[fantas1st0]

По IPS? Ну либо ждать пока выйдет офф. гайд, либо закупить Quick скинем втроем по 100рублей

[fantas1st0]

Для разминки мозгов:
имеем топологию: R1 - (inside) ASA (outside) - R2. Сети: R1 (192.168.17.1) - ASA (192.168.17.7); ASA (192.168.27.7) - R2 (192.168.27.2).
ASA имеет такой конфиг:

nat-control
nat (inside) 0 192.168.17.0 255.255.255.0
access-list OUT_IN extended permit ip any any
access-group OUT_IN in interface outside
access-list OUT_OUT extended permit ip any any
access-group OUT_OUT OUT interface outside

Теперь заходим на R2 и делаем: ping 192.168.17.1 .... "success rate is 0". Что необходимо сделать, чтобы ping пошел?

Вопрос №2. У этой же АСЫ есть dmz-интерфейс. Добавляем команды в конфиг:

access-list ROUTER3 extended permit ip host 192.168.37.3 any
nat (dmz) 0 access-list ROUTER_3

Теперь заходим на R2 и делаем: ping 192.168.37.3 .... "success rate is 100". Почему трафик проходит?

Жду ваших предложений

[Aleks305]

nat (inside) 0 192.168.17.0 255.255.255.0 - говорит,что эти адреса не надо транслировать. Так как nat-control включен, то весь трафик может только натиться, а не маршрутизироваться
убрать nat-control, мне кажется должно заработать, при условии,что роутер знает, что за asa эта сеть

[fantas1st0]

Aleks305
тут Вы не правы. Здесь мы говорим, что адреса сети 192.168.17.0 транслировать сами в себя в любом направлении движения трафика. Поэтому nat-control оставте Решение гораздо более изящное
Не транслируем мы адреса командами

access-list ROUTER3 extended permit ip host 192.168.37.3 any
nat (dmz) 0 access-list ROUTER_3

но в этом случае трафик удачно ходит при включенном nat-control

[HunSolo]

Читаем доку где черно по белому

Цитата

For identity NAT, even though the mapped address is the same as the real address, you cannot initiate a connection from the outside to the inside (even if the interface access list allows it). Use static identity NAT or NAT exemption for this functionality.

Поэтому сносим

no nat (inside) 0 192.168.17.0 255.255.255.0
static (inside,outside) 192.168.17.0 192.168.17.0 netmask 255.255.255.0

и радуемся

[fantas1st0]

Вот археолог :)
Можно запустить пинг с внутреннего интерфейса, появится трансляция и доступ из вне будет открыт.

[HunSolo]

Вопрос а как можно запустить пинг с R1, если хе-хе, вы находитесь на R2 и у вас только консоль к ASA.

Ладно пусть не консоль, а SSH на outside.
Считаем что R1 пускает только
1) по SSH
или только с
2) адресов R2

Т.е зайти с ASA на R1 невозможно (на ASA нет ssh клиента, кстати вполне типичная ситуация)


---------------
А теперь более сложная задачка.
1) Конфиг исходный.
2) Нелья использовать static nat и nat exception
3) Нельзя убирать nat-control

Требуется обеспечить доступ R2 к R1, да так, чтобы R2 появлялся в сети R1 под своими адресом

Вариант пропинговать с R1 не принимается так как с ASA туда доступа нет. И вообще на R1 можно заползти только с R2, для этого злобный админ повесил на R1 нужный ACL.