Vraag : Asa-5505: Pakketten VPN die aan seconde buiten interface door:sturen niet

Ik heb asa-5505 die het de fabrieksterugstellen van I onlangs.  Ik ben van plan het als Internet-onder ogen ziend firewall van mijn bureau en apparaat VPN, als deel van een verschuiving naar nieuwe ISP te gebruiken.  Ik probeer om niet genormaliseerde twee te doen (d.w.z. dingen word ik niet gebruikt aan het doen) dingen met het nieuwe apparaat, dat ik mogelijk zou moeten zijn begrijp:
1
I wil een derde Vlan (interface DMZ) gebruiken om met oude ISP (niet voor failover) te verbinden, zodat kan ik het bestaan VPNs in werking stellen en de overgang hen aan de nieuwe interface, over time.

2
I wil aan hairpin/NAT oud, LAN niet-RFC1918 waaier op de binneninterface (192.14.14.0 /24) aan nieuwe subnet (172.16.0.0 /24), zodat kan ik definitief van de niet genormaliseerde IP waaier worden bevrijd, maar sta me toe om te migreren cliëntmontages die ik tijdens de overgang period


kan op het ogenblik gemist hebben, slechts kan ik gebruik het pakket-spoor CLI bevel om de diverse regels te testen, alvorens ik me in fysieke testing.

Access aan externe adressen kan bewegen schijn correct te stromen, zoals het hairpinning, maar het pakket-spoor toont een daling voor het verkeer dat VPN range.

Redacted config aanpast, versieinfo en pakket zijn de spoorresultaten in bijlage.  De vragen zijn:
1
Can iedereen ziet waarom het verkeer VPN zoals die in het pakket-spoor van 172.16.1.100 aan 192.15.15.20 is gedaald wordt getoond -- is het enkel omdat de tunnel VPN geen up/is zo dicht bereikend „VPN“ in het pakket-spoor is aangezien ik kan krijgen tot het fysisch wordt getelegrafeerd?


