在防火牆中記錄訪問控制條目

Question

我們有一個Cisco ASA5520防火牆， 爲每個接口定義訪問規則。

顯式拒絕所有命令沒有在接口上指定。

在防火牆上啓用日誌記錄。

我的問題是，

當超過允許的IP地址嘗試訪問其他IP地址，是否會被記錄？

例如：=沒有

但

任何到任何否定日誌= yes，則未提及

因此

A到B的許可證日誌會如果它試圖登錄IP地址是訪問C？

如果是，那麼啓用的防火牆日誌和訪問控制條目中的日誌記錄功能有什麼區別？

Answer 1

答案有時候。如果您不希望被可靠地記錄，最好的選擇是在ACL的末尾添加一個明確的deny ip any any log。默認情況下，ASA不記錄ACL拒絕，因爲它只是太多的流量，但功能確實存在。不幸的是，它傳播了一堆不同的日誌消息。 tcp/udp/icmp和其他協議有單獨的消息。他們從系統日誌消息106001開始。要查看在防火牆上啓用了哪些日誌消息，請在cli上鍵入show run all logging。