URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 21929
[ Назад ]
Исходное сообщение
"ASA не пускает PING и TRACEROUTE."
Отправлено dimitriy85 , 17-Ноя-10 14:09 
Всем доброго дня!
Имеется ASA 5510 IOS:ASA821-K8.bin ASDM: asdm-621.bin
Все что мне нужно работает, только Ping и traceroute не проходят.
Подскажите, где копать?


ASA не пускает PING и TRACEROUTE.

Всем доброго дня!
Имеется ASA 5510 IOS:ASA821-K8.bin ASDM: asdm-621.bin
Все что мне нужно работает, только Ping и traceroute не проходят.
Подскажите, где копать?

> Конфиг ASA:

ASA Version 8.2(1)
!
hostname KTPASA
domain-name default
enable password --- encrypted
passwd ---- encrypted
names
dns-guard
!
interface Ethernet0/0
description TO_7204VXR-INTERNET
no nameif
no security-level
no ip address
!
interface Ethernet0/0.10
description Inernet for KTP
vlan 10
nameif Internet
security-level 0
ip address 214.185.13.6 255.255.255.252
!
interface Ethernet0/1
nameif KTP
security-level 100
ip address 192.168.91.1 255.255.255.252
!
interface Ethernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
boot system disk0:/asa821-k8.bin
ftp mode passive
clock timezone ALMST 6
clock summer-time ALMDT recurring last Sun Mar 0:00 last Sun Oct 0:00
dns server-group DefaultDNS
domain-name default.domain.invalid
access-list KTP_access_in extended permit icmp any any
access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any
pager lines 24
logging enable
logging asdm informational
mtu Internet 1500
mtu KTP 1500
mtu management 1500
ip verify reverse-path interface Internet
ip verify reverse-path interface KTP
icmp unreachable rate-limit 1 burst-size 1
asdm history enable
arp timeout 14400
global (Internet) 2 214.185.13.1 netmask 255.255.255.252
nat (KTP) 2 192.168.182.0 255.255.255.0
access-group KTP_access_in in interface KTP
route Internet 0.0.0.0 0.0.0.0 214.185.13.5 1
route KTP 192.168.182.0 255.255.255.0 192.168.91.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
dynamic-access-policy-record DfltAccessPolicy
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet 192.168.91.0 255.255.255.252 KTP
telnet 192.168.182.0 255.255.255.0 KTP
telnet timeout 5
ssh timeout 5
console timeout 10
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
webvpn
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
parameters
  message-length maximum 512
policy-map global_policy
class inspection_default
  inspect dns migrated_dns_map_1
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny  
  inspect sunrpc
  inspect xdmcp
  inspect sip  
  inspect netbios
  inspect tftp
!
service-policy global_policy global
prompt hostname context
: end

Содержание
Сообщения в этом обсуждении
"ASA не пускает PING и TRACEROUTE."
Отправлено ural_sm , 17-Ноя-10 14:57 
access-list KTP_access_in  extended permit icmp any any unreachable
access-list KTP_access_in  extended permit icmp any any time-exceeded
> access-list KTP_access_in extended permit icmp any any
> access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any
"ASA не пускает PING и TRACEROUTE."
Отправлено dimitriy85 , 18-Ноя-10 15:36 
> access-list KTP_access_in  extended permit icmp any any unreachable
> access-list KTP_access_in  extended permit icmp any any time-exceeded
>> access-list KTP_access_in extended permit icmp any any
>> access-list KTP_access_in extended permit ip 192.168.182.0 255.255.255.0 any

Спасибо за ответ, но не помогло.

"ASA не пускает PING и TRACEROUTE."
Отправлено crash , 18-Ноя-10 05:48 
>[оверквотинг удален]
>   inspect rtsp
>   inspect esmtp
>   inspect sqlnet
>   inspect skinny
>   inspect sunrpc
>   inspect xdmcp
>   inspect sip
>   inspect netbios
>   inspect tftp
> !

добавить inspect icmp

"ASA не пускает PING и TRACEROUTE."
Отправлено dimitriy85 , 18-Ноя-10 15:37 
> добавить inspect icmp

И Вам спасибо! Теперь PING проходит, а вот TRACEROUTE пока нет.

"ASA не пускает PING и TRACEROUTE."
Отправлено dimitriy85 , 22-Ноя-10 14:08 
Можно подвести итоги т.к. все заработало!
PING побеждается добавлением inspect icmp:
policy-map global_policy
class inspection_default
  inspect dns migrated_dns_map_1
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect rsh
  inspect rtsp
  inspect esmtp
  inspect sqlnet
  inspect skinny  
  inspect sunrpc
  inspect xdmcp
  inspect sip  
  inspect netbios
  inspect tftp
  inspect icmp
(Еще раз спасибо crash)

TRACEROUTE также был побежден:
icmp unreachable rate-limit 10 burst-size 5
access-list Internet_access_in remark Allow ICMP Type 11 for Windows tracert
access-list Internet_access_in extended permit icmp any any time-exceeded
pager lines 24
access-group Internet_access_in in interface Internet
(тут описание: http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/produc...)

"ASA не пускает PING и TRACEROUTE."
Отправлено Alex , 20-Фев-13 16:57 
Спасибо, мне тоже помогло.
"ASA не пускает PING и TRACEROUTE."
Отправлено Денис , 11-Янв-18 10:07 
> Спасибо, мне тоже помогло.

И мне помогло! Спасибо.