Truy cập Global Configuration Mode
Về cơ bản Firewall Cisco ASA cũng bao hàm các mode y như trên những dòng switch hay router của Cisco, gồm những: User EXEC mode, Privileged EXEC mode, Global configuration mode cùng Sub-configuration mode. Chúng ta đăng nhập vào ASA cùng với password nhằm trống:
Cấu hình Hostname, Banner Motd, Password
Cấu hình hostname, domain name, enable password, banner mode:
ciscoasa(config)# hostname CNTTSHOP-FWCNTTSHOP-FW(config)# domain-name cnttshop.vn Logoff --------------------------------------------Ban dang tầm nã cap vao firewall cua cty CNTTSHOP-------------------------------------------- Type help or "?" for a các mục of available commands.CNTTSHOP-FW> |
Cấu hình AES mã hóa Password:
| CNTTSHOP-FW(config)# show password encryption Password Encryption: Disabled Master key hash: Not set(saved)CNTTSHOP-FW(config)# key config-key password-encryption cisco123CNTTSHOP-FW(config)# password encryption aes CNTTSHOP-FW(config)# show password encryption Password Encryption: Enabled Master key hash: 0x45ebef8e 0x77a0f287 0x90247f80 0x2a184246 0xe85cbcc4(not saved)CNTTSHOP-FW(config)# |
Cấu hình VLAN
Trên firewall Cisco ASA, các luồng traffic được phân chia theo các zone, thường thì là 3 zone: outside (vùng liên kết ra internet), inside (vùng mạng LAN nội bộ), DMZ (vùng chưa những máy chủ dịch vụ thương mại public ra internet) cùng được đặt theo nameif với các mức bảo mật thông tin (security level) không giống nhau.
Cấu hình Interfaces VLAN:
CNTTSHOP-FW(config)# interface vlan 1CNTTSHOP-FW(config-if)# nameif inside |
Gán Layer 2 Ports vào VLAN
Gán Cổng layer 2 vào vlan:
CNTTSHOP-FW(config)# interface e0/0CNTTSHOP-FW(config-if)# switchport access vlan 2CNTTSHOP-FW(config-if)# no shutdown |
Kiểm tra những port đã làm được gán vào VLAN
| CNTTSHOP-FW#show switch vlan | |||
| VLAN------123 | Name----------------------------------insideoutsidedmz | Status------upupup | Ports---------------------------------Et0/2, Et0/3, Et0/4, Et0/5, Et0/6, Et0/7Et0/0Et0/1 |
| CNTTSHOP-FW# |
Kiểm tra IP
| CNTTSHOP-FW#show interface ip brief | |||||
| Interface Ethernet0/0Ethernet0/1Ethernet0/2Ethernet0/3Ethernet0/4Ethernet0/5Ethernet0/6Ethernet0/7Internal-Data0/0Internal-Data0/1Vlan1Vlan2Vlan3Virtual0 | IP-Addressunassignedunassignedunassignedunassignedunassignedunassignedunassignedunassignedunassignedunassigned192.168.1.1100.0.0.10010.0.0.1127.1.0.1 | OK? | Methodunsetunsetunsetunsetunsetunsetunsetunsetunsetunsetmanualmanualmanualunset | Statusupupupupupupupupupupupupupup | Protocolupupupupupupupupupupupupupup |
Cấu hình default Static Route trên Cisco ASA
CNTTSHOP-FW(config)# route outside 0.0.0.0 0.0.0.0 100.0.0.1CNTTSHOP-FW(config)# show route | begin Gateway S* 0.0.0.0 0.0.0.0 <1/0> via 100.0.0.1, outside |
Cấu hình Telnet, SSH bên trên Cisco ASA
Cấu hình Telnet
| CNTTSHOP-FW(config)# password cisco CNTTSHOP-FW(config)# telnet 192.168.1.3 255.255.255.255 inside CNTTSHOP-FW(config)# telnet timeout 3CNTTSHOP-FW(config)# show run telnettelnet 192.168.1.3 255.255.255.255 insidetelnet timeout 3CNTTSHOP-FW(config)# |
Cấu hình SSH
CNTTSHOP-FW(config)# username admin password cnttshop Do you really want khổng lồ replace them? |
Cấu hình NTP trên Cisco ASA
| CNTTSHOP-FW(config)# ntp authenticate CNTTSHOP-FW(config)# ntp trusted-key 1CNTTSHOP-FW(config)# ntp authentication-key 1 md5 cnttshop 123CNTTSHOP-FW(config)# ntp server 192.168.1.254 |
Cấu hình DHCP server trên Cisco ASA
| CNTTSHOP-FW(config)# dhcpd address 192.168.1.10-192.168.1.200 inside CNTTSHOP-FW(config)# dhcpd lease 1800CNTTSHOP-FW(config)# dhcpd dns 8.8.8.8 8.8.4.4 inside CNTTSHOP-FW(config)# dhcpd address 10.0.0.10-10.0.0.200 outside CNTTSHOP-FW(config)# dhcpd lease 1800CNTTSHOP-FW(config)# dhcpd dns 8.8.8.8 8.8.4.4 outside |
Trong bài này mình chỉ hướng dẫn các cấu hình cơ phiên bản trên các dòng firewall Cisco ASA thấp với những cổng khoác định ban đầu là layer2 như ASA5505, ASA5506... Đối với các dòng Cisco ASA cao hơn vậy thì các cổng mang định là Layer 3 thông số kỹ thuật sẽ không giống so với nội dung bài viết này.
