Bắt tay TCP không thành công trên Cisco ASA

Tôi đang sử dụng Trình tạo lưu lượng để thiết lập kết nối TCP sẽ vượt qua tường lửa Cisco ASA.

Cấu trúc liên kết của tôi trông như thế này:

                     +------------------+                      
                     |  CISCO ASA       |                      
+------------+       |                  |                      
|  Client    +-------+Outside           |                      
|  10.1.202.1|       |10.1.202.254      |                      
|            |       |                  |        +------------+
+------------+       |            Inside|        |Server      |
                     |      10.1.102.254+--------+10.1.102.19 |
                     |                  |        |            |
                     +------------------+        +------------+

Kết nối phải được thiết lập từ một máy chủ trong mạng bên ngoài (10.1.202.1/24) đến máy chủ trong mạng bên trong (10.1.102.19/24).

Tôi nhìn thấy trong Wireshark rằng SYNvượt qua tường lửa (. 10,1 (1/2) 02,254), SYN-ACK không vượt qua và bị loại bỏ (xem ảnh chụp: bên trong giao diện và bên ngoài giao diện ).

Từ show asp droptôi được thông báo rằng các khung bị bỏ do lý do sau:

TCP failed 3 way handshake (tcp-3whs-failed)

Tôi không sử dụng ARP, nhưng sử dụng địa chỉ MAC của giao diện tường lửa, là cổng mặc định.

Tôi tạo ra SYN, SYN-ACKvà ACKnhư sau:

SYN: (Máy khách (bên ngoài) đến máy chủ (bên trong))

**Ethernet**
Destination MAC: <Mac Address of the Firewall-Interface>
Source MAC: <Mac Address of the Sending Device-Interface>

**IP**
Source IP: 10.1.202.1
Destination IP: 10.1.102.19
Default Gateway: 10.1.202.254

**TCP**
Source Port: 9000
Destination Port: 8000
Sequence number: 0
Acknowledgement number: 0
Synchronize: 1
Acknowledgement: 0

SYN-ACK: (Máy chủ (bên trong) đến máy khách (bên ngoài)) (điều này không vượt qua tường lửa)

**Ethernet**
Destination MAC: <Mac Address of the Firewall-Interface>
Source MAC: <Mac Address of the Sending Device-Interface>

**IP**
Source IP: 10.1.102.19
Destination IP: 10.1.202.1
Default Gateway: 10.1.102.254

**TCP**
Source Port: 8000
Destination Port: 9000
Sequence number: 0
Acknowledgement number: 1
Synchronize: 1
Acknowledgement: 1

ACK: (Máy khách (bên ngoài) đến máy chủ (bên trong))

**Ethernet**
Destination MAC: <Mac Address of the Firewall-Interface>
Source MAC: <Mac Address of the Sending Device-Interface>

**IP**
Source IP: 10.1.202.1
Destination IP: 10.1.102.19
Default Gateway: 10.1.202.254

**TCP**
Source Port: 9000
Destination Port: 8000
Sequence number: 1
Acknowledgement number: 1
Synchronize: 0
Acknowledgement: 1

Hơn nữa, cấu trúc liên kết của tôi giống như sau:

Máy khách tạo lưu lượng truy cập (mạng bên ngoài) được kết nối với một công tắc có thêm Vlan. Công tắc được kết nối với giao diện tường lửa bên ngoài. Trên mạng bên trong, trình tạo lưu lượng được kết nối với công tắc nơi các thẻ Vlan được thêm vào và công tắc được kết nối với giao diện bên trong của tường lửa.

Bất cứ ai có thể cho tôi biết tại sao ASA giảm SYN-ACK?

Cảm ơn trước!

BIÊN TẬP:

• Theo đề xuất của Ron Trunk, tôi đã vô hiệu hóa ngẫu nhiên các số thứ tự bằng cách sử dụng:

  vô hiệu hóa số thứ tự ngẫu nhiên

• Thêm chụp của bên giao diện và bên ngoài giao diện .

• Cập nhật các tập tin chụp

Theo mặc định, ASA chọn ngẫu nhiên các số thứ tự trong bắt tay (để ngăn chặn các vụ cướp phiên). Vì vậy, số thứ tự của bạn không thực sự khớp. Bạn có thể tắt tính năng đó.

random-sequence-number disable

Trong bản chụp bên trong của bạn , có hai gói đi từ Máy chủ (10.1.102.19) đến Máy khách (10.1.202.1), nhưng chúng đến từ các địa chỉ MAC khác nhau.

