监控 ICMP 与 ESP

  • 监控ICMP，确保返回流量能够顺利穿越ASA

  • 监控ESP，配置IPSec-Pass-Through技术，保证VPN流量正常放行

  • 深度监控IPSec-Pass-Through，安全级别设置为高

监控ICMP

  1. policy-map global_policy
  2.  class inspection_default
  3.   inspect icmp

监控ESP，配置IPSec-Pass-Through

  1. ciscoasa(config)# access-list vpn permit esp any any
  2. ciscoasa(config)# class-map ESP-Class
  3. ciscoasa(config-cmap)# match access-list vpn
  4. ciscoasa(config-cmap)# exit
  5. ciscoasa(config-cmap)# exit
  6. ciscoasa(config)# policy-map global_policy
  7. ciscoasa(config-pmap)# class ESP-Class
  8. ciscoasa(config-pmap-c)# inspect ipsec-pass-thru
  • 从内到外可以通信，但是从外到内无法发起连接

IPSec-Pass-Through 监控模式

  • low level

    • 每客户端最大ESP数据流未限制

    • ESP空闲超时时间 10：00

  • High

    • 每客户端最大ESP数据流 10

    • ESP 空闲超时时间 30s

默认配置

  1. policy-map type inspect ipsec-pass-thru _default_ipsec_passthru_map
  2.  description Default IPSEC-PASS-THRU policy-map
  3.  parameters
  4.   esp per-client-max 0 timeout 0:10:00

TCP 半闭连接

OSI 3-4层流量控制 - 图1

DCD 技术

ASA 会发出TCP探测包来探测该连接是否为active,对方有相应则继续使用，未响应则断开连接。

  1. ciscoasa(config)# class-map DCD
  2. ciscoasa(config-cmap)# match access-list vpn
  3. ciscoasa(config-cmap)# exit
  4. ciscoasa(config-cmap)# exit
  5. ciscoasa(config)# policy-map policy_2
  6. ciscoasa(config-pmap)# class DCD
  7. ciscoasa(config-pmap-c)# set connection timeout idle 4:00:00 reset dcd 0:15:00 2
  8. # 对该链路每15分钟发出一次探测，连续2次（默认5次）没有收到恢复，则自动断掉TCP连接

ASA 默认对数据包TTL值不做修改

  1. ciscoasa(config)# policy-map policy_2
  2. ciscoasa(config-pmap)# class TTL
  3. ciscoasa(config-pmap-c)# set connection decrement-ttl
  4. #关闭该功能