DMZ ASA 5510

[Arielrt17]

Buenas, necesito ayuda con los siguiente si es posible,tengo configurado un dmz en el cual existe un webserver, he configurado los respectivos nats y access-list, al utilizar la herramienta packet-tracer utilizando la ip publica los paquetes alcanzan la DMZ sin ningún problema, pero al acceder desde Internet a la ip publica y su respectivo puerto en el log del ASA se registra lo siguiente: Inbound tcp connection denied from 186.1.85.167/47717 to xxx.xxx.xxx.xx/443 flag syn on interface outside. Cual puede ser la causa de esto?

PD: Corre sobre ASA 8.2(5).

Saludos

[Julio E. Moisa]

Hola

Puedes por favor compartir la configuración del NAT estatico que estas utilizando para acceder desde Internet, adicional recomiendo que se actualice la imagen del ASA, ya que la actual (8.2(5)) puede contener vulnerabilidades, eso lo puedes hacer en un futuro y se recomienda que revises los saltos para evitar inconvenientes.

Saludos 

[Arielrt17]

Saludos, el nat estático que utilizo es el siguiente:

static (DMZ,OUTSIDE) tcp 172.16.251.2 http Public-ip 8443 netmask 255.255.255.255.

siendo Public-ip diferente a la ip publica de la interfaz OUTSIDE.

Respecto a la actualización de la imagen del ASA esta contemplada  para un futuro.

Gracias de antemano.

[Arielrt17]

Perdón era: static (DMZ,OUTSIDE) tcp 172.16.251.2 https Public-ip https netmask 255.255.255.255.

[Diana Karolina Rojas]

¿Como estas estimado?

¿Pudiste resolver el inconveniente? en tu caso revisaría las rutas y los permisos configurados ¿qué viste en los Logs del ASA en el ASDM?

Saludos,

[Arielrt17 · Accepted solution]

Si, Utilice el siguiente nat: static (DMZ,OUTSIDE) tcp Public-ip https SAN https netmask 255.255.255.255, 

y el siguiente Access-list: access-list inbound extended permit tcp any host Public-ip eq https.

de igual forma muchas gracias por sus respuestas.

[Hilda Arteaga]

gracias por compartir la solución @Arielrt17

[Hilda Arteaga]

Hola @Diana Karolina Rojas que gusto leerte, gracias por indagar en este tema