PIX/ASA, Verständnisproblem access-group

[hegl 10]

Hallo,

 

wo ist eigentlich der Unterschied beim Anlegen einer access-group, ob ich

 

access-group 123 in interface inside

oder

access-group 123 out interface outside

 

angebe?

Wenn ich also von inside nach outside will, ist es dann nicht egal, an welches interface ich die access-group binde?

[Otaku19 33]

meien verständinss nach nicht, verkehrt gesetzt würden dann so pakete unnötigerweise das Device durchlaufen wo sie doch schon direkt am jeweiligen Interface gefiltert werden könnten

[rblasey 10]

ich denke seit dem FOS 7.0 bei ASA/PIX kann man zusätzlich die Richtung der Accessliste angeben wie beim IOS. Vor 7.0 war die ACL bei der Firewall immer in Richtung Inside (vom Interface aus gesehen)

 

Je nachdem in welcher Reihefolge die Prozesse ablaufen dürfte das schon eine Role spielen. NAT IPSec etc. ...

 

Gruß

[mturba 10]

Richtig.

Ist z.B. praktisch, wenn man eine Outgoing-Policy hat und diese nicht in der Accessliste jedes einzelnen Interfaces pflegen muss...