Cisco ASA (Adaptive Security Appliance) – межсетевой экран

Тема: Cisco ASA (Adaptive Security Appliance) – межсетевой экран.
Основной задачей этого

- фильтрацию трафика, используя Access List;
- VPN (Site-to-Site, RA

Основные функции Cisco ASA:
1. Stateful packet inspection, SPI — инспекция

3. Архитектура Cisco TrustSec – это система управления безопасностью сети

Межсетевой экран это в первую очередь фильтр. Использование межсетевого экрана исключительно

Технология DMVPN является дальнейшим развитием VPN, и основывается на совместной работе

В данный момент существует серия межсетевых экранов – Cisco ASA 5500.

Соберём небольшую сеть, состоящую из двух компьютеров и межсетевого экрана 5505.
Сеть

Открываем в настройки межсетевого экрана, заходим в привилегированный режим.
Для этого набираем:
«en».
Появляется

Для проверки возможностей межсетевого экрана модели ASA 5505 набираем:
«show version».

Видим версию прошивки.

Чуть ниже видим файл прошивки.

Далее находим основные параметры прошивки
ниже – порты.

Перемещаемся в самый низ.
Видим, что установлена базовая лицензия.
На данный момент сменить

Максимальное количество VLANs равно трём.
Причём один из них (DNZ), как правило

Также видим, что у нас нет возможности использовать Trunk Ports.
Это делает

Проверим преднастройки межсетевого экрана:
«show run». Видим, что interface Ethernet0/0 определён

Опускаемся ещё ниже и видим, что по умолчанию настроен dhcp-сервер на

Если это верно, получим ip-адрес для компьютера PC0.
Сработало, ip-адрес получен.

Точно также получим ip-адрес для компьютера PC1.
Результат тот же, ip-адрес получен.

Предположим, что на одном
из компьютеров
администратор хочет
удалённо
администрировать ASA.
Для

Набираем:
«show run».
Видим, что пароль на вход в привилегированный режим и

Выберем протокол SSH, по которому будем
осуществлять удалённый
доступ, указываем ip-адрес

Далее задаём параметры аутентификации пользователя. Так как команда длинная, для просмотра

Наберём команду:
«show run».
На этом устройстве она доступна в любой момент

Попробуем удалённо подключиться к межсетевому экрану с компьютера PC0:
«ssh -l admin

Настроим уровень доверия к интерфейсу Security Level. Чем выше его значение,

Уровень доверия к интерфейсу Security Level можно легко изменить, например, на

Видим, что Security Level изменился со 100 на 95.

Настроим внешний
интерфейс:
«conf t»,
«int vlan 2».
Введём ip-адрес, который
предположительно, нам

Видим, что внешний ip-адрес прописан.

Настроим маршрутизатор провайдера:
«n», «en»,
«int fa0/0»,
«ip address 210.210.0.1 255.255.255.252»,
«no shutdown»,
«exit»,
«int fa0/1»,

«ip

Настроим сервер.
Введём ip-адрес,:
«210.210.1.2»,
маску:
«255.255.255.0» и
шлюз по умолчанию:
«210.210.1.1».

Проверим связь с межсетевого экрана на маршрутизатор:
«ping 210.210.0.1».
Видим, что связь есть!

Пропишем маршрут по умолчанию. Так как команда длинная,
для просмотра вариантов

Ещё раз проверим связь с межсетевого экрана на сервер:
«ping 210.210.0.1».
Видим, что

Проверим связь одного из компьютеров с маршрутизатором провайдера:
«ping 210.210.0.1».
Видим, что связи

Чтобы связь появилась,
необходимо прописать
маршрут на
маршрутизаторе
провайдера в нашу

Ещё раз проверим связь
одного из компьютеров с
маршрутизатором
провайдера:
«ping 210.210.0.1».
Видим,

По умолчанию на ASA
инспектирование трафика
не настроено.
Сделаем это.
Сначала определяем

Далее создаём политику (действие над трафиком):
«policy-map global_policy».
Это действие применяется к созданному

Далее определяем, в каком
направлении будем
использовать политику инспектирования трафика.
В нашем

Ещё раз проверим связь
одного из компьютеров с
маршрутизатором
провайдера:
«ping 210.210.0.1».
Связь

Проверим связь
одного из компьютеров с
сервером:
«ping 210.210.1.2».
Связь есть!

Проверим Web-сервер (HTTP).
Сервер включен.

Пробуем войти на
Web-сервер .
Не работает.
Почему?
Мы инспектируем
на ASA только
icmp-трафик

Сделаем это.
Войдём в настройки ASA :
«conf t»,
«policy-map global_policy»,
«class inspection_default»,
«inspect http»,
«end»,
«wr

Ещё раз пробуем войти на
Web-сервер .
Связь появилась!!!

Проверим связь с сервера к
одному из компьютеров:
«ping 192.168.1.5».
Связи нет и не

Рассмотрим настройку NAT
на Cisco ASA. Она
существенно отличается
от настройки

Теперь на компьютерах
должна пропасть связь
с сервером:
«ping 210.210.1.2».
Связи нет.

Настроим NAT на Cisco ASA.
Это делается с помощью

На этом настройка NAT
Завершилась.
Проверим связь компьютера
с сервером:
«ping 210.210.1.2».
Связь

На Cisco ASA наберём
команду:
«show nat».
Видим счётчик пакетов,
которые прошли через

Компьютерные сети. Н.В. Максимов, И.И. Попов, 4-е издание, переработанное и дополненное,

http://blog.netskills.ru/2014/03/firewall-vs-router.html
https://drive.google.com/file/d/0B-5kZl7ixcSKS0ZlUHZ5WnhWeVk/view

Список ссылок: