Andrew119 Sep 5 2013 at 10:51

Неожиданный финт Cisco ASA

2 min

32K

Information Security*

+23

Comments 7

JDima Sep 5 2013 at 11:42

Вот за что я не люблю асы — это за подобную самодеятельность. Например, если в policy nat (<8.3) нечаянно сделать вместо «permit ip» «permit ip», то она не отвергнет запись, а пропишет ее в ACL, но уберет из конфига привязку ACL к NAT. В итоге — кровь и кишки. Про это неплохо написали в virtualbacon.net/2012/04/13/error-ace-contains-port-protocol-or-deny-removing-nat-configuration/. Сам я такого косяка не допускал, но был свидетелем — то еще зрелище. В более ранних версиях сам ACL удалялся.

JDima Sep 5 2013 at 12:31

Описка, Вместо «permit ip» «permit tcp».

J_o_k_e_R Sep 5 2013 at 13:34

Я не цисковед, но при исправлении "«permit ip» «permit ip»" фразой «Вместо «permit ip» «permit tcp»», мне кажется требуется указание конкретного «permit ip».

JDima Sep 5 2013 at 13:36

Короче:

Можно и нужно писать — «permit ip».
Нельзя писать, иначе граблями по лбу: «permit tcp» и тому подобное.

borisko Sep 5 2013 at 13:38

Видимо, фраза «вместо «permit ip» «permit ip»» превращается в «вместо «permit ip» «permit tcp»».

de_bill Sep 5 2013 at 11:51

Подтверждаю, как-то однажды столкнулся с таким, но ввиду огромного количества правил и немалых изменений в конфигурации так и не удалось раскопать в чём дело, просто сразу зафиксировали проблемы с натом и заново накатили всю секцию ната. Теперь причина ясна, огромное спасибо!

Andrew119 Sep 5 2013 at 11:53

У нас правил тоже хватало, благо что такое, с any, было одно — посему и удалось как-то это скоррелировать.

Show the best of all time