SNAF第一天

2019年7月31日 01:51 作者：金淼淋分类：Security / SNAF  649

ü±hüCCSP
vs
*fjmCCSP
gnccsp
(ASA-AE* )
642-515 SNAA
(ASAE'å )
ASA VPN
-504 SNRS
(IOS'"+)
I Ipsectssu:
IOS4bVPNXllUIIi
642-533 IPS
'Q&üCCSP
RAifiSNAF
sec VPN"iCRli}!
ASA VPN (IPSec•SSL)
IOS (IPSec+SSL)
SNRS
IOS4FVPNflliY1xfi
642-533 P
IPS3JliS1'Å CISCO
CCSP SNAF
作者：现任明教教。
明教荣誉出品
第二天：转换，列表和本地网管
第三天： AAA 与 MPF
第四天：高协处理，透明墻
第五天：多模式， FO 与 ASDM
现任朋教教主 CCSP SNAF 埂任明教教主出品
火墙概还与初孀化
第一天课程介绍
· 防火墙技术介绍
· Cisco ASA 特性
· Cisco ASA
· 初始化 ASA
· 监控 ASA CCSP SNAF 埂任明教教主出品
弟．部分火技术介绍
什么是防火墙
防火墙是一个连接两个或多禾绍．囟域，并且
基于策略限制区域间流量的设备 0
丿 0 CCSP SNAF 埂任明教教主出品
弟．部分火技术介绍
防火墙的三种类型
· Packet filtering （包滤〗
· Proxy server （务無）
· Stateful packe filtering （状态监控包过滤） CCSP SNAF 埂任明教教主出品
弟．部分火技术介绍
Packet filtering 介绍
一个老的防火墙技 0 》．鼕莪们使用的
访问控制列表 Af CCSP SNAF 埂任明教教主出品
弟．部分火技术介绍
Stateful Packet Filtering 介绍
· 硬件防火墙主流技术，为越 T00 知 UDP 流
维护状态化表项。 CCSP SNAF 现任明教教主出品
第．分：人技术介绍
什么是 DMZ
· Demilitarized Zone （非军事化区域）
· 主要用于连接服务器和 VPN 设备
· 如果没有 DMZ ？第
CCSP SNAF 现任明教教主出品
．分泐人技术介绍
两种 DMZ 连接方式
三接 LIDMZ
Ingide
Network
双层 *DMZ CCSPSNAF
Cisco
• State-of-art stateful packet inspection firewall
• User-based authentication of inbound and
outbound connections (cut-through)
• Integrated protocol and application inspection
engines that examine packet streams at
Layers 4 through 7 CCSPSNAF
Cisco
• Highly flexible and extensible modular security
policy framework (MPF)
• Robust VPN services for secure site-to-site and
remote-access.nnections (IPSEC VPN)
• Clientless and client-based Secure Sockets
Layer (SSL) VPN (SSLVPN) CCSPSNAF
Cisco
• Full-featured intrusion prevention system (IPS
services for day-zero protection against threats ,
including application and operating system
vulnerabilities, directed attacks , worms, and
other forms of malware (AIP-SSM)
• Content security services, including URL
filtering , antiphishing , antispam , antispyware ,
and content filtering using Trend Micro
technologies. (CSC-SSM) CCSPSNAF
Cisco
• Multiple security contexts (virtual firewalls)
within a single appliance
• Stateful active/active or active/standby failover
capabilities that ensure resilient network
protection (FO)
• Transparent deployment of security appliances
into existing network environments without
requiring re-addressing of the network CCSPSNAF
Cisco
• Intuitive single-device management and
monitoring services with the Cisco
Adaptive Security Device Manager (ASDM)
and enterprise-class multidevice
management services through Cisco
Security Manager ccspsNAF
Cisco
• Cisco ASA 5505
• Cisco ASA 5510
c}
• Cisco ASA 5520
00
• Cisco ASA 5540
• Cisco ASA 5550
• Cisco ASA 5580-20
• Cisco ASA 5580-40 CCSPSNAF
Cisco ASA 5505
Base Model 811 Security Plus Model
• Maximum throughput : 150Mb/s
• Maximum connections 10,000 (25,000 Security Plus)
