Cisco ASA Firewall v1.0.pdf

Cisco ASA Firewall Guia Prático

2014

v1.0 Renato Pesca

1

Sumário

2

Topologia ............................................................................................. 3

3

Prepara!o "o Appliance ..................................................................... 3 3.1 Con#igura$es "e Re"e .................................................................. % 3.2 Con#igura$es "e Rotas......................................... ...................... ............................................ ......................... & 3.3 Root 'ásico .................................................................................... ( 3.4 C)* no AS+, ................................................................................ 11 3.- Gerencia"or "e Aruivos ............................................................. 13

4

)icena "o Appliance ........................................ ...................... ........................................... ......................... ......... 14

-

*ntegra!o entre Re"es ...................................................................... 1-

/

Sincronisos tilia"os...................................................................... 1-

%

5etos .............................................................................................. 1/ %.1 6etwor7 5ects8Groups ............................................................. 1/ %.2 Service 5ects8Groups................................................................ 5ects8Groups................................................................ 1%

&

6AT .................................................................................................... 1( &.1 Tipos "e 6AT ................................................................................ 21 &.2 9eri#ica!o "e 6AT na C)* ............................................................ 22 &.3 :sta"o "as Cone;$es ................................................................... 22

(

AC) ..................................................................................................... 23 (.1 Gloal Access )ists ....................................................................... 2-

10

Pulic Servers........................................ ...................... ........................................... ......................... ................. 2/

11

Features .......................................................................................... 2&

12

'ac7up e Restore ............................................................................ 2&

12.1

'ac7up ...................................................................................... 2&

12.2

Restore ..................................................................................... 31

13

Troules
1

Sumário

2

Topologia ............................................................................................. 3

3

Prepara!o "o Appliance ..................................................................... 3 3.1 Con#igura$es "e Re"e .................................................................. % 3.2 Con#igura$es "e Rotas......................................... ...................... ............................................ ......................... & 3.3 Root 'ásico .................................................................................... ( 3.4 C)* no AS+, ................................................................................ 11 3.- Gerencia"or "e Aruivos ............................................................. 13

4

)icena "o Appliance ........................................ ...................... ........................................... ......................... ......... 14

-

*ntegra!o entre Re"es ...................................................................... 1-

/

Sincronisos tilia"os...................................................................... 1-

%

5etos .............................................................................................. 1/ %.1 6etwor7 5ects8Groups ............................................................. 1/ %.2 Service 5ects8Groups................................................................ 5ects8Groups................................................................ 1%

&

6AT .................................................................................................... 1( &.1 Tipos "e 6AT ................................................................................ 21 &.2 9eri#ica!o "e 6AT na C)* ............................................................ 22 &.3 :sta"o "as Cone;$es ................................................................... 22

(

AC) ..................................................................................................... 23 (.1 Gloal Access )ists ....................................................................... 2-

10

Pulic Servers........................................ ...................... ........................................... ......................... ................. 2/

11

Features .......................................................................................... 2&

12

'ac7up e Restore ............................................................................ 2&

12.1

'ac7up ...................................................................................... 2&

12.2

Restore ..................................................................................... 31

13

Troules
2

Topologia

Figura 1: Topologia

3

Preparação do Appliance

6esta se!o a"icionaos o =nio "e con#igura!o necessária para acesso reoto. Conectan"o via console> teos acesso gloal ao euipaento?

Figura 2: Acesso global em modo texto

 coan"o @show  perite a realia!o "e "iversas veri#ica$es ue o au;iliar!o na resolu!o "e u prolea. Segue aai;o u e;eplo?

Figura 3: Mostra conteúdo da memória flash

utro e;eplo "e coan"o relevante B o @show bootvar > ue ostrará os aruivos "e con#igura!o "urante o boot ?

Figura 4: ari!"eis de boot

A con#igura!o "escrita aai;o prepara o appliance  para acesso reoto via AS+,?

