Pytanie : ASA-5505: VPN paczka drugi outside interfejs

I mieć ASA-5505 che I ostatnio fabryczny reset.  I zamierzać ono jako mój biuro internet-obszycie zapora i VPN przyrząd, jako część przesunięcie nowy ISP.  I próbować dwa być (i.e rzecz I używać) rzecz z the nowy przyrząd, dwa I rozumieć musieć ewentualny:
1
I chcieć trzeci Vlan (DMZ interfejs) the stary ISP (nie dla failover), więc I móc the istniejący VPNs i przemiana the nowy interfejs, nad time.

2
I chcieć hairpin/NAT the stary, non-RFC1918 LAN pasmo na the inside interfejs (192.14.14.0 /24) nowy subnet (172.16.0.0 /24), więc I móc w końcu pozbywać się the w końcu IP pasmo, ale pozwolić klient położenie który I móc podczas the przemiana period


W końcu, I móc tylko używać the paczka-tropić CLI rozkaz the różnorodny reguła, zanim I móc w badanie lekarskie testing.

Access zewnętrznie adres pojawiać się prawidłowo, the hairpinning, ale the paczka-tropić przedstawienie kropla dla the ruch drogowy który dopasowywać the VPN range.

Redacted config, wersja info i paczka ślad rezultat dołączać.  The pytanie być:
1
Can 192.15.15.20 widzieć dlaczego the VPN ruch drogowy pokazywać opuszczać w the paczka-tropić od 172.16.1.100 192.15.15.20 -- być ono właśnie ponieważ the VPN tunel być up/is dojechanie "VPN" w the paczka-tropić równie zakończenie gdy I móc until ono fizycznie depeszować?

2
Once the tunel pracować, Być ono ewentualny użytkownik końcowy w the 192.15.15.0 /24 pasmo rozmowa 192.14.14.0 /24 i 172.16.0.0 /24, na the hairpinning (I próbować statyczny (statyczny, outside_old)… reguła ale the paczka-tropić przedstawienie ono opuszczać -- I zakładać paczka-tropić móc ruch drogowy od the VPN)?