Thanks vooraf…

J.
" codeBody " 
1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
76:
77:
78:
79:
80:
81:
82:
83:
84:
85:
86:
87:
88:
89:
90:
91:
92:
93:
94:
95:
96:
97:
98:
99:
100:
101:
102:
103:
104:
105:
106:
107:
108:
109:
110:
111:
112:
113:
114:
115:
116:
117:
118:
119:
120:
121:
122:
123:
124:
125:
126:
127:
128:
129:
130:
131:
132:
133:
134:
135:
136:
137:
138:
139:
140:
141:
142:
143:
144:
145:
146:
147:
148:
149:
150:
151:
152:
153:
154:
155:
156:
157:
158:
159:
160:
161:
162:
163:
164:
165:
166:
167:
168:
169:
170:
171:
172:
173:
174:
175:
176:
177:
178:
179:
180:
181:
182:
183:
184:
185:
186:
187:
188:
189:
190:
191:
192:
193:
194:
195:
196:
197:
198:
199:
200:
201:
202:
203:
204:
205:
206:
207:
208:
209:
210:
211:
212:
213:
214:
215:
216:
217:
218:
219:
220:
221:
222:
223:
224:
225:
226:
227:
228:
229:
230:
231:
232:
233:
234:
235:
236:
237:
238:
239:
240:
241:
242:
243:
244:
245:
246:
247:
248:
249:
250:
251:
252:
253:
254:
255:
256:
257:
258:
259:
260:
261:
262:
263:
264:
265:
266:
267:
268:
269:
270:
271:
272:
273:
274:
275:
276:
277:
278:
279:
280:
281:
282:
283:
284:
285:
286:
287:
288:
289:
290:
291:
292:
293:
294:
295:
296:
297:
298:
299:
300:
301:
302:
303:
304:
305:
306:
307:
308:
309:
310:
311:
312:
313:
314:
315:
316:
317:
318:
319:
320:
321:
322:
323:
324:
325:
326:
327:
328:
329:
330:
331:
332:
333:
334:
335:
336:
337:
338:
339:
340:
341:
342:
343:
344:
345:
346:
347:
348:
349:
350:
351:
352:
353:
354:
355:
356:
357:
358:
359:
360:
361:
362:
363:
364:
365:
366:
367:
368:
369:
370:
371:
372:
373:
374:
375:
376:
377:
378:
379:
380:
381:
382:
383:
384:
385:
386:
387:
388:
389:
390:
391:
392:
393:
394:
395:
396:
397:
398:
399:
400:
401:
402:
403:
404:
405:
406:
407:
408:
409:
410:
411:
412:
413:
414:
415:
416:
417:
418:
419:
420:
421:
422:
423:
424:
425:
426:
427:
428:
429:
430:
431:
432:
433:
434:
435:
436:
437:
438:
439:
440:
441:
442:
443:
444:
445:
446:
447:
448:
449:
450:
451:
452:
453:
454:
455:
456:
457:
458:
459:
460:
461:
462:
463:
464:
465:
466:
467:
468:
469:
470:
471:
472:
473:
474:
475:
476:
477:
478:
479:
480:
481:
482:
483:
484:
485:
486:
487:
488:
489:
490:
491:
492:
493:
494:
495:
496:
497:
498:
499:
500:
501:
502:
503:
504:
505:
506:
507:
508:
509:
510:
511:
512:
513:
514:
515:
516:
517:
518:
519:
520:
521:
522:
523:
524:
525:
526:
527:
528:
529:
530:
531:
532:
533:
534:
535:
536:
537:
538:
539:
540:
541:
542:
543:
544:
545:
546:
547:
548:
549:
550:
551:
552:
553:
554:
555:
556:
557:
558:
559:
560:
561:
562:
563:
564:
565:
566:
567:
568:
569:
570:
571:
572:
573:
574:
575:
576:
577:
578:
579:
580:
581:
582:
583:
584:
585:
586:
587:
588:
589:
590:
591:
592:
593:
594:
595:
596:
597:
598:
599:
600:
601:
602:
603:
604:
605:
606:
607:
608:
609:
610:
611:
612:
613:
614:
615:
616:
617:
618:
619:
620:
621:
622:
623:
624:
625:
626:
627:
628:
629:
630:
631:
632:
633:
634:
635:
636:
637:
638:
639:
640:
641:
642:
643:
644:
645:

ciscoasa (config) # sh ver

Versie van de Software van het Toestel van de Veiligheid van Cisco Aanpassings 8.2 (2) 
Versie van de Manager van het apparaat 6.2 (5) 53

Gecompileerd op Mon 11-januari-10 14:19 door bouwers
Het het beelddossier van het systeem is „disk0: /asa822-k8.bin“
Dossier van Config bij laars was „opstarten -opstarten-config“

ciscoasa omhoog 24 mins 53 seconden

Hardware:   ASA5505, 256 MB van de RAM, de Geode van cpu 500 Mhz
Interne ATA Compacte Flits, 128MB
BIOS Flits M50FW080 @ 0xffe00000, 1024KB

De hardwareapparaat van de encryptie: Cisco asa-5505 versneller aan boord (revisie 0x0)
                             De microcode van de laars: Cn1000-mc-laars-2.00 
                             SSL/IKE microcode: CNLite-ceremoniemeester-SSLm-plus-2.03
                             De microcode van IPSec: CNlite-ceremoniemeester-IPSECm-belangrijkst-2.04
 0: Int.: Intern-Data0/0: het adres is 001e.7aac.3ca3, irq 11
 1: Ext.: Ethernet0/0: het adres is 001e.7aac.3c9b, irq 255
 2: Ext.: Ethernet0/1: het adres is 001e.7aac.3c9c, irq 255
 3: Ext.: Ethernet0/2: het adres is 001e.7aac.3c9d, irq 255
 4: Ext.: Ethernet0/3: het adres is 001e.7aac.3c9e, irq 255
 5: Ext.: Ethernet0/4: het adres is 001e.7aac.3c9f, irq 255
 6: Ext.: Ethernet0/5: het adres is 001e.7aac.3ca0, irq 255
 7: Ext.: Ethernet0/6: het adres is 001e.7aac.3ca1, irq 255
 8: Ext.: Ethernet0/7: het adres is 001e.7aac.3ca2, irq 255
 9: Int.: Intern-Data0/1: het adres is 0000.0003.0002, irq 255
10: Int.: Gebruikt niet: irq 255
11: Int.: Gebruikt niet: irq 255