Figura #: $onfigura%&o de acesso r emoto

serve ue os coan"os s!o e pr;ios "aueles e;ecuta"os e rotea"ores. AtenteDse ue ca"a inter#ace recee u noe e u *+ relaciona"o E sua segurana uanto aior o *+> aior segurana associa"a E inter#ace.  coan"o @http server enable ativa o acesso reoto via AS+,> e o @http 0.0.0.0 0.0.0.0 externa signi#ica ue po"ereos acessar o appliance

"e ualuer re"e 0.0.0.080.0.0.0 a partir "a inter#ace e;terna para a"inistráDlo.  usuário #oi cria"o para isso> no caso> @ cisco. 'asea"os e nossa topologia> acessareos a inter#ace "e a"inistra!o pela prieira ve e on"e po"ereos ai;ar o AS+, e instalar na esta!o vocH "eve ter o privilBgio "e a"inistra"or para isso ou e;ecutáDlo se instalar "epen"en"o "as pol=ticas "e segurana "e sua organia!o po"e ser necessário solicitar liera!o "a e;ecu!o "este prograa. tilian"o o usuário @cisco vocH será con"ui"o E seguinte inter#ace?

Figura ': Tela inicial da interface de administra%&o

Caso se5a necessário a"icionar ais usuários> isso po"e ser #eito e Configuration >> Device Management >> Users/AAA >> User Accounts > con#ore #iguras % e &.

Figura (: $ria%&o de usu!rio) etapa 1

Figura *: $ria%&o de usu!rio) etapa 2

AtenteDse "e ue u usuário s terá periss!o para login  via SSI caso se5a arca"a a op!o correspon"ente.

3.1 Configurações de Rede

:st!o "ispon=veis e Device Setup >> nterfaces> con#ore #igura (.  coan"o @show interfaces  apresenta as esas in#ora$es e lin logicaente "e #ora enos aigável.

Figura +: $onfigura%,es de interface

AtB agora s t=n ca"a ua co seu respectivo Securit# $evel . : geral> o Securit# $evel   "e inter#aces para a re"e interna B o aior poss=vel 100.  "a re"e " po"e ser a5usta"o para -0. Para o Cisco ASA> por pa"r!o o #lu;o "e "a"os entre inter#aces B periti"o uan"o o Securit# $evel   "a inter#ace orige "os "a"os B aior "o ue o "a inter#ace "estino.

3.2 Configurações de Rotas

Acess=veis no cain> %outing >> Static %outes . Caso se5a necessário a"icionar ua rota> proce"a co a tare#a e Device Setup >> %outing >> Static %outes >> A!! .

Figura 1-: .otas est!ticas configuradas

Figura 11: $onfigura%&o de rota est!tica

: geral> e @&ptions> vocH po"e "ei;ar o pa"r!o arca"o 'one. 3.3 Root ásico

: +evice Management >> S#stem mage/Configutation >> (oot mage/Configuration >> A!!  B poss=vel localiar a iage "o AS+,.

Figura 12: /ocali0a%&o de imagem do AM

Figura 13: elecionando uma imagem de AM para o boot

3.! C"# no AS

%$ print "e tela ne sepre B a el B poss=vel oter a sa="a "o coan"o @s 1- e 1/.

Figura 14: Acessando a anela de execu%&o de comandos a partir da interface gr!fica

Figura 1#: anela de execu%&o de comandos a partir da interface gr!fica

Figura 1': a5da do comando 6sho7 running8config6 executado a partir da interface gr!fica

3.& 'erenciador de Ar(ui)os

Caso se5a necessário gerenciar iagens ou aruivos no appliance> po"eDse utiliar o gerencia"or "e aruivos atrela"o E inter#ace e ve "e e;ecutar os coan"os "e trans#erHncia ue e geral utilia t#tp e8ou #tp via console. :ste acesso se "á atravBs "e )ools >> *ile Management . As #iguras 1% e 1& "eonstra a utilia!o.

Figura 1(: Acessando o 9erenciador de Arui"os

Figura 1*: ;tili0ando o 9erenciador de Arui"os

!

"icença do Appliance

Acess=vel atravBs "e Device Management >> $icensing >> Activation +e# .

