICMP, di seguito è riportato un esempio di come raggiungere questo obiettivo.

SecSe# config t
SecSe(config)# policy-map global_policy
SecSe(config-pmap)#  class inspection_default
SecSe(config-pmap-c)# inspect icmp

Per quanto riguarda la seconda opzione, sarebbe sufficiente una semplice regola di accesso anche se, come ho detto, questo è un metodo sconsiderato.

SecSe# config t
SecSe(config)# access-list OUTSIDE_IN permit icmp any any echo-reply
SecSe(config)# access-group OUTSIDE_IN in interface outside

In terzo luogo, per quanto riguarda il tuo punto finale, potresti avere un percorso statico, ma non funzionerà mai se non permetti il ritorno del traffico. Il problema, anche qui, è che avrai bisogno di una regola di accesso per consentire che il traffico nell'ASA, altrimenti lo caccerà perché è così che funziona un firewall.

Come ho detto per aiutarmi ho bisogno della tua configurazione, ma come ho detto questa è una domanda che sarebbe più adatta allo scambio di ingegneri di rete piuttosto che qui.