Newsgroup: it.comp.reti.cisco
Titolo: Cisco ASA e broadcast amplification

Ho un problema abbastanza particolare con un Cisco ASA 5510 con firmware
9.1.4.
 
Il firewall quando riceve un pacchetto di broadcast su un'interfaccia lo
amplifica di qualche centinaio di migliaia di volte, comportando dei
broadcast storm sulla rete.
 
Ho risolto temporaneamente impostando una acl sulla porta dello switch
cui è connesso l'ASA in modo da bloccare i pacchetti IP diretti
all'indirizzo di broadcast, ma chiaramente questa non è una soluzione.
Ho guardato e riguardato più volte la configurazione ma non trovo nulla
di diverso da altre installazioni analoghe... Anche il packet tracer mi
dice che il pacchetto dovrebbe venir banalmente droppato.
 
Allego la configurazione del ASA. Ho tolto per praticità e correttezza
verso il cliente le ACL, gli oggetti, le vpn e le parti che certamente
non possono avere a che fare con il problema.
 
Se qualcuno ha già osservato un simile comportamento o ha qualche idea
che mi aiuti a risolvere o qualche test da poter fare per comprendere è
benaccetto... sinceramente non so più dove sbattere la testa.
 
ASA Version 9.1(4)
!
xlate per-session deny tcp any4 any4
xlate per-session deny tcp any4 any6
xlate per-session deny tcp any6 any4
xlate per-session deny tcp any6 any6
xlate per-session deny udp any4 any4 eq domain
xlate per-session deny udp any4 any6 eq domain
xlate per-session deny udp any6 any4 eq domain
xlate per-session deny udp any6 any6 eq domain
names
ip local pool Pool_VPN-client 192.168.255.129-192.168.255.254 mask
255.255.255.0
!
interface Ethernet0/0
 nameif outside
 security-level 0
 ip address X.X.X.X 255.255.255.248
!
interface Ethernet0/1
 speed 1000
 duplex full
 nameif inside
 security-level 100
 ip address 192.168.200.254 255.255.255.0
!
interface Ethernet0/1.50
 description Rete di management
 vlan 50
 nameif mgmt
 security-level 99
 ip address 192.168.50.254 255.255.255.0
!
interface Ethernet0/2
 nameif dmz
 security-level 50
 ip address 192.168.102.254 255.255.255.0
!
interface Ethernet0/3
 no nameif
 no security-level
 no ip address
!
interface Ethernet0/3.160
 description WiFi Public Interface
 vlan 160
 nameif WiFi-Public
 security-level 20
 ip address 192.168.160.254 255.255.255.0
!
interface Ethernet0/3.155
 description Rete WiFi degli Uffici
 vlan 155
 nameif WiFi-Uffici
 security-level 80
 ip address 192.168.155.254 255.255.255.0
!
interface Ethernet0/3.120
 description Rete WiFi degli Ospiti
 vlan 120
 nameif WiFi-Ospiti
 security-level 10
 no ip address
!
interface Ethernet0/3.150
 description Rete della videosorveglianza
 vlan 150
 nameif Videosorveglianza
 security-level 90
 ip address 192.168.150.254 255.255.255.0
!
interface Management0/0
 management-only
 nameif management
 security-level 100
 ip address 192.168.1.1 255.255.255.0
!
boot system disk0:/asa914-k8.bin
same-security-traffic permit intra-interface
 
