Cisco ASA (tsz. Cisco ASAs)
A Cisco Adaptive Security Appliance (ASA) a Cisco Systems által fejlesztett hálózati biztonsági megoldás, amely tűzfal, VPN-szerver, IPS, és más biztonsági szolgáltatások kombinációját nyújtja egyetlen integrált eszközön. A Cisco ASA az egyik legelterjedtebb és legmegbízhatóbb vállalati tűzfalmegoldás, amelyet világszerte használnak kis- és nagyvállalatok, adatközpontok, illetve szolgáltatók.
A Cisco ASA (Adaptive Security Appliance) egy stateful firewall, amely képes:
Az ASA lehet fizikai appliance (pl. ASA 5506-X, ASA 5516-X), vagy virtuális (Cisco ASAv), mely VMware, KVM és más platformokon is futtatható.
Az ASA architektúrája moduláris:
Az ASA proprietary Cisco OS-t használ, amely különbözik az IOS-től, de hasonló CLI-t biztosít.
Az ASA több különböző módon képes működni:
Az ASA CLI-n keresztül konfigurálható soros porton, Telneten, SSH-n, vagy ASDM (Cisco Adaptive Security Device Manager) nevű webes grafikus felületen keresztül.
A CLI hasonlít az IOS-hez, de különbségek is vannak, például:
enable
configure terminal
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 192.168.1.1 255.255.255.0
no shutdown
exit
Minden ASA interfészhez egy nameif és egy security-level van rendelve (0–100):
inside (100) – belső, megbízható hálózatoutside (0) – külső, nem megbízható (internet)dmz (pl. 50) – részlegesen megbízható zóna (pl. publikus web szerverek)Alapértelmezés szerint a magasabb security-level szint kommunikálhat az alacsonyabb szintű felé, fordítva viszont explicit szabály szükséges.
A Cisco ASA a stateful inspection mellett ACL-eket is alkalmaz a forgalom vezérlésére. Példa:
access-list OUTSIDE_IN extended permit tcp any host 192.168.1.10 eq 80
access-group OUTSIDE_IN in interface outside
Ez engedélyezi a HTTP kapcsolatokat a 192.168.1.10 című belső webszerver felé.
A Cisco ASA objektumalapú NAT-ot használ a 8.3+ verziók óta:
object network WEB_SERVER
host 192.168.1.10
nat (inside,outside) static 203.0.113.10
Ez egy static NAT szabályt hoz létre, amely a belső webszervert a publikus IP-n keresztül elérhetővé teszi.
Az ASA támogatja mind az IPsec VPN, mind az SSL VPN kapcsolatokat:
VPN konfiguráció során figyelni kell:
A Cisco ASA támogatja az AAA modellt:
Példa egy AAA beállításra:
aaa-server RADIUS-SERVER protocol radius
aaa-server RADIUS-SERVER (inside) host 192.168.1.100
key cisco123
aaa authentication ssh console RADIUS-SERVER
Az ASDM egy Java-alapú GUI eszköz, amely segíti a konfigurációt, naplózást és hibakeresést:
Az ASDM a legtöbb ASA-val kompatibilis, de Java-függősége miatt néha kényelmetlen lehet.
Az ASA szoftverfrissítése történhet:
copy tftp: flash:boot system disk0:/asa9.x.x.binMentési parancsok:
copy running-config startup-config
copy startup-config tftp:
show log – naplóüzenetek megtekintésedebug parancsok – részletes hibakeresés (pl. VPN, NAT, ACL)packet-tracer – forgalom útjának szimulációja a tűzfalon belülpacket-tracer input inside tcp 192.168.1.10 12345 8.8.8.8 80
Ez megmutatja, hogy egy adott csomag átjutna-e az ASA-n.
Újabb ASA modellek (pl. 5506-X, 5516-X) lehetőséget kínálnak a Cisco Firepower Services integrálására:
Ez a funkció Cisco FMC (Firepower Management Center) segítségével kezelhető.
A klasszikus ASA már önmagában nem számít NGFW-nek, de Firepower integrációval kiterjeszthető. A Cisco új NGFW vonala a Cisco Secure Firewall (korábban Firepower) termékcsaládra épül.
A Cisco ASA egy erőteljes és sokoldalú biztonsági eszköz, amely ideális:
Erőssége a stabilitás, rugalmasság és Cisco ökoszisztémával való integráció. A CLI mély ismerete szükséges a hatékony használathoz, de az ASDM lehetővé teszi a kevésbé tapasztalt felhasználók számára is a konfigurációt.
Aki hálózatbiztonsággal foglalkozik, annak a Cisco ASA ismerete alapvető – akár CCNA Security, akár CCNP Security tanulmányokat folytat.