Dépannage du pare-feu basé sur zone

Introduction

Ce document contient des informations de dépannage pour le pare-feu de zone.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Utilisation du VPN avec le pare-feu de stratégie basé sur les zones

• Guide de conception et d'application du pare-feu de stratégie basé sur la zone

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Impossible de transmettre le trafic VPN

Problème

Le problème est que le trafic VPN ne peut pas traverser le pare-feu de zone.

Solution

Autorisez l'inspection du trafic du client VPN par le pare-feu Cisco IOS^® basé sur les zones.

Par exemple, voici les lignes à ajouter à la configuration du routeur :

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255
 
class-map type inspect match-all sdm-cls-VPNOutsideToInside-1
  match access-group 103
 
policy-map type inspect sdm-inspect-all
  class type inspect sdm-cls-VPNOutsideToInside-1
   inspect
 
zone-pair security sdm-zp-out-in source out-zone destination in-zone
  service-policy type inspect sdm-inspect-all

Impossible de passer GRE/PPTP

Problème

Le problème est que le trafic GRE/PPTP ne peut pas traverser le pare-feu de zone.

Solution

Autorisez l'inspection du trafic client VPN par le pare-feu Cisco IOS basé sur les zones.

Par exemple, voici les lignes à ajouter à la configuration du routeur :

agw-7206>enable

gw-7206#conf t
gw-7206(config)#policy-map type inspect outside-to-inside
gw-7206(config-pmap)#no class type inspect outside-to-inside
gw-7206(config-pmap)#no class class-default
gw-7206(config-pmap)#class type inspect outside-to-inside
gw-7206(config-pmap-c)#inspect
%No specific protocol configured in class outside-to-inside for inspection.
All protocols will be inspected
gw-7206(config-pmap-c)#class class-default
gw-7206(config-pmap-c)#drop
gw-7206(config-pmap-c)#exit
gw-7206(config-pmap)#exit

Vérifiez la configuration :

gw-7206#show run policy-map outside-to-inside
policy-map type inspect outside-to-inside
 class type inspect PPTP-Pass-Through-Traffic
  pass
 class type inspect outside-to-inside
  inspect
 class class-default
  drop

Accessibilité du réseau

Problème

Une fois que la stratégie de pare-feu basé sur les zones est appliquée dans le routeur Cisco IOS, les réseaux ne sont pas accessibles.

Solution

Ce problème peut provenir du routage asymétrique. Le pare-feu Cisco IOS ne fonctionne pas dans les environnements avec routage asymétrique. Les paquets ne sont pas garantis de revenir via le même routeur.

Le pare-feu Cisco IOS suit l’état des sessions TCP/UDP. Un paquet doit partir et revenir du même routeur pour assurer une maintenance précise des informations d’état.

Impossible de faire passer le trafic DHCP via un pare-feu basé sur les zones

Problème

Vous ne pouvez pas faire passer le trafic DHCP à travers un pare-feu basé sur les zones.

Solution

Désactivez l'inspection du trafic de zone autonome afin de résoudre ce problème.

Informations connexes

• Assistance et documentation techniques - Cisco Systems
• AnyConnect sur IOS avec ZBFW (Zone-Based Firewall)