Este documento describe cómo configurar la característica de puente del estado TCP, que permite que el saliente y el tráfico entrante atraviesen el Dispositivos de seguridad adaptable Cisco ASA de la serie 5500 separado (ASA).
Cisco ASA debe tener por lo menos la licencia baja instalada antes de que usted pueda proceder con la configuración que se describe en este documento.
La información en este documento se basa en las 5500 Series de Cisco ASA que funciona con la versión de software 9.x.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.
Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.
Esta sección proporciona una descripción de la característica de puente del estado TCP y de la información de servicio técnico relacionada.
Por abandono, todo el tráfico que pasa con el ASA se examina vía el algoritmo de seguridad adaptable y se permite a través o se cae basado en la política de seguridad. Para maximizar el funcionamiento del Firewall, el ASA marca el estado de cada paquete (por ejemplo, marca si es una nueva conexión o una conexión establecida) y le asigna a cualquier la trayectoria de la administración de la sesión (una nueva conexión sincroniza el paquete (SYN)), el trayecto rápido (una conexión establecida), o la trayectoria del avión del control (examen avanzado).
Los paquetes TCP que hacen juego las conexiones actuales en el trayecto rápido pueden pasar con el ASA sin una reinspección de cada aspecto de la política de seguridad. Esta característica maximiza el funcionamiento. Sin embargo, el método que se utiliza para establecer la sesión en el trayecto rápido (que utiliza el paquete SYN) y los controles que ocurren en el trayecto rápido (tal como el número de secuencia TCP) puede colocarse de la manera de soluciones asimétricas de la encaminamiento; los flujos salientes y entrantes de una conexión deben pasar con el mismo ASA.
Por ejemplo, una nueva conexión va a ASA 1. El paquete SYN pasa a través de la trayectoria de la administración de la sesión, y una entrada para la conexión se agrega a la tabla del trayecto rápido. Si los paquetes subsiguientes en esta conexión pasan con ASA 1, los paquetes hacen juego la entrada en el trayecto rápido y se pasan a través. Si los paquetes subsiguientes van a ASA 2, donde no había un paquete SYN que pasó a través de la trayectoria de la administración de la sesión, después no hay entrada en el trayecto rápido para la conexión, y se caen los paquetes.
Si usted tiene Asymmetric Routing configurado en los routeres ascendentes, y el tráfico alterna entre dos ASA, después usted puede configurar la característica de puente del estado TCP para el tráfico específico. La característica de puente del estado TCP altera la manera que las sesiones están establecidas en el trayecto rápido y inhabilita los controles del trayecto rápido. Esta característica trata tráfico TCP mucho mientras que trata una conexión UDP: cuando un paquete NON-SYN que corresponde con las redes específicadas ingresa el ASA, y allí no es ninguna entrada del trayecto rápido, después el paquete pasa a través de la trayectoria de la administración de la sesión para establecer la conexión en el trayecto rápido. Una vez en el trayecto rápido, el tráfico desvía los controles del trayecto rápido.
Esta imagen proporciona un ejemplo del Asymmetric Routing, adonde el tráfico saliente pasa con un diverso ASA que el tráfico entrante:
Esta sección describe la información de servicio técnico para la característica de puente del estado TCP.
Estas características no se soportan cuando usted utiliza la característica de puente del estado TCP:
Esta sección describe cómo configurar la característica de puente del estado TCP en las 5500 Series ASA en dos diversos escenarios.
Ésta es la topología que se utiliza para el primer escenario:
Complete estos pasos para configurar la característica de puente del estado TCP:
ASA(config)#class-map tcp_bypass
ASA(config)#class-map tcp_bypass
ASA(config-cmap)#match access-list tcp_bypass
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
ASA(config-pmap-c)#set connection advanced-options tcp-state-bypass
ASA(config-pmap-c)#service-policy tcp_bypass_policy outside
Aquí está un ejemplo de configuración para la característica de puente del estado TCP en ASA1:
!--- Configure the access list to specify the TCP traffic
!--- that needs to by-pass inspection to improve the performance.
ASA1(config)#access-list tcp_bypass extended permit tcp 10.1.1.0 255.255.255.0
172.16.1.0 255.255.255.0
!--- Configure the class map and specify the match parameter for the
!--- class map to match the interesting traffic.
ASA1(config)#class-map tcp_bypass
ASA1(config-cmap)#description "TCP traffic that bypasses stateful firewall"
ASA1(config-cmap)#match access-list tcp_bypass
!--- Configure the policy map and specify the class map
!--- inside this policy map for the class map.
ASA1(config-cmap)#policy-map tcp_bypass_policy
ASA1(config-pmap)#class tcp_bypass
!--- Use the set connection advanced-options tcp-state-bypass
!--- command in order to enable TCP state bypass feature.
ASA1(config-pmap-c)#set connection advanced-options tcp-state-bypass
!--- Use the service-policy policymap_name [ global | interface intf ]
!--- command in global configuration mode in order to activate a policy map
!--- globally on all interfaces or on a targeted interface.
ASA1(config-pmap-c)#service-policy tcp_bypass_policy outside
!--- NAT configuration
ASA1(config)#object network obj-10.1.1.0
ASA1(config-network-object)#subnet 10.1.1.0 255.255.255.0
ASA1(config-network-object)#nat(inside,outside) static 192.168.1.0
Aquí está un ejemplo de configuración para la característica de puente del estado TCP en ASA2:
!--- Configure the access list to specify the TCP traffic
!--- that needs to by-pass inspection to improve the performance.
