SNAF第三天

2019年7月31日 02:27 作者：金淼淋分类：Security / SNAF  714

CISCO
CCSP SNAF
作者：现任明教教
0
明教荣誉出品
第一天：防火墻概述与初始化
第二天：转换，列表和本地网管
第四天：高协处理，透明墻
第五天：多模式， FO 与 ASDM
现任朋教教主 CCSP SNAF 现任明教教主出品
厶众与咼级分汊处理
第三天课程介绍（ AAA ）
· AAA 理论介绍
· ACS 服务器安装
· ASA AAA 服务义
· Cut-through
． Virtual-Telnet
· Tacacs+ 授权
· DACL CCSPSNAF
•
•
•
Modular Policy
Class map
Policy map
Service policy CCSPSNAF
• Authentication ( i,kiff)
• Authorization ( åQQfv
00
• Accounting 000
http://blog.sina.com.cn/xrmjjz CCSP SNAF 現任明教教主出品
第．部分：众 A 众理论介绍
Authorization
· 授权用户能够使用的命令
授权用户访问的资源
· 授权用户获得的信息
注意：授权的主要作用是在用户都有效的情况
下，区分特权用户和普通用户。第
CCSP SNAF 现任明教教主出品
．部分：众 A 众理 i 仑介绍
AAA 的三大运用
登陆
nter
Cut-ThroUgh
Proxy
Security Appliance
sole Access
security Appli= "Son
Console Access
Authentication
Server
Authentication
IPSec and SSL
VPN CCSP SNAF 现任明教教主出品
第一部分：众 CS 服务器安装
安装 ACS 前期准备
· Windows 服务器操作系统这 2K / 2003 / 2008 ）
· 建议英文版操作系
· 安装最新的补丁
· 手动配置丨 P 地址
· Java 运行环境 (J2SE Runtime Enviroment)
· Access Control Server (ACS ）安装文件 CCSP SNAF 现任明教教主出品
第二部分： ACS 服务器安装
安装 Java 运行环境
许可证议
请就雾下可矸杓
《《的跹巧 TSTEM IV.
干嗶制代到许可议
0 廤》》 1110 覆 R [ 巛 Il EVIDENT 5 ， 0
》．俨 s ” 》鬯檉子您许可证，讲可您使用下述
引 MICRO
，但件必须接受本二代到许可协议的所有条款以及 1 卜许可条歉
窜 “ 协 ” ）。谘仔地到读本协议 o 下戥或安装本件，即明息已接受本
协议的条 · 谲选本 0 议处的 “ 接賢 " 以亍接受 “ 如 0 下意褛受回
自定义安篑．指定要安裳的功 · 烘 0 用户侵用． CCSP SNAF 现任明教教主出品
第二部分： ACS 服务器安装
配置固定 IP 地址
0 目訐 “ 地走 0 ． (jp
下雨齣 IT 地毗 0
賧叫 ' 「丽．丽一 00 正
网卉 0
石下雨 0 》》跹器地址》
希用处务到第二部分： ACS 服务器安装
安装 ACS 1
· 用户能够连接 ASA
· 服务器能够 ping ASAÅ' 亞
· ℃ s 客户端版本高于 11 1 、
· 已经安装丨 E6 SPI 或者
Netscape V! 02
CCSP SNAF 现任明教教主出品
BEFOREYOU 《山《钔以 0 《 be
0 幻 OSA 如 00 《呀 [ CO 地 S 0
7 妃 & 0 《和， ℃ 5P1 0 玩苤妃 V7Q
10 04h ， 0 《卜的家馮， e 球 0 樅 h 0
枷史 C 紀紀 Ned
《能和地河卜 0M0 h 0 《《小 0 生 0
《 h 地 m 》 00 0 过 r05 苤 0 eACS
C 》《 e ' m 过． CCSP SNAF 现任明教教主出品
第二部分： ACS 服务器安装
安装 ACS 2
· ACS 本地数据库
彐一
4 [ 飞楠到巴
伺斷柯@@苤而料0而而。婶
· 外部 Windows 数据库
疒厶戕 c ck' 准 ' ，上 “ D 机，
丨 0 吣引出 n “ ' 0 如学 “ ／ ' ” 0 〔能 ' 0 § 斟 0
