在 Cisco ASA 中管理访问规则时，我总是使用 ASDM，因为它更易于可视化、故障排除和管理。

我最近为 S2S IPsec VPN 创建了一个 VPN 过滤器，并注意到一些奇怪的事情。TCP/UDP 对象组似乎不像它们通常在 VPN 过滤器的访问规则副 ACL 管理器中那样工作。我必须创建一个 IP 对象并指定源/目标端口。

以下是 ASDM 预览进入 CLI 的内容。请记住，VPN 过滤器的 src/dst 语法是倒退的。

使用 TCP 对象组（不起作用）：

access-list Site1_VPN_Filter line 14 extended permit tcp object-group Site2 object-group Site1 object-group rdp 

使用 IP 对象组（确实有效）：

access-list Site1_VPN_Filter line 15 extended permit object rdp-vpnf object-group Site2 object-group Site1 

对象组：

object-group service rdp tcp
 port-object eq 3389
object service rdp-vpnf
 service tcp source eq 3389 

我多年来一直在访问规则中使用 TCP 和 UDP 对象组没有问题，直到我尝试在 VPN 过滤器的 ACL 中使用一个。

这只是由错误/语法错误解释的奇怪的思科行为，还是有合法的理由必须这样？

欣赏任何见解！