• Maximum connections/sec : 4,000
• Maximum 3Des/AES throughput: 100Mb/s
• Maximum VPN session : 10 (25 Security Plus)
to 25
• Maximum SSL VPN session :
Security Plus Full DMZ , Redundant ISP, stateless
Active/Standby CCSPSNAF
Cisco ASA 5520
Maximum throughput : 450Mb/s
• Maximum connections : 280,000
• Maximum 3Des/AES throughput : 225Mb/s
• Maximum VPN session 750
SSL VPN session : !Rik2 750)
• Security Contexts : ya,k2 , UP to 20
VLANs: 150
High Availability : A/AA/S
• Scalability : VPN Clustering and load balancing
• Interfaces : 4 Gigabit Ethernet and 1 Fast Ethernet •
•
•
•
CCSPSNAF
Cisco ASA 5540
Maximum throughput : 650 Mb/s
00
Maximum connections : 400,000
Maximum 3Des/AES throughput} 325Mb/s
Maximum VPN session 5000
SSL VPN session 100, 250,500, 750, 1000 or
2500
Security Contexts : YdA2 , UP to 50
VLANs : 200
High Availability : A/AA/S
Scalability : VPN Clustering and load balancing
• Interfaces : 4 Gi abit Ethernet and 1 Fast Ethernet CCSPSNAF
Cisco ASA 5550
Maximum throughput : 1.2 Gbps
•
00
Maximum connections : 650,000
•
Maximum 3Des/AES throughput —425Mb/s
•
Maximum VPN session : 5000
•
SSL VPN session . Ytik2
1000,2500, and 5000
Security Contexts : , UP to 50
VLANs : 250
High Availability : A/AA/S
Scalability : VPN Clustering and load balancing
• Interfaces : 4 Gi abit Ethernet 4 SFP fiber orts 1 Fast Ethernet CCSPSNAF
Service Modules
ASAfiJLÅftFHSecurity Services Module 'SSM)J $ W)JfiEfilff
Advanced Inspection and Prevention Security Services Module
(AP SSM) (IPS
• Content Security and Control Security Services Module (CSC
SSM) URLi±je,
4-Port Gigabit Ethernet SSM ccspsNAF
. gg',r.CiscoASA
AP SSM
AIP-SSM-IO
150 Mb/s throughput on the ASA 5510
225 Mb/s throughput on the ASA 5520
AlP-SSM-20
375 Mb/s throughput on the ASA 5520
500 Mb/s throughput on the ASA 5540
AlP_SSM-40
450 Mb/s throughput on the ASA 5520
650 Mb/s throughput on the ASA 5540 CCSP SNAF 现任明教教主出品
第
《分 ℃ iscoASA 产品线
CSC SSM
CSC-SSM-IO
支持的 ASA ： 5510 ； 5520
标准用户授权： 50users
0
可升级用户授权： 100 250 ， 500 users
CSC-SS M · 20
支持的 ASA ： 5510 ； 5520 ； 5540
标准用户授权： 500 users
可升级用户授权： 750 ， 1000 users SSLVPN
SSM
CCSPSNAF
PIX&JASAIXYJIJ
00
00
VPN Clustering and load balancing
• Compact Flash(CF) card support
• Aux port support CCSPSNAF
R ($LIURISYJIJT.}Z 2.1iJ(i 3.failover
• Active/Standby
• Active/Active FO CCSPSNAF
DES license
- Provides 56-bit DES
00
• 3DES/AES license
- Provides 168-bit 3DES
- Provides up to 256-bit AES CCSP SNAF 现任明教教主出品
第分：初化厶 SA
试验拓扑
DNC
102 ． 1
1 202 ． 100.1.0 4
Outside
． 10 10 ． 1.1.D / 24 ． 1
Inside
D № 《 CCSPSNAF
Startup Configuration
00
00
ASA# write erase
QRunning Configuration
ASA(config)# clear config all
ASA# reload CCSP SNAF 现任明教教主出品
第分：初化厶 SA
Security Level
从高安全级别接口到低安全级别接口的流量叫
outbound 流量，这种流量默达是允许的。
