SNAF第二天-Work Blog

CCSP SNAF
作者 , 现任明教教 “
明教荣誉出品
第一天 : 防火墻概述与初始化
第三天 : AAA 与 MPF
第四天 : 高协处理 , 透明墻
第五天 : 多模式 , FO 与 ASDM
现任明 CCSP SNAF 现任明教教主出品
转，列表和本地网管
第二天课程介绍
。传输层协议
· NAT 地址转换
· 访问控制列表 k
· Object Group
· 网管本地认证 CCSP SNAF 现任明教教主出品
第嘟分：传输层协议
传输层协议
在 | p 世界里，两个终端系统乏间的网络会话，
都被下面两个传输层协来承载。
· TCP
· UDP CCSP SNAF 现任明教教主出品
第嘟分：传输层协议
TCP 特点
· TCP 是一个 connection-onente 面尚连接的）
reliable-delivery （可靠的〗《 high-performance
（高性能的）传输层协议
· TCP 特性：
一序列号确认数）
一定义的连状态
(SYN SEND;SYN RCVD;ESTAB 凵 SHED;FIN WAI
一慢启动和拥塞避免 CCSPSNAF
U DP4$k
• Connectionless protocol'
Efficient protocol for some eervices
• Resourceful, ,båi difficult to secure ( i5±kJ CCSP SNAF 现任明教教主出品
第嘟分：传输层协议
UDP 三大典型运用
· 查询类 :DNS
一没有 TCP 三次握手、
一多个 DNS 同时查询 ' 。
· 数据传输 :TFTP
0
一停止等待协《慢（需运用层确认数据）
一适合于羌盘工作站
。语音视频流
一支持广播和组播
一支持丢包，保障效率 CCSPSNAF
ASA
- NAT +
— Identity NAT: fi
- Policy
— Static:B9GLXij—
— Net Static.•Ii4$ßffÆ$CA
- Static PAT*
NAT bypass (NAÜ%)
- NAT O + ACL CCSPSNAF
More Secure
Less Secure
co
e3 Partnernet
Security Level 50
CAe2DMZ
urity Level 30
(Smlnternet
outside
e4 Intranet
Security Level 70
el inside
Security Level O Security Level 100
More Secure
Less Secure CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
动态转换 1 （动态一对一）
· NAT + G ba | ：动态一对
．适用于内部用户上网（互联网地沛《、 ` 二、
． nat 0 、 ide) 1 10 ．． 1 ． 1 205 》 55 5 《酽
命令介绍．
00t （源接口） id 0 。
id 取值范围（大于等手们
· global (Outsid?)U02 100 ． 1 的 00 一 202100 ． 1 ． 200
命令介绍：
global （转换后接口） id 地址池起始《 P ．地址池结束 IP
注意 g ℃ ba 》 id— 定需要和 nat id 匹配，表示为一对。
show xlate
1 in use, 1 most used
Global 202 ． 100 ． 1 ． 1 Loca 凵 0 ． 1.1 ． 1 CCSPSNAF
NAT + Global
0.2-0.0 '24
Global pool
192.168.0.17-32
192,168.0:
Internet
Global Pool
92.168. .3-16
nat (inside) 1 182.0.0 255.255.255.0
nat (inside) 2 10.0.0.0 255.255.255.0
global (outside) 1
global (outside) 2 192.168.0.3-192.168.0.16
10.0.0.0124 CCSPSNAF
NAT + Global
DMZ
Global Pool
192.168.0.20-2 9.