飞 t n 巧酗 + ％ 0 酊 n 咩 m 就幻 0
F “ 枷 1 星 E.c 《 E 》 0 “ 《 CCSPSNAF 埂任明教教主出品
第二鄙分： ACS 服务器安装
安装 ACS 3
，加密 ACS 本地数据库
彐 0 一
密码 CCSP SNAF 现任明教教主出品
第三部分： ASAAAA 服务器定义
ASA 定、 AAA 服务器
· 定义 AAA 服雾器的字和协议
aaa-serve protocol tacacs+
· 定义 AAA 服务器连接的接口，地址和加密密钥
aaa-server 3A (DMZ) host 192 ． 168 ． 1 ． 241
key Cisco CCSPSNAF
Network
entS
AAA Client AA Client Authenticate
Hostnarne Address
u Sing
None Defined
AAA Server
Name
AAA Servers
A AA Server
Server
IP Address
CiscoSecur
192.1'8.1.241
ACS - ASA
- 192.168.1.10 fDMZ
— cisco
- TACACS+
CCSPSNAF
Network Configuration
AAA Client
AAA client
IP Address
Authenticate
TACACS+
Using
Single Connect TACACS* AAA Client (Rec
accounting on failure).
Log Update/Watchdcq Packets from this
Log RADIUS Tunneling Packets from this
p.plaee Port info with L"ømarnO
Client CCSPSNAF
ACSClJdhl user
User Setup
Select
6 roup
Setup
List users beginning with letter/number:
List an users
Remove Dynamic Users CCSPSNAF
ASA Test AAA
ASAFW# test aaa authentication 3A
Server IP Address or name: 192.168.1.2413
Username: userl
00
Password: cisco
INFO: Attempting Authentication) testto IP address (timeout: 12 secorxis)
INFO: Authentication Successful CCSPSNAF
Telnet/SSH AAA
• Telnet
— aaa authentication telnet console 3A
• SSH AAAiAiÆ
— aaa authentication ssh console 3A
— aaa authentication telnet console 3A LOCAL
— aaa authentication ssh console 3A LOCAL CCSPSNAF
Cut-through Proxy Authentication
_ HTTP
_ HTTPS
_ FTP
— Telnet
00 I .1nsideW*TeInet Outside
00.
202.100.1.0Æ4
CCSPSNAF
192.168.1.0/24
.10
Ivi 50
sec :
.10 10.1.1.0,'24 .1 CCSPSNAF
Cut-through (telnet)
aaa-server 3A protocol tacacs+
00
aaa-server 3A (DMZ) host 192. 68 41
key cisco
•
access-list auth permit tcp 10.1.1.0 255.255.255.0 any eq 23
!hdYCut-through
aaa authentication match auth Inside 3A CCSPSNAF
Show uauth
• ASAFW(config)# show uauthc
Current Most Seen.