ASA2(config)#access-list tcp_bypass extended permit tcp 172.16.1.0 255.255.255.0
10.1.1.0 255.255.255.0
!--- Configure the class map and specify the match parameter for the
!--- class map to match the interesting traffic.
ASA2(config)#class-map tcp_bypass
ASA2(config-cmap)#description "TCP traffic that bypasses stateful firewall"
ASA2(config-cmap)#match access-list tcp_bypass
!--- Configure the policy map and specify the class map
!--- inside this policy map for the class map.
ASA2(config-cmap)#policy-map tcp_bypass_policy
ASA2(config-pmap)#class tcp_bypass
!--- Use the set connection advanced-options tcp-state-bypass
!--- command in order to enable TCP state bypass feature.
ASA2(config-pmap-c)#set connection advanced-options tcp-state-bypass
!--- Use the service-policy policymap_name [ global | interface intf ]
!--- command in global configuration mode in order to activate a policy map
!--- globally on all interfaces or on a targeted interface.
ASA2(config-pmap-c)#service-policy tcp_bypass_policy outside
!--- NAT configuration
ASA2(config)#object network obj-10.1.1.0
ASA2(config-network-object)#subnet 10.1.1.0 255.255.255.0
ASA1(config-network-object)#nat(inside,outside) static 192.168.1.0
Esta sección describe cómo configurar la característica de puente del estado TCP en el ASA para los escenarios que utilizan el Asymmetric Routing, donde el tráfico ingresa y sale del ASA de la misma interfaz (u-torneado).
Aquí está la topología que se utiliza en este escenario:
Complete estos pasos para configurar la característica de puente del estado TCP:
ASA(config)#access-list tcp_bypass extended permit tcp 192.168.2.0 255.255.255.0
192.168.1.0 255.255.255.0
ASA(config)#class-map tcp_bypass
ASA(config)#class-map tcp_bypass
ASA(config-cmap)#match access-list tcp_bypass
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
ASA(config-pmap-c)#set connection advanced-options tcp-state-bypass
ASA(config-pmap-c)#service-policy tcp_bypass_policy inside
ASA(config)#same-security-traffic permit intra-interface
Aquí está un ejemplo de configuración para la característica de puente del estado TCP en el ASA:
!--- Configure the access list to specify the TCP traffic
!--- that needs to bypass inspection to improve the performance.
ASA(config)#access-list tcp_bypass extended permit tcp 192.168.2.0 255.255.255.0
192.168.1.0 255.255.255.0
!--- Configure the class map and specify the match parameter for the
!--- class map to match the interesting traffic.
ASA(config)#class-map tcp_bypass
ASA(config-cmap)#description "TCP traffic that bypasses stateful firewall"
ASA(config-cmap)#match access-list tcp_bypass
!--- Configure the policy map and specify the class map
!--- inside this policy map for the class map.
ASA(config-cmap)#policy-map tcp_bypass_policy
ASA(config-pmap)#class tcp_bypass
!--- Use the set connection advanced-options tcp-state-bypass
!--- command in order to enable TCP state bypass feature.
ASA(config-pmap-c)#set connection advanced-options tcp-state-bypass
!--- Use the service-policy policymap_name [ global | interface intf ]
!--- command in global configuration mode in order to activate a policy map
!--- globally on all interfaces or on a targeted interface.
ASA(config-pmap-c)#service-policy tcp_bypass_policy inside
!--- Permit same security level traffic on the ASA to support U-turning
ASA(config)#same-security-traffic permit intra-interface
Ingrese el comando show conn para ver el número de TCP activo y de conexiones UDP y la información sobre las conexiones de los diversos tipos. Para visualizar al estado de la conexión para el Tipo de conexión señalado, ingrese el comando show conn en el modo EXEC privilegiado.
A continuación se presenta un ejemplo de salida:
ASA(config)show conn
1 in use, 3 most used
TCP tcp 10.1.1.1:49525 tcp 172.16.1.1:21, idle 0:01:10, bytes 230, flags b
No hay información de Troubleshooting específica para esta característica. Refiera a estos documentos para la información de Troubleshooting general de la Conectividad:
El ASA visualiza este mensaje de error incluso después se habilita la característica de puente del estado TCP:
%PIX|ASA-4-313004:Denied ICMP type=icmp_type, from source_address oninterface
interface_name to dest_address:no matching session
Los paquetes del Internet Control Message Protocol (ICMP) son caídos por el ASA debido a las revisiones de seguridad que son agregadas por la característica stateful ICMP. Éstos son generalmente respuestas de eco ICMP sin un pedido de eco válido pasajero ya a través del ASA, o los mensajes de error ICMP que no se relacionan con ninguna sesión TCP, UDP, o ICMP establecida actualmente en el ASA.
El ASA visualiza este registro incluso si se habilita la característica de puente del estado TCP porque la incapacidad de estas funciones (es decir, marca de las entradas de la vuelta ICMP para el tipo 3 en la tabla de conexiones) no es posible. Sin embargo, la característica de puente del estado TCP trabaja correctamente.
Ingrese este comando para prevenir el aspecto de estos mensajes:
hostname(config)#no logging message 313004