适用场景

ASA 以高安全级别到低安全级别默认放通著称，这个默认行为既是便利也是坑：很多配置漏了也通的问题都源于此。

配置步骤（ASA 排障常用命令）

show interface ip brief
show conn count
show conn detail | include 10.0.0.20
show access-list | include hitcnt
packet-tracer input inside tcp 10.0.0.100 12345 8.8.8.8 443 detailed
show logging | tail

关键参数与建议

  • inside 安全级别 100、outside 0；默认高到低放通，低到高必须显式 ACL
  • ASA 8.3 之后 NAT 语法与之前完全不同，脚本移植前先确认版本
  • ACL 用 access-group 应用到接口，注意方向 in/out
  • 远程接入用 AnyConnect，注意授权（license）与证书
  • 日志上送 syslog，用 logging trap 控制级别与流量

容易踩的坑

  • 只看配置不查 conn，无法判断是没放通还是回包不通
  • 忽略 hitcnt，改了策略不知道是否命中
  • 不抓包凭感觉改配置，越改越乱

验证与巡检

packet-tracer input inside tcp 10.0.0.100 1234 8.8.8.8 443
  • 巡检：每次变更前后保存 packet-tracer 结果，形成证据链

小结

排障四命令：show interface ip brief、show route、show conn、packet-tracer。其中 packet-tracer 能直接告诉你包在哪一步被拒。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。