Thanks w postęp…

J. 
(1):
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:
13:
14:
15:
16:
17:
18:
19:
20:
21:
22:
23:
24:
25:
26:
27:
28:
29:
30:
31:
32:
33:
34:
35:
36:
37:
38:
39:
40:
41:
42:
43:
44:
45:
46:
47:
48:
49:
50:
51:
52:
53:
54:
55:
56:
57:
58:
59:
60:
61:
62:
63:
64:
65:
66:
67:
68:
69:
70:
71:
72:
73:
74:
75:
76:
77:
78:
79:
80:
81:
82:
83:
84:
85:
86:
87:
88:
89:
90:
91:
92:
93:
94:
95:
96:
97:
98:
99:
100:
101:
102:
103:
104:
105:
106:
107:
108:
109:
110:
111:
112:
113:
114:
115:
116:
117:
118:
119:
120:
121:
122:
123:
124:
125:
126:
127:
128:
129:
130:
131:
132:
133:
134:
135:
136:
137:
138:
139:
140:
141:
142:
143:
144:
145:
146:
147:
148:
149:
150:
151:
152:
153:
154:
155:
156:
157:
158:
159:
160:
161:
162:
163:
164:
165:
166:
167:
168:
169:
170:
171:
172:
173:
174:
175:
176:
177:
178:
179:
180:
181:
182:
183:
184:
185:
186:
187:
188:
189:
190:
191:
192:
193:
194:
195:
196:
197:
198:
199:
200:
201:
202:
203:
204:
205:
206:
207:
208:
209:
210:
211:
212:
213:
214:
215:
216:
217:
218:
219:
220:
221:
222:
223:
224:
225:
226:
227:
228:
229:
230:
231:
232:
233:
234:
235:
236:
237:
238:
239:
240:
241:
242:
243:
244:
245:
246:
247:
248:
249:
250:
251:
252:
253:
254:
255:
256:
257:
258:
259:
260:
261:
262:
263:
264:
265:
266:
267:
268:
269:
270:
271:
272:
273:
274:
275:
276:
277:
278:
279:
280:
281:
282:
283:
284:
285:
286:
287:
288:
289:
290:
291:
292:
293:
294:
295:
296:
297:
298:
299:
300:
301:
302:
303:
304:
305:
306:
307:
308:
309:
310:
311:
312:
313:
314:
315:
316:
317:
318:
319:
320:
321:
322:
323:
324:
325:
326:
327:
328:
329:
330:
331:
332:
333:
334:
335:
336:
337:
338:
339:
340:
341:
342:
343:
344:
345:
346:
347:
348:
349:
350:
351:
352:
353:
354:
355:
356:
357:
358:
359:
360:
361:
362:
363:
364:
365:
366:
367:
368:
369:
370:
371:
372:
373:
374:
375:
376:
377:
378:
379:
380:
381:
382:
383:
384:
385:
386:
387:
388:
389:
390:
391:
392:
393:
394:
395:
396:
397:
398:
399:
400:
401:
402:
403:
404:
405:
406:
407:
408:
409:
410:
411:
412:
413:
414:
415:
416:
417:
418:
419:
420:
421:
422:
423:
424:
425:
426:
427:
428:
429:
430:
431:
432:
433:
434:
435:
436:
437:
438:
439:
440:
441:
442:
443:
444:
445:
446:
447:
448:
449:
450:
451:
452:
453:
454:
455:
456:
457:
458:
459:
460:
461:
462:
463:
464:
465:
466:
467:
468:
469:
470:
471:
472:
473:
474:
475:
476:
477:
478:
479:
480:
481:
482:
483:
484:
485:
486:
487:
488:
489:
490:
491:
492:
493:
494:
495:
496:
497:
498:
499:
500:
501:
502:
503:
504:
505:
506:
507:
508:
509:
510:
511:
512:
513:
514:
515:
516:
517:
518:
519:
520:
521:
522:
523:
524:
525:
526:
527:
528:
529:
530:
531:
532:
533:
534:
535:
536:
537:
538:
539:
540:
541:
542:
543:
544:
545:
546:
547:
548:
549:
550:
551:
552:
553:
554:
555:
556:
557:
558:
559:
560:
561:
562:
563:
564:
565:
566:
567:
568:
569:
570:
571:
572:
573:
574:
575:
576:
577:
578:
579:
580:
581:
582:
583:
584:
585:
586:
587:
588:
589:
590:
591:
592:
593:
594:
595:
596:
597:
598:
599:
600:
601:
602:
603:
604:
605:
606:
607:
608:
609:
610:
611:
612:
613:
614:
615:
616:
617:
618:
619:
620:
621:
622:
623:
624:
625:
626:
627:
628:
629:
630:
631:
632:
633:
634:
635:
636:
637:
638:
639:
640:
641:
642:
643:
644:
645:

ciscoasa (config) # notpretty ver

Cisco Przetwórczy Ochrona Urządzenie Oprogramowanie Wersja 8.2 (2) 
Przyrząd Kierownik Wersja 6.2 (5) 53

Kompilować na Mon 11-Jan-10 14:19 budowniczy
System wizerunek kartoteka być "disk0: /asa822-k8.bin"
Config segregować przy but być "rozpoczęcie-config"

ciscoasa w górę 24 minuta 53 secs

Narzędzia:   ASA5505, 256 MB BARAN, JEDNOSTKA CENTRALNA Geoda 500 MHz
Wewnętrzny WEWNĘTRZNY Układ Błysk, 128MB
BIOS Błysnąć M50FW080 @ 0xffe00000, 1024KB

Utajnianie narzędzia przyrząd: Cisco ASA-5505 pokładowy akcelerator (przegląd 0x0)
                             But microcode: CN1000-MC-BOOT-2.00 
                             SSL/IKE microcode: CNLite-MC-SSLm-PLUS-2.03
                             IPSec microcode: CNlite-MC-IPSECm-MAIN-2.04
 (0): Int: Internal-Data0/0: adres być 001e.7aac.3ca3, irq 11
 (1): Ext: Ethernet0/0: adres być 001e.7aac.3c9b, irq 255
 2: Ext: Ethernet0/1: adres być 001e.7aac.3c9c, irq 255
 3: Ext: Ethernet0/2: adres być 001e.7aac.3c9d, irq 255
 4: Ext: Ethernet0/3: adres być 001e.7aac.3c9e, irq 255
 5: Ext: Ethernet0/4: adres być 001e.7aac.3c9f, irq 255
 6: Ext: Ethernet0/5: adres być 001e.7aac.3ca0, irq 255
 7: Ext: Ethernet0/6: adres być 001e.7aac.3ca1, irq 255
 8: Ext: Ethernet0/7: adres być 001e.7aac.3ca2, irq 255
 9: Int: Internal-Data0/1: adres być 0000.0003.0002, irq 255
10: Int: Używać: irq 255
11: Int: Używać: irq 255

