排除ASDM上的ASA连接问题
简介
本文档介绍检查访问/配置带Cisco ASDM的Cisco ASA时遇到的问题所需的故障排除方法。
先决条件
要求
本文档中列出的场景、症状和步骤用于在自适应安全设备(ASA)上设置初始配置后进行故障排除。有关初始配置，请参阅Cisco ASA系列通用操作自适应安全设备管理器(ASDM)配置指南7.1的为设备配置ASDM访问部分。
本文档使用ASA CLI进行故障排除，需要通过Secure Shell(SSH)/Telnet/控制台访问ASA。
使用的组件
本文档中的信息基于ASA和ASDM。
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。
背景信息
ASDM通过图形管理界面为安全设备提供安全管理和监控服务。
故障排除方法
本故障排除文档重点介绍三个主要故障点。如果遵循此顺序的一般故障排除流程，本文档可帮助您确定ASDM使用/访问的准确问题。
- ASA 配置
- 网络连接
- 应用软件
ASA 配置
ASA上存在三个成功访问ASDM所需的基本配置：
- 闪存中的ASDM映像
- 正在使用的ASDM映像
- HTTP服务器限制
闪存中的ASDM映像
确保所需的ASDM版本已上传到闪存。它可以与当前运行的ASDM版本一起上传，也可以使用其它常规文件传输方法上传到ASA，例如TFTP。
在ASA CLI上输入show flash，以帮助您列出ASA闪存上存在的文件。检查ASDM文件是否存在：
ciscoasa# show flash --#-- --length-- -----date/time------ path 249 76267 Feb 28 2013 19:58:18 startup-config.cfg 250 4096 May 12 2013 20:26:12 sdesktop 251 15243264 May 08 2013 21:59:10 asa823-k8.bin 252 25196544 Mar 11 2013 22:43:40 asa845-k8.bin 253 17738924 Mar 28 2013 00:12:12 asdm-702.bin ---- ASDM Image
为进一步验证闪存上的映像是否有效且未损坏，您可以使用verify命令比较软件包中存储的MD5散列和实际文件的MD5散列：
ciscoasa# verify flash:/asdm-702.bin
Verifying file integrity of disk0:/asdm-702.bin
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Done!
Embedded Hash MD5: e441a5723505b8753624243c03a40980
Computed Hash MD5: e441a5723505b8753624243c03a40980
CCO Hash MD5: c305760ec1b7f19d910c4ea5fa7d1cf1
Signature Verified
Verified disk0:/asdm-702.bin
此步骤可帮助您验证映像是否存在，以及映像在ASA上的完整性。
正在使用的ASDM映像
此过程在ASA上的ASDM配置下定义。使用的当前映像的示例配置定义如下所示：
asdm image disk0:/asdm-702.bin
为了进一步验证，您还可以使用show asdm image命令：
ciscoasa# show asdm image
Device Manager image file, disk0:/asdm-702.bin
HTTP服务器限制
此步骤在ASDM配置中至关重要，因为它定义了哪些网络可以访问ASA。示例配置如下所示：
http server enable
http 192.168.1.0 255.255.255.0 inside
http 10.0.0.1 255.0.0.0 outside
验证您是否有在前面的配置中定义的必要网络。缺少这些定义会导致ASDM启动程序在连接时超时，并产生以下错误：
ASDM启动页面(https://<ASA IP地址>/admin)导致请求超时，且不会显示任何页面。
进一步验证HTTP服务器使用非标准端口进行ASDM连接，例如8443。配置中会突出显示以下内容：
ciscoasa(config)# show run http
http server enable 8443
如果它使用非标准端口，则需要在连接到ASDM启动程序中的ASA时将端口指定为：
当您访问ASDM启动页面时，这也适用：https://10.106.36.132:8443/admin
其他可能的配置问题
完成上述步骤后，如果客户端一切正常，则ASDM可以打开。但是，如果仍然遇到问题，请从另一台计算机打开ASDM。如果成功，则问题可能出在应用级别，并且ASA配置正常。但是，如果仍然无法启动，请完成以下步骤以进一步验证ASA端配置：
