ASA访问控制列表与穿越用户认证_03
访问控制列表ACL
ACL可用于接口，也有全局的
接口访问控制列表只能控制穿越流量（session连接除外）
所有到ASA终结的流量，被不同的管理访问列表控制（如：ssh 0 0 DMZ）
ASA发起的都被允许
ASA配置相同优先级的acl是将原来的挤下去，路由器是直接替换
接口规则和安全
默认：outbound（高->低）允许，inbound（低->高）拒绝
接口规则：input（主要）控制改接口进入， output控制出去
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
enable password cisco //Telnet需要enable密码
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
写ACL
access-list out extended permit tcp any host 192.168.117.100 eq telnet //两条名为out的acl
access-list out extended permit tcp any host 192.168.112.100 eq www
access-list out extended deny ip any any log //log deny的数据包
调用ACL
access-group out in interface outside //将out acl-list应用在outside接口in方向
access-group out out interface outside //将out acl-list应用在outside接口out方向
access-group out global //全局调用
定时ACL
time-range onwork //设置一个时间范围
periodic weekdays 9:00 to 19:15
access-list out line 1 extended permit tcp host 192.168.116.100 host 192.168.117.100 eq telnet time-range onwork
//acl在时间范围内生效
Objet-Group
可将网段协议端口做成一个集合以供调用，并且可以嵌套调用
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
ASA(config)# object-group ?
configure mode commands/options:
icmp-typeSpecifies a group of ICMP types, such as echo
network Specifies a group of host or subnet IP addresses //IP或网段
protocol Specifies a group of protocols, such as TCP, etc //协议
security Specifies identity attributes such as security-group
service Specifies a group of TCP/UDP ports/services //协议加端口号
user Specifies single user, local or import user group
例：
object network Inside-Server1 //object只能装一个，object-group可以装多个
host 10.1.1.1
object network Inside-Server2
host 10.1.1.2
object-group network Inside-Server //并支持嵌套
network-object object Inside-Server1
network-object object Inside-Server2
object-group service test1 tcp-udp //服务组
port-object eq 21
port-object eq 22
实例：
access-list Outside_access_in extended permit object-group InsideService 202.100.1.0 255.255.255.0 object-group Inside-Server
//替换ACL对应位置即可
URPF
ASA可以使用URPF技术抵御IP地址欺骗
1.ASA使用路由表确认源地址（严格uRPF）
2.仅仅检查流中的第一个包（可以状态化处理的协议）
3.uRPF默认是禁用的
1
ip verify reverse-path interface Outside
shunn
ASA可以使用shunning技术丢弃源自于一个特性主机的数据包
Shunning配置规则：
[*]
[*]手动配置，或者被IPS动态配置
[*]覆盖所有的接口访问规则
[*]重启之后就消失
[*]用于对某个事件紧急响应时使用
1
2
3
4
5
6
7
8
9
10
11
12
ASA(config)# shun 192.168.12.1
Shun 192.168.12.1 added in context: single_vf
Shun 192.168.12.1 successful
ASA(config)# show shun
shun (DMZ) 192.168.12.1 0.0.0.0 0 0 0
ASA(config)# show shun statistics
mgmt=OFF, cnt=0
inside=OFF, cnt=0
outside=OFF, cnt=0
DMZ=ON, cnt=0
Shun 192.168.12.1 cnt=0, time=(0:00:30)
ASA(config)# clear shun
基于用户策略（ CUT‐Through Proxy）
[*]当一个用户第一次访问一个需要被认证的资源时， Cisco ASA会要求这个用户提供用户名和密码。
[*]一个用户为所有的认证规则，只需要认证一次，因为ASA缓存用户的源IP地址。（注：由于是根据ip确定一个用户，故在多个用户共享一个IP地址（ PAT，代理），不建议部署基于用户的策略，后果一个用户认证通过，这ip下的其他用户全部通过）
用户必须使用HTTP， HTTPS， FTP或者TELNET去访问资源以触发认证。
注：只有HTTP， HTTPS， FTP或者TELNET才会触发，一些非标准的不会直接认证
解决ASA对Telnet的直接认证上述不安全问题
思路：与虚拟HTTP一样
设置一组ACL：把Telnet 3088 和Telnet虚拟ip的写到一块
认证匹配该ACL组的流量
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
Outside(config)#line vty 0 4
Outside(config-line)#rotary 88 //Telnet开启3088端口
ASA(config)# access-list in_telnet_out extended permit tcp any any eq 3088
//这句相当于把virtual Telnet 和Telnet outside 3088绑定到一块了
//实际上只要这组ACL触发了认证并且通过，该ACL组都会对认证的ip生效
ASA(config)# aaa authentication match in_telnet_out inside 3ara
Inside#telnet 192.168.16.100 3088
Trying 192.168.16.100, 3088 ... Open
Error:Must authenticate before using this service.