Internet
192.168±0
Outside
nat (inside) 1 255.255.255.0
Inside
10.0.o.o
nat (dmz) 1 172.16.0.0 255.255.255.0
global (outside) 1 192.168.0.20-192.168.0.254
global (dmz) 1 172.16.0.20-172.16.0.254 $CCSPSNAF i)JÆ4Cåft2 (identity nat) • NAT 0 + address 10M — nat (inside) O nat \ 00 • RW$Jputboundifitm — show xlate xlate> I in use, I most used Global 10.1.1.1 Local 10.1.1.1$ CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
动态转换 3 PAT
· PAT 的特点
一适用于内部用户上《《《族地紧缺、。
一转换地址和端目
一多个 “ “ i 叩，师？，用一个 g | 。 b 。 | address （互联网
地址）。
一使用端口分不同的 sessi 。 n （会话）。
一源端囗被动态转换到一个大于 1023 没有被使用的端囗。
一个互联网地址能够承载最大的 sessi 。 n 数为（ 65535 ·
1023 = 64512 ） CCSPSNAF
PATæy 1
- nat (Inside) 1 10.1.1.0 255.255.255.0
- global (Outside) 1 202.100M .101
— show xlate xlate>
1 in use, 1 most used
PAT Global 202.100.1.101(1024) Local 10.1.1.1(64740)
- nat (Inside) 1 10.1.1.0 255.255.255.0
— global (Outside) I interface CCSP SNAF 现任明教教主出品
第一部分： NAT 地灿转换
静态转换 1 静态一对一
IS 如 IS & 1 」
如 100 。
· static （静态一一《对）
一适用于把内部服务器转换到一个公网地址
一接口
· 真实接口 DE 钇
· 转换后接口 0 e
一丨 P 地址
· 真实地址： 192 ． 1 土 1
· 转换后地址： 202 ． 1 1 ． 101 CCSPSNAF
&fldHStatic
- static (dmz,outside) 202.100 offt9e.1å.1.1
static (
— access-list out permit tcp any host 202.100.1.101 eq 23
WEE fid W. access-group
out in interface Outside
— access-group
access-group 91Jk4< 'j [6] interface CCSPSNAF
Connection Limits
static (DMZ,Outside) 202.100.1.101 192.168, It
udp 1000
(establish connection)
connectionjææu-küM CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
TCP 连接介绍
establish
embryonic
Connectionor
Half ope CCSPSNAF
TCP Intercept
Normal
Dos
Attack
SYN
SYN.ACK
Internet
SYN
SYN
SYN
)icp
Intercepf
SYN
SYN-ACK
ACK
Embryonic
Connection Count = 3 ccspsNAF
SYN Cookie
SYN
Normal
SYN-ACK (Cooki
ACK Cookie
Internet
TCP
Yintercept(ęss
SYN
SYN-ACK
ACK CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
静态转换 2 网络静态转换
． Net Static （网络静态转换）
一适用于把内部网络整体转换到外部网络
一 static()M 乙 Outside) 202 ． 100 ． 1 ． 0 192 ． 168 ． 1 ． 0 netmask 255 ． 255 ． 255 ． 0 •
•
CCSPSNAF
Net Static VS Nat + global
Nat + global
- nat (DMZ) 1 192.168.1.0 255.255.255.0
- global (Outside) 1 202.100.1.1-202.100 1.254
192.168.1M01+202.100Å.1
E+*Uhl: 192.1681107--202.100.1.2
tF02.100.1.3
Net Static
- static (DMZ,Outside) 202.100.1.0192.168.1.0 netmask 255.255.255.0
192.168.1.x—202.100.1.x
192.168.1.Y—202.100.1.Y
192.168.1.Nm202.100.1.N CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
静态转换 3 Static PAT
／ 2 r i.10i 堙！
《《、 0 」 t de
· Static PAT （端口转换）
一适用于内部服务器地址多余互联网地址的情况
一也适用于希望把内部服务器端口转换到其它端口的情况
一 192 ． 168 ． 1 ． 1 / 胛 / 转换到 202 ． 100 ． 1 ． 101 / w
一 192 ． 168 ， 1 2 / 且 p 转换到 202 ， 100 ， 1 ， 101 / 2121 CCSPSNAF
Static 1
YEHStatic PAT
192.168.1.1 www
— static (DMZ,
tcp 202.100.1.101
) tcp 202100.1.101@128
- static (DMZ,
192.168.1.2ftp
static ,
EYfidYACL
— access-list out permit tcp any host 202.100.1.101 eq 2121
— access-list out permit tcp any host 202.100.1.101 eq 80
out in interface Outside
— access-group CCSPSNAF
Static 2
YEYStaticPAT
ut3<G) tcp interfacewwy 192.16811.1 www
— static (DMZ,
- static (DMZ,
static ,
) tcp interface212!f1
92168.1.2ftp
) ' Vinterface
EYfidYACL
— access-list out permit tcp any host 202.100.1.10 eq 2121
— access-list out permit tcp any host 202.100.1.10 eq 80
out in interface Outside
— access-group CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
