Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Convenzioni

Impossibile passare il traffico VPN

Problema

Soluzione

Impossibile passare GRE/PPTP

Problema

Soluzione

Raggiungibilità della rete

Problema

Soluzione

Impossibile passare il traffico DHCP attraverso un firewall basato su zona

Problema

Soluzione

Informazioni correlate

Introduzione

Questo documento contiene informazioni sulla risoluzione dei problemi per il firewall basato su zone.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Utilizzo della VPN con il firewall dei criteri basato su zone

- Guida alla progettazione e all'applicazione di firewall per i criteri basati su zone

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Impossibile passare il traffico VPN

Problema

Il problema è che il traffico VPN non è in grado di passare attraverso il firewall basato su zone.

Soluzione

Consente al traffico del client VPN di essere ispezionato dal firewall Cisco IOS® basato su zone.

Ad esempio, ecco le righe da aggiungere alla configurazione del router:

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255

class-map type inspect match-all sdm-cls-VPNOutsideToInside-1

match access-group 103

policy-map type inspect sdm-inspect-all

class type inspect sdm-cls-VPNOutsideToInside-1

inspect

zone-pair security sdm-zp-out-in source out-zone destination in-zone

service-policy type inspect sdm-inspect-all

Impossibile passare GRE/PPTP

Problema

Il problema è che il traffico GRE/PPTP non è in grado di attraversare il firewall basato su zone.

Soluzione

Consente al traffico del client VPN di essere ispezionato dal firewall Cisco IOS basato su zone.

Ad esempio, ecco le righe da aggiungere alla configurazione del router:

agw-7206>enable

gw-7206#conf t

gw-7206(config)#policy-map type inspect outside-to-inside

gw-7206(config-pmap)#no class type inspect outside-to-inside

gw-7206(config-pmap)#no class class-default

gw-7206(config-pmap)#class type inspect outside-to-inside

gw-7206(config-pmap-c)#inspect

%No specific protocol configured in class outside-to-inside for inspection.

All protocols will be inspected

gw-7206(config-pmap-c)#class class-default

gw-7206(config-pmap-c)#drop

gw-7206(config-pmap-c)#exit

gw-7206(config-pmap)#exit

Controllare la configurazione:

gw-7206#show run policy-map outside-to-inside

policy-map type inspect outside-to-inside

class type inspect PPTP-Pass-Through-Traffic

pass

class type inspect outside-to-inside

inspect

class class-default

drop

Raggiungibilità della rete

Problema

Dopo aver applicato i criteri per il firewall basato su zone nel router Cisco IOS, le reti non sono raggiungibili.

Soluzione

Il problema potrebbe essere rappresentato dal routing asimmetrico. Il firewall Cisco IOS non funziona in ambienti con routing asimmetrico. Non si garantisce il ritorno dei pacchetti attraverso lo stesso router.

Il firewall Cisco IOS tiene traccia dello stato delle sessioni TCP/UDP. Per una manutenzione accurata delle informazioni sullo stato, un pacchetto deve partire e tornare dallo stesso router.

Impossibile passare il traffico DHCP attraverso un firewall basato su zona

Problema

Impossibile passare il traffico DHCP attraverso un firewall basato su zona.

Soluzione

Per risolvere il problema, disabilitare l'ispezione del traffico di zona.

Informazioni correlate

- Documentazione e supporto tecnico – Cisco Systems

- AnyConnect su IOS con ZBFW (Zone-Based Firewall)