Inside#
Inside#telnet 192.168.17.110 //先去认证只有标准的HTTP， HTTPS， FTP或者TELNET才能正常认证
Trying 192.168.17.110 ... Open
LOGIN Authentication
Authen by ECIT
Username: test1
Password:
Welcome to ECIT
Authentication Successful
Inside#
Inside#telnet 192.168.16.100 3088 //再去访问ACL中允许的流量
Trying 192.168.16.100, 3088 ... Open
Outside>
用户被认为已经通过了认证，直到他们注销，或者认证缓存信息超时。
注意：http在认证时账号密码是直接通过get包纯明文直接发过去的，很不安全，且PAT不合适
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
ASA(config)# aaa-server 3ara protocol radius //协议
ASA(config-aaa-server-group)# exit
ASA(config)#aaa-server 3ara (DMZ) host 192.168.12.200 cisco //radius的IP和key
ASA(config-aaa-server-host)# exit
ASA(config)# test aaa-server authentication 3ara //测试用户
ASA(config)# access-list autel permit tcp any any eq telnet //设置ACL
ASA(config)# aaa authentication match autel inside 3ara //在inside口匹配该ACL的 启用AAA认证
ASA(config)# timeout uauth 1:00:00 absolute //绝对超时时间
ASA(config)# timeout uauth 0:10:00 inactivity //闲置超时时间
Inside#telnet 192.168.112.100
Trying 192.168.112.100 ... Open
Username: test1
Password:
User Access Verification
Password:
DMZ#exit
提示消息
ASA(config)# auth-prompt prompt Authen by ECIT
ASA(config)# auth-prompt accept Welcome to ECIT
ASA(config)# auth-prompt reject Deny by ECIT
Inside#telnet 192.168.112.100
Trying 192.168.112.100 ... Open
Authen by ECIT
Username: test1
Password:
Welcome to ECIT
User Access Verification
Password: //这是DMZ的vty密码
DMZ#
解决ASA对HTTP的直接认证上述不安全问题
[*]
[*]HTTP重定向
[*]虚拟HTTP
[*]Secure HTTP
HTTP重定向
1
ASA(config)# aaa authentication listener httpDMZ port http redirect
Secure HTTP
1
2
ASA(config)# aaa authentication secure-http-client //不能和上面一起用
//与HTTP重定向几乎一样，只是在①那一段是加密的
虚拟HTTP
1
2
//原理几乎一样，只是在①那一段被重定向到ASA的一个虚拟接口上，当然这个虚拟接口在策略上可达
ASA(config)#virtual http 202.100.1.101 warning 这个地址一般设为ASA接口所在网段的一个地址
授权
Download ACL 优先于接口和全局ACL
1
2
3
4
5
ASA(config)#virtual telnet 192.168.17.110
ASA(config)#access-list in extended permit tcp any host 192.168.17.110 eq telnet
ASA(config)#aaa authentication match in inside 3ara
ASA(config)# access-group in in interface inside per-user-override
//per-user-override表示将dacl覆盖该接口的acl，切记要敲，否则dacl不生效
注：切记要用IE，什么谷歌，火狐，欧朋都有问题，这个破ACS，心好累
审计
1
2
ASA(config)# access-list actelnet permit tcp any any eq telnet
ASA(config)# aaa accounting match actelnet inside 3ara
页:
[1]