ACE を介した traceroute, tracert について

[CscTsWebDocs]

2010年03月14日（初版）

TAC SR Collection
主な問題	ACE を介したあて先に対する traceroute, tracert 結果にて中間ホップの source ip アドレスにあて先デバイスのアドレスが表示される。 inspect icmp error を設定していない場合、ACE は icmp time-exceeded メッセージのsource ip アドレスを、traceroute, tracert の対象デバイスのアドレスに変換します。 そのため以下の例中のホップ2およびホップ3のように ACE の先にあるホップのアドレスが、あて先デバイスのアドレスとして表示されてしまいます。 表示例 -------------------------------------------------------------------------------------------------- $ traceroute 10.13.13.1 traceroute to 10.13.13.1 (10.13.13.1), 30 hops max, 40 byte packets 1 (10.9.9.1)    0.628 ms 0.557 ms 0.573 ms 2 (10.13.13.1) 0.678 ms 1.100 ms 1.305 ms 3 (10.13.13.1) 0.850 ms 1.912 ms 1.524 ms 4 (10.13.13.1) 1.441 ms 0.437 ms 0.494 ms --------------------------------------------------------------------------------------------------
解決策	inspect icmp error を設定することで中間ホップの source ip アドレスは変換されなくなります。 設定例 -------------------------------------------------------------------------------------------------- access-list 100 line 10 extended permit icmp any anyclass-map match-all icmp_traffic 2 match access-list 100 policy-map multi-match icmp_inspect class icmp_traffic inspect icmp error interface vlan 11 ip address 10.11.11.101 255.255.255.0 service-policy input LB service-policy input icmp_inspect no shutdown -------------------------------------------------------------------------------------------------- 設定後の表示例 -------------------------------------------------------------------------------------------------- $ traceroute 10.13.13.1 traceroute to 10.13.13.1 (10.13.13.1), 30 hops max, 40 byte packets 1 (10.9.9.1) 0.628 ms 0.557 ms 0.573 ms 2 (10.11.11.1) 0.678 ms 1.100 ms 1.305 ms 3 (10.12.12.1) 0.850 ms 1.912 ms 1.524 ms 4 (10.13.13.1) 1.441 ms 0.437 ms 0.494 ms --------------------------------------------------------------------------------------------------