CSCur42905 WCCP redirect acl does not support object-groups В новых версиях должно ругаться при попытке сконфигурировать. ... View more

Официально ни на одной модели ASA не поддерживается BGP full view, ни одно, ни два. Кр. таблицы BGP, маршрутизации (RIB) и таблицы форвардинга (ASP forwarding table) за место борются NAT и таблица соединений, а также разные фичи. Бессмысленно загружать full view, если потом трафик передать не удастся из-за нехватки памяти для соединений или NAT. ... View more

Попробуйте. Это довольно коварная фича, поскольку внутри системы данный control-plane ACL интегрируется с теми правилами доступа, которые заданы с помощью команд http, telnet, ssh и т.д, но не очень документировано, как конкретно это происходит. Иными словами, для ограничения HTTPS (я думаю, что у вас AnyConnect работает по HTTPS/443, а не IKEv2/ESP) надо в ACL указывать eq 443, а в конце - deny tcp any any eq 443. Т.е. если порт 443 не указать, то есть некоторая опасность зарубить, например, ssh на внешний интерфейс роутера. Еще интереснее, как control-plane ACL интегрируется с правилом доступа, заданным в к-де http. Кто имеет приоритет? Это надо пробовать в конкретной версии и проверять результат так: show asp table classify interface outside Обычный ACL не влияет на трафик, терминирующий на самой ASA'е. Другие варианты - это более сложные системы аутентификации, например, системы одноразовых паролей. ... View more

Точно не скажу. NAT-OAi, NAT-OAr должны быть в debug. Это также м.б. проблема интероперабельности. В свое время на ASA было сделано исправление CSCso21063, чтобы IOS L2TP/IPsec-клиент мог подключиться к ASA, если клиент находится за NAT. До этого исправления ASA высылала такие proxy identities, которые удовлетворили бы Windows L2TP/IPsec-клиента, включая порт ноль в них. После исправления ASA стала различать Windows-клиентов и Cisco IOS - клиентов по Vendor-ID payload. В порядке полного бреда можно еще попробовать в "crypto map" написать "set nat demux". ... View more

Можно попробоваь конструкцию access-group ... in interface ... control-plane В ACL перечислить сначала permit'ами те адреса, с которых доступ разрешен, а в конце написать явный deny ip any any, т.к. implicit deny у такого ACL нет. Конструкция применяется редко и может не работать. А вообще, эта задача решается с помощью авторизации по пользователям, а не по IP-адресам. Разрешение или запрещение доступа должно делаться в зависимости от username, а не от IP, который PC имеет в текущий момент времени. ... View more

http://www.slideshare.net/CiscoRu/cisco-asa-92-95 Слайд 80. ... View more

Хм. Это точно повод для открытия кейса в Cisco TAC. В рамках конференции точно не разберемся. ... View more

Хм. Это точно повод для открытия кейса в Cisco TAC. В рамках конференции точно не разберемся. ... View more

Да, в общем правильно. На ASA при создании соединения прописываются входной и выходной интерфейсы и они имеют приоритет над PBR. На самом деле, при наличии соединения (пришедшего в данном сл. из outside)  правила PBR просто не отрабатывают. "Секретные материалы" тут: http://www.slideshare.net/CiscoRu/cisco-asa-92-95 ... View more

Третий способ работать не будет. Во-первых, такая запись NAT будет предписывать маршрутизировать пакеты в outside, что будет конфликтовать с показаниями таблицы маршрутизации, в результате получим %ASA-6-110003: Routing failed to locate next hop for TCP и в inside пакет не пойдет (по кр. мере в большинстве версий). Можно написать: nat ( inside , inside ) source  static InternalNet   InternalNet   destination static WhiteIP   ServerInternalIP service RDP  RDP но это тоже не поможет, хотя сам NAT будет работать. Дело в том, что RDP-сервер будет отвечать на пришедший ему SYN не через ASA, а напрямую отправителю, поскольку отправитель и получатель находятся в одном сетевом сегменте. Отправитель, таким образом, получит SYN/ACK не от WhiteIP, а от ServerInternalIP и вышлет в ответ TCP RST. Можно, конечно, пытаться прописать на RDP-сервере хостовый маршрут до отправителя через ASA, но тут результат уже будет зависеть от возможностей OS, что она предпочтет: connected route на локальный сегмент / ARP-запись или хостовый маршрут. В таких задачах лучше решать вопрос с помощью DNS. Типично: внутренний DNS-сервер, возвращающий внутренний IP в LAN и внешний IP - наружу. ... View more

TCAM используется для хранения классификационной информации, например, ACL, которые используются различными фичами: "ip access-group", NAT, PBR, IPsec, QoS, ZBF и т.д. и т.п. Таблицы же CEF хранятся в оперативной памяти. Список "клиентских подсистем", которые используют TCAM, и заполненность TCAM в разрезе подсистем: show platform hardware qfp active classification feature-manager tcam-usage Общая заполненность (ASR1001) (только для аппаратных TCAM), например: BSNS-ASR1001-3#show platform hardware qfp active tcam resource-manager usage ... Total TCAM Cell Usage Information ---------------------------------- Name                                : TCAM #0 on CPP #0 Total number of regions             : 3 Total tcam used cell entries        : 28 Total tcam free cell entries        : 65508 Threshold status                    : below critical limit Некоторые модели имеют более одного аппаратного TCAM, плюс начиная с 3.10 - программно-эмулируемый TCAM, используемый при нехватке места в аппаратных. На ISR4300/4400 есть только программный TCAM. Например, ниже видно, что на ASR1001 ACL загрузился в аппаратный TCAM0, а на ISR4351 - в программный TCAM: BSNS-ASR1001-3#show platform hardware qfp active classification feature-manager class-group tcam acl name TEST int g0/0/1 input brief QFP classification class group TCAM class-group [acl-cg:6] (classes: 2, total number of vmrs: 2) key name: 160_01 value size: 160 result size: 16 region id: 1 vmr id: 3 number of vmrs: 2 tcam id: TCAM0 object-group lkup handle id (source: 0 dest: 0) CAROTTE#show platform hardware qfp active classification feature-manager class-group tcam acl name TEST int g0/0/0 input brief CACE classification Info:: IPV4 Traffic Classifier: total_entries=2 default_entry_idx=65535 num_attr_clusters=1 IPV6 Traffic Classifier: total_entries=0 default_entry_idx=65535 num_attr_clusters=0 MPLS Traffic Classifier: total_entries=0 default_entry_idx=65535 num_attr_clusters=0 L2 Traffic Classifier: total_entries=0 default_entry_idx=65535 num_attr_clusters=0 class-group [acl-cg:2] (classes: 2, total number of vmrs: 2) key name: 160_01 value size: 0 result size: 16 tcam id: SOFTWARE TCAM CAROTTE#show platform hardware qfp active tcam resource-manager usage TCAM commands not supported   Как-то так...   ... View more

RT не поддерживается, но в связи с поступающими запросами этот вопрос на самом деле изучается разработчиками. ... View more

Это маловероятно. Нужно проверять show cry engine conf show cry engine acc stat распознался ли модуль и растут ли счетчики по акселератору. А лучше открыть кейс в Cisco TAC.   ... View more

В версии 9.3(2) есть т.н. Traffic Zones. Это поможет реализовать Equl-cost multipath на ASA.   ... View more