"Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
news:rumrr2lvmsdr0qr4bgb3ti1ild1klve9jk@hojmark.net...
> On Mon, 29 Jan 2007 10:47:23 +0100, "Jens U. K." <1jk2@3bsopatent4.dk>
> wrote:
>
>> Kan det virkelig passe at en Cisco Asa5510 ikke kan finde ud af at
>> håndtere ICMP traffik...
>
> Nej, det har altid virket for mig. Prøv at sende dine access-lister.
>
Ok. Her kommer det jeg tror er relevant:
---- access-list start ----
object-group service client-internet tcp
description Clientaccess to Internet
port-object eq imap4
port-object eq telnet
port-object eq citrix-ica
port-object eq domain
port-object eq ssh
port-object eq ftp-data
port-object eq pop3
port-object eq www
port-object eq https
port-object eq ftp
port-object range 1433 1433
port-object range 3389 3389
object-group service client-internet-udp udp
port-object eq domain
....Outside_access_in permit til smtp og https...
access-list Outside_access_in extended deny ip any any
access-list Inside_access_in extended permit udp X 255.255.255.0 any
object-group client-internet-udp
access-list Inside_access_in extended permit tcp X 255.255.255.0 any
object-group client-internet
access-list Inside_access_in extended permit icmp X 255.255.255.0 any
access-list Inside_access_in extended deny tcp X 255.255.255.0 any eq smtp
access-list Inside_access_in extended permit ip X 255.255.255.0 any
access-list Inside_access_in extended deny ip any any
access-list Inside_nat0_outbound extended permit ip X 255.255.255.0 Y
255.255.255.128
access-list remoteBSO_splitTunnelAcl standard permit X 255.255.255.0
....
class-map Inspection_default
class-map icmp-class
match default-inspection-traffic
class-map inspection_default
match default-inspection-traffic
!
!
policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp
inspect h323 h225
inspect h323 ras
inspect http
inspect rsh
inspect rtsp
inspect sip
inspect skinny
inspect esmtp
inspect sqlnet
inspect tftp
inspect icmp error
inspect icmp
policy-map icmp_class
class icmp-class
!
service-policy global_policy global
---- access-list slut ----
>> Det virker såmænd også, men hvis jeg f.eks. sender et ping med en TTL
>> på 5 (og jeg ved det kræver mindst 10), så virker det ikke - firewallen
>> stopper simpelthen ICMP-svaret når det er på vej tilbage...
>
> Hvis du sender et ping (ICMP Echo Request) med en TTL der er for lav,
> vil du ude fra verden få ICMP Unreachable tilbage i stedet for ICMP
> ECHO Reply.
Ja.
> Hvis det skal give noget, skal der jo være åbent for ICMP
> Unreachable. Har du gjort det?
Jeg troede at "inspect icmp" og "inspect icmp error" sørgede for at
håndtere den slags ting.
Ideen er jo at der ikke konstant skal være åbent indad for ICMP, men kun
når en pc indefra har sendt en ICMP-forespørgsel ud.
Så svaret, som nok også kan læses af accesslisten indklippet ovenfor, må
være nej.
Du siger den eneste måde at få ICMP til at "virke" på er ved at tillade
indadgående traffik til minimum ICMP unreachable.
/Jens Ulrik