Неожиданный финт Cisco ASA

[@JDima]

Вот за что я не люблю асы — это за подобную самодеятельность. Например, если в policy nat (<8.3) нечаянно сделать вместо «permit ip» «permit ip», то она не отвергнет запись, а пропишет ее в ACL, но уберет из конфига привязку ACL к NAT. В итоге — кровь и кишки. Про это неплохо написали в virtualbacon.net/2012/04/13/error-ace-contains-port-protocol-or-deny-removing-nat-configuration/. Сам я такого косяка не допускал, но был свидетелем — то еще зрелище. В более ранних версиях сам ACL удалялся.

[@JDima]

Описка, Вместо «permit ip» «permit tcp».

[@J_o_k_e_R]

Я не цисковед, но при исправлении "«permit ip» «permit ip»" фразой «Вместо «permit ip» «permit tcp»», мне кажется требуется указание конкретного «permit ip».

[@JDima]

Короче:

Можно и нужно писать — «permit ip».
Нельзя писать, иначе граблями по лбу: «permit tcp» и тому подобное.

[@borisko]

Видимо, фраза «вместо «permit ip» «permit ip»» превращается в «вместо «permit ip» «permit tcp»».

[@de_bill]

Подтверждаю, как-то однажды столкнулся с таким, но ввиду огромного количества правил и немалых изменений в конфигурации так и не удалось раскопать в чём дело, просто сразу зафиксировали проблемы с натом и заново накатили всю секцию ната. Теперь причина ясна, огромное спасибо!

[@Andrew119]

У нас правил тоже хватало, благо что такое, с any, было одно — посему и удалось как-то это скоррелировать.