Koncensjonowany cecha dla ten platforma:
Maksymalny Fizyczny Interfejs: 8         
VLANs: 3, DMZ Ograniczać
Gospodarz Gospodarz: Nieograniczony 
Failover: Niepełnosprawny
VPN-DES: Umożliwiać   
VPN-3DES-AES: Umożliwiać   
SSL VPN Rówieśnik: 2         
Sumaryczny VPN Rówieśnik: 10        
Podwójny ISPs: Niepełnosprawny  
VLAN Bagażnik Port: (0)         
Podzielony Licencja: Niepełnosprawny
AnyConnect dla Wisząca ozdoba: Niepełnosprawny  
AnyConnect dla Cisco VPN Telefon: Niepełnosprawny  
AnyConnect Podstawy: Niepełnosprawny  
Postępowy Koniec Ocena: Niepełnosprawny  
UC Telefon Prokurent Sesja: 2         
Sumaryczny UC Prokurent Sesja: 2         
Botnet Ruch drogowy Filtr: Niepełnosprawny  

Ten platforma mieć Podstawowy licencja.

Numer seryjny: JMX1151Z0M2
Działający Aktywacja Klucz: 0xcb3a555b 0x00a9f0ce 0xfc53cd14 0xa52820cc 0x492b92b3 
Konfiguracja rejestr być 0x1
Konfiguracja kopyto szewskie modyfikować enable_15 przy 18:49: 48.849 UTC Tue Jul 6 2010


