穿越ASA进行traceroute或tracert测试
一.概述：
默认情况下，ASA不会回应TTL Exceeded的包，因此traceroute/tracert看不到ASA设备；另外，由于防火墙策略限制，traceroute/tracert也无法穿越防火墙。
二.基本思路：
根据traceroute/tracert不同处理方式，确定为什么无法穿越防火墙，从而放开相应的防火墙策略：
A.Windows主机：
Windows主机tracert命令，发出icmp request包，从TTL=1开始，逐跳TTL加1，每跳发送三个包，中间设备回复ICMP type 11 Code 0 的TTL超时的ICMP包，目的设备回复icmp reply的包。
----如果开启icmp审查，虽然内网发出的icmp reply的包可以正常返回，但是TTL超时的ICMP包不能正常返回，需要策略放行。
B.Linux、网络设备：
Linux、网络设备traceroute命令，发出UDP包，第一个包目的端口为33434，从TTL=1开始，每个TTL会发三个包，逐跳TTL加1，UDP目的端口每个包会加1，中间设备回复ICMP type 11的TTL超时的ICMP包，目的设备回复ICMP type 3 Code 3的端口不可达的ICMP包 。
----Linux、网络设备traceroute默认支持30跳，每跳发三个UDP包，所以UDP目的端口为33434~33434+30*3-1，即33434~33523
----如果从防火墙的高安全区到低安全区进行traceroute，则需要放行TTL超时的ICMP包和端口不可达的ICMP包
----如果从防火墙的低安全区到高安全区进行traceroute，则只需要放行起始的UDP包，目标端口从33434~33523
三.防火墙策略设置：
A.从高安全区到低安全区
---比如从Inside到Outside
①ASA设备回复TTL超时
class-map ALL_IP
match any
policy-map global_policy
class ALL_IP
set connection decrement-ttl
②全局开启ICMP审查
policy-map global_policy
class inspection_default
inspect icmp
inspect icmp error //*这个还不明白到底是什么作用，针对什么情况
③防火墙策略：
access-list outside_access_in remark ICMP type 11 for Windows Traceroute
access-list outside_access_in extended permit icmp any any time-exceeded
access-list outside_access_in remark ICMP type 3 for Cisco and Linux
access-list outside_access_in extended permit icmp any any unreachable
access-group outside_access_in in interface outside
④调整icmp unreachable的速率
ciscoasa(config)#icmp unreachable rate-limit 10 burst-size 5
!--- Adjust ICMP unreachable replies:
!--- The default is rate-limit 1 burst-size 1.
!--- The default will result in timeouts for the ASA hop:
B.从低安全区到高安全区：
----比如从outside到inside（如果为互联网边界防火墙，不建议配置）
①ASA设备回复TTL超时
同上。
②放行初始流量
1.对于windows主机放行icmp echo流量
access-list outside_access_in permit icmp any any echo
----ACL中icmp echo包，等同于icmp echo request包
2.对于linux和网络设备放行udp流量
access-list outside_access_in remark Tracert from outside
access-list outside_access_in permit udp any any range 33434 33523
access-group outside_access_in in interface outside
----因为放行了icmp echo和udp33434~33523，无法避免outside区域设备利用它们对inside区域的设备进行DOS或DDOS攻击，因此如果是互联网边界防火墙没有必要进行开放；如果为公司内部不同安全区之间的防火墙，可根据需要确定是否放行。