Cisco ASA bloqueando o tráfego do servidor DNS

Question

Eu tenho um cliente que possui um dispositivo Cisco ASA 5505. Eu não estou familiarizado com esses dispositivos.

O cliente tem um problema em que permite saída de tráfego de um servidor DNS antigo (10.236.72.100), mas não de um novo servidor DNS (10.236.72.3).

Atualmente, tenho uma configuração de encaminhamento no novo servidor para encaminhar consultas DNS para o servidor antigo.

Servidor antigo = Windows Server 2003 Novo servidor = Windows Server 2008 R2

Tanto quanto eu posso dizer, o problema está no dispositivo Cisco. Alguém por favor pode ajudar?

    

Answer 1

Seu antigo servidor DNS provavelmente está encaminhando solicitações para um dos servidores DNS no grupo de objetos dns_servers e sendo permitido por esta linha

access-list inside_access_in extended permit object-group TCPUDP any object-group dns_servers eq domain 

Seu novo servidor provavelmente está agindo como um servidor DNS recursivo e tentando enviar solicitações diretamente para os servidores de nomes raiz, servidores TLD, etc. Se você quiser que seu novo servidor se comporte como o antigo, encaminhe seus pedidos para um dos servidores neste grupo de objetos.

object-group network dns_servers
 network-object host 10.1.224.10
 network-object host 10.2.191.51

Se você quiser que seu novo servidor DNS funcione como um servidor recursivo, adicione essa linha à sua configuração ASA:

access-list inside_access_in extended permit object-group TCPUDP host 10.236.72.3 any eq domain 

    

Answer 2

O Windows 2008 tem um problema com o escalonamento automático de janelas TCP, que quebra firewalls que usam rastreamento de conexão (quase todos).

O problema e uma correção para isso são descritos aqui

link