Einführung Cisco ASA

Einführung in die Grundlagen von Cisco ASA

Präsentation unter: https://essentials.coufal.at/network_basics/ASAprimer.html

Klaus Coufal

7.9.2021

ASA: Übersicht

ASA – Was ist das?
Betriebsmodi
Commandline - Bedienung
Schnittstellen
ASA-OS (Finesse -> Linux)
Unterlagen beziehen sich auf ASA-OS ab V8.4

ASA: Was ist das?

Advanced Security Appliance
ASA steht für eine Familie von Stateful Inspection Firewalls der Firma Cisco
Kein Router!
NAT, PAT und DHCP-Support
Automatische Konfiguration der Sicherheit über Sicherheitsstufen

ASA: Betriebsmodi

User Mode (Runmode, kaum Befehle)
↓ (enable) ↑ (disable)
Privileged Mode (Alle Befehle außer Konfiguration)
↓ (configure terminal) ↑ (exit)
Configuration Mode (Alle Befehle)
Anmerkung zu "enable": Sollte noch kein enable-Passwort gesetzt sein, wird trotzdem danach gefragt, in diesem Fall eingeben.

ASA: Commandline - Bedienung

Hilfe
Abkürzungen
Mehrseitige Ausgaben
Kontrollzeichen

ASA: Hilfe

Durch den Befehl "help" oder das "?" wird ein Hilfetext ausgegeben
Ebenso bei einem Syntaxfehler
Wie bei IOS kann die Hilfe auch für eine Subebene eines Befehls angefordert werden

ASA: Abkürzungen

Alle Befehle können soweit abgekürzt werden, bis sie noch eindeutig sind
0 als IP-Adresse wird als 0.0.0.0 interpretiert

ASA: Mehrseitige Ausgaben

Mehrseitige Ausgaben bleiben nach 24 Zeilen (einstellbar) stehen, dabei gelten folgende Steuerzeichen:

Steuerzeichen	Beschreibung
	Bei mehrseitigen Ausgaben, zeigt diese Taste die nächste Zeile an
	Bei mehrseitigen Ausgaben, zeigt diese Taste die nächste Seite an
	Bei mehrseitigen Ausgaben wird abgebrochen

ASA: Steuerzeichen 1

Steuerzeichen	Beschreibung
	Zeilenanfang
	Zeilenende
	Zeile löschen
	Zeile wiederherstellen
oder	Ein Zeichen nach links
oder	Ein Zeichen nach rechts
oder	Vorige Zeile
oder	Nächste Zeile
oder	Löscht das Zeichen links vom Cursor

ASA: Steuerzeichen 2

Steuerzeichen	Beschreibung
	Verlassen des Konfigurationsmodus (auch aus einem Submodus)

	Ergänzt einen Befehl
	Bricht bestimmte Befehle ab (z.B.: traceroute, telnet)

ASA: Schnittstellen

Je nach Modell sind verschiedene Ethernet-Netzwerkschnittstellen implementiert z.B.:
ASA 5505 >2 (8*10/100 MBit/s Switch mit VLAN-Support)
ASA 5506 8*10/100/1000 MBit/s
...
ASA 5585-X bis zu 10 (GBit/s)

ASA: ASA-OS 1

Unterschiede zu IOS
Wichtige Befehle
Konfiguration ansehen, speichern, ...
Allgemeine Konfigurationsbefehle
Schnittstellenkonfiguration
Translation Rules
ACLs (Access Control Lists)

ASA: ASA-OS 2

ASA als DHCP-Server
VPN-Tunnel
Management der ASA
- Telnet
- SSH
- ASDM (ASA Secure Device Manager)
Datum, Uhrzeit und ntp
Logging

ASA: Unterschiede zu IOS

Keine sekundären IP-Adressen
In ACLs Subnetmasken statt Wildcards

ASA: Wichtige Befehle

reload
ping <name|ip>
show <befehl>
- show dhcpd bindings
- ...
clear <befehl>
- clear arp
- ...
passwd <linepassword> (Kein Default)
enable password <enablepassword> (Kein Default)

ASA: Konfiguration bearbeiten

show configuration - Anzeige der Startupkonfiguration
show running-config (write terminal) - Anzeige der laufenden Konfiguration
copy running-config startup-config (write memory) - Sichern der laufenden Konfiguration in das NVRAM
write erase - Löschen der Konfiguration
copy running-config tftp:[//<server>:/<file>] (write net <ip>:<file>) - Kopieren der Konfiguration auf einen TFTP-Server

ASA: Allgemeine Konfigurationsbefehle

hostname <Name>
domain-name <dns-domain>
crypto key generate rsa modulus <keylength>
- z.B.: crypto key generate rsa mod 2048
show crypto key mypubkey rsa
crypto key zeroize rsa

ASA: Schnittstellenkonfiguration

Interface auswählen
- interface <interfaceID>
Namen und Sicherheitsstufe vergeben
- nameif <name>
- security-level <perimeter>
IP-Adresse zuordnen
- ip address <ip> <mask>
- oder
- ip address dhcp [setroute]
- (Die Option "setroute" bewirkt, daß das "Default Gateway" aus der DHCP-Antwort automatisch zum Setzen einer Default-Route verwendet wird.)

