13-思科防火墙：ASA对TTL的处理

ASA(config)# access-list out extended permit ip any any
ASA(config)# access-group out in interface outside

2、R1应用Traceroute工具：
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2
1 10.1.1.2 16 msec 32 msec 20 msec
结论：ASA把TTL干掉了，默认不减TTL值

3、ASA可以不减TTL的做法，放行TTL的CLI：
ASA(config)# access-list ttl extended permit udp any any gt 33433 //抓取流量从33433开始抓， gt：Port greater than operator

ASA(config)# class-map abc
ASA(config-cmap)# match access-list ttl

ASA(config-cmap)# policy-map def
ASA(config-pmap)# class abc
ASA(config-pmap-c)# set connection decrement-ttl

ASA(config-pmap-c)# service-policy def interface outside

四、验证：
1、R1 Traceroute抓包查看：UDP33433端口

怎么看到是从：33434开始的呢？和视频讲的不一样
2、设置ASA可以减TTL值以后的效果：
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2

1 202.100.1.10 40 msec * 12 msec
2 10.1.1.2 20 msec 28 msec 8 msec

从33437开始的？和书本有点出入

13-思科防火墙：ASA对TTL的处理

原文：http://blog.51cto.com/13856092/2138599