Nat bypass (nat 旁路）
· NAT 0 + ACL (nat 旁路）
一最优先的 nat 类型。
一匹配 ACL 的流量和旁路 nat 《、转换（没有 xlate) 。
一 ACL 的协议必须为丨 p*
一 ACL 的流量必须从高向低写 (outbound) 。
一 NAT 0 必须运用在高安全级别接口。
一只影响 outbound 方向的流量。
一字字箴言一定牢记 CCSPSNAF
Nat bypass!hdh
(1.tJ}iXlP ,
— access-list nonat permit ip ICM .11) 168.1.0 255.255.255.0
— nat (inside) O access-list nonat
ASAFW (config)# sh xlate
O in use, 2 most used CCSPSNAF
Nat
• Nat O + ACL (NAT bypass
• Static
• Static PAT
• Policy NAT + ACL)
• NAT (i)JÆNAt, IDX-FT-YO, Best match) CCSP SNAF 现任明教教主出品
第二部分： NAT 地灿转换
包处理示意图
NAT CCSPSNAF
Inbound VS Outbound
Outbound
Less Secure More
Internet
Outside
'ecurity Level O
Inside
Security Level 100
Secure
Inbound
• Inbound session
Outbound session 第一部分：问控制列表
Internet
CCSP SNAF 现任明教教主出品
NO ACL
0 亠旦
Outsi de
ACL for
Inbound Access
· Outbound 丨 L 里默认允许
ACLfor
Outbound Access
一我们可以在 inside 入方向使用 ACL 来限制上网
· Inbound 流量默认拒绝
一我们也可以在 outside 入方向使用 ACL ，来放行互联网对内部服务
器的访问。 CCSP SNAF 现任明教教主出品
第二部分：问控制列表
ASA ACL 特点
· 00 、格式与 00 类似《不》薮和命名 0
· 正掩码
· 只影响穿越
一也可以说对抵达 ASA 自身的流量不起作用
· 只影响初花流量
一也可以说对己经建立连接的流量不起作用 CCSP SNAF 现任明教教主出品
第一部分：问控制列表
ASA ACL VS IOS ACL
对抵达自身流
量控制比较
对穿越流量 '
制比 ' ccspsNAF
ASA ACL Troublewn
accesa —list 101 permit ip any an?
accese —group 101 in in
Ip route C.O.O.C O.O.O.0
te 0.0.0.0 0.0.0.0 eon
(9 CCSP SNAF 现任明教教主出品
第二部分：访问控制列表
ACL 使用指南
· 高安全级别到低安全级别．
一使用 ACL 限制。 utb 。 und 流量（上网流量）。
一 ACL 源地址为， untranslated( 没有转换）的真实地址。
· 低安全级别到高安全级别
使用 ACL 放行 inbound 流量（默认 deny)o
一使用 ACL 限制 inb 。 und 协议（服务器提供的服务）。
一 ACL 目的地址是 translated( 转换后）地址。 CCSPSNAF
ACL Logging
{kikpermit ACE8fEfrsyslog(B•
yuk deny ACE'+&106023 level
4 :warning)
iill?lffhllogging message 1006023 level notifications
• h] logging
access-list log-acl extended permit tcp any any eq https log debugging interval 600
fidHfi{JACE
level 6 :informational) , CCSPSNAF
ACL Logging7fiJhååifblJ
• access-list deny-flow-max 1000
— IRfblJASAUfiE6J%LffiiJdeny
- 9<+64 MB AAMfri$4096 flowso
- 16MB-64MB RAMfr#1024 flowso
- 4+16MB flowso
• access-list alert-interval 100
— Halert-intervali2YffJJåJWlJ+4i106101 syslogfå,U, CCSPSNAF
ACL Remark
ASAFW(config)# show access-list out
access-list out; 2 elements
iblh.l.l
access-list out line 1 remark permit any
access-list out line 2 extended permittcpan hest 10.1.1.1 eq telnet (hitcnt=O)
Oxb4dca411
access-list out line 3 reniark pe mita".' PC ftp 10.1.1.2
access-list out line 4 extended permit tcp any host 10.1.1.2 eq ftp (hitcnt=O) Ox5446347 CCSP SNAF 现任明教教主出品
第二部分：问控制列表
ACL 技巧 2：删除 ACE
access-list out extended permit tcp any host ． IP 过 0 ． 1 eq telnet
access-group out in interface Outside
如果希望把唯一 ACE 的协更正为 FTP ，我不建议先 n 。掉这一配
置，因为这是唯一的 ACE ，们 0 掉它 out 这个 acl 就没有了，同釋諞
用这个 acl 的 access-group 也消失了！我们配置了新 ACE 后，还
需要重新配置 access roup ，不仅麻烦而且容易忘记。
建议：先添加正确的 ACE ，再 n 。掉错误的 ACE 。
如果要 n 。掉整个 ACL ，使用如下命令：
Clear configure access-list out CCSP SNAF 现任明教教主出品
第二部分：问控制列表
℃ MP 命令
· ℃ MP 命令特性：
一只对入方向 (IN) ，抵达人」直接口的 ℃ MP
流量起作用
· IN （入万．可）
· 抵达 ASA 直接（不是穿越 ASA 的 ℃ MP ）
一注意筆越 ASA 访问身后接口是不可能通的。
· ℃ MP 流量 CCSPSNAF
fi$€OUT Ping ASA
echo-replyn
k5fI
icmp deny any echo Outside
icmp permit any Outside $CCSPSNAF Malicious Active Code Filtering • JAVAj±11E filter java 80 10.1.1.0 255.255.255.0 202.406.10 55255.255.0 •N\OO filter activex 80 0 0 0 0 iAiHfNJava$ CCSPSNAF
URL Filtering
— Websense
— N2H2
- CSC-SSM
ijüü&
11
11
11
www.prohibited.
