Solución de problemas de firewall basado en zonas

Introducción

Este documento contiene información de troubleshooting para el firewall basado en zonas.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Uso de VPN con firewall de políticas basadas en zonas

• Guía de Aplicación y Diseño de Zone-Based Policy Firewall

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

No se puede pasar el tráfico VPN

Problema

El problema es que el tráfico VPN no puede atravesar el firewall basado en la zona.

Solución

Permita que el tráfico del cliente VPN sea inspeccionado por el firewall Cisco IOS^® basado en zona.

Por ejemplo, a continuación se indican las líneas que se deben agregar a la configuración del router:

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255
 
class-map type inspect match-all sdm-cls-VPNOutsideToInside-1
  match access-group 103
 
policy-map type inspect sdm-inspect-all
  class type inspect sdm-cls-VPNOutsideToInside-1
   inspect
 
zone-pair security sdm-zp-out-in source out-zone destination in-zone
  service-policy type inspect sdm-inspect-all

No se puede pasar GRE/PPTP

Problema

El problema es que el tráfico GRE/PPTP no puede pasar a través del firewall basado en zonas.

Solución

Permita que el firewall Cisco IOS basado en zona inspeccione el tráfico del cliente VPN.

Por ejemplo, a continuación se indican las líneas que se deben agregar a la configuración del router:

agw-7206>enable

gw-7206#conf t
gw-7206(config)#policy-map type inspect outside-to-inside
gw-7206(config-pmap)#no class type inspect outside-to-inside
gw-7206(config-pmap)#no class class-default
gw-7206(config-pmap)#class type inspect outside-to-inside
gw-7206(config-pmap-c)#inspect
%No specific protocol configured in class outside-to-inside for inspection.
All protocols will be inspected
gw-7206(config-pmap-c)#class class-default
gw-7206(config-pmap-c)#drop
gw-7206(config-pmap-c)#exit
gw-7206(config-pmap)#exit

Verifique la configuración

gw-7206#show run policy-map outside-to-inside
policy-map type inspect outside-to-inside
 class type inspect PPTP-Pass-Through-Traffic
  pass
 class type inspect outside-to-inside
  inspect
 class class-default
  drop

Alcance de red

Problema

Después de aplicar la política para el firewall basado en zonas en el router Cisco IOS, las redes no son alcanzables.

Solución

Este problema podría ser el ruteo asimétrico. El firewall del IOS de Cisco no funciona en entornos con ruteo asimétrico. No se garantiza que los paquetes regresen a través del mismo router.

El firewall de Cisco IOS realiza un seguimiento del estado de las sesiones TCP/UDP. Un paquete debe salir y regresar del mismo router para realizar un mantenimiento preciso de la información de estado.

No se puede pasar el tráfico DHCP a través de un firewall basado en zonas

Problema

No puede pasar el tráfico DHCP a través de un firewall basado en zonas.

Solución

Inhabilite la inspección de tráfico de zona automática para resolver este problema.

Información Relacionada

• Soporte Técnico y Documentación - Cisco Systems
• AnyConnect en IOS con firewall basado en zonas (ZBFW)