logging enable
logging timestamp
logging buffer-size 10000
logging asdm-buffer-size 500
logging console debugging
logging buffered debugging
logging trap informational
logging asdm debugging
logging queue 0
logging permit-hostdown
no logging message 106015
no logging message 313001
no logging message 313008
no logging message 106023
no logging message 710003
no logging message 106100
no logging message 302015
no logging message 302014
no logging message 302013
no logging message 302018
no logging message 302017
no logging message 302016
no logging message 302021
no logging message 302020
flow-export destination inside host_netflow_collector 9996
flow-export template timeout-rate 5
flow-export delay flow-create 5
mtu outside 1500
mtu inside 1500
mtu mgmt 1500
mtu dmz 1500
mtu WiFi-Public 1500
mtu WiFi-Uffici 1500
mtu WiFi-Ospiti 1500
mtu Videosorveglianza 1500
mtu management 1500
ip verify reverse-path interface inside
ip verify reverse-path interface mgmt
ip verify reverse-path interface dmz
ip verify reverse-path interface WiFi-Public
ip verify reverse-path interface WiFi-Uffici
ip verify reverse-path interface WiFi-Ospiti
ip verify reverse-path interface Videosorveglianza
ip verify reverse-path interface management
no failover
icmp unreachable rate-limit 50 burst-size 10
asdm image disk0:/asdm-715.bin
no asdm history enable
arp timeout 14400
no arp permit-nonconnected
timeout xlate 3:00:00
timeout pat-xlate 0:00:30
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat
0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect
0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
!
dhcprelay server host_domaincontroller02 inside
dhcprelay server host_domaincontroller03 inside
dhcprelay enable mgmt
dhcprelay enable WiFi-Uffici
dhcprelay enable Videosorveglianza
dhcprelay timeout 60
threat-detection basic-threat
threat-detection statistics host number-of-rate 3
threat-detection statistics port number-of-rate 3
threat-detection statistics protocol number-of-rate 3
threat-detection statistics access-list
threat-detection statistics tcp-intercept rate-interval 30 burst-rate
400 average-rate 200
ntp server host_domaincontroller02 source inside prefer
ntp server 193.204.114.233 source outside
!
class-map tcp-bypass
 match access-list test
class-map global-class
 match default-inspection-traffic
class-map netflow-class
 description Netflow policy rule
 match any
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 2048
policy-map tcp-bypass
 class tcp-bypass
  set connection advanced-options tcp-state-bypass
policy-map global-policy
 class global-class
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect http
  inspect icmp
  inspect icmp error
  inspect ip-options
  inspect netbios
  inspect rsh
  inspect rtsp
  inspect sip
  inspect skinny
  inspect sqlnet
  inspect sunrpc
  inspect tftp
  inspect xdmcp
 class netflow-class
  flow-export event-type all destination host_netflow_collector
 class class-default
  user-statistics accounting
!
service-policy global-policy global
prompt hostname context
 
 
-- 
Flavio Visentin
 
Scientists discovered what's wrong with the female brain: on the left
side, there's nothing right, and on the right side, there's nothing left

 dhcprelay timeout 60
 
In rete non trovo nulla a riguardo e non ho ancora effettuato nessun upgrade 
alla 9, mi spiace.
 
Rizio
 
--- news://
freenews.netfront.net/
 - complaints: 
ne...@netfront.net
 ---

Il 03/24/2014 08:41 AM, Rizio ha scritto:
 
Qui magari trovi qualche info in più riguardo al DHCP relay semmai potesse 
essere quello.
 
http://www.cisco.com/c/en/us/td/docs/security/asa/asa91/configuration/general/asa_91_general_config/basic_dhcp.html
 


 potesse essere quello.
 
Dubito sia il DHCP Relay perché amplifica tutti i pacchetti diretti al
broadcast locale, 
p.es
. i classici pacchetti netbios sulla 137 e 138 ma
anche i pacchetti icmp di ping al bcast che facevo per test.


 anche i pacchetti icmp di ping al bcast che facevo per test.
 
Sembrerebbe simile ad una funzione di proxy arp....però non ho trovato nulla in 
rete in proposito


 nulla in rete in proposito
 
Ibidem... ho cercato più e più volte ma nulla.
L'unica cosa che c'era di anomalo era la presenza di una rotta esplicita
per una rete direct attached, ma anche se l'ho rimossa non è cambiato
nulla...
Attenderò una qualche nuova release per vedere se il problema scompare.
