icmp
要为在 Cisco Secure Firewall ASA 接口终止的 ICMP 流量配置访问规则，请使用 icmp 命令。要删除配置，请使用此命令 no 的形式。
icmp{ permit| deny} ip_addressnet_mask[ icmp_type] if_name
no icmp{ permit| deny} ip_addressnet_mask[ icmp_type] if_name
Syntax Description
|
deny |
如果条件匹配则拒绝访问。 |
|
icmp_type |
（可选）ICMP 消息类型（请参阅 表 1-1）。 |
|
if_name |
接口名称。 |
|
ip_address |
向接口发送 ICMP 消息的主机的 IP 地址。 |
|
net_mask |
要应用于主机 IP 地址的网络掩码。 |
|
permit |
如果条件匹配则允许访问。 |
Command Default
ASA 的默认行为是允许所有 ICMP 流量到达 ASA 接口。
Command Modes
下表展示可输入命令的模式：
|
命令模式 |
防火墙模式 |
安全情景 |
|||
|---|---|---|---|---|---|
|
路由 |
透明 |
一个 |
多个 |
||
|
情景 |
系统 |
||||
|
全局配置 |
|
|
|
|
|
Command History
|
版本 |
修改 |
|---|---|
|
7.0(1) |
添加了此命令。 |
Usage Guidelines
icmp 命令控制在任何 ASA 接口上终止的 ICMP 流量。如果未配置 ICMP 控制列表，则 ASA 接受在任何接口（包括外部接口）终止的所有 ICMP 流量。但是，默认情况下，ASA 不会响应发送到广播地址的 ICMP 回显请求。
ASA 仅响应发送到流量进入接口的 ICMP 流量；您不能通过接口将 ICMP 流量发送到远端接口。
除了进入 ASA 时所经由的接口以外，不支持对其他接口进行 VPN 访问。例如，如果 VPN 访问位于外部接口上，则只能直接向外部接口发起连接。应在 ASA 的可直接访问的接口上启用 VPN，并使用域名解析，以便您不必记住多个地址。
icmp deny 命令禁用对接口的 ping，而 icmp permit 命令则启用对接口的 ping。如果禁用 ping，则无法在网络上检测到 ASA。这也称为可配置代理 ping。
对通过 ASA 路由到受保护接口上的目标的 ICMP 流量使用 access-list Extended 或 access-group 命令。
我们建议您授予 ICMP 不可达消息类型（类型 3）的权限。拒绝 ICMP 不可达消息会禁用 ICMP 路径 MTU 发现，从而可能阻止 IPsec 和 PPTP 流量。有关路径 MTU 发现的详细信息，请参阅 RFC 1195 和 RFC 1435。
如果为接口配置了 ICMP 控制列表，则 ASA 首先匹配指定的 ICMP 流量，然后对该接口上的所有其他 ICMP 流量应用隐式拒绝。也就是说，如果第一个匹配的条目是允许条目，系统将继续处理 ICMP 数据包。如果第一个匹配的条目是拒绝条目或条目不匹配，则 ASA 会丢弃 ICMP 数据包并生成系统日志消息。但未配置 ICMP 控制列表时除外；在这种情况下，假定为 permit 语句。
下表列出了支持的 ICMP 类型值。
|
ICMP 类型 |
文字 |
说明 |
|---|---|---|
|
0 |
echo-reply |
回应应答是对回应请求的响应，用于指示成功的通信。 |
|
3 |
unreachable |
设备无法将包传送到最终目的地。 |
|
8 |
echo |
承载源地址的回应消息。此地址为 echo-reply 消息的目标。 |
|
11 |
time-exceeded |
在处理包期间，设备将生存时间值识别为 0 且因此该包被丢弃。 |
Examples
以下示例拒绝外部接口上的所有 ping 请求和所有传入 ICMP 连接（不可达消息除外）：
ciscoasa(config)# icmp permit any unreachable outside继续为其他每个要拒绝其上的 ICMP 流量的 icmpdenyany 接口 输入 命令。
以下示例允许主机 172.16.2.15 或子网 172.22.1.0/16 上的主机 ping 外部接口：
ciscoasa(config)# icmp permit host 172.16.2.15 echo outside
ciscoasa(config)# icmp permit 172.22.1.0 255.255.0.0 echo outside
ciscoasa(config)# icmp permit any unreachable outside
反馈