ASAをNATルータとして使用している環境でtracerouteを正常に動作させるためにはいくつかの設定が必要となる。インターネット接続部分でNAPT、inspect、ACL、policy-mapといった各種設定を見直したためメモ。Linuxのtracerouteの仕組み、違い、FW通過させる設定はこちら。ASAでフレッツとPPPoE(DynamicIP)接続。インターネット通信はSrcNAPT(PAT)、DstNATなし。私の環境では次のような変更を実施した。before/after項目を示すためDFの比較結果を記載する。!outsideインタフェースでICMP戻りパケットを許可するそれぞれ許可すると次の表示が可能になる。tracerouteは許可/拒否でも動作に違いはなかった。ICMPパケット受信バッファ調整こちらの設定をしておかないと、ホップ表示に時間がかかる。inspection設定tracerouteのホップ検出時のICMPヘッダには元パケットのUDPヘッダが引き継がれる。そのICMPヘッダの内容をinspectして確認することでNAT(NAPT/PAT)のコネクションと紐付ける。errorNAPT設定誤り初期構築時に設定を間違えたのか、NAPTが想定通りに設定できていなかった。Dst:0.0.0.0と表示され、戻りパケットを処理できていなかった。inspectionが正常に動作しないと考えられる。ASAはデフォルトでは通過パケットのTTLをdecrementしない。そのため、tracerouteのパケットをそのまま転送し、ホップとしてカウントされず表示されない。decrement-ttl!クラス名は適宜変更する。Ciscoオフィシャル情報Ciscoのサポートコミュニティでも同様の議論あり。errorも必要になった?ような話がある。上記の設定変更後のLinuxからのtracerouteの結果は以下の通り。*After正常にtraceroute表示されるようになった。ASA5505は基本ライセンスでは3つまでVLANを設定できる。(14)はてなブログをはじめよう!daichi703nさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。