PHẦN 1: CÀI ĐẶT ASA GIẢ LẬP TRÊN GNS3Cisco Firewall ASA chạy hệ quản lý 8.4.2 trở lên có cung ứng tính năng Identity Firewall . Đây là thiên tài mà những dòng next-generation firewalls hỗ trợ, nhất là hãng Palo Alto.1. Download bản cài đặt GNS3 (tại thời điểm viết bài bác này, version là 1.3.7)http://www.gns3.net
Note: các bạn phải đăng ký tài khoản sử dụng2. Download IOS dùng để giả lập ASA 8.4.2 trên GNS3http://www.mediafire.com/download.php?ssadit26tl3llms
Các các bạn unzip cùng được 2 file asa842-initrd và asa842-vmlinuzNote: không được giải nén tệp tin asa842-initrd3. Cài đặt ASA bên trên GNS3Edit/Preferrences/QEMU/QEMU VMs
Chọn New với khai báo như ví dụ làm việc dưới
Chọn Apply để kết thúc thiết đặt ASA trên GNS3.4. Chạy ASA cùng active the license
Kéo và thả ASA vào màn hình làm việc, click yêu cầu chuột và lựa chọn Start, tiếp nối là Console
Nhập lệnh ciscoasa>enable, bấm Enter khi bao gồm lời kể nhập password, nhập tiếp lệnh ciscoasa> show version, các bạn sẽ thấy rất nhiều tính năng bị disable.
Để active thêm tính năng, các bạn cần nhập license (tham khảo key sống đây: http://www.vnpro.org/forum/forum/cc...f-snaa/32677-cisco-asa-firewall-8-4-2-on-gns3 )ciscoasa# activation-key 0x4a3ec071 0x0d86fbf6 0x7cb1bc48 0x8b48b8b0 0xf317c0b5và khởi rượu cồn lại ASA bằng lệnh ciscoasa# reload
Note: This platform has an ASA 5520 VPN Plus license.
Would you lượt thích to enable anonymous error reporting khổng lồ help improvethe product?