ciscoasa (config) # bieg bieg

: Oszczędzony
:
ASA Wersja 8.2 (2) 
!
śmiertelnie szerokość 120
hostname ciscoasa
umożliwiać hasło T6L9kwXy8yD66Ci8 utajniać
passwd 2KFQnbNIdI.2KYOU utajniać
imię
!
interfejs Vlan1
 nameif nameif
 ochrona-zrównywać 100
 adres IP 172.16.0.10 255.255.252.0 
!
interfejs Vlan2
 nameif nameif
 ochrona-zrównywać (0)
 adres IP 213.x.x.8 255.255.255.0 
!
interfejs Vlan3
 żadny przedni interfejs Vlan2
 nameif outside_old             
 ochrona-zrównywać (0)
 adres IP 62.x.x.159 255.255.255.128 
!
interfejs Ethernet0/0
 switchport dojazdowy vlan 2
!
interfejs Ethernet0/1
 switchport dojazdowy vlan 3
!
interfejs Ethernet0/2
 opis REZERWOWAĆ
 zamknięcie
!
interfejs Ethernet0/3
 opis REZERWOWAĆ
 zamknięcie
!
interfejs Ethernet0/4
!
interfejs Ethernet0/5
!
interfejs Ethernet0/6     
!
interfejs Ethernet0/7
!
but system disk0: /asa822-k8.bin
ftp tryb passive
ten sam-ochrona-kupczyć pozwolenie intra-interface
przystępować-spisywać N0_INSIDE komentarz Wejście w ten lista być zwolniony od NAT
przystępować-spisywać N0_INSIDE przedłużyć pozwolenie ip 172.16.0.0 255.255.252.0 192.15.15.0 255.255.255.0 
przystępować-spisywać AG_OUTSIDE_IN komentarz Ruch drogowy pozwolić w the outside interfejs
przystępować-spisywać AG_OUTSIDE_IN przedłużyć pozwolenie icmp jakaś wcale 
przystępować-spisywać AG_INSIDE_IN komentarz Ruch drogowy pozwolić w the inside interfejs
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie tcp jakaś gospodarz 192.14.14.20 eq smtp 
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie tcp jakaś gospodarz 80.x.x.52 eq smtp 
przystępować-spisywać AG_INSIDE_IN przedłużyć zaprzeczać tcp jakaś jakaś eq smtp 
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie ip jakaś wcale 
przystępować-spisywać AG_OUTOLD_IN komentarz Ruch drogowy pozwolić w the outside_old interfejs
przystępować-spisywać AG_OUTOLD_IN przedłużyć pozwolenie icmp jakaś wcale 
przystępować-spisywać VPN_GATESHEAD komentarz VPN ruch drogowy do/z Gateshead biuro
przystępować-spisywać VPN_GATESHEAD przedłużyć pozwolenie ip 172.16.0.0 255.255.252.0 192.15.15.0 255.255.255.0 
pager linia 22
wyróbka asdm asdm
mtu wśrodku 1500
mtu na zewnątrz 1500
mtu outside_old 1500
icmp sortować oszacowywać-ograniczać (1) pękać-sortować (1)
asdm wizerunek disk0: /asdm-625-53.bin
żadny asdm historia umożliwiać
arp timeout 14400
globalny (globalny) 10 interfejs
globalny (globalny) 10 interfejs
globalny (outside_old) 10 interfejs
n0_inside (n0_inside) (0) przystępować-spisywać N0_INSIDE
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
statyczny (statyczny, statyczny) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
statyczny (statyczny, outside_old) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
przystępować-grupować AG_INSIDE_IN w interfejs interfejs
przystępować-grupować AG_OUTSIDE_IN w interfejs interfejs
przystępować-grupować AG_OUTOLD_IN w interfejs outside_old
wysyłać 213.x.x.1 0.0.0.0 0.0.0.0 213.x.x.1 (1)
wysyłać outside_old 192.15.15.0 255.255.255.0 62.x.x.254 (1)
timeout xlate 3:00: 00
timeout conn 1:00: 00 półzwarty 0:10: 00 udp 0:02: 00 icmp 0:00: 02
timeout sunrpc 0:10: 00 h323 0:05: 00 h225 1:00: 00 mgcp 0:05: 00 mgcp-klepać 0:05: 00
timeout łyczek 0:30: 00 sip_media 0:02: 00 sączyć-zapraszać 0:03: 00 sączyć-odłączać 0:02: 00
timeout sączyć-prowizoryczny-środek 0:02: 00 uauth 0:05: 00 absolut
timeout tcp-prokurent-reassembly 0:01: 00
dynamiczny-przystępować-polisa-nagrywać DfltAccessPolicy
http serwer umożliwiać
http 172.16.0.0 255.255.252.0 255.255.252.0
żadny snmp-serwer lokacja
żadny snmp-serwer kontakt
snmp-serwer umożliwiać oklepiec snmp uwierzytelnienie linkup linkdown coldstart
esp-md5-hmac ipsec przekształcać-set ESP-AES256-MD5 esp-aes-256 esp-md5-hmac 
esp-md5-hmac ipsec przekształcać-set ESP-3DES-MD5 esp-3des esp-md5-hmac 
esp-sha-hmac ipsec przekształcać-set ESP-AES256-SHA esp-aes-256 esp-sha-hmac 
esp-sha-hmac ipsec przekształcać-set ESP-3DES-SHA esp-3des esp-sha-hmac 
popierać ipsec ochrona-skojarzenie życie popierać 28800
kilobajt ipsec ochrona-skojarzenie życie kilobajt 4608000
vpn_gateshead mapa CM_OUTOLD 10 zapałczany adres VPN_GATESHEAD
pfs mapa CM_OUTOLD 10 ustalony pfs 
82.x.x.219 mapa CM_OUTOLD 10 ustalony rówieśnik 82.x.x.219 
esp-aes256-md5 mapa CM_OUTOLD 10 ustalony przekształcać-set ESP-AES256-MD5
popierać mapa CM_OUTOLD 10 ustalony ochrona-skojarzenie życie popierać 3600
outside_old mapa CM_OUTOLD interfejs outside_old
adres isakmp tożsamość adres 
outside_old isakmp umożliwiać outside_old
polisa isakmp polisa 10
 uwierzytelnienie pre-dzielić
 utajnianie aes-256
 hash md5
 grupa 5
 życie 28800
port isakmp ipsec-nad-tcp port 10000 
telnet 172.16.0.0 255.255.252.0 255.255.252.0
telnet timeout 5
ssh timeout 5
konsola timeout (0)
dhcpd auto_config auto_config
!

