{"id":226,"date":"2007-09-15T14:28:29","date_gmt":"2007-09-15T12:28:29","guid":{"rendered":"http:\/\/security-planet.de\/2007\/09\/15\/route-tracking-mit-der-cisco-asapix\/"},"modified":"2007-09-15T14:28:29","modified_gmt":"2007-09-15T12:28:29","slug":"route-tracking-mit-der-cisco-asapix","status":"publish","type":"post","link":"https:\/\/cyber-fi.net\/index.php\/2007\/09\/15\/route-tracking-mit-der-cisco-asapix\/","title":{"rendered":"Route-Tracking mit der Cisco ASA\/PIX"},"content":{"rendered":"

In der aktuellen Kursversion des SNPA (Securing Networks with PIX and ASA) wird zwar eine statische Route mit Route-Tracking gezeigt, aber leider nicht, welche Konfiguration dazu notwendig ist.
\nBeim Route-Tracking kann das Vorhandensein einer statischen Route in der Routingtabelle von der Erreichbarkeit eines IP-Ziels abh\u00e4ngig gemacht werden. Diese Funktion ist im Cisco IOS zwar schon l\u00e4nger vorhanden, in der PIX\/ASA aber erst in Version 7.2(1) dazugekommen.<\/p>\n

In diesem Beispiel soll die Verbindung \u00fcber das Interface “backup” zum ISP2 genutzt werden, wenn das Internet \u00fcber das Interface “outside” zum ISP1 nicht erreichbar ist.<\/p>\n

Die komplette Konfiguration:<\/strong><\/p>\n

route outside 0.0.0.0 0.0.0.0 192.0.2.100 1 track 192\nroute backup  0.0.0.0 0.0.0.0 192.0.2.200 10\n!\nsla monitor 1\n type echo protocol ipIcmpEcho 192.0.2.254 interface outside\n  num-packets 3\n  threshold 2500\n  timeout 5000\n  frequency 60\n  request-data-size 100\nsla monitor schedule 1 life forever start-time now\n!\ntrack 192 rtr 1 reachability\n<\/code><\/pre>\n
Die Erl\u00e4uterung der Befehle:<\/strong>
\nEs werden zwei Default-Routen konfiguriert:<\/p>\n
route outside 0.0.0.0 0.0.0.0 192.0.2.100 1 track 192\nroute backup  0.0.0.0 0.0.0.0 192.0.2.200 10\n<\/code><\/pre>\n
Beide Routen m\u00fcssen f\u00fcr das Tracking dasselbe Ziel und dieselbe Subnet-Mask verwenden. Weiterhin mu\u00df die Route \u00fcber das Backup-Interface eine gr\u00f6\u00dfere administrative Distanz haben, da ansonsten die Backup-Route installiert werden w\u00fcrde. F\u00fcr die prim\u00e4re Route wird das Tracking-Objekt mit der ID 192 aktiviert.<\/p>\n
Die Tracking-ID wird mit einem SLA Monitoringprozess (hier mit der ID 1) verbunden. Aktuell kann nur die Erreichbarkeit \u00fcberpr\u00fcft werden:<\/p>\n
track 192 rtr 1 reachability<\/code><\/pre>\n
Der Monitoringprozess wird konfiguriert:<\/p>\n
sla monitor 1\n type echo protocol ipIcmpEcho 192.0.2.254 interface outside\n  frequency 60\n  num-packets 3\n  request-data-size 100\n  threshold 2500\n  timeout 5000<\/code><\/pre>\n
Das Monitoring arbeitet per ICMP Echo, pingt also regelm\u00e4\u00dfig ein Ziel an und pr\u00fcft, ob die Antwortpakete zur\u00fcckkommen. Die Pakete werden \u00fcber das outside-Interface mit dessen IP-Adresse als Source gesendet.
\nAlle 60 Sekunden werden 3 ICMP Echo-Requests mit einer ICMP-Payload von 100 Bytes gesendet (das ergibt eine Paketgr\u00f6\u00dfe von 136 Byte). Threshold und Timeout sind 2,5 bzw. 5 Sekunden. Auch wenn die Antwortzeit \u00fcber dem Threshold liegt, gilt die Erreichbarkeit weiterhin als gegeben und die Route bleibt in der Routing-Tabelle installiert.<\/p>\n
Der Monitoringprozess wird gestartet:<\/p>\n
sla monitor schedule 1 life forever start-time now<\/code><\/pre>\n
Der Prozess soll nicht automatisch beendet werden und ab sofort starten.<\/p>\n
Hiermit ist die Konfiguration komplett.<\/p>\n
Default-Routen, die per DHCP bzw. PPPoE gelernt wurden, k\u00f6nnen auch getrackt werden. Auch hier mu\u00df man beachten, da\u00df die Backup-Route eine h\u00f6here administrative Distanz als die prim\u00e4re Route hat:<\/p>\n
interface GigabitEthernet 0\/0\n description Primaeres Interface\n dhcp client route track 192\n ip addresss dhcp setroute\n\ninterface GigabitEthernet 0\/2\n description Sekundaeres Interface\n dhcp client route distance 10\n ip addresss dhcp setroute\n<\/code><\/pre>\n
Selbstverst\u00e4ndlich kann das Tracking auch im ASDM konfiguriert werden.<\/p>\n