Проблема с PIX/ASA 7.0: превышено допустимое значение MSS – HTTP-клиенты не могут просматривать определенные веб-сайты

Проблема с PIX/ASA 7.0: превышено допустимое значение MSS – HTTP-клиенты не могут просматривать определенные веб-сайты Содержание Введение Предварительные условия Требования Используемые компоненты Соответствующие продукты Условные обозначения Настройка Схема сети Настройка устройства защиты PIX версии 7.0 Поиск и устранение неполадок Обходной путь Проверка Дополнительные сведения Введение В данном документе описана проблема недоступности некоторых веб-сайтов через PIX или устройство адаптивной защиты (ASA) версии 7.0 или более поздних.

В версии 7.0 представлено несколько новых усовершенствований в системе безопасности, одной из которых является проверка конечных точек TCP, соответствующих заявленному максимальному размеру сегмента (MSS; Maximum Segment Size). В обычном сеансе TCP, клиент отправляет пакет SYN на сервер вместе с MSS, включенным в параметры TCP пакета SYN. Серверу после получения пакета SYN необходимо определить значение MSS, отправленное клиентом, а потом отправить свое собственное значение MSS в пакете SYN-ACK. Обменявшись сведениями о MSS, ни один одноранговый узел не должен отправлять другому пакет, размер которого больше MSS данного узла.

Выяснилось, что существует несколько серверов HTTP в сети Интернет, которые не учитывают MSS, заявленный клиентом. Впоследствии, сервер HTTP отправляет клиенту пакеты данных, которые большие заявленных MSS. До выпуска версии 7.0 данным пакетам было разрешено проходить через устройство защиты PIX. При усовершенствовании безопасности в ПО версии 7.0, данные пакеты стали по умолчанию отбрасываться. Данный документ разработан для помощи администратору устройства защиты PIX/ASA в диагностике данной проблемы и реализации обходного пути, чтобы разрешить прохождение пакетов, превышающих MSS. Предварительные условия Требования Для данного документа нет особых требований.

Используемые компоненты Сведения в данном документе относятся к устройству защиты Cisco PIX 525 под управлением ПО версии 7.0.1. Данные для документа были получены в специально созданных лабораторных условиях. Все устройства, используемые в этом документе, были запущены с чистой (заданной по умолчанию) конфигурацией. Если ваша сеть работает в реальных условиях, убедитесь, что вы понимаете потенциальное воздействие каждой команды. Соответствующие продукты

Стр. 1

Этот документ также может использоваться со следующими версиями программного и аппаратного обеспечения: На всех остальных платформах устройства защиты Cisco PIX используется версия 7.0. В данные платформы включены 515, 515E и 535. Все платформы Cisco ASA. В данные платформы включены 5510, 5520 и 5540. Условные обозначения Подробные сведения о применяемых в документе обозначениях см. в статье Условные обозначения, используемые в технической документации Cisco. Настройка В данном разделе содержится информация о настройке функций, описанных в этом документе. Примечание.

Для поиска дополнительных сведений о командах в данном документе используйте Средство поиска команд ( только для зарегистрированных клиентов ). Схема сети В данном документе используется следующая схема сети. Настройка устройства защиты PIX версии 7.0 Эти команды конфигурации добавляются в конфигурацию PIX 7.0 по умолчанию, чтобы разрешить клиенту HTTP связываться с сервером HTTP.

Конфигурация PIX 7.0.1 pixfirewall(config)# interface Ethernet0 pixfirewall(config-if)# speed 100 pixfirewall(config-if)# duplex full pixfirewall(config-if)# nameif outside pixfirewall(config-if)# security-level 0 pixfirewall(config-if)# ip address 192.168.9.30 255.255.255.0 pixfirewall(config-if)# exit pixfirewall(config)# interface Ethernet1 pixfirewall(config-if)# speed 100 pixfirewall(config-if)# duplex full pixfirewall(config-if)# nameif inside pixfirewall(config-if)# security-level 100 pixfirewall(config-if)# ip address 10.0.0.1 255.255.255.0 pixfirewall(config-if)# exit pixfirewall(config)# global (outside) 1 interface pixfirewall(config)# nat (inside) 1 10.0.0.0 255.0.0.0 pixfirewall(config)# route outside 0.0.0.0 0.0.0.0 192.168.9.2 1

Стр. 2

Поиск и устранение неполадок Если определенный веб-сайт недоступен через устройство защиты PIX/ASA, выполните следующие действия, чтобы устранить данную неполадку. Сначала захватите пакеты с соединения HTTP. Чтобы собрать пакеты, необходимо знать соответствующие IP-адреса сервера HTTP и клиента, а также IP-адрес, в который преобразовывается адрес клиента во время прохождения через устройство защиты PIX. В этом примере сети сервер HTTP имеет адрес 192.168.9.2, клиент HTTP имеет адрес 10.0.0.2, и адреса клиента HTTP преобразуются в 192.168.9.30, когда пакеты покидают внешний интерфейс.

Можно использовать функцию захвата устройства защиты PIX/ASA, чтобы собрать пакеты, или внешнее устройство захвата пакетов. При выборе функции захвата, администратор также может использовать новую функцию захвата в версии 7.0, которая позволяет захватывать пакеты, отброшенные из-за ненормальной работы TCP. Примечание. В следующих таблицах некоторые из команд записаны в двух строках из-за нехватки пространства. Определите пару списков доступа, которые определяют пакеты, когда они входят и выходят на внешних и внутренних интерфейсах. 1.