Ethernet 1
INFO: Security cấp độ for "inside" set to lớn 100 by default. //mức bảo mật "100" được gán tự động cho port có tên là "inside", đây là cổng nối vào miền TRUSTciscoasa(config-if)# no shutdown4.Cấu hình cổng outsideciscoasa(config)# interface gigabit
Ethernet 3ciscoasa(config-if)# ip address 1.1.1.4 255.255.255.248ciscoasa(config-if)# nameif ouside
INFO: Security cấp độ for "ouside" set to lớn 0 by default. //mức bảo mật thông tin "0" được gán tự động cho những port có tên không phải là "inside", đấy là cổng nối vào miền UNTRUSTciscoasa(config-if)# no shutdown5.Cấu hình cổng dmzciscoasa(config)# interface gigabit
Ethernet 2ciscoasa(config-if)# ip address 192.168.1.254 255.255.255.0ciscoasa(config-if)# nameif dmz
INFO: Security màn chơi for "dmz" set to 0 by default.ciscoasa(config-if)# security-level 50 //khai báo lại mức bảo mật thông tin 0
Mời các bạn tham gia Group White
Hat để đàm luận và update tin tức bình yên mạng hàng ngày.Lưu ý tự White
Hat: loài kiến thức bình an mạng để phòng chống, không có tác dụng điều xấu. điều khoản liên quan
Re: hướng dẫn thông số kỹ thuật Firewall Cisco ASA cơ bảnPHẦN 3: ĐIỀU HƯỚNG TRAFFICKhi thông số kỹ thuật ASA, những port yêu cầu được gán với một mức bảo mật thông tin (security level) trường đoản cú 0 - 100, và hình thành các miền (zone) tin tưởng (trustworthy) hoặc thiếu tín nhiệm cậy (untrustworthy). Mặc định, traffic khởi chế tạo ra từ các miền khác nhau sẽ được điều hướng như sau:- Permit đối với outbound traffic (khởi chế tạo từ miền gồm mức bảo mật thông tin cao, vd: inside, ra miền gồm mức bảo mật thông tin thấp,vd: outside)- Deny đối với inbound traffic (khởi tạo ra từ miền tất cả mức bảo mật thấp, vd: outside, vào miền gồm mức bảo mật thông tin cao,vd: inside)- Inspect so với outbound traffic (trừ ICMP, chức năng này đang phân tích rõ hơn ở bài khác) với permit đối với return trafficCác các bạn xem Hình 1: Denied Traffic
Note: vào hình số 2, traffic khởi chế tạo ra từ Outside vào DMZ cần được permit vày ACL hoặc chính sách Inspection
Các chúng ta cũng có thể kiểm demo theo topology bài bác Cisco ASA - 2.Cấu hình Interface, như sau:
Trên R1, R2, R3: bật những dịch vụ Telnet, HTTP; thông số kỹ thuật default-gateway hoặc default-route về phía ASA.- Kiểm demo outbound traffic
R1#ping 1.1.1.3Type escape sequence khổng lồ abort.Sending 5, 100-byte ICMP Echos lớn 1.1.1.3, timeout is 2 seconds:.....Success rate is 0 percent (0/5)R3#debug ip icmpICMP packet debugging is on
R3#*Oct 7 17:03:35.707: ICMP: echo reply sent, src 1.1.1.3, dst 172.16.1.1, topology BASE, dscp 0 topoid 0R3#*Oct 7 17:03:37.723: ICMP: echo reply sent, src 1.1.1.3, dst 172.16.1.1, topology BASE, dscp 0 topoid 0R3#*Oct 7 17:03:39.683: ICMP: echo reply sent, src 1.1.1.3, dst 172.16.1.1, topology BASE, dscp 0 topoid 0R3#*Oct 7 17:03:41.679: ICMP: echo reply sent, src 1.1.1.3, dst 172.16.1.1, topology BASE, dscp 0 topoid 0R3#*Oct 7 17:03:43.723: ICMP: echo reply sent, src 1.1.1.3, dst 172.16.1.1, topology BASE, dscp 0 topoid 0Note: bởi ICMP ko được inspect bắt buộc ASA chặn ICMP reply do R3 trả về.R1#telnet 1.1.1.3Trying 1.1.1.3 ... Open
User Access Verification
Password:R3>ciscoasa# show conn1 in use, 1 most used
TCP outside 1.1.1.3:23 inside 172.16.1.1:17657, idle 0:00:27, bytes 148, flags UIONote: traffic Telnet (do R1 gửi tới R3) được inspect và ASA permit so với return traffic (do R3 trả về)- Kiểm thử Inbound traffic
R1#debug ip icmpICMP packet debugging is on
R3#ping 172.16.1.1 repeat 100Type escape sequence to abort.Sending 100, 100-byte ICMP Echos to lớn 172.16.1.1, timeout is 2 seconds:...............................................ciscoasa# show conn0 in use, 1 most used
R1#debug telnetIncoming Telnet debugging is on
R3#telnet 172.16.1.1Trying 172.16.1.1 ...% Connection timed out; remote host not respondingciscoasa# show conn0 in use, 1 most used
Note: ASA deny các traffic khởi sản xuất từ R3 mang đến R1Tham khảo:- CCNA Security Curriculum- Cisco.Press.CCNP.Security.FIREWALL.642-618.Official.Cert.Guide.May.2012- Cisco ASA All-in-One Next-Generation Firewall, IPS, & VPN Services, Third Edition(Blog "Học Ở đông đảo Hình Thức":http://wp.me/p3rkn
I-7v)
Mời các bạn tham gia Group White
Hat để bàn luận và update tin tức an ninh mạng mặt hàng ngày.