Vergunning gegeven eigenschappen voor dit platform:
Maximum Fysieke Interfaces: 8         
VLANs: 3, Beperkte DMZ
Binnen Gastheren: Onbeperkt 
Failover: Gehandicapten
Vpn-DES: Toegelaten   
Vpn-3des-AES: Toegelaten   
SSL VPN Edelen: 2         
Totale Edelen VPN: 10        
Dubbele ISPs: Gehandicapten  
De Havens van de Boomstam VLAN: 0         
Gedeelde Vergunning: Gehandicapten
AnyConnect voor Mobiel: Gehandicapten  
AnyConnect voor de Telefoon van Cisco VPN: Gehandicapten  
De Hoofdzaak van AnyConnect: Gehandicapten  
De geavanceerde Beoordeling van het Eindpunt: Gehandicapten  
UC de Zittingen van de Volmacht van de telefoon: 2         
De totale Zittingen van de Volmacht UC: 2         
De Filter van het Verkeer van Botnet: Gehandicapten  

Dit platform heeft een vergunning van de Basis.

Serienummer: JMX1151Z0M2
De lopende Sleutel van de Activering: 0xcb3a555b 0x00a9f0ce 0xfc53cd14 0xa52820cc 0x492b92b3 
Het register van de configuratie is 0x1
Jongstleden configuratie gewijzigd door enable_15 bij 18:49: 48.849 UTC Tue Juli 6 2010


