ASA互通求助

% |" R; k* t, B- [  u! v. YASA1（左边的防火墙）： " I, _& l5 N8 u. P* Z- `# dciscoasa(config)# show run ; m3 R& [* X  `: y" T. V ASA Version 9.5(2)204 ! 1 v/ i4 E. Y, E$ s" f* jhostname ciscoasa 5 ]7 G8 S, p) senable password 8Ry2YjIyt7RRXU24 encrypted 6 _7 d; }# e" N* [  B$ k2 R; P5 _xlate per-session deny tcp any4 any4 xlate per-session deny tcp any4 any6 xlate per-session deny tcp any6 any4 xlate per-session deny tcp any6 any6 xlate per-session deny udp any4 any4 eq domain xlate per-session deny udp any4 any6 eq domain % F" g$ _# }; Bxlate per-session deny udp any6 any4 eq domain 2 n3 @) G1 s; |8 Yxlate per-session deny udp any6 any6 eq domain names ! % u$ s0 E/ `: p# X% O3 U$ N4 yinterface GigabitEthernet0/0 3 A' @: K7 U; D7 Mnameif untrust 8 ?& d$ T2 _. l' i+ K, I+ q+ X1 {0 tsecurity-level 0 6 G* t2 E+ }2 s) T5 r; kip address 1.1.1.1 255.255.255.0 ) M+ I  g" W9 \- E( t! F+ X!             interface GigabitEthernet0/1 2 h% g  T2 s6 ]( y. G, s* [nameif trust & E) i1 E- s; V) f2 f1 Zsecurity-level 100 0 z8 @/ M: l. f' [- pip address 192.168.1.254 255.255.255.0 ! interface Management0/0 shutdown no nameif no security-level . K0 \. V: s+ G7 J" B5 n7 o* p6 T* ano ip address ! icmp unreachable rate-limit 50 burst-size 1 1 L, Q& u  F9 J: F4 H* l, Ticmp permit any untrust + p5 p2 g! [* n- m7 xicmp permit any trust : end * t5 I6 k9 ~* h, n% b  R 上面只是主要配置，就配了两条允许策略和端口的基本配置，但是trust也就是PCping不通防火墙端口，我想让他ping通，两个防火墙之间可以ping通，右边的防火墙我只配置了端口的基本配置 ! e& @8 b) T0 S9 U+ D

+ o! X7 O1 z+ Q  J

排错思路：
9 B4 _0 F% D' \2 I" m2 V2 n1.首先虚拟机pc ping不通 第一个防火墙的trust口，这个需要检查模拟器网卡桥接
2.你的asa模拟器9.5版本，我记得9.0系统以下要配置access-list放行流量，并且接口调用这个acl，比如untrust接口调用acl。思科接口安全区域有级别之分，高级别可以主动访问低级别的安全区域，你的trust级别高所以这个接口可以不加access-list
. F. E: ^& r/ i: k1 C: b1 g3.思科的模拟器目前就路由器模拟的比较完美，防火墙模拟器有比较多奇怪问题，交换机还模拟不出来。IOU模拟器可以敲路由交换IE实验题。

李工 发表于 2017-6-19 10:54
排错思路：
& y& P5 l' o5 k* y1.首先虚拟机pc ping不通 第一个防火墙的trust口，这个需要检查模拟器网卡桥接
5 G3 e7 R, c. G6 R6 G4 _6 L2.你的asa模拟 ...

! K  U8 s' b$ \5 ?) |$ [0 e谢谢，是模拟器的问题