Figura 1+: /icen%as ispon5"eis

&

#ntegração entre Redes

 #irewall B orienta"o a o5etos> ue po"e ser en"ereo *P "estino o5eto> protocolo "e acesso o5eto> porta "e acesso o5eto> etc.  trá#ego entre as inter#aces oe"ece E priori"a"e associa"a E inter#ace SecuritK )evel> "e 0 a 100. Por pa"r!o> o trá#ego "e inter#aces "e *+ aior para *+ enor B liera"o. *

Sincronismos +tili,ados

 Cisco ASA po"e utiliar ua ase "e usuários n!o necessariaente con#igura"a localente> coo> por e;eplo> )+AP> TACACS> etc. :le po"e araenar logs e servi"ores S#slog Servers.

 euipaento possui buffer   "e 20(/ Ktes> constanteente reescrito> para opera$es "e troubleshooting > assi coo suporte a S6,P para ue se5a onitora"o "e acor"o co as necessi"a"es "o a"inistra"or. -

/0etos

-.1 etor /0ects4'roups

s o5etos po"e consistir "e en"ereos "e re"e e grupos "e en"ereos. Para criar u o5eto ou grupo "e re"e> "iri5aDse E Configuration >> *irewall >> &b,ects >> 'etwor- &b,ects/roup >> Configuration.

Figura 2-: $ria%ao de obeto de r ede

Figura 21:
-.2 Ser)ice /0ects4'roups

s o5etos po"e consistir "e servios "e re"e e grupos "e servios "e re"e. Para criar u servio re"e ou grupo "e servios> "iri5aDse E Configuration >> *irewall >> &b,ects >> 'etwor- &b,ects/roup >> Configuration .

Figura 22: $ria%&o de ser"i%o de rede

Figura 23:
Figura 24: $ria%&o de um grupo de ser"i%os de rede= >bser"e ue "oc? pode adicionar "!rios protocolos ao grupo rec@m8criado Members in 9roupB

5

AT

As regras "e 6AT po"e ser visualia"as e Configuration >> *irewall >> 'A) %ules. Co ase na topologia apresenta"a> será cria"o u 6AT para ca"a *P 9*P> re"irecionan"o to"o o trá#ego ou parte "ele para u *P na re"e aai;o re"e )A6.

Figura 2#: $aminho para cria%&o de regra de CAT

Figura 2': $ria%&o de regra de CAT

Figura 2(: $onfigura%&o de regra de CAT

serve e os capos @Source nterface> @Destination nterface > @Source A!!ress> @Destination A!!ress e os capos para o pacote tra"ui"o )ranslate! ac-et . As possiili"a"es "e trans#ora!o "e pacotes s!o Lltiplas "epen"en"o "a topologia e opera!o e "a necessi"a"e e uest!o. 5.1 Tipos de AT

6AT pressup$e taelas "e apeaento. :le po"e ser estático ou "inMico. A "i#erena po"e ser e;plica"a "a seguinte aneira? supon "igaos> 1(2.1/&.1.0824> on"e sua áuina possui o *P 1(2.1/&.1.-0. A cone;!o B "a"a pela tupla 1(2.1/&.1.-0?&000 JJ 1%3.1(4.42.14&?&0. Nuan"o vocH envia esta reuisi!o> o #irewall> ue possui *P pLlico> B ue vai realiar a cone;!o co o Google e repassar os resulta"os a vocH.

Portanto> ele realia u apeaento para saer para ue enviar a resposta "o Google. : u 6AT "inMico> o #irewall escol e uan"o ele receer a resposta> ele alterará o *P "estino "o pacote "e resposta ue no caso B o prprio #irewall> para o *P "e sua áuina interna 1(2.1/&.1.-0> coo por e;eplo? 1%3.1(4.42.14&?&0 JJ 1(2.1/&.1.-0?&000. Se o 6AT #osse estático> o #irewall respeitaria as cone;$es con#ore a sua porta alta local> ou se5a> ariria cone;!o co o Google utilian"o o *P "ele e a porta alta &000. 5.2 6erificação de AT na C"#

As regras visualia"as e Configuration >> *irewall >> 'A) %ules po"e ser igualente oti"as via console8SSI co o coan"o @show nat .

Figura 2*: erifica%&o de regras de CAT "ia linha de comando

5.3 7stado das Cone8ões

Oá a oten!o "os esta"os "as cone;$es tra"ui"as B ais e#icienteente oti"a atravBs "o acesso e o"o te;to utilian"o o coan"o @show  xlate.