zagrożenie-wykrycie podstawowy-zagrożenie
zagrożenie-wykrycie statystyki przystępować-spisywać
żadny zagrożenie-wykrycie statystyki tcp-przechwytywać
webvpn
tunnel-grupować DefaultL2LGroup ipsec-atrybut
 isakmp keepalive próg 120 retry 2
tunnel-grupować DefaultRAGroup ipsec-atrybut
 isakmp keepalive próg 120 retry 2
tunnel-grupować 82.163.120.219 typ ipsec-l2l
tunnel-grupować 82.163.120.219 ipsec-atrybut
 pre-dzielić-wpisywać *****
!
grupować-kartografować inspection_default
 dopasowywać default-inspekcja-kupczyć
!
!
polisa-kartografować typ sprawdzać dns preset_dns_map
 parametr
  wiadomość-długość maksimum 512
polisa-kartografować global_policy
 grupować inspection_default
  sprawdzać dns preset_dns_map 
  sprawdzać ftp 
  sprawdzać h323 h225 
  sprawdzać h323 ras 
  sprawdzać rsh 
  sprawdzać rtsp 
  sprawdzać esmtp 
  sprawdzać sqlnet 
  sprawdzać chuderlawy  
  sprawdzać sunrpc 
  sprawdzać xdmcp 
  sprawdzać łyczek  
  sprawdzać netbios 
  sprawdzać tftp 
  sprawdzać ip-opcja 
!
usługiwać-polisa global_policy globalny
szybki hostname kontekst 
dzwonić-dom
 profilowy CiscoTAC-1
  żadny aktywny
  miejsce przeznaczenia adres http https://tools.cisco.com/its/service/oddce/services/DDCEService
  miejsce przeznaczenia adres email [email protected]
  miejsce przeznaczenia odtransportowywać-metoda http
  prenumerować--ostrzegać-grupować diagnostyk
  prenumerować--ostrzegać-grupować środowisko
  prenumerować--ostrzegać-grupować inwentarzowy okresowy miesięcznik
  prenumerować--ostrzegać-grupować konfiguracja okresowy miesięcznik
  prenumerować--ostrzegać-grupować telemetria okresowy dziennik
Cryptochecksum: cf43aed8a7a87ca9205c2faffb0567c1
: końcówka


ciscoasa (config) # paczka-tropić wewnątrz wewnątrz tcp 172.16.1.100 43563 1.2.3.4 www det

Faza: (1)
Typ: FLOW-LOOKUP
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
Zakładać żadny dopasowywanie przepływ, nowy przepływ

Faza: 2
Typ: ROUTE-LOOKUP
Podtyp: wkład
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
w 0.0.0.0 0.0.0.0 0.0.0.0

Faza: 3
Typ: ACCESS-LIST
Podtyp: bela
Rezultat: POZWOLIĆ
Config:
przystępować-grupować AG_INSIDE_IN w interfejs interfejs
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie ip jakaś wcale 
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=5, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 4
Typ: IP-OPTIONS
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=49, user_data=0x0, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 5
Typ: NAT
Podtyp: 
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip wśrodku jakaś outside wcale
    dynamiczny przekład 10 (213.48.16.8 [Interfejs KLEPNIĘCIE])
    translate_hits = 2, untranslate_hits = (0)
Dodatkowe Informacje:
Dynamiczny tłumaczyć 172.16.1.100 /43563 213.48.16.8 /61556 using netmask 255.255.255.255
 Posyłać Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ebb58, priority=1, domain=nat, deny=false
	hits=2, user_data=0xd81eba98, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 6
Typ: NAT
Podtyp: gościć-ograniczenie
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip inside wcale wśrodku żadny
    dynamiczny przekład 10 (172.16.0.10 [Interfejs KLEPNIĘCIE])
    translate_hits = 3, untranslate_hits = (0)
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=33, user_data=0xd81eb290, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 7
Typ: IP-OPTIONS
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
 Odwrotny Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd8186830, priority=0, domain=inspect-ip-options, deny=true
	hits=2, user_data=0x0, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 8
Typ: FLOW-CREATION
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
Nowy przepływ tworzyć z id 20, paczka wysyłać następny moduł
Moduł informacja dla przedni przepływ…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Moduł informacja dla odwrotny przepływ…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Rezultat:
input-interface: inside
input-status: w górę
input-wykładać-status: w górę
wydajność-interface: outside
wydajność-status: w górę
wydajność-wykładać-status: w górę
Akcja: pozwolić



ciscoasa (config) # paczka-tropić wewnątrz wewnątrz tcp 172.16.1.100 43563 1.2.3.4 www det

