登录站点

用户名

密码

诅咒假面的博客

诅咒假面的主页 » TA的所有博客 » 查看博客

ASA5520的问题，请会配的大虾进来看下

热8已有 269 次阅读  2011-11-15 16:34   标签:  interface  address  outside 
拓扑在最下面
结构介绍：
3750-1上有2段地址，其中10.7.0.0的网关在3750-1上，ASA通过静态路由指到10.7.0.0
3750-2里的192.168.7.0/24网关是ASA的G0/2地址

现在的情况是通过外网，比如ADSL，可以通过remote VPN链接192.168.7.14，配置没贴出来；telnet 222.222.222.2 3314通的，telnet 222.222.222.2 3113，110，25都不通
另外在ASA上可以ping通10.7.37.75，但不能tracert,结果如下：

ciscoasa# traceroute 10.7.37.75
Type escape sequence to abort.
Tracing the route to 10.7.37.75
 1  10.6.184.1 0 msec 0 msec 10 msec
 2  10.6.184.5 0 msec 0 msec 0 msec
 3  10.6.184.1 0 msec 10 msec 0 msec
 4  10.6.12.45 0 msec 0 msec 10 msec
 5   *  *  * 
 6   *  *  * 
 7   *  *  * 
 8   *  *  * 
 9   *  *  * 
 10  *  *  * 
3750-1不是我管的，看不到内部。
以前用服务器做网关的时候可以通过adsl telnet的，现在换成ASA了就不行了，是不是有配置漏了？

配置如下，
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 222.222.222.1 255.255.255.240 
!
interface GigabitEthernet0/1
 nameif ENI
 security-level 0
 ip address 10.6.184.2 255.255.255.248 
!
interface GigabitEthernet0/2
 nameif inside
 security-level 100
 ip address 192.168.7.254 255.255.255.0
 
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
access-list inside_access_in extended permit ip any any 
access-list ENI_access_in extended permit ip any any 
access-list outside_access_in extended permit tcp any any eq3314
access-list outside_access_in extended permit tcp any any eq110
access-list outside_access_in extended permit tcp any any eq25
access-list outside_access_in extended permit tcp any any eq3313
global (outside) 1 interface  访问公网的时候转换为G0/0地址
global (ENI) 1 interface      访问ENI网络的时候转换为G0/1地址
nat (inside) 1 192.168.7.0 255.255.255.0
static (inside,outside) tcp interface 3314 192.168.7.14 3389 netmask 255.255.255.255 
static (ENI,outside) tcp interface 3313 10.7.37.75 3389 netmask 255.255.255.255 
static (ENI,outside) tcp interface pop3 10.7.37.75 pop3 netmask 255.255.255.255 
static (ENI,outside) tcp interface smtp 10.7.37.75 smtp netmask 255.255.255.255 
access-group outside_access_in in interface outside
access-group ENI_access_in in interface ENI
access-group inside_access_in in interface wuxian
route outside 0.0.0.0 0.0.0.0 222.222.222.1
route ENI 10.7.0.0 255.255.0.0 10.6.184.1 1

分享 举报

发表评论 评论 (20 个评论)

  • 回复 举报
    hflaq 2011-11-15 23:37
  • 回复 举报
    Bati-gol 2011-11-16 00:50
    telnet 192.168.7.14和telnet 10.7.37.75
    所映射的公网地址不能是同一个，必须是不同的两个公网IP，每一个telnet对应一个不同的公网IP
  • 回复 举报
    诅咒假面 2011-11-16 15:56
    Bati-gol: telnet 192.168.7.14和telnet 10.7.37.75
    所映射的公网地址不能是同一个，必须是不同的两个公网IP，每一个telnet对应一个不同的公网IP
    为啥呀？
  • 回复 举报
    诅咒假面 2011-11-16 16:16
    Bati-gol: telnet 192.168.7.14和telnet 10.7.37.75
    所映射的公网地址不能是同一个，必须是不同的两个公网IP，每一个telnet对应一个不同的公网IP
    把这2条
    static (ENI,outside) tcp interface pop3 10.7.37.75 pop3 netmask 255.255.255.255 
    static (ENI,outside) tcp interface smtp 10.7.37.75 smtp netmask 255.255.255.255 
    修改为
    static (ENI,outside) tcp 222.222.222.10 pop3 10.7.37.75 pop3 netmask 255.255.255.255 
    static (ENI,outside) tcp 222.222.222.10 smtp 10.7.37.75 smtp netmask 255.255.255.255 
    还是不行呀
  • 回复 举报
    诅咒假面 2011-11-16 16:18
    Bati-gol: telnet 192.168.7.14和telnet 10.7.37.75
    所映射的公网地址不能是同一个，必须是不同的两个公网IP，每一个telnet对应一个不同的公网IP
    我netscaler上面就行可以不同的内网地址映射到同一个外网地址的
  • 回复 举报
    诅咒假面 2011-11-16 16:37
    Bati-gol: telnet 192.168.7.14和telnet 10.7.37.75
    所映射的公网地址不能是同一个，必须是不同的两个公网IP，每一个telnet对应一个不同的公网IP
    补充一下，我telnet 的是端口，telnet 222.222.222.2 3314通的，telnet 222.222.222.2 3113，110，25都不通
  • 回复 举报
    Bati-gol 2011-11-16 16:49
    诅咒假面: 为啥呀？
    好像你上次说的问题是和这次问题不同吧
    同一个公网IP可以映射给内部不同服务器的不同端口

