web-dev-qa-db-ja.com

Cisco ASA 5506-Xのインターフェイス間のUDPブロードキャストを許可する方法

4つの構成済みインターフェースと一連のアクセスリストなどを備えたCisco ASA 5506-Xを使用しています。これはCLIを介して構成され、透過ではなくルーテッドモードで実行されています。すべてが順調に進んでいますが、今はまだ解決できない問題があります。

インターフェイスの1つには、別の種類のデバイスを検出するためにUDPブロードキャストを送信するデバイスを含むサブネット（192.168.2。*）が含まれています。これらの他のデバイスは、別のインターフェース（192.168.3。*）の別のサブネットにあります。 udpブロードキャストは、特定のポートでグローバル（255.255.255.255）です。

192.168.2。*で送信されたグローバルUDPブロードキャストが192.168.3。*にも送信されるようにしたいと思います。

他のシスコデバイスでは、ip helper-addressおよびip forward-protocolコマンド-しかし、ASAモデルは、私の知る限り、それらをサポートしていません。

では、どのようにしてインターフェイスを介してグローバルUDPブロードキャストを取得するのですか？

firewallcisco-asaudp
5
Steffen Müller

ここでの問題は、255.255.255.255の意味を誤解していることだと思います。 「グローバルブロードキャスト」ではありません。 RFCからの定義（ https://tools.ietf.org/html/rfc919 ）：

「アドレス255.255.255.255は、ローカルハードウェアネットワーク上のブロードキャストを示します。これは転送してはいけません。このアドレスは、たとえば、ネットワーク番号を知らず、サーバーに要求しているホストによって使用される可能性があります。したがって、たとえば、ネット36上のホストは次のようになります。

  • 255.255.255.255を使用して、そのすべての隣接ルーターにブロードキャストする
  • 36.255.255.255を使用してネット36全体にブロードキャストする

あなたの場合、255.255.255.255にブロードキャストを送信するホスト192.168.3.0/24は、これを192.168.3.0/24のすべてのホストに送信してくださいと言っています。これは、192.168.3.255にパケットを送信するのと同じです。 .3のホストが.2にブロードキャストを送信する場合は、192.168.2.255にパケットを送信する必要があります。 .3からのブロードキャストを.2に再ブロードキャストすることは、それらを異なるサブネットとして保持しながら、それらを同じサブネットにしたいということを本質的に言っています。 （サブネットの一般的な他の名前は「ブロードキャストドメイン」です）

ip helperおよびip forward-protocolおよびASAのdhcprelayコマンドは、broadcastパケットをキャプチャし、それを特定のホストへのユニキャストパケット。通常はリモートDHCPサーバーですが、他の用途もあります。これは、前の回答でリンクされているチェックポイントドキュメントの最初の段落で明示的に述べられています。これは一種のNATと考えることができます。つまり、宛先アドレス（255.255.255.255）が指定されたユニキャストIP 192.168.3.10に変更されます。その後、通常のユニキャストパケットとしてルーティングされます。これはDHCPに最適であり、DHCPサーバーがリモートネットワークにあり、DHCP要求を受信して​​応答することができますが、ASAがip helperおよびip forward-protocolコマンドはまだ問題を解決できませんでした。あなたの質問はRFCとサブネットとは何かの定義に違反しています。

ここで最も簡単な解決策は、2つのサブネットを192.168.2.0/23にマージしてから2つのインターフェイスをブリッジし、ASAをトランスペアレントモードで使用して、2つのホストセット間のトラフィックをフィルタリングすることです。

それができない場合は、デバイスをお互いに見つけるためのよりスケーラブルな方法を考え出す必要があります。ブロードキャストをそれぞれのサブネットのブロードキャストアドレス（192.168.3.255および192.168.2.255）に送信するか、他の検出方法を使用します。 255.255.255.255は、スケーラブルまたは柔軟なソリューションではありません。

3
Nath

現在のバージョンでは、この機能はありません（おそらくセキュリティ上の理由から）。代わりにシスコは「dhcprelay」を実装し、より一般的なブロードキャスト転送の手段を提供していませんでした。

同じ役割を実行できる別のデバイスをASA FWの外に追加することをお勧めします（CiscoルーターまたはLinuxマシン）。 ASAを介した「ダイレクトブロードキャスト」を許可する必要があります。

ブロードキャストリレーをサポートする別のファイアウォールプラットフォーム（チェックポイントファイアウォールなど）の使用も検討してください。

ここ を見て、その構成方法を確認してください

2
Tricky