Fehlerbehebung bei Cisco IOS Firewall-Konfigurationen

Einleitung

Dieses Dokument enthält Informationen, die Sie zur Fehlerbehebung bei Cisco IOS® Firewall-Konfigurationen verwenden können.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Fehlerbehebung

Hinweis: Lesen Sie den Artikel Wichtige Informationen zu Debug-Befehlen, bevor Sie Debug-Befehle verwenden.

• Um eine Zugriffsliste umzukehren (zu entfernen), setzen Sie im Schnittstellenkonfigurationsmodus ein "Nein" vor den Befehl access-group:

  int 
          
          
            no ip access-group # in|out 
          
  

• Wenn zu viel Datenverkehr abgelehnt wird, studieren Sie die Logik Ihrer Liste, oder versuchen Sie, eine weitere umfassendere Liste zu definieren, und wenden Sie sie dann an. Beispiele:

  access-list # permit tcp any any
  access-list # permit udp any any
  access-list # permit icmp any any
  int 
          
          
            ip access-group # in|out 
          
  

• Der Befehl show ip access-lists zeigt an, welche Zugriffslisten angewendet werden und welcher Datenverkehr von ihnen abgelehnt wird. Wenn Sie sich die Anzahl der Pakete ansehen, die vor und nach dem fehlgeschlagenen Vorgang mit der Quell- und Ziel-IP-Adresse abgelehnt wurden, erhöht sich diese Zahl, wenn die Zugriffsliste den Datenverkehr blockiert.

• Wenn der Router nicht stark ausgelastet ist, kann das Debuggen auf Paketebene in der erweiterten Zugriffsliste oder der IP-Inspektionsliste erfolgen. Wenn der Router stark ausgelastet ist, wird der Datenverkehr durch den Router verlangsamt. Verwenden Sie Diskretion mit Debugging-Befehlen.

  Fügen Sie vorübergehend den Befehl no ip route-cache zur Schnittstelle hinzu:

  int 
          
          
            no ip route-cache 
          
  

  Anschließend muss im privilegierten Modus (jedoch nicht im konfigurierten Modus) Folgendes ausgeführt werden:

  term mon
  debug ip packet # det
  

  erzeugt eine ähnliche Ausgabe:

  *Mar 1 04:38:28.078: IP: s=10.31.1.161 (Serial0), d=171.68.118.100 (Ethernet0), 
     g=10.31.1.21, len 100, forward
  *Mar 1 04:38:28.086: IP: s=171.68.118.100 (Ethernet0), d=9.9.9.9 (Serial0), g=9.9.9.9, 
     len 100, forward

• Erweiterte Zugriffslisten können auch mit der Option "log" am Ende der verschiedenen Anweisungen verwendet werden:

  access-list 101 deny ip host 171.68.118.100 host 10.31.1.161 log
  access-list 101 permit ip any any
  

  Auf dem Bildschirm werden daher Meldungen für zulässigen und abgelehnten Datenverkehr angezeigt:

  *Mar 1 04:44:19.446: %SEC-6-IPACCESSLOGDP: list 111 permitted icmp 171.68.118.100 
     -> 10.31.1.161 (0/0), 15 packets
  *Mar  1 03:27:13.295: %SEC-6-IPACCESSLOGP: list 118 denied tcp 171.68.118.100(0) 
     -> 10.31.1.161(0), 1 packet

• Wenn die IP inspect-Liste fehlerhaft ist, wird mit dem Befehl debug ip inspect <type_of_traffic> eine Ausgabe wie die folgende ausgegeben:

  Feb 14 12:41:17 10.31.1.52 56: 3d05h: CBAC* sis 258488 pak 16D0DC TCP P ack 3195751223 
     seq 3659219376(2) (10.31.1.5:11109) => (12.34.56.79:23)
  Feb 14 12:41:17 10.31.1.52 57: 3d05h: CBAC* sis 258488 pak 17CE30 TCP P ack 3659219378 
     seq 3195751223(12) (10.31.1.5:11109) <= (12.34.56.79:23)

Weitere Informationen zu diesen Befehlen und zur Fehlerbehebung finden Sie unter Troubleshooting Authentication Proxy.

Zugehörige Informationen

• Cisco IOS Firewall-Produktsupport
• Technischer Support und Dokumentation für Cisco Systeme