Authenticated Users
k5p
Authen In Progress
user 'userl' at 10.1.1.1 jauthenticated (idle for 0:00:04)
absolute timeout:
inactivity timeout:
• CCSPSNAF
• I-Jauthg€*jfrßIFflFfCäJ
— timeout uauth absolute
• I-JauthlXJH
— timeout uauth 0:03:00 inactivity CCSP SNAF 现任明教教主出品
第四部分 :Cut-through 认证
穿越 HTTP 认证情况 1
1 .XP 请求 HTTP Outside
2 ． ASA 提示用户认证
3.ASA 请求 ACS 认证用户
4 ． ACS 回应认证结果
5.ASA 放过 HTTP到 Outside
． ASA 会送认证用户和密码到
HTTP服务器，这个过程非常类
似 SSO （一次性登陆）
202 《 01L0 掇
四如 8 」．似 24
．恂 10 ． 1.1 ． 0 《 CCSP SNAF 现任明教教主出品
第四部分 :Cut-through 认证
穿越 HTTP 认证情况 2
1 .XP 请求 HTTP Outside
2 ． ASA 提示用户认证
19z 就 6 & l.c
3.ASA 请求 ACS 认证用户
] 202 ． 100LQ / 24
彐 0 10 彐彐 · 引 24
4 ． ACS 回应认证结果
0 ” 0 0 “ “ 100 奶，苤在 0 0
5.ASA 放过 HTTP到 Outside
．因为 ACS 和 HTTP服务器用
户不同，所以需要第二次
'ACSRIHVIPU
HTTP服务器的认证 CCSPSNAF
Cut-through (HTTP)
aaa-server 3A protocol tacacs+
00
aaa-server 3A (DMZ) host 192. 68 41
key cisco
•
access-list auth permit tcp 10.1.1.0 255.255.255.0 any eq 80
!hdYCut-through
aaa authentication match auth Inside 3A CCSPSNAF
: Virtual-Telnet
Virtual Telnet'4$,15s
— non-telnet
— non-ftp
—non-http
—non-httpé CCSP SNAF 现任明教教主出品
第五部分 :Virtual-Telnet
非标准协议认证
四衾这： 1.0 4
， 10 10 ． 1.1.0 4 ． 1
1 卩《， 0 ： 0 / 24
M00 r04
0 以这 0 刂 0 为艹． &
以 ` 和身铲
•cc@0，一地 t ℃ @4 殴 CCSPSNAF
:Virtual-Telnet
lhdYVirtual Telnet
virtual telnet 202.100.1.101
• 2.ijjlüJVir-TeInet
access-list auth extended permit tcp any any eq 3032
access-list auth—tended permit tcp any host 202.100.1.101 eq telnet
PhdHCut-through
aaa authentication match auth Inside 3A CCSPSNAF
il)llJiRVirtual Telnet 1
Inside#telnet 202.100.1.101 ( fiVsiE)
Trying 202.100.1_101 open
LOGIN Authentication
Username: userl
Password:
Authentication Successful
[Connection to 202.100.1.101 closed by foreign host]
Inside#telnet 202.100.1.1 3032
Trying 202.100.1.1, 3032 open
user Access Verification
Password:
Outside>
00 CCSP SNAF 现任明教教主出品
第六部分 :Tacacs+ 授权
认证 VS 授权
· 认证只能判定用户是否可以，穿越
授权能够限牢坦声访问徜资源。 ccspsNAF
Cut-throughłžb(5Jk3ś
• Tacacs+łžb(o
• RadiusłžhX(DACL)
00. ccspsNAF
• User 1 H fiEfiJ3ping/telnet Server 1 (202.100.1.1)
• User2AfiEfiJ3ping/telnet Server2(202.100.1.2) CCSPSNAF
: Tacacs+&n
ASMdYTacacs++2b(
• 1.;EXAAA-Server (Tacacs+
aaa-server 3A protocol tacacs+
aaa-server 3A (DMZ) host 192.168.0
00
key cisco
access-list alltrafficpermit iP any any
aaa authentication match alltraffic Inside 3A
aaa authorization match alltraffic Inside 3A
• 4.)jkfjlCMPff+iWJijt
access-list out extended permit icmp any any
access-group out in interface Outside CCSPSNAF
: Tacacs+&n
setup
Interface Configuration
C dit
Note: Only the selected options will
the user interface.
Attributes
€User-LeveI Shared Network Access
Restrictions
User-Level Network ACCESS
User-Level Oownbadable ACLs
Cefault T•me-of-Oav / Day—of-week
Specifcation
Qoup-Level Shared Network Access
Restrictions
(30up-LeveI Network Access
Pestrictions
Subnit Cancel CCSPSNAF
: Tacacs+&n
Interface Configuratio
TACACS+ (Cis
Oro up
pep
ppp Apple Talk
ppp VPDN
ppp LCF
shell (exec)
PIX Shell (pix-shell)
SLIP
Submit
Cancel : Tacacs+&n
ACS
User Setup
Shen
Ncne
As Group
Assign Shel Command Aut
Set for any network
@ user conmand
urnatcned Cisco IOS "nanas
CCSPSNAF
User 1
s.'up
ser Setup
telnet
Arguments:
202.100.1.1
Unlisted arguments
Permit
Deny
Command;
Arguments:
Permit
Command:
Arguments:
202.100.1.
