ゾーンベースのファイアウォールのトラブルシューティング

概要

この資料はゾーン ベースのファイアウォールのためのトラブルシューティング情報が含まれています。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ゾーン ベースのポリシー ファイアウォールの VPN の使用

• ゾーンベース ポリシー ファイアウォールの設計とアプリケーション ガイド

使用するコンポーネント

このドキュメントは、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。 ネットワークが稼働中の場合は、コマンドが及ぼす潜在的な影響を十分に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

VPN トラフィックを通過させることが不可能

問題

問題は VPN トラフィックがゾーン ベースのファイアウォールを渡って渡ることができないことです。

解決策

VPN クライアント トラフィックがゾーン ベースの Cisco IOS ^® ファイアウォールによって点検されるようにして下さい。

たとえば、ルータの設定で追加するべき行はここにあります:

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255 class-map type inspect match-all sdm-cls-VPNOutsideToInside-1  match access-group 103 policy-map type inspect sdm-inspect-all  class type inspect sdm-cls-VPNOutsideToInside-1   inspect zone-pair security sdm-zp-out-in source out-zone destination in-zone  service-policy type inspect sdm-inspect-all

GRE/PPTP を渡すことが不可能

問題

問題は GRE/PPTP トラフィックがパススルーにないゾーン ベースのファイアウォールことです。

解決策

VPN クライアント トラフィックがゾーン ベースの Cisco IOS ファイアウォールによって点検されるようにして下さい。

たとえば、ルータの設定で追加するべき行はここにあります:

agw-7206>enablegw-7206#conf tgw-7206(config)#policy-map type inspect outside-to-insidegw-7206(config-pmap)#no class type inspect outside-to-insidegw-7206(config-pmap)#no class class-defaultgw-7206(config-pmap)#class type inspect outside-to-insidegw-7206(config-pmap-c)#inspect%No specific protocol configured in class outside-to-inside for inspection.All protocols will be inspectedgw-7206(config-pmap-c)#class class-defaultgw-7206(config-pmap-c)#dropgw-7206(config-pmap-c)#exitgw-7206(config-pmap)#exit

設定の確認：

gw-7206#show run policy-map outside-to-insidepolicy-map type inspect outside-to-inside class type inspect PPTP-Pass-Through-Traffic  pass class type inspect outside-to-inside  inspect class class-default  drop

ネットワークの到達可能性

問題

ゾーン ベースのファイアウォールのためのポリシーが Cisco IOS ルータで適用された後、ネットワークは到達可能ではないです。

解決策

この問題は非対称 ルーティングであるかもしれません。 Cisco IOS ファイアウォールは非対称 ルーティングを用いる環境ではたらきません。 パケットは同一ルータを通って戻るために保証されません。

Cisco IOS ファイアウォールは TCP/UDP セッションの状態をトラッキングします。 パケットはステート情報の正確なメンテナンスのための同一ルータから出発し、戻る必要があります。

ゾーン ベースのファイアウォールによって DHCP トラフィックを通過させることが不可能

問題

ゾーン ベースのファイアウォールによって DHCP トラフィックを通過させることができません。

解決策

この問題を解決するために自己ゾーン トラフィック インスペクションをディセーブルにして下さい。

関連情報

• テクニカルサポートとドキュメント - Cisco Systems
• ゾーン ベースのファイアウォール（ZBFW）の IOS の AnyConnect