CISCO ASA 5520:老革命遇到不可思议的问题
公司要和本地的广电公司进行业务合作。为此我们拉了一条100Mb的光纤专线。在此专线的我们这侧，设计要上一台cisco ASA 5520防火墙。这个设备比较普遍。用的比较多。只是有点时间没有动手配置了。网络结构大概如下：
要求：网络调通，让我们公司内部的服务器可以访问广电网。
本来应该很简单的事情。可能由于太少配置了。根据记忆配置cisco ASA 5520，竟然不通！天理何在啊！
cisco asa 5520配置：#这列出我自己的配置，默认配置不写。
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 172.31.87.130 255.255.255.192
!
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 172.18.20.1 255.255.255.0
global (outside) 1 interface
nat (inside) 1 172.18.0.0 255.255.0.0
route outside 0.0.0.0 0.0.0.0 172.31.87.129 1
route inside 172.16.18.0 255.255.255.0 172.18.20.254 1
测试：在ASA 5520上测试：
GX-FW-5520-02(config)# ping 172.31.87.129
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.31.87.129, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/10 ms
GX-FW-5520-02(config)# ping 172.18.10.62
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.18.10.62, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
结果是ASA 5520到内外都通的。
在我们公司的服务器上测试看看：
[root@test-lvs02 ~]# ping 172.31.87.129
PING 172.31.87.129 (172.31.87.129) 56(84) bytes of data.
。。。。。。
不通，尼玛！这是怎么回事？
在我的印象里，这样配置就可以实现内部访问外部了。还要做什么配置吗？哎，老革命遇到新问题，想想办法吧。
在ASA 5520上启用debug icmp trace,看到：
GX-FW-5520-02(config)# ICMP echo request from inside:172.18.20.252 to outside:172.31.87.131 ID=25 seq=0 len=72
ICMP echo request translating inside:172.18.20.252/25 to outside:172.31.87.130/7795
ICMP echo reply from outside:172.31.87.129 to inside:172.31.87.130 ID=7795 seq=0 len=72
ICMP echo reply untranslating outside:172.31.87.129/7795 to inside:172.18.20.252/25
ICMP echo request from inside:172.18.20.252 to outside:172.31.87.130 ID=25 seq=1 len=72
ICMP echo request translating inside:172.18.20.252/25 to outside:172.31.87.130/7795
ICMP echo reply from outside:172.31.87.129 to inside:172.31.87.130 ID=7795 seq=1 len=72
ICMP echo reply untranslating outside:172.31.87.130/7795 to inside:172.18.20.252/25
ICMP echo request from inside:172.18.20.252 to outside:172.31.87.129 ID=25 seq=2 len=72
这不是典型的坑爹嘛？回来的ICMP数据包被阻止了。cisco啥时候要对回来的数据包做acl了？没有办法。添加吧。
access-list from_outside_in extended permit icmp any any
access-group from_outside_in in interface outside
再在内部的服务器上测试。通了。无奈啊！