Tenho um ASA conectado à rede primária e gostaria que ele fizesse um encaminhamento de porta fácil para que quando um pc tentar telnetar o ASA na porta 500, por exemplo, o ASA encaminhe a solicitação para um servidor. A topologia seria assim: 192.168.1.100 (PC) -> 192.168.1.200 (ASA) -> 192.168.1.300 (SERVER)
Então, no meu PC, se eu fizer "telnet 192.168.1.200 500", a solicitação irá para 192.168.1.300
Criei uma regra nat e habilitei a lista de acesso mas não está funcionando
- lista de acesso eth0_access_in linha 12 permissão estendida grupo de objetos DM_INLINE_SERVICE_3 objeto PC objeto SERVER
- lista de acesso eth0_access_in linha 13 permissão estendida grupo de objetos DM_INLINE_SERVICE_4 objeto SERVER objeto PC
- nat (eth0,eth0) 1 fonte estática SERVIDOR SERVIDOR destino estático PC PC serviço tcp-500 tcp-500
Responder1
O Cisco ASA tem uma limitação no fluxo de tráfego. A interface de entrada e de saída devem ser diferentes. Estou falando de interfaces nomeadas. Duas vlans diferentes na mesma placa de rede física estão ok, mas a entrada e a saída na mesma vlan ou não marcadas em uma placa de rede física não estão funcionando.
Além disso, sua configuração não funcionará no nível TCP. Removerei um 0 do último octeto para ter endereços IP reais.
Initial Packet
192.168.1.10:12345 -> 192.168.1.20:500 (SYN)
Rewrite on ASA
192.168.1.10:12345 -> 192.168.1.30:500 (SYN)
Response from Server
192.168.1.30:500 -> 192.168.1.10:12345 (SYN,ACK)
O cliente recebe este pacote porque não possui conexão para 192.168.1.30:500 na tabela de conexões.
Você precisa de um nat de origem adicional em seu firewall ou de uma rota de host de 192.168.1.300 a 192.168.1.100 por meio do firewall.
Apenas mais uma observação: espero que esta seja uma configuração de laboratório. O asa está sem suporte desde setembro de 2018 e a taxa de transferência de 300 Mbps não é o que há de mais moderno hoje em dia.