ASA: Perimeter

Wert zwischen 0 und 100
0 ist unsicher (Internet)
100 sicher (Intranet; nur für "inside")
0 und 100 müssen existieren
Schnittstellen mit dem selben Perimeterwert können keine Daten austauschen!

ASA: Perimeter-Bedeutung

Je höher der Perimeterwert desto sicherer ist die Schnittstelle
Ohne Regeln gilt:
Von einer Schnittstelle mit höherem Perimeterwert zu einer Schnittstelle mit niederem Perimeterwert ist Alles erlaubt und umgekehrt gar nichts!

ASA: Schnittstellenkonfiguration - Beispiel

interface vlan1
- nameif outside
- security-level 0
- ip address dhcp setroute
interface vlan2
- nameif inside
- security-level 100
- ip address 192.168.1.1 255.255.255.0

ASA: Translation Rules

Meist als Angabe innerhalb eines Netzwerkobjektes
- nat [static]
Befehle zum Ansehen und Löschen der Translation Slots
- show xlate
- clear xlate

ASA: Translation – Objekte

Für Translationregeln werden Netzwerkobjekte benötigt
Definition mit "object network"
object network <name>
- subnet <netaddress> <subnetmask>
- oder
- host <hostaddress>

ASA: Translation – Kein NAT

Identity NAT (ehemals Nat 0)
- nat (real_if,mapped_if) source static obj1 obj1 destination static obj2 obj2
- Kein Zugriff von außen möglich
- Statt "mapped-if" auch "any" möglich

ASA: Translation – Static NAT

Auch One-to-One-NAT genannt
object network <name>
- host <hostaddress>
- nat (real_if,mapped_if) static {interface | <mapped_IP> | <mapped_object>} [dns] [service <protocol> <real-port> <mapped-port>] [no-proxy-arp] [route-lookup]

ASA: Translation – Dynamic NAT

One-to-One NAT mit IP-Address-Pool
object network <name>
- subnet <netaddress> <subnetmask>
- nat [(real_if,mapped_if)] dynamic {[mapped_inline_host_ip] [interface] | [mapped_obj] [pat-pool mapped_obj [round-robin]] [interface]} [dns]
Kein Zugriff von außen möglich

ASA: Translation - PAT

Port-level multiplexed NAT
object network <name>
- subnet <netaddress> <subnetmask>
- nat (real_if,mapped_if) dynamic <NAT-IP>
oder
object network <name>
- subnet <netaddress> <subnetmask>
- nat (real_if,mapped_if) dynamic interface

ASA: Translation – Parameter

no-proxy-arp
- Kein proxy-arp für diese IP
route-lookup
- Nat in Abhängigkeit von der Schnittstelle
round-robin
- Alle IP-Addressen gleichmäßig für PAT verwenden
pat-pool
- Benütze mehrere Adressen für das PAT

ASA: ACL – Grundlagen

Abarbeitung von oben nach unten bis ein passender Eintrag gefunden wird (spätestens beim impliziten "deny ip any any" am Ende)
Eine ACL wird mit "access-group" einer Schnittstelle zugeordnet
Nur eine "incoming" ACL pro Schnittstelle und Protokoll
Nur eine "outgoing" ACL pro Schnittstelle und Protokoll
Im Gegensatz zu früher wird die Real-IP in ACLs eingesetzt und nicht die Mapped-IP.

ASA: ACL – Syntax

access-list <name|nr> permit|deny <protocol> <source> <destination> [<parameter>]
- access-list 3 permit icmp any any echo-reply
- access-list 7 permit tcp any any eq 22
access-group <name|nr> { in | out } interface <if-name>

ASA: ACL – IP-Angaben

<Netaddress> <Subnetmask>
- 192.168.0.0 255.255.255.0
host <IP>
- host 192.189.51.100
- (=192.168.51.100 255.255.255.255)
any
- any
- (= 0.0.0.0 0.0.0.0)

ASA: ACL – Protokolle

icmp
- icmp <quelle> <ziel> [<teilprotokoll>]
tcp
- tcp <quelle> <ziel> [range <port1> <port2>]
udp
- udp <quelle> <ziel> [eq <portname|portnr>]
ip
...