Submit tnlete
Cancel
Su>mit
Delete Seto v
: Tacacs+&n
ACS
User Setup
Co tmnand Authorization
As Group
Assign a Shell Cotrrnane Authorizatio
Set for any network device
rip t •
urmatched Cisco
r permit
Deny
commard:
argunants
100
s.'ov
CCSPSNAF
ser setup
' commaro:
Arguments:
100.1.a
unlisted arguments
Permit
Deny
Commard:
Arguments:
permit 202. 100.1.2
2.1
Submit
Cancel
Submit
telete
Cancel CCSP SNAF 现任明教教主出品
第六部分 :Tacacs+ 授权
授权 Command 格式
· 标准协议使用名字
一 http
一 https
一 telnet
· 非标准协溪
一协议号 / 端口号 6 / 25 (smtp)
17 / 53 (dns)
一 ℃ MP 类型 / 代码 1 / 8
(icmp echo) CCSPSNAF
: Tacacs+&n
Show uauth
ASAFW(config)# sh uauth
Current st em
Authenticated Users
Authen In Progress
user 'user I' at 10.1.14T, :uthörized o: (idle for 0:00:08)
port 202.100.1.1/telnet 202.100.1.11icmp/8
absolute timeout: 0:05:00
inactivity timeout: 0:00:00 CCSPSNAF
Downloadable ACLs
YujX811VirtuaI 0 CCSP SNAF 现任明教教主出品
第七部分 :DACL
DACL 工作示意图
1 、 Vir-telnet 预认证
XP
2 ASA 提示用户 logi n 认证
3.ASA 请求 ACS 认证用户
0 0 0
4 ACS 认证回应包含 DACL 名
5 ． ASA 检查是否存在这个用户 ACL O)
& 如果不存在， ASA 请求这个用户 ^ CL
7 .ACS 回送这个 ACL 到 ASA
8 ASA 使用这个 ACL 放行流量到 Server CCSPSNAF
: DACL
Sur"'
31
Network Configuration
AA
AAA Client
drc%
Authenticate
F,Å01us (Cisco VPN 3000/"
using
Single rnnnect aaa Client (Per
accoulting On failure).
Log packets this
Loq RADIUS Tunneling Packets from this A
Replace RADIUS Port info with Username f
r lipnt CCSPSNAF
: DACL
userl DACL
Shared Profile Components
Downloadable IP ACL
Content
ACL
202.100.1.1 eq tenet
202.100.1.1
vermittco any host 202,100.1.101 telnet CCSPSNAF
: DACL
user2 DACL
Shared Profile Components
Downloadable IP ACL
Content
ACL Definitions
gem-at tcp 202.100.1.Z eq 22
cerrnitiemø any host 202.100,1.2 ecto
*rrnittcp host ZS
Submit
ffvirtual CCSPSNAF
: DACL
DACL
User1UÆDACL
IDownloadable ACLs
Assign IP ACL.
use rl
co
00.
