環(huán)境：

思科防火墻ASA5555

Cisco Adaptive Security Appliance Software Version 9.4(2)6
Device Manager Version 7.5(2)153

問題描述：

思科防火墻ASA5555 軟件版本9.2上怎么使用Packet Tracer功能模擬內(nèi)網(wǎng)主機(jī)192.168.1.10 icmp訪問外網(wǎng)59.83.213.23 流量走向

解決方案：

1.在Cisco ASA防火墻上，Packet Tracer是一個非常有用的診斷工具，它可以模擬數(shù)據(jù)包通過防火墻的路徑，幫助你理解和驗證數(shù)據(jù)流通過防火墻的過程以及哪些規(guī)則會被應(yīng)用到該數(shù)據(jù)流上。

2.要使用Packet Tracer來模擬內(nèi)網(wǎng)主機(jī)（比如192.168.1.10）使用ICMP協(xié)議（如ping命令）訪問外網(wǎng)的IP地址（比如59.83.213.23），您可以在ASA設(shè)備上通過命令行接口（CLI）輸入如下命令：

packet-tracer input inside icmp 192.168.1.10 8 0 59.83.213.23

3.這里是命令的詳細(xì)解釋：

- `packet-tracer`：這是啟動Packet Tracer功能的命令。
- `input`：這個關(guān)鍵字后面跟著你想要模擬的數(shù)據(jù)包的起始接口名稱。
- `inside`：這是內(nèi)部網(wǎng)絡(luò)接口的名稱，數(shù)據(jù)包將從這個接口開始模擬。
- `icmp`：指定協(xié)議類型為ICMP。
- `192.168.1.10`：源IP地址，模擬的數(shù)據(jù)包將從此地址開始。
- `8`：ICMP的類型，8代表是echo請求（通常用于ping）。
- `0`：ICMP的代碼，0通常代表echo請求的回顯。
- `59.83.213.23`：目的IP地址，數(shù)據(jù)包將嘗試到達(dá)此地址。

執(zhí)行這個命令后，ASA將模擬一個ICMP echo請求從內(nèi)網(wǎng)主機(jī)發(fā)出并嘗試到達(dá)指定的外網(wǎng)IP地址，并顯示這個過程中每個步驟的詳細(xì)信息，包括哪些NAT規(guī)則被應(yīng)用、ACL檢查的結(jié)果、以及最終數(shù)據(jù)包是否通過防火墻。

Packet Tracer的結(jié)果將幫助您了解：

- 數(shù)據(jù)包是否被正確地NAT轉(zhuǎn)換。
- 數(shù)據(jù)包是否通過訪問控制列表（ACLs）。
- 任何額外的檢查，比如IPS檢查和內(nèi)容過濾。
- 數(shù)據(jù)包是否最終會被允許通過ASA。

4.通過分析這些結(jié)果，您可以驗證配置是否正常，或者是哪里需要調(diào)整以允許數(shù)據(jù)流。這是一個非常有用的工具來幫助您理解和解決網(wǎng)絡(luò)連接問題。

packet-tracer input dmz icmp 10.80.45.12 8 0 218.22.55.12

測試輸出下面內(nèi)容 什么意思

packet-tracer input dmz icmp 10.80.45.12 8 0 218.22.55.12

Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
found next-hop 218.22.55.11 using egress ifc  outside

Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group inside in interface dmz
access-list inside extended permit ip any any
Additional Information:

Phase: 4
Type: NAT
Subtype:
Result: ALLOW
Config:
object network dmz-pat
 nat (dmz,outside) dynamic interface
Additional Information:
Dynamic translate 10.80.45.12/0 to 218.22.55.11/31855

Phase: 5
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Config:
Additional Information:

Phase: 7
Type: INSPECT
Subtype: np-inspect
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Config:
Additional Information:
New flow created with id 340519106, packet dispatched to next module

Result:
input-interface: dmz
input-status: up
input-line-status: up
output-interface: outside
output-status: up
output-line-status: up
Action: allow

解釋

這個輸出是通過Cisco ASA設(shè)備上的Packet Tracer工具模擬的一個ICMP回顯請求（通常用于ping）從一個在DMZ區(qū)域的主機(jī)（10.80.45.12）到一個外部IP地址（218.22.55.12）的處理過程。下面是每個階段的解釋：

**Phase: 1**
- 檢查訪問列表，通常是查看是否有任何ACLs會阻止這個流量。這里的`Implicit Rule`指的是ASA的默認(rèn)行為，由于沒有匹配的用戶定義規(guī)則，因此允許了流量。

**Phase: 2**
- 進(jìn)行路由查找，以確定出口接口和下一跳路由。流量被允許，并找到了通過外部接口`outside`到達(dá)下一跳`218.22.55.11`的路由。

**Phase: 3**
- 再次檢查訪問列表，這回是檢查日志記錄。由于日志規(guī)則允許任何IP流量，流量被允許。

**Phase: 4**
- 應(yīng)用NAT規(guī)則。IP地址`10.80.45.12`被動態(tài)NAT轉(zhuǎn)換為外部接口`outside`的IP地址`218.22.55.11`和端口`31855`。

**Phase: 5**
- 檢查是否有基于會話的NAT規(guī)則需要應(yīng)用。結(jié)果顯示允許，但無額外配置信息，意味著沒有特定會話的NAT規(guī)則應(yīng)用。

**Phase: 6**
- IP選項檢查。通常驗證數(shù)據(jù)包中的IP選項是否允許，此處沒有問題。

**Phase: 7**
- 檢查是否有任何深度包檢查（如應(yīng)用檢查等）。由于沒有配置顯示，我們假設(shè)默認(rèn)檢查通過。

**Phase: 8**
- 流創(chuàng)建階段。在這一點(diǎn)，防火墻創(chuàng)建了一個新的流，并將數(shù)據(jù)包分派給了下一個處理模塊。

最終結(jié)果顯示為“Action: allow”，這意味著模擬的流量被防火墻允許通過。輸出還顯示了輸入接口是DMZ且狀態(tài)為up，輸出接口是外部接口且狀態(tài)也為up。這意味著從DMZ到外部網(wǎng)絡(luò)的ICMP請求在防火墻上沒有遇到任何阻塞，規(guī)則配置允許該流量通過。

那代表防火墻設(shè)備是正常的嗎？

是的，從提供的packet-tracer命令輸出結(jié)果來看，防火墻設(shè)備（Cisco ASA 5555）處理流量的過程正常且成功：

數(shù)據(jù)包通過了訪問控制列表檢查。
路由查找成功找到下一跳地址并確定出站接口。
NAT轉(zhuǎn)換也成功執(zhí)行，將內(nèi)網(wǎng)源地址轉(zhuǎn)換為了公網(wǎng)地址。
所有中間階段如IP選項檢查、深度包檢測和會話創(chuàng)建都允許數(shù)據(jù)包通過。

因此，基于模擬的這個特定流量場景，可以判斷防火墻在配置上是正常的，并能正確處理該類型的數(shù)據(jù)包。但請注意，這只是針對模擬的單個流量實(shí)例，全面評估防火墻狀態(tài)還需要考慮整體配置和所有可能的網(wǎng)絡(luò)流量場景。文章來源地址http://www.zghlxwxcb.cn/news/detail-843395.html

到了這里，關(guān)于思科防火墻怎么使用Packet Tracer功能模擬內(nèi)網(wǎng)主機(jī)icmp訪問外網(wǎng)主機(jī) 流量走向的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！