Cisco ASA - Supprimer ou renommer des «noms»

J'ai eu une mauvaise expérience avec Cisco ASA lors du changement / changement de nom des attributs d'interface "nameif".

Je voudrais savoir si renommer ou simplement supprimer les noms existants utilisés dans la configuration ASA endommagera la configuration.

cisco cisco-asa firewall

— laf
source

Je voudrais savoir si renommer ou simplement supprimer les noms existants utilisés dans la configuration ASA endommagera la configuration.

Vous pouvez supprimer et ajouter des namealias en toute sécurité car l'ASA revient à l'adresse IP lorsque le nom disparaît ...

L'alias d'origine est Xbox...

asa5505(config)# sh runn | i Xbox
name 172.16.1.20 Xbox description Xbox
access-list INSIDE_in extended permit udp host Xbox any eq domain
access-list INSIDE_in extended permit tcp host Xbox any eq domain
access-list INSIDE_in extended permit udp host Xbox any eq 3074
access-list INSIDE_in extended permit tcp host Xbox any eq 3074
access-list INSIDE_in extended permit udp host Xbox any eq 88

Suppression en cours Xbox

asa5505(config)# no name 172.16.1.20 Xbox
asa5505(config)# sh runn | i 172.16.1.20
access-list INSIDE_in extended permit udp host 172.16.1.20 any eq domain
access-list INSIDE_in extended permit tcp host 172.16.1.20 any eq domain
access-list INSIDE_in extended permit udp host 172.16.1.20 any eq 3074
access-list INSIDE_in extended permit tcp host 172.16.1.20 any eq 3074
access-list INSIDE_in extended permit udp host 172.16.1.20 any eq 88
asa5505(config)#

Et en ajoutant Xbox-newla même adresse ...

asa5505(config)# name 172.16.1.20 XBox-new descr temporary example
asa5505(config)# sh runn | i 172.16.1.20
name 172.16.1.20 XBox-new description temporary example
asa5505(config)# sh runn | i XBox
name 172.16.1.20 XBox-new description temporary example
access-list INSIDE_in extended permit udp host XBox-new any eq domain
access-list INSIDE_in extended permit tcp host XBox-new any eq domain
access-list INSIDE_in extended permit udp host XBox-new any eq 3074
access-list INSIDE_in extended permit tcp host XBox-new any eq 3074
access-list INSIDE_in extended permit udp host XBox-new any eq 88
asa5505(config)#

Matériel bonus: renommer un nameif

J'ai eu une mauvaise expérience avec Cisco ASA lors du changement / changement de nom des attributs d'interface "nameif".

Renommer nameifsur une interface fonctionne très bien dans ASA 8.2 (5) ... Ceci est un exemple de changement nameif OUTSIDEennameif newOUTSIDE

asa5505# sh nameif
Interface                Name                     Security
Vlan100                  OUTSIDE                    0
Vlan200                  INSIDE                   100
asa5505# sh runn | i access-group
access-group OUTSIDE_in in interface OUTSIDE
access-group INSIDE_in in interface INSIDE
asa5505# conf t
asa5505(config)# int vlan100
asa5505(config-if)# nameif newOUTSIDE
asa5505(config-if)# show nameif
Interface                Name                     Security
Vlan100                  newOUTSIDE                 0
Vlan200                  INSIDE                   100
asa5505(config-if)# sh runn | i newOUTSIDE
 nameif newOUTSIDE
mtu newOUTSIDE 1500
global (newOUTSIDE) 1 interface
access-group OUTSIDE_in in interface newOUTSIDE
ssl trust-point LOCAL_CERT_gw_200904 newOUTSIDE
asa5505(config-if)#

L'ASA a même renommé automatiquement les références d'interface de OUTSIDEà newOUTSIDE... Les sessions TCP via le FW n'ont pas chuté quand je l'ai fait.

ATTENTION

Quoi que vous fassiez, n'essayez pasno nameif <something here> ... ça va arroser votre config ...

asa5505(config)# int vlan100
asa5505(config-if)# no nameif OUTSIDE
asa5505(config-if)# nameif newBrokenOUTSIDE

— Mike Pennington
source

Merci, bon de le savoir. Je suis toujours préoccupé par la suppression des noms. Par exemple, noms de serveur FTP 10.16.146.10

— laf

Une petite question: savez-vous par hasard depuis quand cette fonctionnalité a été ajoutée? J'exécute 8.0.4 sur le présent appareil.

— laf

Selon les documents nominatifs de l' ASA 8.0 , cela fonctionne aussi dans la version 8.0

— Mike Pennington