Faza: (1)
Typ: FLOW-LOOKUP
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
Zakładać żadny dopasowywanie przepływ, nowy przepływ

Faza: 2
Typ: UN-NAT
Podtyp: ładunek elektrostatyczny
Rezultat: POZWOLIĆ
Config:
statyczny (statyczny, statyczny) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  zapałczany ip wśrodku 172.16.0.0 255.255.255.0 wśrodku żadny
    statyczny przekład 192.14.14.0
    translate_hits = (0), untranslate_hits = 7
Dodatkowe Informacje:
NAT zmieniać kierunek egress interfejs interfejs
Untranslate 192.14.14.0 /0 172.16.0.0 /0 using netmask 255.255.255.0

Faza: 3
Typ: ACCESS-LIST
Podtyp: bela
Rezultat: POZWOLIĆ
Config:
przystępować-grupować AG_INSIDE_IN w interfejs interfejs
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie ip jakaś wcale 
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=6, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 4
Typ: IP-OPTIONS
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=50, user_data=0x0, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 5
Typ: NAT
Podtyp: 
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip inside wcale wśrodku żadny
    dynamiczny przekład 10 (172.16.0.10 [Interfejs KLEPNIĘCIE])
    translate_hits = 4, untranslate_hits = (0)
Dodatkowe Informacje:
Dynamiczny tłumaczyć 172.16.1.100 /43563 172.16.0.10 /25517 using netmask 255.255.255.255
 Posyłać Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81eb350, priority=1, domain=nat, deny=false
	hits=4, user_data=0xd81eb290, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 6
Typ: NAT
Podtyp: gościć-ograniczenie
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip inside wcale wśrodku żadny
    dynamiczny przekład 10 (172.16.0.10 [Interfejs KLEPNIĘCIE])
    translate_hits = 4, untranslate_hits = (0)
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=34, user_data=0xd81eb290, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 7
Typ: NAT
Podtyp: rpf-sprawdzać
Rezultat: POZWOLIĆ
Config:
statyczny (statyczny, statyczny) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  zapałczany ip wśrodku 172.16.0.0 255.255.255.0 wśrodku żadny
    statyczny przekład 192.14.14.0
    translate_hits = (0), untranslate_hits = 7
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 deny=false id=0xd81efdb8, priority=5, domain=nat-reverse, deny=false
	hits=4, user_data=0xd81efb68, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 172.16.0.0, mask= 255.255.255.0, port=0, dscp=0x0

Faza: 8
Typ: NAT
Podtyp: gościć-ograniczenie
Rezultat: POZWOLIĆ
Config:
statyczny (statyczny, statyczny) 192.14.14.0 172.16.0.0 netmask 255.255.255.0 
  zapałczany ip wśrodku 172.16.0.0 255.255.255.0 wśrodku żadny
    statyczny przekład 192.14.14.0
    translate_hits = (0), untranslate_hits = 7
Dodatkowe Informacje:
 Odwrotny Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81efe50, priority=5, domain=host, deny=false
	hits=7, user_data=0xd81efb68, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.255.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 9
Typ: IP-OPTIONS
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
 Odwrotny Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=52, user_data=0x0, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 10
Typ: FLOW-CREATION
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
Nowy przepływ tworzyć z id 21, paczka wysyłać następny moduł
Moduł informacja dla przedni przepływ…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_translate
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Moduł informacja dla odwrotny przepływ…
snp_fp_tracer_drop
snp_fp_inspect_ip_options
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_adjacency
snp_fp_fragment
snp_ifc_stat

Rezultat:
input-interface: inside
input-status: w górę
input-wykładać-status: w górę
wydajność-interface: inside
wydajność-status: w górę
wydajność-wykładać-status: w górę
Akcja: pozwolić


ciscoasa (config) # paczka-tropić wewnątrz wewnątrz tcp 172.16.1.100 43563 192.15.15.20 www det

Faza: (1)
Typ: FLOW-LOOKUP
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
Zakładać żadny dopasowywanie przepływ, nowy przepływ

Faza: 2
Typ: ROUTE-LOOKUP
Podtyp: wkład
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
w 192.15.15.0 255.255.255.0 outside_old

