Zonenbasierte Firewall-Fehlerbehebung

Einleitung

Dieses Dokument enthält Informationen zur Fehlerbehebung für zonenbasierte Firewalls.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Verwendung von VPN mit zonenbasierter Richtlinien-Firewall

• Firewall-Design- und Anwendungsleitfaden für zonenbasierte Richtlinien

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

VPN-Datenverkehr kann nicht weitergeleitet werden

Problem

Das Problem ist, dass der VPN-Datenverkehr nicht über die zonenbasierte Firewall geleitet werden kann.

Lösung

Lassen Sie zu, dass der VPN-Client-Datenverkehr von der zonenbasierten Cisco IOS®^-Firewall geprüft wird.

Hier sind beispielsweise die Zeilen, die zur Konfiguration des Routers hinzugefügt werden müssen:

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255
 
class-map type inspect match-all sdm-cls-VPNOutsideToInside-1
  match access-group 103
 
policy-map type inspect sdm-inspect-all
  class type inspect sdm-cls-VPNOutsideToInside-1
   inspect
 
zone-pair security sdm-zp-out-in source out-zone destination in-zone
  service-policy type inspect sdm-inspect-all

GRE/PPTP konnte nicht übergeben werden.

Problem

Das Problem besteht darin, dass GRE/PPTP-Datenverkehr die zonenbasierte Firewall nicht passieren kann.

Lösung

Lassen Sie zu, dass der VPN-Client-Datenverkehr von der zonenbasierten Cisco IOS-Firewall überprüft wird.

Beispiel: Hier sind die Zeilen, die zur Konfiguration des Routers hinzugefügt werden müssen:

agw-7206>enable

gw-7206#conf t
gw-7206(config)#policy-map type inspect outside-to-inside
gw-7206(config-pmap)#no class type inspect outside-to-inside
gw-7206(config-pmap)#no class class-default
gw-7206(config-pmap)#class type inspect outside-to-inside
gw-7206(config-pmap-c)#inspect
%No specific protocol configured in class outside-to-inside for inspection.
All protocols will be inspected
gw-7206(config-pmap-c)#class class-default
gw-7206(config-pmap-c)#drop
gw-7206(config-pmap-c)#exit
gw-7206(config-pmap)#exit

Überprüfen Sie die Konfiguration:

gw-7206#show run policy-map outside-to-inside
policy-map type inspect outside-to-inside
 class type inspect PPTP-Pass-Through-Traffic
  pass
 class type inspect outside-to-inside
  inspect
 class class-default
  drop

Erreichbarkeit des Netzwerks

Problem

Nachdem die Richtlinie für zonenbasierte Firewalls auf den Cisco IOS-Router angewendet wurde, sind die Netzwerke nicht erreichbar.

Lösung

Dieses Problem kann beim asymmetrischen Routing auftreten. Die Cisco IOS Firewall funktioniert nicht in Umgebungen mit asymmetrischem Routing. Die Rückgabe von Paketen über denselben Router ist nicht garantiert.

Die Cisco IOS-Firewall verfolgt den Status von TCP-/UDP-Sitzungen. Ein Paket muss vom gleichen Router gesendet und empfangen werden, um Statusinformationen exakt zu verwalten.

DHCP-Verkehr kann nicht über eine zonenbasierte Firewall geleitet werden

Problem

Der DHCP-Datenverkehr kann nicht über eine zonenbasierte Firewall geleitet werden.

Lösung

Deaktivieren Sie die Überprüfung des Datenverkehrs in der Kernzone, um dieses Problem zu beheben.

Zugehörige Informationen

• Technischer Support und Dokumentation für Cisco Systeme
• AnyConnect auf IOS mit zonenbasierter Firewall (ZBFW)