Troubleshooting de Configurações do Cisco IOS Firewall

Introdução

Este documento fornece informações que você pode usar para solucionar problemas de configuração do Cisco IOS® Firewall.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Troubleshooting

Nota:Consulte Informações Importantes sobre Comandos de Depuração antes de usar os comandos debug.

• Para reverter (remover) uma lista de acesso, coloque um "no" na frente do comando access-group no modo de configuração de interface:

  int 
          
          
            no ip access-group # in|out 
          
  

• Se muito tráfego for negado, estude a lógica da sua lista ou tente definir uma lista mais ampla e depois aplique-a. Por exemplo:

  access-list # permit tcp any any
  access-list # permit udp any any
  access-list # permit icmp any any
  int 
          
          
            ip access-group # in|out 
          
  

• O comando show ip access-lists mostra quais listas de acesso são aplicadas e qual tráfego é negado por elas. Se você observar a contagem de pacotes negados antes e depois da operação com falha com o endereço IP origem e destino, esse número aumenta se a lista de acesso bloquear o tráfego.

• Se o roteador não estiver muito carregado, a depuração pode ser feita em um nível de pacote na lista de acesso de inspeção de ip ou estendida. Se o roteador estiver muito carregado, o tráfego fica mais lento através do roteador. Use discrição com comandos de depuração.

  Adicione temporariamente o comando no ip route-cache à interface:

  int 
          
          
            no ip route-cache 
          
  

  Em seguida, no modo de ativação (mas não de configuração):

  term mon
  debug ip packet # det
  

  produz uma saída semelhante a esta:

  *Mar 1 04:38:28.078: IP: s=10.31.1.161 (Serial0), d=171.68.118.100 (Ethernet0), 
     g=10.31.1.21, len 100, forward
  *Mar 1 04:38:28.086: IP: s=171.68.118.100 (Ethernet0), d=9.9.9.9 (Serial0), g=9.9.9.9, 
     len 100, forward

• As listas de acesso estendidas também podem ser usadas com a opção "log" no final das várias instruções.

  access-list 101 deny ip host 171.68.118.100 host 10.31.1.161 log
  access-list 101 permit ip any any
  

  Portanto, você verá mensagens na tela para tráfego permitido e negado:

  *Mar 1 04:44:19.446: %SEC-6-IPACCESSLOGDP: list 111 permitted icmp 171.68.118.100 
     -> 10.31.1.161 (0/0), 15 packets
  *Mar  1 03:27:13.295: %SEC-6-IPACCESSLOGP: list 118 denied tcp 171.68.118.100(0) 
     -> 10.31.1.161(0), 1 packet

• Se a lista ip inspect for suspeita, o comando debug ip inspect <type_of_traffic> produzirá uma saída como esta:

  Feb 14 12:41:17 10.31.1.52 56: 3d05h: CBAC* sis 258488 pak 16D0DC TCP P ack 3195751223 
     seq 3659219376(2) (10.31.1.5:11109) => (12.34.56.79:23)
  Feb 14 12:41:17 10.31.1.52 57: 3d05h: CBAC* sis 258488 pak 17CE30 TCP P ack 3659219378 
     seq 3195751223(12) (10.31.1.5:11109) <= (12.34.56.79:23)

Para esses comandos, juntamente com outras informações de Troubleshooting, consulte Troubleshooting de Proxy de Autenticação.

Informações Relacionadas

• Suporte ao produto Cisco IOS Firewall
• Suporte Técnico e Documentação - Cisco Systems