Dépannage des configurations de Cisco IOS Firewall

Introduction

Ce document fournit des informations que vous pouvez utiliser afin de dépanner des configurations de pare-feu Cisco IOS®.

Conditions préalables

Exigences

Aucune exigence spécifique n'est associée à ce document.

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

Conventions

Pour plus d’informations sur les conventions utilisées dans ce document, reportez-vous aux Conventions relatives aux conseils techniques Cisco.

Dépannage

Remarque : Consultez les renseignements importants sur les commandes de débogage avant d’entrer des commandes de débogage.

• Afin d'inverser (supprimer) une liste d'accès, placez un « no » devant la commande access-group en mode de configuration d'interface :

  int 
          
          
            no ip access-group # in|out 
          
  

• Si trop de trafic est refusé, étudiez la logique de votre liste ou essayez de définir une liste plus large, puis appliquez-la à la place. Exemple :

  access-list # permit tcp any any
  access-list # permit udp any any
  access-list # permit icmp any any
  int 
          
          
            ip access-group # in|out 
          
  

• La commande show ip access-lists montre quelles listes d'accès sont appliquées et quel trafic est refusé par elles. Si vous examinez le nombre de paquets refusés avant et après l'échec de l'opération avec les adresses IP source et de destination, ce nombre augmente si la liste de contrôle d'accès bloque le trafic.

• Si le routeur n'est pas chargé, le débogage peut être effectué au niveau paquet sur la liste de contrôle d'accès étendue ou ip inspect. Si le routeur est fortement chargé, le trafic est ralenti par le routeur. Faites preuve de discrétion avec les commandes de débogage.

  Ajoutez temporairement la commande no ip route-cache à l'interface :

  int 
          
          
            no ip route-cache 
          
  

  Ensuite, en mode enable (mais pas config) :

  term mon
  debug ip packet # det
  

  produit un résultat similaire à celui-ci :

  *Mar 1 04:38:28.078: IP: s=10.31.1.161 (Serial0), d=171.68.118.100 (Ethernet0), 
     g=10.31.1.21, len 100, forward
  *Mar 1 04:38:28.086: IP: s=171.68.118.100 (Ethernet0), d=9.9.9.9 (Serial0), g=9.9.9.9, 
     len 100, forward

• Les listes de contrôle d’accès étendues peuvent également être utilisées avec l’option « log » à la fin des différentes instructions :

  access-list 101 deny ip host 171.68.118.100 host 10.31.1.161 log
  access-list 101 permit ip any any
  

  Vous voyez donc des messages à l'écran pour le trafic autorisé et refusé :

  *Mar 1 04:44:19.446: %SEC-6-IPACCESSLOGDP: list 111 permitted icmp 171.68.118.100 
     -> 10.31.1.161 (0/0), 15 packets
  *Mar  1 03:27:13.295: %SEC-6-IPACCESSLOGP: list 118 denied tcp 171.68.118.100(0) 
     -> 10.31.1.161(0), 1 packet

• Si la liste ip inspect est suspecte, la commande debug ip inspect <type_of_traffic> produit une sortie telle que celle-ci :

  Feb 14 12:41:17 10.31.1.52 56: 3d05h: CBAC* sis 258488 pak 16D0DC TCP P ack 3195751223 
     seq 3659219376(2) (10.31.1.5:11109) => (12.34.56.79:23)
  Feb 14 12:41:17 10.31.1.52 57: 3d05h: CBAC* sis 258488 pak 17CE30 TCP P ack 3659219378 
     seq 3195751223(12) (10.31.1.5:11109) <= (12.34.56.79:23)

Pour ces commandes, ainsi que d'autres informations de dépannage, référez-vous à Dépannage du proxy d'authentification.

Informations connexes

• Assistance produit Cisco IOS Firewall
• Assistance et documentation techniques - Cisco Systems