添加ICMP到ASA檢測(cè)引擎

專(zhuān)注于為中小企業(yè)提供成都網(wǎng)站設(shè)計(jì)、網(wǎng)站制作服務(wù),電腦端+手機(jī)端+微信端的三站合一,更高效的管理,為中小企業(yè)元氏免費(fèi)做網(wǎng)站提供優(yōu)質(zhì)的服務(wù)。我們立足成都，凝聚了一批互聯(lián)網(wǎng)行業(yè)人才，有力地推動(dòng)了上千余家企業(yè)的穩(wěn)健成長(zhǎng)，幫助中小企業(yè)通過(guò)網(wǎng)站建設(shè)實(shí)現(xiàn)規(guī)模擴(kuò)充和轉(zhuǎn)變。

ASA默認(rèn)的檢測(cè)引擎的配置如下所示。

class-map inspection_default

match default-inspection-traffic

policy-map type inspect DNS preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h423 h325

inspect h423 ras

inspect rsh

inspect rtsp

inspect esmtp

inspect sqlnet

inspect skinny

inspect sunrpc

inspect xdmcp

inspect sip

inspect netbios

inspect tftp

service-policy global_policy global

默認(rèn)情況下，不對(duì)ICMP進(jìn)行檢測(cè)，所以從低安全級(jí)別到高安全級(jí)別的ICMP echo reply將被拒絕，即使它是ICMP echo request的回應(yīng)也是如此。

ICMP檢測(cè)引擎允許ICMP流量象TCP和UDP流量一樣被檢測(cè)。確保每一個(gè)ICMP echo request都只能有一個(gè)回應(yīng)，同時(shí)保證序列號(hào)是正確的。

如果沒(méi)有ICMP檢測(cè)引擎，通常不推薦使用ACL來(lái)允許ICMP穿越ASA，因?yàn)檫@樣會(huì)存在網(wǎng)絡(luò)***的風(fēng)險(xiǎn)。

以下配置將ICMP添加到檢測(cè)引擎。

policy-map global_policy

class inspection_default

inspect icmp

配置完成后，從高安全級(jí)別接口就可以ping通低安全級(jí)別接口，同時(shí)對(duì)ICMP進(jìn)行狀態(tài)化檢測(cè)。