00 •
00
User2UÆDACL
Downloadable ACLs
Assign iP ACL:
use re CCSP SNAF 现任明教教主出品
第八部分： MPF 介绍
Modular Policy Framework 介绍
System Engineers
Executives
Internet
Headquarte
nternet
384 ，． 384 K
Site C
Site B
MPF 是一个 ASA 高级特性，提供安全管
理员更加粒度更加灵活的配置网络策略。 System Engineers
MPF
Internet
CCSPSNAF
Headquarter'
Executives
384 K
384 K
Site C
Site B
Modular policy provides greater granularity and more flexibility
Class Map Policy-map Service Policy
Traffic fow
SF
EXEC
c 2 '_voice
Outside policy map
Default inspection —
Police
Priority
Global policy
Interface and Global
Outside
Global CCSP SNAF 现任明教教主出品
第九部分 :Class map
Class map
Class-map 用于匹配流量 ,Class-map— 般使用 ACL
来匹配流量，也可以使用如条件匹量：
1 -access-list
2.any
3.default inspection tra 什 iCÄ 气支持多重匹配）
． ASA 能够识别的所有运用程序的端口号
4.dscp
5 ow
· 所有去往单一地址的流量（必须和 tunnel-group 联用）
6 ． PO 戊
7-precedence
9.tunnel-group （支持多重匹配） CCSPSNAF
map
Class maplhdY-YéfrulJ
1 .class-map class.acl
match access-list traffic
2.class-map any
match any
3.cIass-map default
match access-list traffic
match default-inspection-traffiq
4.class-map dscp
match dscp ef
5. class-map flow
match flow ip destination-address
match tunnel-group cisco
6. class-map precedence
match precedence 5
7. class-map rtp
match rtp 2000 1000
00 CCSPSNAF
:Policy map
Policy map
Ehpolicy mapE4•n:
1.@Jüpolicy map (frZ )
2.ifiiRclass
Class Name
Internet
EXEC
System Engineers
Execuvves
Site C
Policy
Inspect
Police
826 _ voice priority
inspection +
ernet
Headquarters
Site B
Policy Map
Outside
Global CCSP SNAF 现任明教教主出品
第九部分： P cy map
Policy actions
IPS or CSC
一发送流量到 SSM 模块，进行入侵防御检测或病毒扫描
· Inspection
一监控特定协议（保障正常工作）或者基孚监控策略监控协议（过滤或防护）
QOS （ Police 或 pnori
配置 connection policy （连接策略）设置 connection parameters （连接参数） CCSPSNAF
:Policy map
IPS CSC
policy-map IPS
class class.acl
00
ips inline fail-closes
{inline I promiscuous} {fail-close I fail-open}
policy-map CSCxO
class class.acl
csc fail-close
fiQW*csc {fail-close I fail-open} CCSPSNAF
:Policy map
Inspection
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
00 CCSPSNAF
:Policy map
QOS
Police:
policy-map police
class class.acl
police inpuY5600PJ1000
100
Priority:
policy-map priority
class class.acl
priority
co CCSPSNAF
:Policy map
Connection Policy
policy-map connection
class class.acl
set connection
00
(conn-max, embryonic-conn-max)
(per-client-max, per-client-embryonic-max)
3. random-sequence-number
4. timeout
5. advanced-options CCSP SNAF 现任明教教主出品
第九部分 :Policy map
随机序列号
1 ．序列号的主要作用？双向确认数。
2 ． ASA 默认对所有穿越 TC 尸随机扰乩初始序列号。
3 ．初始化序列号增．卜律兯操作系统有关。
4 一个会话序烈号苌与成功传输的字节数有关。
5 沩什么需要乩初始序列号？
防止 TCP 厶话劫持和恶意 Reset 。
6 ．什么场合需要关闭扰乱序列号功能？
BGP MD5 验证。 CCSPSNAF
:Policy map
Advanced-options
1. atcp-map
tcp-map ad-op
-check-retransmission
-checksum-verification
-exceed-mss (ftfiüMSSMJüåß@Y
-queue-limit
-reserved-bits (ftfiTCPf*flfi.Y'
-syn-data
-tcp-options (ftfiTCPi&Jiji)
-ttl-evasion-protection (QITTlÄifi, HI)
-urgent-flag (hNURGff811URGßV)
-window-variation
3. tcp-map
policy-map control.tcp
class class.acl
set connection advanced-options ad-op CCSPSNAF
:Service Policy
Service Policy
1.4FJiBÆ:
service-policy global olicy global
service-policy Connection interface Outside 901D
ffl 州錖 AVNS dSOO
KOTIOdöOT :
KOFtOd 201AJ2S
n04
、 OV10d
0 , , do
… u0140 dew 0110d
2 【 tPd
工 dl/N
C] 0
KO!10d00!AJOS … 卡蝨V蜜
42W3321D13A31 , 40F
, 401
den 8B2 【 0
den 69n0 WEaaÆerI
囗 0 CCSPSNAF
:Service Policy
MService-policy
1. sh run service-policy
00
2. sh service-policy