11-思科防火墙：MPF基本状态监控特性

标签：比较   gre   tsp   原因   length   rip   end   access   增加   

3、默认列表没有的，创建一个就可以，比如增加对GRE的监控：
ASA(config)# access-list gre permit gre any any //ACL名字为gre，抓取gre流量

ASA(config)# class-map aa //class-map名字为aa
ASA(config-cmap)# match access-list gre //匹配access-list gre流量

ASA(config)# policy-map bb //policy-map名字为bb
ASA(config-pmap)# class aa //匹配名字为aa的class
ASA(config-pmap-c)# inspect ipsec-pass-thru //开启检测

ASA(config-pmap)# service-policy bb interface inside//在接口下应用，一个接口只能应用一个，和ACL类似，所以应用多个会报错的
四、验证：
1、R2的Ping可以到达R1，并且R1可以发送Echo Reply：
R1#debug ip icmp
ICMP packet debugging is on
R1#
*Mar 1 00:56:26.931: ICMP: echo reply sent, src 202.100.1.1, dst 10.1.1.2
2、在policy-map global_policy添加监控ICMP后：R2 可以Ping通R1
R2#ping 202.100.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.100.1.1, timeout is 2 seconds:!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/52/84 ms
3、再次查看Policy-map，会看到增加很多东西：
ASA(config)# show run policy-map
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map bb
class aa
inspect ipsec-pass-thru
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
inspect icmp
!

11-思科防火墙：MPF基本状态监控特性

标签：比较   gre   tsp   原因   length   rip   end   access   增加   

原文地址：http://blog.51cto.com/13856092/2138597