Cisco ASA 5512x 9.1 版上的 TCP Reset-I

网络工程 思科 防火墙 故障排除
2021-08-02 16:09:29

我正在尝试从外部 TEST_IP 到内部服务器 192.168.1.5 LLDHH-ADC 设置简单的 RDP 规则。我配置了 nat 和访问列表，但我无法 RDP 到服务器。我是 ASA 世界的新手，任何帮助将不胜感激。

这是我的配置的一部分：

object network LLDHH-ADC
 host 192.168.1.5

object network LLDHH-ADC
 nat (inside,outside) static interface service tcp 3389 3389

nat (any,outside) after-auto source dynamic any interface

access-list outside_access extended permit object RDP object-group TEST_IPs object LLDHH-ADC

在尝试 RDP 时在服务器上我得到：

C:\Users\Administrator>netstat -an | find ":3389"
  TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING

  TCP    192.168.1.5:3389       38.122.xx.xx:2763     ESTABLISHED

  TCP    [::]:3389              [::]:0                 LISTENING

在 ASA 上，我得到以下输出：

6    May 07 2014    19:56:52    302013    38.122.xx.xx    2763    192.168.1.5 3389 
  Built inbound TCP connection 8341440 for outside:38.122.xx.xx/2763 
  (38.122.xx.xx/2763) to inside:192.168.1.5/3389 (50.204.xx.xx/3389)

在 RDP 失败后：

6    May 07 2014    19:57:52    302014    38.122.xx.xx    2763    192.168.1.5 3389
  Teardown TCP connection 8341440 for outside:38.122.xx.xx/2763 to 
  inside:192.168.1.5/3389 duration 0:01:00 bytes 19 TCP Reset-I
1个回答

如果防火墙后面只有一个子网，我会尝试这样的操作。

object network inside-net
subnet 192.168.1.0 255.255.255.0
nat(inside,outside) dynamic interface dns

然后，您将能够删除它。

nat (any,outside) after-auto source dynamic any interface

我更喜欢明确 PAT 规则。

而不是这个 ACL：

access-list outside_access extended permit object RDP object-group TEST_IPs object LLDHH-ADC

试试这个：

access-list outside_access extended permit tcp object-group TEST_IPs object LLDHH-ADC eq 3389

这个 NAT 规则看起来不错。

object network LLDHH-ADC
 nat (inside,outside) static interface service tcp 3389 3389
其它你可能感兴趣的问题
上一篇Cisco WAAS en WAE 有什么区别 下一篇“Debug ip eigrp”命令，输出解释？