net oba 路由 cmp sid clas eset escape ffffff

一、實驗拓撲：

二、實驗要求：
ICMP默認是沒有監控的，所以R2 Ping R1不通（註意：R1、R2分別有默認路由下一跳為對應的ASA接口地址）；
原因：有很多原因，R1開啟Debug，查看Ping包是否可以到達R1；
能到達說明ASA沒有監控ICMP，沒有狀態化信息；TCP默認是監控的，有狀態化信息，記錄源目IP、源目端口等這些信息，形成映射，所以回包的時候會對比這些映射信息，符合就放行了。ICMP這裏流量出去的時候ASA沒有記錄狀態化信息，沒有形成映射，所以回包的時候沒法對比，沒法對比就丟掉了。（面試出場概率很高的）
這種情況是可以調整的，做一個例外，這樣ASA就會監控ICMP了。
三、命令部署：
1、ASA上查看默認策略：
ASA# show run
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
TCP和UDP是例外的，不在該範圍之內的；ftp是動態應用，雖然有TCP的22、23端口，但是它的流量都是臨時產生的；FTP必須有用戶名和密碼的登錄；這就是動態的交互，也就是TCP上有特殊字段會被標記的，標記部分沒有告知ASA放行的話，ASA是不識別的，所以FTP比較特殊，這裏仍讓能看到FTP的檢測。
默認不能寫Inspect gre/esp，但是Inspect icmp是有的。
2、默認列表裏有的，直接添加就可以，比如ICMP：
ASA(config)# policy-map global_policy //默認ASA有的global_policy
ASA(config-pmap)# class inspection_default //默認監控
ASA(config-pmap-c)# inspect icmp //增加icmp監控

3、默認列表沒有的，創建一個就可以，比如增加對GRE的監控：
ASA(config)# access-list gre permit gre any any //ACL名字為gre，抓取gre流量

ASA(config)# class-map aa //class-map名字為aa
ASA(config-cmap)# match access-list gre //匹配access-list gre流量

ASA(config)# policy-map bb //policy-map名字為bb
ASA(config-pmap)# class aa //匹配名字為aa的class
ASA(config-pmap-c)# inspect ipsec-pass-thru //開啟檢測

ASA(config-pmap)# service-policy bb interface inside//在接口下應用，一個接口只能應用一個，和ACL類似，所以應用多個會報錯的
四、驗證：
1、R2的Ping可以到達R1，並且R1可以發送Echo Reply：
R1#debug ip icmp
ICMP packet debugging is on
R1#
*Mar 1 00:56:26.931: ICMP: echo reply sent, src 202.100.1.1, dst 10.1.1.2
2、在policy-map global_policy添加監控ICMP後：R2 可以Ping通R1
R2#ping 202.100.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.100.1.1, timeout is 2 seconds:!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 32/52/84 ms
3、再次查看Policy-map，會看到增加很多東西：
ASA(config)# show run policy-map
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map bb
class aa
inspect ipsec-pass-thru
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect rsh
inspect rtsp
inspect esmtp
inspect sqlnet
inspect skinny
inspect sunrpc
inspect xdmcp
inspect sip
inspect netbios
inspect tftp
inspect ip-options
inspect icmp
!

11-思科防火墻：MPF基本狀態監控特性