logging - 在防火墙中记录访问控制条目

Question

我们有一个 Cisco ASA5520 防火墙，为每个接口定义了访问规则。

接口上未指定显式拒绝所有命令。

在防火墙上启用了日志记录。

我的问题是，

当允许的 IP 地址以外的 IP 地址尝试访问时，会被记录吗？

例如：

A到B允许日志=否

但

没有提到任何拒绝日志=是的

因此，如果 ip A 尝试访问 C ，它会被记录吗？

如果是，那么启用的防火墙日志与访问控制条目中的日志记录功能有什么区别？

Answer 1

答案是有时。如果您希望可靠地记录拒绝，您最好的选择是deny ip any any log在 ACL 的末尾放置一个显式的。默认情况下，ASA 不会记录 ACL 拒绝，因为它只是流量过多，但该功能确实存在。不幸的是，它分布在一堆不同的日志消息中。tcp/udp/icmp 和其他协议有单独的消息。它们从系统日志消息106001开始。show run all logging在 cli 中查看在您的防火墙类型上启用了哪些日志记录消息。