- 验证ASA上的安全套接字层(SSL)配置。ASDM在与ASA通信时使用SSL。根据ASDM的启动方式，较新的操作系统软件在协商SSL会话时不允许使用较弱的密码。 使用show run all ssl命令验证在ASA上允许哪些密码，以及配置中是否指定了任何特定SSL版本：
ciscoasa# show run all ssl
如果ASDM启动时存在任何SSL密码协商错误，它们将显示在ASA日志中：
ssl server-version any <--- Check SSL Version restriction configured on the ASA
ssl client-version any
ssl encryption rc4-sha1 aes128-sha1 aes256-sha1 3des-sha1 <--- Check SSL ciphers
permitted on the ASA
%ASA-7-725014: SSL lib error. Function: SSL3_GET_CLIENT_HELLO Reason:
如果看到特定设置，请将其恢复为默认值。 请注意，需要在ASA上启用VPN-3DES-AES许可证，以便ASA在配置中使用3DES和AES密码。这可以通过CLI上的show version命令进行验证。输出显示如下：
no shared cipher
%ASA-6-302014: Teardown TCP connection 3 for mgmt:10.103.236.189/52501 to
identity:10.106.36.132/443 duration 0:00:00 bytes 7 TCP Reset by appliance
ciscoasa#show version
VPN-3DES-AES许可证可以从思科许可网站免费获取。点击安全产品，然后选择Cisco ASA 3DES/AES许可证。
Hardware: ASA5510, 256 MB RAM, CPU Pentium 4 Celeron 1600 MHz
Internal ATA Compact Flash, 64MB
Slot 1: ATA Compact Flash, 32MB
BIOS Flash M50FW080 @ 0xffe00000, 1024KB
<snip>
Failover : Active/Active
VPN-DES : Enabled
VPN-3DES-AES : Enabled
<snip>
- 验证ASA上是否已启用WebVPN。如果已启用，则需使用此URL(https://10.106.36.132/admin)才能在访问ASDM Web启动页面时访问它。
- 在ASA上检查端口443的网络地址转换(NAT)配置。这会导致ASA不处理ASDM请求，而是将其发送到已为其配置NAT的网络/接口。
- 如果所有内容都已验证并且ASDM仍然超时，请通过ASA CLI上的show asp table socket命令验证ASA是否设置为侦听为ASDM定义的端口。输出可以显示ASA在ASDM端口上侦听：
Protocol Socket Local Address Foreign Address State
如果此输出未显示，请删除并重新应用ASA上的HTTP服务器配置，以便重置ASA软件上的套接字。
SSL 0001b91f 10.106.36.132:443 0.0.0.0:* LISTEN - 如果在登录/验证ASDM时遇到问题，请验证HTTP的身份验证选项是否设置正确。如果未设置身份验证命令，您可以使用ASA启用密码登录到ASDM。如果要启用基于用户名/密码的身份验证，需要输入此配置以从ASA的用户名/密码数据库对ASA的ASDM/HTTP会话进行身份验证：
aaa authentication http console LOCAL
请记住，在启用上一个命令时，应创建用户名/密码：
username <username> password <password> priv <Priv level>
如果上述步骤均无帮助，则在ASA上可以使用以下调试选项进行进一步调查：
debug http 255
debug asdm history 255
网络连接
如果您已完成上一部分但仍无法访问ASDM，则下一步是验证从要访问ASDM的计算机到ASA的网络连接。要验证ASA是否收到来自客户端计算机的请求，需要执行一些基本的故障排除步骤：
- 使用互联网控制消息协议(ICMP)进行测试。
对要从中访问ASDM的ASA接口执行ping操作。如果允许ICMP通过您的网络，并且ASA接口级别没有限制，则ping操作可以成功。如果ping失败，可能是因为在ASA和客户端计算机之间存在通信问题。但是，这还不是确定是否存在此类通信问题的决定性步骤。 - 确认数据包捕获。
在要访问ASDM的接口上放置数据包捕获。捕获可显示目的地为接口IP地址的TCP数据包到达目的端口号443（默认）。
要配置捕获，请使用以下命令：
capture asdm_test interface
match tcp host
eq 443 host
For example, cap asdm_test interface mgmt match tcp host 10.106.36.132