Конфигурация списка доступа для захвата пакетов pixfirewall(config)# access-list capture-list-in line 1 permitip host 10.0.0.2 host 192.168.9.2 pixfirewall(config)# access-list capture-list-in line 2 permit ip host 192.168.9.2 host 10.0.0.2 pixfirewall(config)# access-list capture-list-out line 1 permit ip host 192.168.9.30 host 192.168.9.2 pixfirewall(config)# access-list capture-list-out line 2 permit ip host 192.168.9.2 host 192.168.9.30 Включите функцию захвата для внешнего и внутреннего интерфейса. Также включите функцию захвата для пакетов с превышенным MSS конкретного TCP. 2.

Конфигурация функции захвата для захвата пакетов pixfirewall(config)# capture capture-outside access-list capture-list-out packet-length 1518 interface outside pixfirewall(config)# capture capture-inside access-list capture-list-in packet-length 1518 interface inside pixfirewall(config)# capture mss-capture type asp-drop tcp-mss-exceeded packet-length 1518 Обнулите счетчики пути ускоренной защиты (ASP) на устройстве защиты PIX. 3. Очистите статистики сброса ASP pixfirewall(config)# clear asp drop Активируйте системный журнал сообщений на уровне отладки для пакетов, отправленных к хосту в сети. 4.

Активируйте регистрацию сообщений pixfirewall(config)# logging on pixfirewall(config)# logging host inside 10.0.0.2 pixfirewall(config)# logging trap debug Инициируйте сеанс HTTP от клиента HTTP до проблемного сервера HTTP. 5. Соберите данные регистрации и выходные данные команд после сбоя соединения.

Стр. 3

show capture capture-inside show capture capture-outside show capture mss-capture show asp drop Системные журналы при неудачном подключении %PIX-6-609001: Built local-host inside:10.0.0.2 %PIX-6-609001: Built local-host outside:192.168.9.2 %PIX-6-305011: Built dynamic TCP translation from inside:10.0.0.2/58565 to outside:192.168.9.30/1024 %PIX-6-302013: Built outbound TCP connection 3 for outside:192.168.9.2/80 (192.168.9.2/80) to inside:10.0.0.2/58565 (192.168.9.30/1024) %PIX-5-304001: 10.0.0.2 Accessed URL 192.168.9.2:/ !--- В нормальных условиях вы ожидаете !--- увидеть мгновенный разрыв подключения !--- после извлечения веб-контента с !--- сервера HTTP.

Если возникает данная проблема, !--- пакеты данных с сервера HTTP отбрасываются на !--- внешнем интерфейсе, а подключение !--- остается, пока одна из сторон не сбросит это подключение !-- или пока не истечет таймер неактивного соединения в устройстве защиты !--- PIX. Таким образом, вы не сразу !--- увидите сообщение системного журнала 302014 (разрыв TCP). !--- В PIX версии 7.0.2 и более поздних, устройство защиты PIX !--- использует системный журнал, если получает !--- пакет, превышающий заявленный MSS. Системный журнал, !--- используемый по умолчанию для уровня предупреждения, имеет следующий формат: %PIX-4-419001:

Dropping TCP packet from outside:192.168.9.2/80 to inside:192.168.9.30/1025, reason: MSS exceeded, MSS 460, data 1440 !--- В ASA версии 7.0.2 и более поздних устройство защиты ASA !--- использует системный журнал, если получает !--- пакет, превышающий заявленный MSS. Системный журнал, !--- используемый по умолчанию для уровня предупреждения, имеет следующий формат: %ASA-4-419001: Dropping TCP packet from outside:192.168.9.2/80 to inside:192.168.9.30/1025, reason: MSS exceeded, MSS 460, data 1440 Примечание. Дополнительные сведения об этом сообщении об ошибке см. в разделе Сообщения системного журнала 419001.

Выходные данные команд show при неудачном подключении pixfirewall# show capture capture-inside 6 packets captured 1: 08:59:59.362301 10.0.0.2.58565 > 192.168.9.2.80: S 3965932251:3965932251(0) win 1840 mss 460 ,sackOK,timestamp 110211948 0,nop,wscale 0> !--- Заявленный MSS клиента составляет 460 в пакете #1. 2: 08:59:59.552156 192.168.9.2.80 > 10.0.0.2.58565: S 1460644203:1460644203(0) ack 3965932252 win 8192 3: 08:59:59.552354 10.0.0.2.58565 > 192.168.9.2.80: . ack 1460644204 win 1840 4: 08:59:59.552629 10.0.0.2.58565 > 192.168.9.2.80: P 3965932252:3965932351(99) ack 1460644204 win 1840 5: 08:59:59.725960 192.168.9.2.80 > 10.0.0.2.58565: . ack 3965932351 win 8192 6:

08:59:59.726189 192.168.9.2.80 > 10.0.0.2.58565: . ack 3965932351 win 65340 6 packets shown pixfirewall# pixfirewall# pixfirewall# show capture capture-outside

Стр. 4