Newsgroup: it.comp.reti.cisco
Titolo: ASA problema su outside

Ciao,
Ho configurato un nuovo 5505 ASA with Security Plus licence.
Ho un problema: dopo un po di ore l'interfaccio outside smette di funzionare 
e la VPN va gi�.
In questo stato non risco a pingare neanche il gateway. L'interfaccia inside 
funziona regolarmente.
Ho porvatto a fissare la velocit� a 100 Half su switch e ASA ma il problema 
persiste.
Questo problema non si verifica sugli altri asa nelle altre sedi.
Ho sostituito il dispositivo con altro uguale ma il problema � lo stesso.
Suppongo che non sia un problema di configurazione perch� gli altri ASA 
funzionano.
Ecco alcuni output quando il firewall � "bloccato":
ASA# sh int e0/0
Interface Ethernet0/0 "", is up, line protocol is up
  Hardware is 88E6095, BW 100 Mbps
        Half-Duplex(Half-duplex), 100 Mbps(100 Mbps)
        Available but not configured via nameif
        MAC address 0024.14ef.2a6a, MTU not set
        IP address unassigned
        2176 packets input, 305804 bytes, 0 no buffer
        Received 90 broadcasts, 0 runts, 0 giants
        0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort
        0 L2 decode drops
        5 switch ingress policy drops
        1702 packets output, 224296 bytes, 0 underruns
        0 output errors, 0 collisions, 0 interface resets
        0 babbles, 0 late collisions, 0 deferred
        0 lost carrier, 0 no carrier
        0 rate limit drops
        0 switch egress policy drops
ASA# s int vlan2
Interface Vlan2 "outside", is up, line protocol is up
  Hardware is EtherSVI
        Description: ToISP
        MAC address 0024.14ef.2a72, MTU 1500
        IP address xx.xx.xxx.xxx, subnet mask 255.255.255.240
  Traffic Statistics for "outside":
        1802 packets input, 195826 bytes
        1702 packets output, 193624 bytes
        19 packets dropped
      1 minute input rate 0 pkts/sec,  1 bytes/sec
      1 minute output rate 0 pkts/sec,  15 bytes/sec
      1 minute drop rate, 0 pkts/sec
      5 minute input rate 0 pkts/sec,  1 bytes/sec
      5 minute output rate 0 pkts/sec,  3 bytes/sec
      5 minute drop rate, 0 pkts/sec
ASA# sh ver
Cisco Adaptive Security Appliance Software Version 7.2(4)
Device Manager Version 5.2(4)
ASA up 1 hour 20 mins
Hardware:   ASA5505, 256 MB RAM, CPU Geode 500 MHz
Internal ATA Compact Flash, 128MB
BIOS Flash M50FW080 @ 0xffe00000, 1024KB
Encryption hardware device : Cisco ASA-5505 on-board accelerator (revision
0x0)
                             Boot microcode   : ?CNlite-MC-Boot-Cisco-1.2
                             SSL/IKE microcode: ?CNlite-MC-IPSEC-Admin-3.03
                             IPSec microcode  : ?CNlite-MC-IPSECm-MAIN-2.05
 0: Int: Internal-Data0/0    : address is 0024.14ef.2a72, irq 11
 1: Ext: Ethernet0/0         : address is 0024.14ef.2a6a, irq 255
 2: Ext: Ethernet0/1         : address is 0024.14ef.2a6b, irq 255
 3: Ext: Ethernet0/2         : address is 0024.14ef.2a6c, irq 255
 4: Ext: Ethernet0/3         : address is 0024.14ef.2a6d, irq 255
 5: Ext: Ethernet0/4         : address is 0024.14ef.2a6e, irq 255
 6: Ext: Ethernet0/5         : address is 0024.14ef.2a6f, irq 255
 7: Ext: Ethernet0/6         : address is 0024.14ef.2a70, irq 255
 8: Ext: Ethernet0/7         : address is 0024.14ef.2a71, irq 255
 9: Int: Internal-Data0/1    : address is 0000.0003.0002, irq 255
10: Int: Not used            : irq 255
11: Int: Not used            : irq 255
Licensed features for this platform:
Maximum Physical Interfaces : 8
VLANs                       : 20, DMZ Unrestricted
Inside Hosts                : Unlimited
Failover                    : Active/Standby
VPN-DES                     : Enabled
VPN-3DES-AES                : Enabled
VPN Peers                   : 25
WebVPN Peers                : 2
Dual ISPs                   : Enabled
VLAN Trunk Ports            : 8
This platform has an ASA 5505 Security Plus license.
Idee?
Grazie

 Grazie
Non ho mai messo le mani su un ASA (purtroppo :( ) ma da come la leggo 
io e tenendo buono che se sostituisci l'asa con un altro il problema 
rimane io mi sposterei sullo switch.
E' un l3 ? Hai provato a vedere le stat della porta ? Puoi sostituirlo 
temporaneamente ?
Oppure magari il problema e' sulla linea ma quello e' un po' piu' 
difficoltoso da scoprire. In questo caso chiederei al provider di poter 
fare delle verifiche. Intanto potresti mettere un packet analyzer (mi 
viene in mente un vecchio prodotto della Fluke di 7/8 anni fa che avevo 
provato in demo che era fantastico per questo; "SnifferPro" direi che si 
chiamasse) tra l'asa e il router sulla outside poi ricostruire il 
traffico transitato quando si blocca.
Insomma la situazione mi sembra un po' intricata nella sua banalita' ma 
se le conf degli asa sono uguali e un altro nello stesso posto si blocca 
la mira si sposta....
Ciao
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la veritï¿œ ï¿œ che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciï¿œ che si possiede.