我正在运行网站，每天都有很好的stream量。 我有两种情况： 数据中心1 目前有50台服务器使用APF（iptables）保护我正在寻求将透明模式下的集中式Cisco ASA 5520防火墙。 每天有60万游客在高峰时间使用70 CPS（每秒连接数）。 与大约（和500万的http请求） 数据中心2： 15台服务器，每天在思科ASA 5510防火墙150K访问者（和100万个http请求） 防火墙选项可用： 思科ASA 5505,5510,5520,5550 寻找有经验的人的意见。 谢谢。
我需要能够看到从我的ASA VPN隧道了多久。 sh crypto ipsec sa peer xxx.xxx.xxx.xxx不显示我
ASA1是8.4（2）@ 192.168.1.1，在这之后是host1 @ 192.168.1.10 ASA2是8.4（3）@ 192.168.2.1，在这之后是host2 @ 192.168.2.10 从主机1到主机2的ping工作正常，但是我无法在ASA2上的接口（192.168.2.1）内通过主机1的通道ping通。 我不确定从哪里开始？ 我想通过VPN访问所有pipe理function，所以我在ASA2上input了以下内容： ssh 192.168.1.0 255.255.255.0 inside http 192.168.1.0 255.255.255.0 inside 但是我无法ping，通过SSH连接，或者通过ASDM连接到host1的ASA2。 ASA2已经configuration了management-access inside用于pipe理本地机器。 我不认为在这里有任何不正确的NATconfiguration，子网之间应该没有NAT; ASA1: nat (Inside,Outside) source static 192.168.1.0/24 192.168.1.0/24 destination static 192.168.2.0/24 192.168.2.0/24 ASA2: nat (Inside,Outside) source static 192.168.2.0/24 192.168.2.0/24 destination static 192.168.1.0/24 192.168.1.0/24 我可以检查或更改什么？ 更新 OK我已经在每个ASA上运行一个数据包捕获，并从ASA1到ASA2进行捕获。 由于某种原因，来自ASA的ping不能通过隧道发送。 ASA1# show capture testc access-list capture […]
我必须运行很多ACL /访问组和networking对象命令，并且我发现每个命令都有1024个字符的限制 – 即使它跨越多行。 在代码中，我使用了1000个字符作为限制，并且每次通过SSH发送尽可能多的行到CLI。 这需要很长的时间。 我正在考虑像* nix中的shell脚本，或Windows中的batch file。 我见过很多关于导入/导出configuration的文章，但是我正在谈论的是在正在运行的系统上运行命令，而不是在重新启动/重新启动时执行命令。 我不更改核心映像，只需访问一些可以在ASA上进行更改的访问参数，而无需重新启动或closures/不closures。 Desired：一种运行发送到ASA的tftp'd / ftp'd / scp'd文件内容的方法，就像我在CLI上input的一样。 我将准备命令，写入文件，发送文件，然后逐行运行文件的内容，就像我login到ASA一样。
我目前有我的思科ASA 5505防火墙configuration为从外部接口转发端口80到我的dmz接口上的主机。 我还需要允许我的内部接口上的客户端通过在其浏览器中input公共ip / dnslogging来访问dmz中的主机。 按照这里的说明，我可以做到这一点 ，导致以下configuration： static (dmz,outside) tcp interface www 192.168.1.5 www netmask 255.255.255.255 static (dmz,inside) tcp 74.125.45.100 www 192.168.1.5 www netmask 255.255.255.255 （其中74.125.45.100是我的公网IP， 192.168.1.5是dmz主机的IP） 这个工作很好，除了我的networking有一个dynamic的公共IP，并且这个configuration因此会在我的公共IP改变时立即中断。 有没有办法做到我想用dynamicIP？ 注意：添加内部DNSlogging不会解决我的问题，因为我有多个dmz主机映射到公共IP上的不同端口。
我们的客户希望将他的ASA5520从7.2升级到8.x. 他有一个很大的configuration，并使用了很多function。 例如。 a / s故障转移，子接口，~70个VPN隧道（ssl和ipsec），一堆分组对象，一些策略映射，很多ACL，NAT豁免等….. 有没有人有一些最佳的实践经验？ 在configuration语法8.x有很多不同之处吗？ SAM
Cisco ASA5505 8.2（2）Windows 2003 AD服务器 我们要configuration我们的ASA（10.1.1.1）通过Windows AD控制器（10.1.1.200）上的RADIUS对远程VPN用户进行身份validation 我们在ASA上有以下条目： aaa-server SYSCON-RADIUS protocol radius aaa-server SYSCON-RADIUS (inside) host 10.1.1.200 key ***** radius-common-pw ***** 当我使用帐户COMPANY \ usernametestinglogin时，我看到用户凭证在安全日志中是正确的，但是我在windows系统日志中得到以下信息： User COMPANY\myusername was denied access. Fully-Qualified-User-Name = company.com/CorpUsers/AU/My Name NAS-IP-Address = 10.1.1.1 NAS-Identifier = <not present> Called-Station-Identifier = <not present> Calling-Station-Identifier = <not present> Client-Friendly-Name = ASA5510 Client-IP-Address = 10.1.1.1 NAS-Port-Type […]
因此，我们有一个小问题是任何内部服务器都没有（非ICMP）访问到外面被阻止。 我们目前的configuration是： inside_access_in any —> any —> icmp inside_access_out any —> any —> ip 我明白，如果我添加“任何 – 任何 – IP”inside_access_in可能会解决这个问题，对吧？ 我的主要问题是，为什么？ inside_access_in和inside_access_out有什么区别？ 将添加“任何 – >任何 – > IP”“inside_access_in”提供从外部世界的任何额外的访问内部接口 – 我不想做的事情.. 这里是sh run access-group; sh run access-group access-group inside_access_in in interface inside access-group inside_access_out out interface inside access-group outside_access_in in interface outside
让我先说我不是交易的networkingpipe理员，而且这个防火墙最初是由一个不再可用的思科顾问设置的。 我们有一个配有Cisco ASA 5505的小型办公室，并配有基于IP的打印机。 打印机可以远程访问供应商打印会计凭证。 由于供应商正在更改ISP，我需要更新供应商的公共IP地址。 如果你看下面的代码片段，我不知道为什么他们没有使用规则的确切地址，而是xxx.xxx.xxx.0，然后在说明中注明了具体的公共IP地址。 是不是应该把xxx.xxx.xxx.250作为开头呢？ 当我更新供应商的新公共IP地址时，我是否应该不插入他们来自的特定公共IP地址，而不是允许整个公众/ 24（他们的公有IP来自哪个networking）？ 这里是我可以在configuration中find的片段，这些不是真正的IP： name 192.168.0.106 host-prt-000.106-printing01 name 192.168.0.107 host-prt-000.107-printing02 name XXX.XXX.XXX.0 vendor-srv-PrintingVendor description Specific Print Source: XXX.XXX.XXX.250 object network vendor-srv-PrintingVendor subnet XXX.XXX.XXX.0 255.255.255.0 description AccountingVendor object network host-prt-000.106-printing01 host 192.168.0.106 description accounting HP object network host-prt-000.107-printing02 host 192.168.0.107 description xerox 提前致谢。 大卫
使用ASA 5505可以阻止HTTPS网站吗？ 我有矛盾的信息。