Solução de problemas de firewall baseado em zona

Introdução

Este documento contém informações de Troubleshooting para o firewall baseado em zona.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Uso de VPN com firewall de política baseado em zona

• Guia de aplicativos e design de firewall de política baseada em zona

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Não é Possível Passar o Tráfego VPN

Problema

O problema é que o tráfego VPN não consegue passar pelo firewall baseado em zona.

Solução

Permita que o tráfego do cliente VPN seja inspecionado pelo firewall Cisco IOS^® baseado em zona.

Por exemplo, estas são as linhas a serem adicionadas à configuração do roteador:

access-list 103 permit ip 172.16.1.0 0.0.0.255 172.22.10.0 0.0.0.255
 
class-map type inspect match-all sdm-cls-VPNOutsideToInside-1
  match access-group 103
 
policy-map type inspect sdm-inspect-all
  class type inspect sdm-cls-VPNOutsideToInside-1
   inspect
 
zone-pair security sdm-zp-out-in source out-zone destination in-zone
  service-policy type inspect sdm-inspect-all

Não é possível passar GRE/PPTP

Problema

O problema é que o tráfego GRE/PPTP não consegue passar pelo firewall baseado em zona.

Solução

Permita que o tráfego do cliente VPN seja inspecionado pelo firewall Cisco IOS baseado em zona.

Por exemplo, estas são as linhas a serem adicionadas à configuração do roteador:

agw-7206>enable

gw-7206#conf t
gw-7206(config)#policy-map type inspect outside-to-inside
gw-7206(config-pmap)#no class type inspect outside-to-inside
gw-7206(config-pmap)#no class class-default
gw-7206(config-pmap)#class type inspect outside-to-inside
gw-7206(config-pmap-c)#inspect
%No specific protocol configured in class outside-to-inside for inspection.
All protocols will be inspected
gw-7206(config-pmap-c)#class class-default
gw-7206(config-pmap-c)#drop
gw-7206(config-pmap-c)#exit
gw-7206(config-pmap)#exit

Verifique a configuração:

gw-7206#show run policy-map outside-to-inside
policy-map type inspect outside-to-inside
 class type inspect PPTP-Pass-Through-Traffic
  pass
 class type inspect outside-to-inside
  inspect
 class class-default
  drop

Alcance da rede

Problema

Depois que a política para o firewall baseado em zona é aplicada no roteador Cisco IOS, as redes não são alcançáveis.

Solução

Esse problema pode ser o roteamento assimétrico. O firewall do Cisco IOS não funciona em ambientes com roteamento assimétrico. Não há garantia de que os pacotes retornem pelo mesmo roteador.

O firewall do Cisco IOS rastreia o estado das sessões TCP/UDP. Um pacote deve partir e retornar do mesmo roteador para uma manutenção precisa das informações de estado.

Não é possível passar o tráfego DHCP através de um firewall baseado em zona

Problema

Você não pode passar o tráfego DHCP através de um firewall baseado em zona.

Solução

Desabilite a inspeção de tráfego de autozona para resolver esse problema.

Informações Relacionadas

• Suporte Técnico e Documentação - Cisco Systems
• AnyConnect no IOS com firewall baseado em zona (ZBFW)