#23 Ethernet II, Src: 00:10:94:00:00:01 (00:10:94:00:00:01), Dst: 00:19:55:07:12:ca (00:19:55:07:12:ca)
    Internet Protocol Version 4, Src: 10.1.102.19 (10.1.102.19), Dst: 10.1.202.1 (10.1.202.1)
    Transmission Control Protocol, Src Port: 8000 (8000), Dst Port: 9000 (9000), Seq: 0, Ack: 19112639, Len: 0

#25 Ethernet II, Src: 00:10:94:00:00:02 (00:10:94:00:00:02), Dst: 00:19:55:07:12:ca (00:19:55:07:12:ca)
    Internet Protocol Version 4, Src: 10.1.102.19 (10.1.102.19), Dst: 10.1.202.1 (10.1.202.1)
    Transmission Control Protocol, Src Port: 8000 (8000), Dst Port: 9000 (9000), Seq: 0, Ack: 1, Len: 0

Điều đó có vẻ kỳ lạ, nhưng có lẽ không phải là vấn đề của bạn. Theo như tôi có thể giải thích nó, vấn đề của bạn là như sau:

Có vẻ như chính máy chủ phản hồi tự nhiên với gói SYN được tạo thủ công của bạn với RST-ACK trong gói số 23 (của nắp bên trong, xem ở trên) - có thể do cổng 8000 đã bị đóng. Điều này sẽ nhắc Tường lửa chuyển tiếp RST ra bên ngoài (Gói số 23 ở nắp ngoài) và lọc kết nối này khỏi bảng trạng thái của nó.

Nhưng gói SYN-ACK được chế tạo của bạn sẽ tắt ở # 25 (của nắp bên trong), nhắc RST từ Tường lửa (# 26) vì không có mục nào trong bảng kết nối liên quan đến luồng này.

Bạn có thể chạy như sau trên ASA của bạn xin vui lòng:

// Kích hoạt tất cả chụp cho tất cả các giọt asp

ASA# capture asp-drop type asp-drop all

// Hiển thị bộ đệm chụp sẽ xác định lý do tại sao bắt tay không thành công

ASA# sh capture asp-drop

Sẽ hiển thị một cái gì đó tương tự như sau nhưng đối với loại thả cụ thể của bạn:

   2 packets captured
   1: 15:15:00.682154 197.2.1.29.2616 > 87.200.42.101.443: S 1239395083:1239395083(0) win 65535 <mss 1260,nop,nop,sackOK> Drop-reason: (acl-drop) Flow is denied by configured rule
   4: 15:15:00.750830 10.70.0.162.3812 > 168.252.3.41.15: S 3523756300:3523756300(0) win 65535 <mss 1360,nop,nop,sackOK> Drop-reason: (rpf-violated) Reverse-path verify failed

Hãy nhớ rằng một quy tắc cơ bản cho ASA là để bắt đầu lưu lượng truy cập từ giao diện bảo mật thấp hơn (Bên ngoài) sang giao diện bảo mật cao hơn (Bên trong) phải có mục nhập ACL rõ ràng để cho phép lưu lượng truy cập này đi qua. Không thấy cấu hình ASA của bạn, thật khó để nói điều gì có thể gây ra vấn đề.

Bạn đang mô tả hoạt động bình thường / mặc định của ASA. Chỉ các kết nối TCP được thiết lập mới được phép từ NGOÀI TRỜI đến bên trong. Bạn có thể vô hiệu hóa điều này bằng cách cấu hình TCP State Bypass .

Step 1 Choose Configuration > Firewall > Service Policy.

Step 2 Click Add > Add Service Policy Rule.

Alternatively, if you already have a rule for the hosts, edit the rule.

Step 3 Select whether to apply the rule to a specific interface or globally to all interfaces, and click Next.

Step 4 For Traffic Classification, select Source and Destination IP Addresses (uses ACL) and click Next.

Step 5 For the ACL rule, enter the IP addresses of the hosts on each end of the route in Source and Destination, and specify the protocol as TCP. Click Next when finished.

For example, if you want to bypass TCP state checking between 10.1.1.1 and 10.2.2.2, enter:

Source = 10.1.1.1
Destination = 10.2.2.2
Destination Protocol = tcp
Step 6 On the Rule Actions page, click the Connection Settings tab and select TCP State Bypass.

Step 7 Click Finish to save the rule, and Apply to update the device.