ciscoasa (config) # sh looppas

: Gespaard
:
ASA Versie 8.2 (2) 
!
eind breedte 120
hostname ciscoasa
laat gecodeerd toe wachtwoord T6L9kwXy8yD66Ci8
passwd gecodeerde 2KFQnbNIdI.2KYOU
namen
!
interface Vlan1
 nameif binnen
 veiligheid-niveau 100
 ip adres 172.16.0.10 255.255.252.0 
!
interface Vlan2
 nameif buiten
 veiligheid-niveau 0
 ip adres 213.x.x.8 255.255.255.0 
!
interface Vlan3
 geen voorwaartse interface Vlan2
 nameif outside_old             
 veiligheid-niveau 0
 ip adres 62.x.x.159 255.255.255.128 
!
interface Ethernet0/0
 switchport toegang vlan 2
!
interface Ethernet0/1
 switchport toegang vlan 3
!
interface Ethernet0/2
 GERESERVEERDE beschrijving
 sluiting
!
interface Ethernet0/3
 GERESERVEERDE beschrijving
 sluiting
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6     
!
interface Ethernet0/7
!
laars systeem disk0: /asa822-k8.bin
het passief van de FTPwijze
de intra-interface van de zelfde-veiligheid-verkeersvergunning
de toegang-lijst N0_inside- opmerkingsIngangen in deze lijst zullen van NATIONAAL vrijgesteld zijn
de toegang-lijst N0_INSIDE breidde vergunning ip 172.16.0.0 255.255.252.0 192.15.15.0 255.255.255.0 uit 
het toegang-lijst Ag_outside_in- opmerkingsVerkeer stond in de buiteninterface toe
de toegang-lijst AG_OUTSIDE_IN breidde vergunning uit icmp om het even welke om het even welk 
het toegang-lijst Ag_inside_in- opmerkingsVerkeer stond in de binneninterface toe
de toegang-lijst AG_INSIDE_IN breidde vergunningsTCP uit om het even welke gastheer 192.14.14.20 eq smtp 
de toegang-lijst AG_INSIDE_IN breidde vergunningsTCP uit om het even welke gastheer 80.x.x.52 eq smtp 
de uitgebreide toegang-lijst AG_INSIDE_IN ontzegt TCP om het even welke om het even welke eq smtp 
de toegang-lijst AG_INSIDE_IN breidde vergunning ip om het even welke uit om het even welk 
het toegang-lijst Ag_outold_in- opmerkingsVerkeer stond in de outside_oldinterface toe
de toegang-lijst AG_OUTOLD_IN breidde vergunning uit icmp om het even welke om het even welk 
van het toegang-lijst Het bureau Gateshead vpn_gateshead- opmerkingsVPN verkeer to/from
de toegang-lijst VPN_GATESHEAD breidde vergunning ip 172.16.0.0 255.255.252.0 192.15.15.0 255.255.255.0 uit 
pager lijnen 22
informatie registreren asdm
mtu binnen 1500
mtu buiten 1500
mtu outside_old 1500
icmp onbereikbare tarief-grens 1 uitbarsting-grootte 1
asdm beeld disk0: /asdm-625-53.bin
geen asdmgeschiedenis laat toe
arp onderbreking 14400
globale (binnen) interface 10
globale (buiten) interface 10
globale (outside_old) interface 10
nationaal (binnen) 0 toegang-lijst N0_INSIDE
nationaal (binnen) 10 0.0.0.0 0.0.0.0
statisch (binnen, binnen) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
statisch (binnen, outside_old) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
toegang-groep AG_INSIDE_IN in interface binnen
toegang-groep AG_OUTSIDE_IN in interface buiten
toegang-groep AG_OUTOLD_IN in interface outside_old
route buiten 0.0.0.0 0.0.0.0 213.x.x.1 1
route outside_old 192.15.15.0 255.255.255.0 62.x.x.254 1
onderbrekings xlate 3:00: 00
onderbrekings conn 1:00: 00 half-closed 0:10: 00 udp0:02: 00 icmp0:00: 02
onderbrekings sunrpc 0:10: 00 h323 0:05: 00 h225 1:00: 00 mgcp0:05: 00 mgcp-klopje0:05: 00
het 0:30 van het onderbrekingsslokje: 00 sip_media0:02: 00 slokje-nodigen 0:03 uit: 00 slokje-maken 0:02 los: 00
onderbrekings slokje-voorlopig-middelen 0:02: 00 uauth0:05: absolute 00
onderbrekings TCP-volmacht-hermontage 0:01: 00
dynamisch-toegang-beleid-verslag DfltAccessPolicy
de HTTP server laat toe
HTTP 172.16.0.0 255.255.252.0 binnen
geen SNMP-server plaats
geen SNMP-server contact
de SNMP-server laat de authentificatieverbinding toe van vallenSNMP linkdown coldstart
crypto ipsec transformatie-vastgestelde in het bijzonder-aes256-MD5 in het bijzonder-aes-256 in het bijzonder -in het bijzonder-md5-hmac 
crypto ipsec transformatie-vastgestelde in het bijzonder-3des-MD5 in het bijzonder-3des in het bijzonder -in het bijzonder-md5-hmac 
crypto ipsec transformatie-vastgestelde in het bijzonder-aes256-SHA in het bijzonder-aes-256 in het bijzonder -in het bijzonder-sha-hmac 
crypto ipsec transformatie-vastgestelde in het bijzonder-3des-SHA in het bijzonder-3des in het bijzonder -in het bijzonder-sha-hmac 
crypto ipsec veiligheid-vereniging levenseconden 28800
crypto ipsec veiligheid-vereniging levenkilobytes 4608000
crypto kaart CM_OUTOLD 10 gelijkeadres VPN_GATESHEAD
crypto kaart CM_OUTOLD 10 reeks pfs 
crypto kaart CM_OUTOLD 10 reeks peer 82.x.x.219 
crypto kaart CM_OUTOLD 10 reeks transformatie-vastgestelde in het bijzonder-aes256-MD5
crypto kaart CM_OUTOLD 10 vastgestelde veiligheid-vereniging levenseconden 3600
crypto kaartCM_OUTOLD interface outside_old
crypto isakmp identiteitsadres 
crypto isakmp laat outside_old toe
crypto isakmp beleid 10
 authentificatie pre-aandeel
 encryptie aes-256
 knoeiboel md5
 groep 5
 leven 28800
crypto isakmp ipsec-over-TCP haven 10000 
Telnet 172.16.0.0 255.255.252.0 binnen
Telnet onderbreking 5
ssh onderbreking 5
console onderbreking 0
dhcpd auto_config buiten
!

