Руководство по устранению неполадок с подключениями через Cisco ASA и

Устранение неполадок с подключениями через PIX и ASA Содержание Введение Предварительные условия Требования Используемые компоненты Сопутствующие продукты Условные обозначения Общие сведения Проблема Решение Шаг 1 — Определение IP-адреса пользователя Шаг 2 — Определение причины проблемы Шаг 3 — Проверка и мониторинг трафика приложения Что дальше? Дополнительные сведения Введение В данном документе содержатся идеи и предложения по устранению неисправностей при использовании модуля адаптивной защиты (ASA) серии Cisco ASA 5500 и устройства защиты серии Cisco PIX 500.

Когда приложения или сетевые источники не работают или недоступны, наиболее вероятной причиной сбоя являются брандмауэры (PIX или ASA). При помощи тестирования ASA или PIX администратор может определить, является ли ASA/PIX причиной проблемы. См. раздел PIX/ASA: Установление подключения и устранение неполадок подключения через устройство защиты Cisco для получения дополнительной информации об интерфейсе для устранения неполадок устройств защиты Cisco. Примечание: В данном документе рассматривается ASA и PIX. После устранения неполадок на ASA или PIX может потребоваться дополнительное устранение неполадок на других устройствах (маршрутизаторы, коммутаторы, серверы и т.д.).

В данном документе рассматривается ASA и PIX. Предварительные условия Требования Для данного документа нет особых требований. Используемые компоненты Сведения, содержащиеся в данном документе, основаны на Cisco ASA 5510 с ОС Данные для документа были получены в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с пустой (стандартной) конфигурацией. Если ваша сеть работает в реальных условиях, убедитесь, что вы понимаете потенциальное воздействие каждой команды. Сопутствующие продукты

Стр. 1

Этот документ может также использоваться со следующими версиями оборудования и программного обеспечения: ОС PIX 6.3 ОС ASA и PIX 7.0 и 7.1 Firewall Services Module (FWSM) 2.2, 2.3 и 3.1 Примечание: Определенные команды и синтаксис могут изменяться в зависимости от версии программного обеспечения. Условные обозначения Более подробную информацию о применяемых в документе обозначениях см. в документе Cisco Technical Tips Conventions (Условные обозначения, используемые в технической документации Cisco). Общие сведения В примерах считается, что ASA или PIX установлены.

Настройка ASA/PIX может быть относительно простой (только 50 строк конфигурации) или сложной (сотни или тысячи строк конфигурации). Пользователи (клиенты) или серверы могут быть в безопасной сети (внутри) или в небезопасной сети (DMZ или снаружи). ASA запускается в данной конфигурации. Данная конфигурация играет роль эталонной. Начальная конфигурация ASA ciscoasa# show running-config : Saved : ASA Version 7.2(1) ! hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted names ! interface Ethernet0/0 nameif outside security-level 0 ip address 172.22.1.160 255.255.255.0 ! interface Ethernet0/1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 !

interface Ethernet0/2 nameif dmz security-level 50 ip address 10.1.1.1 255.255.255.0 ! interface Management0/0 shutdown no nameif

Стр. 2

no security-level no ip address !

passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive access-list outside_acl extended permit tcp any host 172.22.1.254 eq www access-list inside_acl extended permit icmp 192.168.1.0 255.255.255.0 any access-list inside_acl extended permit tcp 192.168.1.0 255.255.255.0 any eq www access-list inside_acl extended permit tcp 192.168.1.0 255.255.255.0 any eq telnet pager lines 24 mtu outside 1500 mtu inside 1500 mtu dmz 1500 no asdm history enable arp timeout 14400 global (outside) 1 172.22.1.253 nat (inside) 1 192.168.1.0 255.255.255.0 static (inside,outside) 192.168.1.100 172.22.1.254 netmask 255.255.255.255 access-group outside_acl in interface outside access-group inside_acl in interface inside timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout uauth 0:05:00 absolute no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart telnet timeout 5 ssh timeout 5 console timeout 0 !

class-map inspection_default match default-inspection-traffic ! ! policy-map type inspect dns preset_dns_map parameters message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect netbios inspect rsh inspect rtsp inspect skinny inspect esmtp inspect sqlnet inspect sunrpc inspect tftp inspect sip inspect xdmcp ! service-policy global_policy global prompt hostname context Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e : end Проблема Пользователь обращается в ИТ-отдел и сообщает, что приложение X больше не работает. Инцидент направляется администратору ASA/PIX.

Администратор имеет недостаточно знаний о данном конкретном приложении. При помощи ASA/PIX администратор выясняет, какие порты и протоколы использует приложение X, а также, что может являться причиной проблемы. Решение Администратору ASA/PIX требуется получить от пользователя как можно больше сведений. Полезные сведения включают: Исходный IP-адрес—Обычно это рабочая станция или компьютер пользователя.

Стр. 3

IP-адрес назначения—IP-адрес сервера, к которому пытается подключиться пользователь или приложение. Порты и протоколы, используемые приложением Часто удачей можно считать, если администратору удастся получить ответ на хотя бы один из этих вопросов. Например, администратору не удалось получить никаких сведений. Просмотр сообщений системного журнала ASA/PIX является отличным решением, но администратору трудно обнаружить проблему, если он не знает, что ему искать. Шаг 1 — Определение IP-адреса пользователя Существует множество способов определения IP-адреса пользователя. Данный документ относится к ASA и PIX, поэтому в данном примере используется ASA и PIX для определения IP-адреса.

Пользователь пытается связаться с ASA/PIX. Данная связь может осуществляться по протоколу ICMP, Telnet, SSH или HTTP. Выбранный протокол должен иметь ограниченную активность на ASA/PIX. В данном примере пользователь выполняет проверку связи с внутренним интерфейсом ASA. Администратору требуется установить один или несколько из следующих параметров, а затем принять запрос пользователя на внутреннем интерфейсе ASA. Системный журнал Убедитесь, что ведение журнала включено. Должен быть установлен уровень ведения журнала debug . Журнал может отправляться в несколько мест. В данном примере используется буфер журнала ASA. В рабочей среде может потребоваться внешний сервер журнала.

ciscoasa(config)# logging enable ciscoasa(config)# logging buffered debugging Пользователь проверяет связь с внутренним интерфейсом ASA (ping 192.168.1.1). Отображаются следующие выходные данные. ciscoasa# show logging !--- Output is suppressed. %ASA-6-302020: Built ICMP connection for faddr 192.168.1.50 /512 gaddr 192.168.1.1/0 laddr 192.168.1.1/0 %ASA-6-302021: Teardown ICMP connection for faddr 192.168.1.50/512 gaddr 192.168.1.1/0 laddr 192.168.1.1/0 !--- The user IP address is 192.168.1.50. Функция захвата ASA Администратору необходимо создать список доступа, который определяет, какой трафик ASA требуется захватывать.

После создания списка доступа команда capture использует список доступа и применяет его к интерфейсу. ciscoasa(config)# access-list inside_test permit icmp any host 192.168.1.1 ciscoasa(config)# capture inside_interface access-list inside_test interface inside Пользователь проверяет связь с внутренним интерфейсом ASA (ping 192.168.1.1). Отображаются следующие выходные данные. ciscoasa# show capture inside_interface 1: 13:04:06.284897 192.168.1.50 > 192.168.1.1: icmp: echo request !--- The user IP address is 192.168.1.50. Примечание: Для загрузки файла захвата в систему, такую как ethereal, можно использовать следующий способ.

Стр. 4