网络工程 - Cisco ASA acl 拒绝命中规则但允许流量 - 吾爱随笔录

接口“LDAP”

access-group ldap_access_in in interface ldap
access-group ldap_access_out out interface ldap

在我开始尝试 ssh 之前，我的点击率为零；

access-list ldap_access_out line 1 extended deny tcp host 10.99.2.70 host 10.99.11.8 eq ssh (hitcnt=5) 0xa18d6298

如果我在没有连接的情况下等待十分钟，则没有命中。检查登录的远程主机，我可以看到源地址是我所期望的，并且捕获捕获了流量。

上次尝试后 4 分钟，我现在将连接 3 次并检查命中数：

[user@ldap0 ~]$ ssh 10.99.11.8
Last login: Thu Nov 20 13:48:34 2014 from 10.99.2.70
[user@root0 ~]$ logout
Connection to 10.99.11.8 closed.

[user@ldap0 ~]$ ssh 10.99.11.8
Last login: Thu Nov 20 13:53:23 2014 from 10.99.2.70
[user@root0 ~]$ ^C
[user@root0 ~]$ logout
Connection to 10.99.11.8 closed.

[user@ldap0 ~]$ ssh 10.99.11.8
Last login: Thu Nov 20 13:53:24 2014 from 10.99.2.70
[user@root0 ~]$ logout
Connection to 10.99.11.8 closed.

和 ...

access-list ldap_access_out line 1 extended deny tcp host 10.99.2.70 host 10.99.11.8 eq ssh (hitcnt=8) 0xa18d6298

我没有 sysopt permit-vpn（这是从外部接口传入的 ipsec 流量，路由到 ldap 接口。

这可能是什么原因？