bedreiging-opsporing basis-bedreiging
bedreiging-opsporing statistieken toegang-lijst
geen bedreiging-opsporing statistieken TCP-onderschepping
webvpn
tunnel-groep DefaultL2LGroup ipsec-attributen
 isakmp probeert keepalive drempel 120 2 opnieuw
tunnel-groep de ipsec-attributen van DefaultRAGroup
 isakmp probeert keepalive drempel 120 2 opnieuw
tunnel-groep 82.163.120.219 type ipsec-l2l
tunnel-groep 82.163.120.219 ipsec-attributen
 pre-delen-zeer belangrijke *****
!
klasse-kaart inspection_default
 gelijke gebrek-inspectie-verkeer
!
!
het beleid-kaart type inspecteert dns preset_dns_map
 parameters
  bericht-lengte maximum 512
beleid-kaart global_policy
 klasse inspection_default
  inspecteer dns preset_dns_map 
  inspecteer FTP 
  inspecteer h323 h225 
  inspecteer h323 ras 
  inspecteer rsh 
  inspecteer rtsp 
  inspecteer esmtp 
  inspecteer sqlnet 
  inspecteer mager  
  inspecteer sunrpc 
  inspecteer xdmcp 
  inspecteer slokje  
  inspecteer netbios 
  inspecteer tftp 
  inspecteer ip-opties 
!
dienst-beleid globale global_policy
snelle hostnamecontext 
vraag-huis
 profiel ciscoTAC-1
  geen actief
  HTTP https://tools.cisco.com/its/service/oddce/services/DDCEService van het bestemmingsadres
  bestemmings adres e-mail [email protected]
  bestemmings vervoer-methode HTTP
  kenmerkende in:tekenen-aan-waakzaam-groep
  in:tekenen-aan-waakzaam-groeps milieu
  periodieke maandelijks van de in:tekenen-aan-waakzaam-groepsinventaris
  periodieke maandelijks van de in:tekenen-aan-waakzaam-groepsconfiguratie
  periodieke dagelijks van de in:tekenen-aan-waakzaam-groepstelemetrie
Cryptochecksum: cf43aed8a7a87ca9205c2faffb0567c1
: eind


ciscoasa (config) # pakket-spoor in binnenTCP 172.16.1.100 43563 1.2.3.4 www det

Fase: 1
Type: Stroom-RAADPLEGING
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
Vond geen passende stroom, die tot een nieuwe stroom leiden

Fase: 2
Type: Route-RAADPLEGING
Subtype: input
Resultaat: STA toe
Config:
Extra Informatie:
in 0.0.0.0 0.0.0.0 buiten

Fase: 3
Type: Toegang-LIJST
Subtype: logboek
Resultaat: STA toe
Config:
toegang-groep AG_INSIDE_IN in interface binnen
de toegang-lijst AG_INSIDE_IN breidde vergunning ip om het even welke uit om het even welk 
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=5, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 4
Type: Ip-OPTIES
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=49, user_data=0x0, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 5
Type: NATIONAAL
Subtype: 
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welk buiten om het even welk
    dynamische vertaling aan pool 10 (213.48.16.8 [het KLOPJE van de Interface])
    translate_hits = 2, untranslate_hits = 0
Extra Informatie:
Dynamisch vertaal 172.16.1.100 /43563 aan 213.48.16.8 /61556 gebruikend netmask 255.255.255.255
 Door:sturen de Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ebb58, priority=1, domain=nat, deny=false
	hits=2, user_data=0xd81eba98, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 6
Type: NATIONAAL
Subtype: gastheer-grenzen
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welk binnen om het even welk
    dynamische vertaling aan pool 10 (172.16.0.10 [het KLOPJE van de Interface])
    translate_hits = 3, untranslate_hits = 0
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=33, user_data=0xd81eb290, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 7
Type: Ip-OPTIES
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
 Regel van de raadplegingsopbrengsten van de omgekeerde Stroom de gebaseerde:
 in id=0xd8186830, priority=0, domain=inspect-ip-options, deny=true
	hits=2, user_data=0x0, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 8
Type: Stroom-VERWEZENLIJKING
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
Nieuwe die stroom met identiteitskaart 20, pakket wordt gecre�ërd aan volgende module wordt verzonden
De informatie van de module voor voorwaartse stroom…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

