Разрешение Cisco ASA 5505 dns

Question

Я столкнулся с проблемой с возможностью того, что клиент в сети, который находится в пределах Cisco ASA, может запросить запросы на несуществующем сервере DNS.

Версия 8.4 ASA (2)

имена хостов ciscoasa names

Интерфейс Ethernet0/0 switchport access vlan 2

интерфейс Ethernet0/1

интерфейс Ethernet0/2

интерфейс Ethernet0/3

интерфейс Ethernet0/4

интерфейс Ethernet0/5

интерфейс Ethernet0/6

интерфейс Ethernet0/7

интерфейс Vlan1 nameif внутри ip-адреса уровня безопасности 100 210.0.2.9 255.255.255.252

интерфейс Vlan2 nameif вне уровня безопасности 0 IP-адрес 210.0.2.2 255.255.255.252

объектная сеть внутри хоста 210.0.2.10 объектная сеть вне хоста 210.0.2.1

маршрут снаружи 0.0.0.0 0.0.0.0 210.0.2.1 1 маршрут внутри 0.0.0.0 0.0.0.0 210.0.2.10 1

access-list IN-OUT расширенное разрешение tcp any any eq www

access-list IN-OUT расширенное разрешение tcp любого любого домена eq

access-list IN-OUT расширенное разрешение tcp any any eq smtp

access-list IN-OUT расширенное разрешение tcp any any eq pop3

access-list IN-OUT расширенное разрешение udp любого любого домена eq

access-list IN-OUT расширенное разрешение icmp any any

access-list OUT-Server расширенное разрешение tcp для любого любого домена eq

access-list OUT-Server расширенное разрешение tcp any any eq smtp

access-list OUT-Server расширенное разрешение tcp any any eq pop3

access-list OUT-Server расширенное разрешение udp любого любого домена eq

access-list OUT-Server расширенное разрешение icmp any any

группа доступа IN-OUT в интерфейсе внутри

OUT-сервер группы доступа в интерфейсе снаружи

Интерфейс IN-OUT out-группы доступа внутри

группа доступа OUT-сервер вне интерфейса

Тайм-аут Telnet 5 Тайм-аут SSH 5

Спасибо за просмотр моего письма.

Answer 1

Ваш вопрос кажется несколько расплывчатым. Вы пытаетесь заставить клиентов обращаться к определенным DNS-серверам? Если это так, вам нужно исправить свой ACL, где он разрешает трафик "домена" на "любые" серверы.

Вам необходимо добавить доступ к определенным серверам через порт UDP/TCP 53. (В основном это будет UDP, однако TCP используется для передачи зоны и полезной нагрузки более 512 байт).