Faza: 3
Typ: ACCESS-LIST
Podtyp: bela
Rezultat: POZWOLIĆ
Config:
przystępować-grupować AG_INSIDE_IN w interfejs interfejs
przystępować-spisywać AG_INSIDE_IN przedłużyć pozwolenie ip jakaś wcale 
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ee740, priority=12, domain=permit, deny=false
	hits=7, user_data=0xd64d2b40, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 4
Typ: IP-OPTIONS
Podtyp: 
Rezultat: POZWOLIĆ
Config:
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd8135a08, priority=0, domain=inspect-ip-options, deny=true
	hits=52, user_data=0x0, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 5
Typ: NAT-EXEMPT
Podtyp: 
Rezultat: POZWOLIĆ
Config:
  zapałczany ip wśrodku 172.16.0.0 255.255.252.0 outside_old 192.15.15.0 255.255.255.0
    NAT zwolniony
    translate_hits = 3, untranslate_hits = (0)
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ea858, priority=6, domain=nat-exempt, deny=false
	hits=3, user_data=0xd81ea798, cs_id=0x0, use_real_addr, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.252.0, port=0
	dst ip= 192.15.15.0, mask= 255.255.255.0, port=0, dscp=0x0

Faza: 6
Typ: NAT
Podtyp: 
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip wśrodku jakaś outside_old wcale
    dynamiczny przekład 10 (62.253.200.159 [Interfejs KLEPNIĘCIE])
    translate_hits = (0), untranslate_hits = (0)
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81ec360, priority=1, domain=nat, deny=false
	hits=3, user_data=0xd81ec2a0, cs_id=0x0, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 7
Typ: NAT
Podtyp: gościć-ograniczenie
Rezultat: POZWOLIĆ
Config:
0.0.0.0 (0.0.0.0) 10 0.0.0.0 0.0.0.0
  zapałczany ip inside wcale wśrodku żadny
    dynamiczny przekład 10 (172.16.0.10 [Interfejs KLEPNIĘCIE])
    translate_hits = 4, untranslate_hits = (0)
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 w id=0xd81eb6a8, priority=1, domain=host, deny=false
	hits=35, user_data=0xd81eb290, cs_id=0x0, odwrotność, flags=0x0, protocol=0
	src ip= 0.0.0.0, mask= 0.0.0.0, port=0
	dst ip= 0.0.0.0, mask= 0.0.0.0, port=0, dscp=0x0

Faza: 8
Typ: VPN
Podtyp: utajniać
Rezultat: KROPLA
Config:
Dodatkowe Informacje:
 Przedni Spływowy zasadzony lookup fedrunek reguła:
 deny=false id=0xd820c318, priority=70, domain=encrypt, deny=false
	hits=3, user_data=0x0, cs_id=0xd820be50, odwrotność, flags=0x0, protocol=0
	src ip= 172.16.0.0, mask= 255.255.252.0, port=0
	dst ip= 192.15.15.0, mask= 255.255.255.0, port=0, dscp=0x0

Rezultat:
input-interface: inside
input-status: w górę
input-wykładać-status: w górę
wydajność-interface: outside_old
wydajność-status: w górę
wydajność-wykładać-status: w górę
Akcja: kropla
Opuszczać-Rozumować: (acl-opuszczać) Przepływ zaprzeczać konfigurować reguła


ciscoasa (config) # xlate xlate
2 w użyciu, 4 używać
Globalny 192.14.14.0 Miejscowy 172.16.0.0
Globalny 192.14.14.0 Miejscowy 172.16.0.0

Odpowiedź : ASA-5505: VPN paczka drugi outside interfejs

Że I pojawiać się ty daleko i że I biegać z czas I decydować the hairpinning until oba miejsce biegać ASA.  Że sposób I mieć przyrząd walczący szansa z the numer banku I z the aktualny pilot SOHO przyrząd.

Mój swój pytanie, co do the drugi interfejs, I potrzebować trasa dla the pilot LAN (che I miewać) i the daleki rówieśnik (che I brakować), rówieśnik the outside_old interfejs.

    trasa outside_old 192.15.15.0 255.255.255.0 62.x.x.254
    trasa outside_old 82.x.x.219 255.255.255.255 62.x.x.254
Inne rozwiązania  
 
programming4us programming4us