雪飘人间带你穿越asa.docVIP

icmp 穿越asa asa默认情况下，允许高安全级别到低安全级别的流量，拒绝低安全级别到高安全级别的流量，针对于tcp等状态化的流量，当穿越asa时，会留下自己的“足迹”（状态话列表），所以流量在返回来的时候是可以穿越的；但是对于像icmp这样的流量，由于没有状态化列表，所以流量在返回的时候将被asa拒绝，而不是说asa会拒绝icmp-replay报文 ipsec 穿越asa 在配置ipsec过程中，总共要经历两个阶段，六个包的main mode，和三个包的quik mode，然后数据包才能被加密传输，数据包被加密的过程中使用esp协议进行封装传输，但是esp是一种无状态数据包，不同于udp和tcp，所以数据包可以从高安全级别到低安全级别，但是不能从低安全级别到高安全级别 bgp穿越asa 在bgp peer之间以明文的方式相互交换数据的时候，在穿越asa的时候是没有问题的 ，但是当bgp peer之间以密文的方式传输，在穿越asa的时候，将会出现问题；由于bgp 加密会将tcp的报头中的相关数据作为hash的原料，但是当bgp的数据包穿越asa时，asa会将tcp报头中的相关字段扰乱或隐蔽，导致tcp三次握手不能建立 经过bgp md5散列后的值会在bgp的报文中添加option为tcp的字段，type类型为19，当这样的数据包经过asa时，会将tcp type 19 的option字段给抠除，自己加上新的option字段，这样当bgp peer收到bgp 消息时就会不认识此数据包，所以bgp对等体之间不能建立邻居关系； 经过asa之前： 经过asa之后： 从图中可以看出，tcp type 19确实被移除 还有一点，bgp 加密进行哈希的时候会将tcp的sequence number一起作为原料，但是当tcp穿越asa时，会将sequence number 扰乱，导致最终的md5不能验证成功； 此时bgp peer将会成功建立 4数据穿越asa，ttl值不减 使用traceroute 跟踪数据包路径的时候，使用的是icmp协议与udp协议的结合；首先，traceroute在发数据包的时候，是以udp的报文向外发送，其ttl值等于1，当数据包到达asa时，asa默认不会对ttl值做减一的操作，此时数据包便能发往R2，R2收到udp的报文的时候，便会向源1.1.1.1发送icmp的报文，源为自己的接口的ip地址，当数据包发回asa的时候，由于icmp的无状态性，所以要对防火墙做放行从低安全级别到高安全级别的流量，ttl 255，类型为3（destination unreachable），code为3（port unreachable），谁发送了code为3 的数据包，就会记录数据包发回的源 当在防火墙上配上相关的配置后，穿越asa的流量将会对ttl值做减一的操作，此时在使用traceroute 命令的时候，就能够看到经过asa的那一跳地址了 By 雪飘人间