Cisco ACL

[Verwijderd]

De onderstaande rule, ik wil van deze rule af omdat we geen any ip (als destenation) willen in DMZ.



Punt is alleen dat deze regel nog veel gehit wordt, mogelijk met bepaald productie-verkeer. Zomaar dichtgooien is dus geen optie.
Nu wil ik graag monitoren wat voor verkeer er ge-permit wordt of naar wie het verkeer gaat.
Dus ik dacht: Daar hebben we logging voor, ik selecteer die specifieke regel en druk “show log”:




Niets, nul-komma-nul. En dat is niet alleen bij deze rule zo, maar bij alle ACL’s.
Wat doe ik fout? Dit zijn globaal mijn instellingen:




Verder heb ik een syslogserver waar syslogs heen worden gestuurd. Maar dan nog moet ik via ASDM real-time een ACL kunnen monitoren toch? Volgens mij doe ik iets verkeerd…

[-OPTICAL-]

Wat voor type firewall gaat het om? en welke versie asdm?
als je het commando show logging doet, zie je dan wel dat er iets geregistreerd wordt?

[Verwijderd]

-OPTICAL- schreef op donderdag 24 oktober 2013 @ 11:14:
Wat voor type firewall gaat het om? en welke versie asdm?
als je het commando show logging doet, zie je dan wel dat er iets geregistreerd wordt?

Cisco ASA 5510. ASDM 6.4

Resultaat show logging:
Result of the command: "show logging"

Syslog logging: enabled
Facility: 20
Timestamp logging: disabled
Standby logging: enabled
Debug-trace logging: disabled
Console logging: disabled
Monitor logging: disabled
Buffer logging: disabled
Trap logging: level errors, facility 20, 11462 messages logged
Logging to inside server1.domain.lan
History logging: level critical, 9019 messages logged
Device ID: disabled
Mail logging: level alerts, 16 messages logged
ASDM logging: level informational, 4055329 messages logged

[plizz]

Je Buffer logging is disabled. Je moet die aanzetten met commando "logging buffered informational". Je logt dan berichten van severity= 3, 4 en 6. Als het klopt zie je nu die log berichten.

[ Voor 3% gewijzigd door plizz op 24-10-2013 11:56 ]

[Verwijderd]

plizz schreef op donderdag 24 oktober 2013 @ 11:42:
Je Buffer logging is disabled. Je moet die aanzetten met commando "logging buffered informational". Je logt dan berichten van severity= 3, 4 en 6. Als het klopt zie je nu die log berichten.

Ja ik zie dan wel log berichten bij het commando show logging. Maar bij al mijn ACLs krijg ik nog steeds niets te zien als ik op show log bij een ACL klik. Het blijft leeg, terwijl er logging op de rules staan ingesteld en er genoeg verkeer overheen gaat. Volgens mij doe ik nog steeds iets verkeerd.

[plizz]

Zie je de logs ook niet in ASDM via Tab Monitoring -> Logging -> Real Time Log Viewer?

[Verwijderd]

plizz schreef op donderdag 24 oktober 2013 @ 12:32:
Zie je de logs ook niet in ASDM via Tab Monitoring -> Logging -> Real Time Log Viewer?

Ja dan zie ik een hele lijst met logs met NAT translations etc.. maar geen ACL logs. Het moet op de één of andere manier mogelijk zijn om de Permits/Deny's van een ACL te zien.

[plizz]

Raar, ik zie daar wel Permit/Deny logs voorbij vliegen. Hoe heb je die Permit/Deny ACL logging ingesteld? Dus logging: default, emergincies, alert, etc. Ik heb het getest met een ACL op logging default.

Note: Gebruik wel een ASA 5505 met asdm 7.1.3. Maar dat zou geen probleem moeten zijn.

[ Voor 18% gewijzigd door plizz op 24-10-2013 13:17 ]

[mbaltus]

Je moet de logging van die ACL regel instellen op bijvoorbeeld informational (of hoger). Dan zou je de hits waarschijnlijk wel zien. Sowieso als je wilt volgen wat voor verkeer het betreft, kun je beter een syslog server inrichten en naar die server loggen. Dan heb je ook wat historie.

[Insehh]

En monitoring logging aanzetten ?