如何从数据包追踪器输出中破译掉的数据包？

Question

我有一个庞大的ACL，我正在处理，我似乎找不出是什么线挡住了我。有什么方法可以让包追踪器帮助我更具体地找出我被封锁在哪里？

packet-tracer input AAAA tcp 10.A.B.1 5555 10.C.D.80 PORT# d

Phase: 3
Type: ROUTE-LOOKUP
Subtype: input
Result: ALLOW
Config:
Additional Information:
in   0.0.0.0         0.0.0.0         AAAA

Phase: 4
Type: ACCESS-LIST
Subtype: 
Result: DROP
Config:
Implicit Rule
Additional Information:
 Forward Flow based lookup yields rule:
 in  id=0x7ffd9a7f9e40, priority=111, domain=permit, deny=true
        hits=28704780, user_data=0x0, cs_id=0x0, flags=0x4000, protocol=0
        src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=0
        dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=0 dscp=0x0
        input_ifc=AAAA, output_ifc=AAAA

Result:
input-interface: AAAA
input-status: up
input-line-status: up
output-interface: AAAA
output-status: up
output-line-status: up
Action: drop
Drop-reason: (acl-drop) Flow is denied by configured rule

我收集到的一些线索(但不确定它们是否正确)

• 删除原因表示配置的行正在丢弃数据包，而不是在结尾处默认拒绝。
• 在接口AAAA上的输出ACL上，数据包被拒绝。
• 有一个id字符串和一个命中计数器，但我不知道如何将其与任何东西匹配

Answer 1

Implicit Rule和AAAA是进出接口.这叫做扎头发，通常是不允许的。它适用于我的asa，但我启用了以下功能：

same-security-traffic permit inter-interface
same-security-traffic permit intra-interface

Answer 2

思科ASA ()流被配置规则拒绝.

皮特