eq 443 host 10.106.36.13
这会捕获从连接到ASDM的ASA接口上的端口443的所有TCP流量。此时通过ASDM连接或打开ASDM Web启动页面。然后使用show capture asdm_test命令查看捕获的数据包的结果：
ciscoasa# show capture asdm_test
Three packets captured
1: 21:38:11.658855 10.106.36.13.54604 > 10.106.36.132.443:
S 807913260:807913260(0) win 8192 <mss 1260,nop,wscale 2,nop,nop,sackOK>
2: 21:38:14.659252 10.106.36.13.54604 > 10.106.36.132.443:
S 807913260:807913260(0) win 8192 <mss 1260,nop,wscale 2,nop,nop,sackOK>
3: 21:38:20.662166 10.106.36.13.54604 > 10.106.36.132.443:
S 807913260:807913260(0) win 8192 <mss 1260,nop,nop,sackOK>
此捕获显示从客户端计算机到ASA的同步(SYN)请求，但ASA不发送任何响应。如果您看到类似于前一捕获的捕获，则意味着数据包到达ASA，但ASA不响应这些请求，从而隔离问题到ASA自身。请参阅本文档的第一部分以进一步排除故障。
但是，如果您没有看到与前面类似的输出，并且没有捕获任何数据包，这意味着ASA和ASDM客户端计算机之间存在连接问题。确认没有可以阻止TCP端口443流量的中间设备，并且没有可能阻止流量到达ASA的浏览器设置（如代理设置）。
通常，数据包捕获是确定通往ASA的路径是否清晰，以及是否无需进一步诊断以排除网络连接问题的好方法。
应用软件
本节介绍如何排除在客户端计算机上安装的ASDM启动程序软件无法启动/加载时的故障。ASDM启动程序是驻留在客户端计算机上并连接到ASA以检索ASDM映像的组件。检索后，ASDM映像通常存储在缓存中，并从缓存中获取，直到ASA端发现任何更改（例如ASDM映像更新）。
完成以下基本故障排除步骤以排除客户端计算机上的任何问题：
- 从其他计算机打开ASDM启动页面。如果启动，则意味着问题出在客户端计算机上。如果它发生故障，请使用故障排除指南从头开始按顺序隔离相关组件。
- 通过Web启动打开ASDM，并从那里直接启动软件。如果成功，则很可能存在ASDM启动程序安装问题。从客户端计算机上卸载ASDM启动程序，然后从ASA Web启动本身重新安装它。
- 在用户主目录中清除ASDM的缓存目录。删除整个缓存目录时清除缓存。如果ASDM成功启动，您也可以从ASDM File（ASDM文件）菜单中清除缓存。
- 验证已安装正确的Java版本。Cisco ASDM发行说明列出了已测试Java版本的要求。
- 清除 Java 缓存.在Java Control Panel中，选择General > Temporary Internet File。然后，单击View以启动Java Cache Viewer。删除引用或与ASDM相关的所有条目。
- 如果这些步骤失败，请从客户端收集调试信息以作进一步调查。使用URL为ASDM启用调试：https://<ASA的IP地址>?debug=5，例如https://10.0.0.1?debug=5。
使用Java版本6（也称为1.6版），可从Java Control Panel > Advanced启用Java调试消息。然后选择调试下的复选框。请勿在Java控制台下选择不启动控制台。在ASDM启动之前，必须启用Java调试。
Java控制台输出记录在用户主目录的.asdm/log目录中。ASDM日志也可以在同一目录中找到。
使用HTTPS运行命令
此过程有助于确定HTTP通道的任何第7层问题。当ASDM应用本身不可访问，并且没有任何可用于管理设备的CLI访问时，此信息非常有用。
用于访问ASDM Web启动页面的URL也可用于在ASA上运行任何配置级别命令。此URL可用于对ASA进行基本级别的配置更改，包括远程设备重新加载。要输入命令，请使用以下语法：
https://<ASA的IP地址>/admin/exec/<command>
如果命令中有空格，并且浏览器无法分析URL中的空格字符，则可以使用+或%20来指示空格。
例如，https://10.106.36.137/admin/exec/show ver会生成到浏览器的show version输出：
此命令执行方法要求在ASA上启用HTTP服务器，并且激活必要的HTTP限制。但是，这不需要在ASA上存在ASDM映像。
相关信息
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
2.0 |
02-Aug-2023 |
已删除PII。
添加了Alt文本。
更新的元数据、标题、简介、法律免责声明、机器翻译、样式要求和格式。 |
1.0 |
19-Jul-2013 |
初始版本 |
反馈