Xem thêm: Chi tiết
Lưu ý từ WhiteHat: kiến thức bình an mạng nhằm phòng chống, không làm điều xấu. Luật pháp liên quan
Re: phía dẫn thông số kỹ thuật Firewall Cisco ASA cơ bảnPHẦN 4: TẬP LỆNH CƠ BẢN1.Cấu hình khoác định: ASA dòng 5510 và cao hơn đã được cấu hình trước management interface, DHCP với ASDM
DESCRIPTION:reload Halt và reload system
SYNTAX:quick Reload without properly shutting down each subsystemnoconfirm Reload immediately without asking for confirmationsave-config Save configuration before reloadmax-hold-time Maximum hold time for orderly reloadat Reload at a specific time/datein Reload after a time intervalreason Reason for reload3.3. Để ngắt lệnh show
Iyt7RRXU24 encryptedpasswd 2KFQnb
NId
I.2KYOU encryptednames!interface Gigabit
Ethernet0shutdownno nameifno security-levelno ip address!interface Gigabit
Ethernet1nameif insidesecurity-level 100ip address 172.16.1.4 255.255.255.0!interface Gigabit
Ethernet2nameif dmzsecurity-level 50ip address 192.168.1.4 255.255.255.0!// Gõ phím Q để ngắt lệnh4.Lệnh writeciscoasa# write ?erase Clear flash memory configuration // sửa chữa erase startup-configmemory Save active configuration to the flash // tương tự copy running-config startup-confignet Save the active configuration to the tftp hệ thống // tương đương copy running-config tftp:standby Save the active configuration on the active unit to the flash onthe standby unitterminal Display the current active configuration // tương tự show running-config5. Thông số kỹ thuật default routeroute interface-name 0.0.0.0 0.0.0.0 next-hop-ip-address6. Thông số kỹ thuật Telnet với SSH
Hostname or X:X:X:X::X IPv6 addressciscoasa(config)# who0: 10.0.11.17ciscoasa(config)# kill ?exec mode commands/options:Session ID as displayed by the who commandciscoasa(config)# kill 07. Cấu hình dịch vụ DHCP
Mời chúng ta tham gia Group White
Hat để đàm đạo và cập nhật tin tức bình an mạng mặt hàng ngày.Lưu ý tự White
Hat: loài kiến thức bình an mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
Re: phía dẫn cấu hình Firewall Cisco ASA cơ bảnPHẦN 5: CẤU HÌNH SỬ DỤNG ASDM (GUI OVER HTTPS)1.Topology
Ethernet 4!interface Gigabit
Ethernet4nameif management // rất có thể là cổng cùng với nameif khácsecurity-level 100ip address dhcp // rất có thể gán showroom tĩnh
Note: Không cần sử dụng lệnh management-only so với cổng G4 nên hoàn toàn có thể truyền data bình thườngCopy tệp tin asdm-x.bin (vd: asdm-713.bin) vào thư mục C:TFTP-Root và nhảy TFTP server
Destination filename
Accessing tftp://192.168.59.1/asdm-713.bin...!!!!!!!!!!!!!!!!!!!!!3. Cấu hình cho phép sử dụng ASDM:ciscoasa# show running-config username
Y/f
QXw7Ure8Qrz7 encrypted!ciscoasa# show running-config httphttp vps enablehttp 0.0.0.0 0.0.0.0 management!ciscoasa# show running-config aaaaaa authentication http console LOCAL4. Kết nối từ PC4.1. Sử dụng web browser
Hat để bàn thảo và cập nhật tin tức bình yên mạng sản phẩm ngày.Lưu ý từ White
Hat: con kiến thức an toàn mạng nhằm phòng chống, không làm điều xấu. Quy định liên quan
Comment
P
ảnh bài xích này bị lỗi các quá bác bỏ ơi, gồm mấy khu vực toàn thấy ảnh Olly
Mời các bạn tham gia Group White
Hat để bàn thảo và cập nhật tin tức an toàn mạng hàng ngày.Lưu ý từ White
Hat: con kiến thức bình an mạng để phòng chống, không làm cho điều xấu. Quy định liên quan