De informatie van de module voor omgekeerde stroom…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Resultaat:
input-interface: binnen
input-status: op
input-lijn-status: op
output-interface: buiten
output-status: op
output-lijn-status: op
Actie: sta toe



ciscoasa (config) # pakket-spoor in binnenTCP 172.16.1.100 43563 1.2.3.4 www det

Fase: 1
Type: Stroom-RAADPLEGING
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
Vond geen passende stroom, die tot een nieuwe stroom leiden

Fase: 2
Type: V.N.-NATIONAAL
Subtype: statisch
Resultaat: STA toe
Config:
statisch (binnen, binnen) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  gelijke ip binnen 172.16.0.0 255.255.255.0 binnen om het even welk
    statische vertaling aan 192.14.14.0
    translate_hits = 0, untranslate_hits = 7
Extra Informatie:
NATIONAAL leid binnen af aan uitgangsinterface
Untranslate 192.14.14.0 /0 aan 172.16.0.0 /0 gebruikend netmask 255.255.255.0

Fase: 3
Type: Toegang-LIJST
Subtype: logboek
Resultaat: STA toe
Config:
toegang-groep AG_INSIDE_IN in interface binnen
de toegang-lijst AG_INSIDE_IN breidde vergunning ip om het even welke uit om het even welk 
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=6, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 4
Type: Ip-OPTIES
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=50, user_data=0x0, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 5
Type: NATIONAAL
Subtype: 
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welk binnen om het even welk
    dynamische vertaling aan pool 10 (172.16.0.10 [het KLOPJE van de Interface])
    translate_hits = 4, untranslate_hits = 0
Extra Informatie:
Dynamisch vertaal 172.16.1.100 /43563 aan 172.16.0.10 /25517 gebruikend netmask 255.255.255.255
 Door:sturen de Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81eb350, priority=1, domain=nat, deny=false
	hits=4, user_data=0xd81eb290, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 6
Type: NATIONAAL
Subtype: gastheer-grenzen
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welk binnen om het even welk
    dynamische vertaling aan pool 10 (172.16.0.10 [het KLOPJE van de Interface])
    translate_hits = 4, untranslate_hits = 0
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=34, user_data=0xd81eb290, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 7
Type: NATIONAAL
Subtype: rpf-controle
Resultaat: STA toe
Config:
statisch (binnen, binnen) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  gelijke ip binnen 172.16.0.0 255.255.255.0 binnen om het even welk
    statische vertaling aan 192.14.14.0
    translate_hits = 0, untranslate_hits = 7
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 uit id=0xd81efdb8, priority=5, domain=nat-reverse, deny=false
	hits=4, user_data=0xd81efb68, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 172.16.0.0, mask= 255.255.255.0, port=0, dscp=0x0

Fase: 8
Type: NATIONAAL
Subtype: gastheer-grenzen
Resultaat: STA toe
Config:
statisch (binnen, binnen) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  gelijke ip binnen 172.16.0.0 255.255.255.0 binnen om het even welk
    statische vertaling aan 192.14.14.0
    translate_hits = 0, untranslate_hits = 7
Extra Informatie:
 Regel van de raadplegingsopbrengsten van de omgekeerde Stroom de gebaseerde:
 in id=0xd81efe50, priority=5, domain=host, deny=false
	hits=7, user_data=0xd81efb68, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.255.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 9
Type: Ip-OPTIES
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
 Regel van de raadplegingsopbrengsten van de omgekeerde Stroom de gebaseerde:
 in id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=52, user_data=0x0, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 10
Type: Stroom-VERWEZENLIJKING
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
Nieuwe die stroom met identiteitskaart 21, pakket wordt gecre�ërd aan volgende module wordt verzonden
De informatie van de module voor voorwaartse stroom…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

