ASA防火墙之MPF配置监控流量

MPF配置监控流量

本篇继续讲解ASA防火墙，关于使用MPF的方式来配置监控流量，使得流量可以正常的回包。

配置命令如下
配置ICMP监控流量
ASA(config)#policy-map global_policy
ASA(config-pmap)#class inspection_default
ASA(config-pmap-c)# inspect icmp

配置ESP监控流量
由于在 class-map中的流量匹配没有ESP流量，因此需要建立一个ACL表来匹配ESP流量，在class-map中调用这个ACL
ASA(config)#access-list ESP extended permit esp any any
ASA(config)#class-map ESP-class
ASA(config-cmap)#match access-list ESP //调用ACL列表来匹配ESP流量
ASA(config)#policy-map global_policy
ASA(config-pmap)#class ESP-class //在全局policy-map中调用class-map
ASA(config-pmap-c)#inspect ipsec-pass-thru //监控ESP流量

以正常ASA高级别到低级别的区域的ping为例，在不做配置的情况下，是无法ping成功的，无论是低级别到高级别还是低到高，原因就是回包无法匹配ASA的特性，通过以上的配置，生成流量监控，使得回包匹配流量监控，让访问正常通信。

最后

到此讲解结束，感谢您的观看。