· 从低安全级别接口到高安全级别接口的流量叫
inbound 流量是这种流量默认是不允许的，但
是我们可以使用 ACL 来放行 inbound 流量。
· 相同安全發别接口之间的流量默认是不允许的，
但是可以使用命令打开。
安全级别的范围为 0 · 100
默认 inside 安全级别为 100 ，其余接口默认为 0 CCSP SNAF 現任明教教主出品
弗分・朷ん ASA
初し里小忌圏 CCSPSNAF
ciscoasa(config)# hostname ASAFW
æmethernet 0/0
ASAFW(config)# interface ethernet 0/0
ip address 202.100.1.10 255.255.255.0
ASAFW(config-if)# nameif Outside
ASAFW(config-if)# no shutdown CCSPSNAF
ASAFW(config-if)# interface eO/I
ASAFW(config-if)# no shutdowm
CO
ASAFW(config-if)# interface eO/1.3D
ASAFW(config-subif)# vlan 3
ASAFW(config-subif)# nameif Inside
ip address 10.1.1.10 255.255.255.0
ASAFW(config-subif)# interface eO/1.4
ASAFW(config-subif)# vlan 4
ASAFW(config-subif)# nameif DMZ
ASAFW(config-subif)# security-level 50
ASAFW confi -subi i address 192.168.1.10 255.255.255.0 CCSPSNAF
• Inside Telnet Outside Dtvlf
00
outboundijtiMYUA@itF
DMZ Telnet Outside
• Outside Telnet Inside DMZ
DMZ Telnet Inside CCSPSNAF
Show conn
ASAFW# show conn
1 in use, 13 most used
TCP Outside 202.100.1.1:23 Inside 10. 1±11001. idle bytes 116. flags 1310
M:IO.I.I.I HEU:202.100.1.1
116
4.FIags: U-up I-inbound data O-outbound data CCSP SNAF 现任明教教主出品
第分：初化厶 SA
为什么 Ping 不通
· ASA 默认只对穿越的 TCP 和 UDP 流量维护状态
化信息。
· Inside 发起的 ℃ MP echo 包能够抵达 Outside ，
表示。 utb 。 und 流量默认放行的策略依然有效。
· 返回的 ℃ MP ech 。艹 p 丨 y 包被防火墙丢弃，因
为 inb 。 und 流量默认被拒绝。
· 两种解决方案， I:ACL 放行 2 ：监控 ℃ MP CCSP SNAF 现任明教教主出品
第分：初化厶 SA
配置静态路由
· 默认路由
ASAFW(config)# route outside 0 0 202 ． 100 ． 1 ． 1
· 静态路由
ASAFW(config)# route inside 2 ． 2 ． 2 ． 2 255 ． 255 ． 255 ． 255 10 ． 1 ． 1 ． 1
· 支持最多三条相同目的，相同出接口，用于负载
均衡的静态路由。 CCSP SNAF 现任明教教主出品
第分：初化厶 SA
关于动态路由
· ASA 8 ． 0 支持
—RIP
一 OSPF
一 EIGRP
0
· 配置方式与 ℃ S 安全相同（重分布，路由过滤 “ ．）
· ASA 8 ． 0 所有掩码都为正掩码 (ACL ，路由宣告） CCSP SNAF 现任明教教主出品
第分：初化厶 SA
基本 NAT 配置
nat (inside) 1 10 ． 1 ． 1 ． 0 255 ． 255 ． 255 ． 0
global (outside) 1 202 ． 100 ． 1 ． 101 · 202 ． 100 ． 1 ． 200
0
1 ． Nat 定义转换流量源地址和源接口
2 ． G ba 啶义转换目的接口和地址池
3 」 D 需要对应，并且大于等于 1 （表示动态转换） CCSPSNAF
Show xlate
ASAFW(config)# show xlate
1 in use, 3 most used
Global 202.100.1.101 Local 10.1.1.1 CCSPSNAF
Nat-control
OS >7.x nu no nat-controlo
• OS <7.x nu nat-controv
• No CCSPSNAF
ASAFW(config)# clock timezone GMT +8
ASAFW# clock set 8 Apr 2009
• NTPÄdft
ntp authentication-key 1 md5 cisco
ntp authenticate
ntp trusted-key 1
ntp server 202.100.1.1 key 1 source Outside prefer CCSPSNAF
Syslog
• logging enable
• logging timestamp
00
• logging trap warnings
• logging host Inside 10.1.1.1 CCSPSNAF
Show run
• run
• Show run + *ürunningÄdft
— Show run interface
— Show run nai
— Show run tunnel-group
• Show run all +
— Show run all tunnel-group CCSPSNAF 琥任明教教主出品
弟五．众 SA
Show version
OS 版本
． ASDM 版本
· 启动时间
· 内存， CPU,
接口
· 各种授权
fl a sh CCSPSNAF
• show ip address
00
00
• show nameif
• Show interface
• show interface ip brief