De informatie van de module voor omgekeerde stroom…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Resultaat:
input-interface: binnen
input-status: op
input-lijn-status: op
output-interface: binnen
output-status: op
output-lijn-status: op
Actie: sta toe


ciscoasa (config) # pakket-spoor in binnenTCP 172.16.1.100 43563 192.15.15.20 www det

Fase: 1
Type: Stroom-RAADPLEGING
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
Vond geen passende stroom, die tot een nieuwe stroom leiden

Fase: 2
Type: Route-RAADPLEGING
Subtype: input
Resultaat: STA toe
Config:
Extra Informatie:
in 192.15.15.0 255.255.255.0 outside_old

Fase: 3
Type: Toegang-LIJST
Subtype: logboek
Resultaat: STA toe
Config:
toegang-groep AG_INSIDE_IN in interface binnen
de toegang-lijst AG_INSIDE_IN breidde vergunning ip om het even welke uit om het even welk 
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=7, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 4
Type: Ip-OPTIES
Subtype: 
Resultaat: STA toe
Config:
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=52, user_data=0x0, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 5
Type: Nationaal-STEL vrij
Subtype: 
Resultaat: STA toe
Config:
  gelijke ip binnen 172.16.0.0 255.255.252.0 outside_old 192.15.15.0 255.255.255.0
    NATIONAAL vrijgesteld
    translate_hits = 3, untranslate_hits = 0
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ea858, priority=6, domain=nat-exempt, deny=false
	hits=3, user_data=0xd81ea798, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.252.0, port=0
	dst ip= 192.15.15.0, mask= 255.255.255.0, port=0, dscp=0x0

Fase: 6
Type: NATIONAAL
Subtype: 
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welke outside_old om het even welk
    dynamische vertaling aan pool 10 (62.253.200.159 [het KLOPJE van de Interface])
    translate_hits = 0, untranslate_hits = 0
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81ec360, priority=1, domain=nat, deny=false
	hits=3, user_data=0xd81ec2a0, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 7
Type: NATIONAAL
Subtype: gastheer-grenzen
Resultaat: STA toe
Config:
nationaal (binnen) 10 0.0.0.0 0.0.0.0
  gelijke ip binnen om het even welk binnen om het even welk
    dynamische vertaling aan pool 10 (172.16.0.10 [het KLOPJE van de Interface])
    translate_hits = 4, untranslate_hits = 0
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 in id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=35, user_data=0xd81eb290, cs_id=0x0, omgekeerde, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Fase: 8
Type: VPN
Subtype: codeer
Resultaat: DALING
Config:
Extra Informatie:
 De voorwaartse Stroom gebaseerde regel van raadplegingsopbrengsten:
 uit id=0xd820c318, priority=70, domain=encrypt, deny=false
	hits=3, user_data=0x0, cs_id=0xd820be50, omgekeerde, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.252.0, port=0
	dst ip= 192.15.15.0, mask= 255.255.255.0, port=0, dscp=0x0

Resultaat:
input-interface: binnen
input-status: op
input-lijn-status: op
output-interface: outside_old
output-status: op
output-lijn-status: op
Actie: daling
Daling-reden: (acl-daling) de Stroom wordt ontkend door gevormde regel


ciscoasa (config) # sh xlate
2 in gebruik, het meest gebruikte 4
Globaal 192.14.14.0 Lokaal 172.16.0.0
Globaal 192.14.14.0 Lokaal 172.16.0.0

Antwoord : Asa-5505: Pakketten VPN die aan seconde buiten interface door:sturen niet

Gezien ik schijn om u weg doen schrikken te hebben en dat ik uit tijd liep die ik heb beslist om het hairpinning te laten vallen tot beide plaatsen in werking stellen ASA.  Die manier heb ik meer van een het vechten kans met het verpletteren dan ik met het huidige verre apparaat SOHO.

Om mijn eigen vraag, betreffende de tweede interface te beantwoorden, moest ik routes voor zowel verre LAN (die ik) had en de verre edele (die ik) miste, dwingend allebei aan de outside_oldinterface toevoegen.

    route outside_old 192.15.15.0 255.255.255.0 62.x.x.254
    route outside_old 82.x.x.219 255.255.255.255 62.x.x.254
Andere oplossingen  
 
programming4us programming4us