ASA: ACL – Beispiel 1

access-list zentral permit icmp any any echo-reply
access-list zentral permit icmp any any unreachable
access-list zentral permit icmp any any time-exceeded
access-list zentral permit tcp host 192.189.51.100 62.199.66.16 255.255.255.240 eq 22
access-list zentral permit udp any host 62.199.66.23 eq 53
access-list zentral permit tcp any host 62.199.66.23 eq 53
access-list zentral permit tcp any host 62.199.66.24 eq 25
access-list zentral permit tcp any host 62.199.66.25 eq 80
access-group zentral in interface outside

ASA: ACL – Beispiel 2

access-list 3 permit icmp any any echo
access-list 3 permit icmp any any unreachable
access-list 3 permit icmp any any time-exceeded
access-list 3 permit tcp any any eq 80
access-list 3 permit udp any host 192.189.51.195 eq 53
access-list 3 permit tcp any host 192.189.51.195 eq 53
access-list 3 permit tcp any host 192.189.51.100 eq 25
access-list 3 permit tcp any host 192.189.51.100 eq 110
access-group 3 in interface inside

ASA: ASA als DHCP-Server

dhcpd address <first>-<last> <if>
dhcpd domain <dns-domain>
dhcpd dns <dnsserverip1> [<ip2>]
dhcpd wins <winserverip1> [<ip2>]
dhcpd lease <lease-time>
dhcpd enable <if>
dhcpd auto_config <if>

ASA: DHCP-Server Troubleshooting

show dhcpd statistics
Anzeige von Statistik-Information des DHCP-Servers
show dhcpd binding
Anzeige der vergebenen IP-Adressen
debug dhcpd event
debug dhcpd packet

ASA: VPN-Tunnel Vorbereitung

Definieren der Datenpakete für den Tunnel
- access-list <name|nr> permit ip <quelle> <ziel>
Erlauben des VPN-Traffics
- Mit dem Befehl:
- sysopt connection permit-vpn
- oder
- entsprechenden Einträgen in den ACLs
Ausnahme für NAT wenn notwendig
- NAT <if,any> source static obj1 obj1 dest static obj2 obj2 no-proxy-arp route-lookup

ASA: VPN-Tunnel

Einrichten der Verbindungsparameter
- crypto ipsec ikev1 transform-set <name> <parameter>
- crypto map <mapname> <nr> <parameter>
Einrichten der Policy
- crypto ikev1 policy <nr>
  - <parameter> <value>
Aktivieren des Tunnels
- tunnel-group <peer-IP> type <type>
- tunnel-group <peer-IP> ipsec-attributes
  - <attr> <val>

ASA: VPN-Tunnel – Beispiel Teil 1

object network LAN
- Subnet 192.168.1.0 255.255.255.0
object network REMOTE
- Subnet 192.168.2.0 255.255.255.0
access-list VPN permit ip object LAN object REMOTE
sysopt connection permit-vpn
crypto ipsec ikev1 transform-set filial esp-3des esp-md5-hmac
crypto map filialmap 30 match address VPN
crypto map filialmap 30 set peer 192.168.0.2
crypto map filialmap 30 set ikev1 transform-set filial

ASA: VPN-Tunnel – Beispiel Teil 2

crypto map filialmap interface outside
nat (inside,any) source static LAN LAN destinaton static REMOTE REMOTE no-proxy-arp route-lookup
crypto ikev1 enable outside
crypto ikev1 policy 10
- authentication pre-share
- encryption 3des
- hash md5
- group 2
tunnel-group 192.168.0.2 type ipsec-l2l
tunnel-group 192.168.0.2 ipsec-attributes
- ikev1 pre-shared-key test

ASA: VPN-Tunnel Überprüfung

show crypto ikev1 sa
- Anzeige der aktuellen "IKE security associations"
show crypto ipsec sa
- Anzeige der aktuellen "IPsec security associations"
debug crypto ikev1 sa <level>
debug crypto ipsec sa <level>

ASA: ASA – Management

Zugriff direkt auf die Konsole (VT100)
Zugriff via Telnet
Zugriff via SSH
Zugriff via HTTP/ ASDM (ASA Secure Device Manager)

ASA: Management – Telnet

IPs müssen freigeschalten werden
- telnet <ip> <mask> <if>
- z.B.:
- telnet 192.168.1.2 255.255.255.255 inside
- Von "Outside" nicht direkt möglich
Timeout festlegen (Default: 5 min)
- telnet timeout 10

ASA: Management – SSH 1

Schlüsselpaar notwendig
IPs müssen freigeschalten werden
- ssh <ip> <mask> <if>
- z.B.:
- ssh 192.168.1.2 255.255.255.255 inside
- ssh 192.189.51.0 255.255.255.0 outside
Timeout festlegen (Default: 5 min)
- ssh timeout 10