9  AC"

Acrnio "e @ Access Control $ist  ou )ista "e Controle "e Acessos. Representa e#etivaente as @regras "e #irewall "o Cisco ASA. TaB constitui u o5eto coposto por outros o5etos> coo in#ora"o na se!o -. As AC)s po"e ser visualia"as e Configuration >> *irewall >> Access %ules. A veri#ica!o "e AC) e con5unto co a rotina "e log "o AS+, B e;treaente Ltil "urante u troubleshooting.

Figura 2+: A$/s

Figura 3-: $ria%&o de A$/

Figura 31: $onfigura%&o de A$/

9.1 'lo/al Access "ists

Q ua classe "e AC) ue arange to"as as inter#aces "o Cisco ASA. serva!o? lereDse "e ue na se!o anterior ua AC) po"ia "e#inir a inter#ace "e entra"a "e u pacote capo nterface> e ue ua regra "e 6AT possui recurso para ue se5a "e#ini"as a entra"a e sa="a "o pacote. As lobal Access $ists  po"e ser visualia"as e Configuration >> *irewall > lobal %ules . :ste tipo "e AC) "eve ser usa"a co pru"Hncia> pois o seu uso in"iscriina"o tornará o appliance "esorgania"o e "i#=cil "e a"inistrar.

Figura 32: $ria%&o de 9lobal Access /ist

Figura 33: $onfigura%&o de 9lobal Access /ist rec@m8criada

1: Pu/lic Ser)ers

 conceito "e ublic Server   "e#ine o acesso e;terno a > ublic Servers .

Figura 34: $ria%&o de
Figura 3#: $onfigura%&o de
11 ;eatures

 Cisco ASA possui taB as seguintes capaci"a"es? •

rox#  Transparente

•

(ri!ge

• •

Trataento "e trá#ego co NoS nspection "e pacotes> lieran"o o pacote ou n!o "e acor"o co a c
12 acup e Restore 12.1 acup

 o"o "e con#igura!o co assistente nos possiilita #aer bac-up "e u aiente para> posteriorente> recuperáDlo caso necessário.  bac-up po"e ser #eito por partes> porB recoen"aos o full .

Figura 3': DacEup acess5"el atra"@s de Tool >> Backup Configuration

Figura 3(: DacEup personali0ado) onde seleciona8se somente o ue s e uer guardar

Figura 3*: efini%&o de arui"o de bacEup) com extens&o 0ip

Figura 3+: 9era%&o de bacEup personali0ado

Figura 4-: $onclus&o de bacEup personali0ado

12.2 Restore

 restore "o runningconfig   B siples vi"e #igura 2( e in5etável no appliance atravBs "o gerencia"or "e aruivos se!o 3.-.  restore "o bac-up copleto> ue "eve ser gera"o co a e;tens!o ip> po"e ser e#etua"o atravBs "a inter#ace grá#ica "o eso o"o ue o ac7up full .

Figura 41: .estore acess5"el em Tools >> Restore Configurations

Figura 42: ele%&o de arui"o de bacEup a ser restaurado

Figura 43: ele%&o de bacEup a ser restaurado para o appliance extens&o 0ipB

Figura 44: efini%&o dos itens a serem restaurados

Figura 4#: A"iso de r estaura%&o sobre o ue pode acontecer com as configura%,es "igentes

Figura 4':
13 Trou/les
 C)*> logging> traceroute e ac-et )racer   s!o oas #erraentas "e análise.  ac-et )racer   #a análise "e ua orige para u "estino e viceDversa> "escreven"o to"o o tra5eto "o pacote e a in#luHncia "e ca"a regra sore ele. Nuan"o o pacote B liera"o o in"ica"or B e;ii"o na cor ver"e> caso contrário> na cor verel o ue po"e ser "etecta"o #acilente co a #erraenta ac-et )racer . A #erraenta "e logging  B acess=vel e Monitoring >> $ogging >> 1iew > on"e o #iltro "ese5a"o po"e ser con#igura"o. Ping e traceroute s!o #erraentas couns na aioria "os sisteas unix li-e> acess=veis e )ools >> ing e )ools >> )raceroute > respectivaente.

Figura 4(: Acesso ao Packet Tracer 

Figura 4*: xemplo de uso do Packet Tracer 

Figura 4+: Acessando o Logging

Figura #-: xemplo de uso do Logging

Figura #1: Acessando o Traceroute

Figura #2: xemplo de uso do Traceroute