swab Server
Intemet
Deny Acc oss
URL-filtering
Server
Request Access to
www.prohlblted.com $CCSPSNAF FilteringæYAfrulJ URL www.prohibited.com web server Internet •N\OO Deny Request Access to www.prohibited.com URL-filtering Server 172.16.0.3 rl-serVér (DMZ) vendor websense 172.16.0.3 filter uri http O O OO allow allowEüL1 rl-server downm Mfihttp*.ß iBÄEaIIowo$ $CCSPSNAF ffFHObject group static (DMZ,Outside) 192.168.0.19 172.16.0.1 static (DMZ,Outside) 192.i680.1å 172.16.0.2 Internet static (DMZ.Outsi<e) 192168.0.12172.16.0.3 group* DMZ_Services: DMZ 192.168.0. 172.16.o.o Web .2 Web .3 Web \<https o -ftp # host*J network" object gro upe DMZ_Servers -192.168.0.10 -192.168.0.11 -192.168.0.12 object group3JACL: access-list out permit tcp any object-group DMZ_Servers object-group DMZ_Services$ CCSPSNAF
Object group-FLJ
• Network object group
• Protocol object group
• ICMP object group
• Basic service object group
• Enhanced service object group CCSPSNAF
Network Object Group
Newvork object group
object-group network netl
00.
network-object host 1.1.1
network-object 222.0 255.255255.0
object-group network nett)
network-object host 3.3.3.3
network-object 4.4.4.0 255.255.2550
object-group network super. net
group-object netl
group-object net2
access-list net.test permit ip object-group netl object-group super.net CCSPSNAF
Protocol Object Group
Protocol object group
— (udp,tcp,icmp,esp,ah.
object-group protocol prol
xo
object-group protocOl pro?)
protocol-object eigrpQ
protocol-object ospf
object-group protocol super.pro
group-object prol
group-object pr02
access-list oro_test extended oermit obiect-arouo orol anv anv $CCSPSNAF ICMP Object Group • ICMP object group — (echo,echo-rely,unreachable....) 1,134 object-group icmp-type icmp.l co icmp-object echo icmp@ect echo-reply) \ 000 • access-list test.icmp permit icmp any any object-group icmpl$ CCSPSNAF
Basic Service Object Group
• Basic Service object group
— (dns,syslog,telnet,smtp...)
co
object-group service udp.ser udp
port-object eq domain
port-object eq syslog
object-group service tcp.eer tcp
port-object eq telnet
port-object eq smtp
access-list test-ser permit udp any any object-group udp.ser
access-list test.ser permit tcp any any object-group tcp.ser CCSPSNAF
Enhanced Service Object Group
Enhanced Service object group
— (dns,syslog,telnet,Smtp,esp,ah...)
co
object-group service enhanced,se
service-object udp eq domain
service-object udp eq syslog
service-obJect tcp eq telnet
service-object tep eq smtp
service-object esp
service-object ah
access-list test permit object-group enhanced.ser any any CCSPSNAF
ASA
— Console/AUX
— Telnet
- SSH
- HTTPS (ASDMfii
- LOCAL
— Radius
— Tacacs+
- LDAP
00. CCSPSNAF
TelnetlMJfi
telnet 10.1.1.1 255.255.255.255 Inside
telnet O O DMZ (DMZFTrfi±U1fiETelnet)
6*å$Telnet (VIJüfl:Outside
enable
— username admin password cisc0123 privilege 15
— aaa authentication telnet console LOCAL CCSPSNAF
SSHI*ÅÆ'
hostname ASAFW
domain-name mingjiao.com
crypto key generate rsa
SSH 10.1.1.1 255.255255.255 Inside
00.
SSHOODMZ
:cisco
— username admin password cisc0123 privilege 15
— aaa authentication SSH console LOCAL