ASA: Management – SSH 2

SSH Version 1 und 2
- Einstellbar mit dem Kommando:
- ssh version { 1 | 2 }
Bei älteren Versionen;
- Default Benutzername: pix
- Password: <linepassword>
- oder konfigurierter Benutzer
Bei aktuellen Versionen:
- Kein Default Benutzer mehr
- Zugriff nur mehr mit einem konfigurierten Benutzer
- (user <user> password <password>)

ASA: Management – http, ASDM

Schlüsselpaar notwendig
http-Server aktivieren:
- http server enable [port]
IPs müssen freigeschalten werden
- http <ip> <mask> <if>
Zugriff via https://<ASA-IP|ASA-DNS-name>[:port]
Kein Benutzername notwendig
Password: <enablepassword>
oder konfigurierter Benutzer

ASA: Datum, Uhrzeit und ntp

clock set <hh:mm:ss> {<day> <month> | <month> <day>} <year>
clock summer-time <zone> recurring [<week> <weekday> <month> <hh:mm> <week> <weekday> <month> <hh:mm>] [<offset>]
clock timezone <zone> <hours> [<minutes>]
show clock [detail]
ntp server <ip_address> [key <number>] source <if_name> [prefer]
show ntp [associations [detail] | status]

ASA: Logging 1

[no] logging on
[no] logging timestamp
[no] logging standby
[no] logging host [<ifname>] <logip> [{tcp|6}|{udp|17}/port#] [format emblem] [secure]
[no] logging console <level>
[no] logging buffered <level>
[no] logging monitor <level>

ASA: Logging 2

[no] logging history <level>
[no] logging trap <level>
[no] logging message <syslog_id> level <level>
[no] logging facility <fac>
[no] logging device-id hostname | ipaddress <if_name> | string <text>
logging queue <queue_size>
show logging [{message [<syslog_id>|all]} | level | disabled]

ASA: Logging – Loglevels

0	emergencies	System ist nicht benutzbar
1	alerts	Sofortige Aktion notwendig
2	critical	Kritischer Zustand
3	errors	Fehlerzustand
4	warnings	Warnung
5	notifications	Wesentliche Meldung
6	informational	Nachricht zur Information
7	debugging	"Debug"-Nachricht

ASA: Logging – Beispiel

logging on
logging console error
logging buffered warning
logging host (inside) 192.168.1.23
logging trap informational
logging timestamp

Quellen

Fragen

Danke für Ihre Aufmerksamkeit

Seminarreihe

Einführung Netzwerke

Einführung Cisco ASA

Einführung in die Grundlagen von Cisco ASA

Präsentation unter: https://essentials.coufal.at/network_basics/ASAprimer.html

Klaus Coufal

7.9.2021

ASA: Übersicht

ASA: Was ist das?

ASA: Betriebsmodi

ASA: Commandline - Bedienung

ASA: Hilfe

ASA: Abkürzungen

ASA: Mehrseitige Ausgaben

ASA: Steuerzeichen 1

ASA: Steuerzeichen 2

ASA: Schnittstellen

ASA: ASA-OS 1

ASA: ASA-OS 2

ASA: Unterschiede zu IOS

ASA: Wichtige Befehle

ASA: Konfiguration bearbeiten

ASA: Allgemeine Konfigurationsbefehle

ASA: Schnittstellenkonfiguration

ASA: Perimeter

ASA: Perimeter-Bedeutung

ASA: Schnittstellenkonfiguration - Beispiel

ASA: Translation Rules

ASA: Translation – Objekte

ASA: Translation – Kein NAT

ASA: Translation – Static NAT

ASA: Translation – Dynamic NAT

ASA: Translation - PAT

ASA: Translation – Parameter

ASA: ACL – Grundlagen

ASA: ACL – Syntax

ASA: ACL – IP-Angaben

ASA: ACL – Protokolle

ASA: ACL – Beispiel 1

ASA: ACL – Beispiel 2

ASA: ASA als DHCP-Server

ASA: DHCP-Server Troubleshooting

ASA: VPN-Tunnel Vorbereitung

ASA: VPN-Tunnel

ASA: VPN-Tunnel – Beispiel Teil 1

ASA: VPN-Tunnel – Beispiel Teil 2

ASA: VPN-Tunnel Überprüfung

ASA: ASA – Management

ASA: Management – Telnet

ASA: Management – SSH 1

ASA: Management – SSH 2

ASA: Management – http, ASDM

ASA: Datum, Uhrzeit und ntp

ASA: Logging 1

ASA: Logging 2

ASA: Logging – Loglevels

ASA: Logging – Beispiel

Quellen

Fragen