一、实验拓扑：
二、实验要求：
一般排错会用到Traceroute;
Udp端口从33433开始，TTL=1回应一个报文；TTL=2，33434，端口号是累加的;
不减TTL的坏处：tracert时候流量过不去一直是* * * *，人员不知道哪出现了问题；
好处：×××不知道这里是一个ASA，ASA隐藏掉了；×××猜不到中间是防火墙，一直×××，但是×××的就是防火墙；
1、R2配置环回口Lo0:2.2.2.2，ASA上部署静态路由到2.2.2.2；
2、R1先PingR2，然后traceroute 2.2.2.2，查看路径；
3、防火墙ASA禁止出现：permit ip any any，这里为了实验测试 ；
4、
三、命令部署：
1、ASA部署静态路由和ACL：
ASA(config)# route inside 2.2.2.0 255.255.255.0 10.1.1.2
ASA(config)# access-list out extended permit ip any any ASA(config)# access-group out in interface outside
2、R1应用Traceroute工具： R1#traceroute 2.2.2.2 Type escape sequence to abort. Tracing the route to 2.2.2.2 1 10.1.1.2 16 msec 32 msec 20 msec 结论：ASA把TTL干掉了，默认不减TTL值
3、ASA可以不减TTL的做法，放行TTL的CLI： ASA(config)# access-list ttl extended permit udp any any gt 33433 //抓取流量从33433开始抓， gt：Port greater than operator
ASA(config)# class-map abc ASA(config-cmap)# match access-list ttl
ASA(config-cmap)# policy-map def ASA(config-pmap)# class abc ASA(config-pmap-c)# set connection decrement-ttl
ASA(config-pmap-c)# service-policy def interface outside
四、验证：
1、R1 Traceroute抓包查看：UDP33433端口
怎么看到是从：33434开始的呢？和视频讲的不一样
2、设置ASA可以减TTL值以后的效果：
R1#traceroute 2.2.2.2
Type escape sequence to abort.
Tracing the route to 2.2.2.2
1 202.100.1.10 40 msec * 12 msec
2 10.1.1.2 20 msec 28 msec 8 msec
从33437开始的？和书本有点出入