    把从外到内防火墙策略暂时全放通，看问题出在防火墙策略上还是端口映射上
  • 回复 举报
    qiuxinliang 2011-11-16 17:43
    加这，试下，telnet 222.222.222.2 3313，110，25
    static (inside,outside) tcp interface 3313 10.7.37.75 3389 netmask 255.255.255.255
    static (inside,outside) tcp interface pop3 10.7.37.75 pop3 netmask 255.255.255.255
    static (inside,outside) tcp interface smtp 10.7.37.75 smtp netmask 255.255.255.255
  • 回复 举报
    qiuxinliang 2011-11-16 17:45
    access-list outside_access_in extended permit tcp any any eq3313
    加了上面命令，再telnet 222.222.222.2 3313，110，25试下，看行不行
  • 回复 举报
    诅咒假面 2011-11-16 20:15
    qiuxinliang: access-list outside_access_in extended permit tcp any any eq3313
    加了上面命令，再telnet 222.222.222.2 3313，110，25试下，看行不行
    不行，之前加过的，没用
  • 回复 举报
    诅咒假面 2011-11-16 20:18
    会不会是网关不在防火墙上的原因啊？
  • 回复 举报
    qiuxinliang 2011-11-16 20:21
    static (inside,outside) tcp interface 3313 10.7.37.75 3389 netmask 255.255.255.255
    static (inside,outside) tcp interface pop3 10.7.37.75 pop3 netmask 255.255.255.255
    static (inside,outside) tcp interface smtp 10.7.37.75 smtp netmask 255.255.255.255
    access-list outside_access_in extended permit tcp any any eq3313
    这些都加上了吗
  • 回复 举报
    诅咒假面 2011-11-16 20:26
    qiuxinliang: static (inside,outside) tcp interface 3313 10.7.37.75 3389 netmask 255.255.255.255
    static (inside,outside) tcp interface pop3 10.7.37.75 pop3 netmas
    我加的是
    static (ENI,outside) tcp interface 3313 10.7.37.75 3389 netmask 255.255.255.255
    static (ENI,outside) tcp interface pop3 10.7.37.75 pop3 netmask 255.255.255.255
    static (ENI,outside) tcp interface smtp 10.7.37.75 smtp netmask 255.255.255.255
    10.7.0.0在ENI区域，不在inside区域
  • 回复 举报
    qiuxinliang 2011-11-16 20:28
    在防火墙上能ping通10.7.37.75 不?
  • 回复 举报
    诅咒假面 2011-11-16 20:36
    qiuxinliang: 在防火墙上能ping通10.7.37.75 不?
    另外在ASA上可以ping通10.7.37.75，但不能tracert,结果如下：

    ciscoasa# traceroute 10.7.37.75
    Type escape sequence to abort.
    Tracing the route to 10.7.37.75
    1  10.6.184.1 0 msec 0 msec 10 msec
    2  10.6.184.5 0 msec 0 msec 0 msec
    3  10.6.184.1 0 msec 10 msec 0 msec
    4  10.6.12.45 0 msec 0 msec 10 msec
    5   *  *  *
    6   *  *  *
    7   *  *  *
    8   *  *  *
    9   *  *  *
    10  *  *  *
  • 回复 举报
    qiuxinliang 2011-11-16 20:38
    加上这条same-security-traffic permit inter-interface
  • 回复 举报
    诅咒假面 2011-11-16 20:41
    qiuxinliang: 加上这条same-security-traffic permit inter-interface
    加了，配置里没贴出来
    same-security-traffic permit inter-interface
    same-security-traffic permit intra-interface
  • 回复 举报
    qiuxinliang 2011-11-16 20:55
    你Q多少
  • 回复 举报
    诅咒假面 2011-11-16 20:58
    qiuxinliang: 你Q多少
    67285801
  • 回复 举报
    chaolc 2011-11-17 16:09
    应该是接ASA5520三个端口的安全级别有问题
涂鸦板