Руководство по эксплуатации прозрачного межсетевого экрана

7PIX/ASA:

Пример конфигурации прозрачного межсетевого экрана Содержание Введение Предварительные условия Требования Используемые компоненты Соответствующие продукты Условные обозначения Прозрачный межсетевой экран Рекомендации Разрешенные MAC-адреса Неподдерживаемые функции Настройка Схема сети Конфигурации Различные сценарии перемещения данных в прозрачном межсетевом экране Получение доступа к внешнему серверу электронной почты внутренним пользователем Посещение внутренним пользователем веб-сервера с NAT Посещение внутреннего веб-сервера внутренним пользователем Посещение внешним пользователем веб-сервера внутренней сети Предоставление доступа внешним пользователям к внутренним узлам Проверка Устранение неполадок Дополнительные сведения Введение Традиционно межсетевой экран представляет собой маршрутизируемый переход и по умолчанию функционирует как шлюз для узлов, подключенных к одной из защищенных им подсетей.

Прозрачный межсетевой экран, с другой стороны, представляет собой межсетевой экран уровня 2, который работает как устройство с аппаратной реализацией безопасности (BITW, bump in the wire) или " невидимый межсетевой экран ", поскольку не воспринимается подключенными устройствами как маршрутизируемый переход. Устройство защиты подключается к одной и той же сети на своих внутренних и внешних портах. Так как межсетевой экран не является маршрутизируемым переходом, можно с легкостью встроить прозрачный межсетевой экран в сеть, не прибегая к изменению IP- адресации.

Его поддержка значительно облегчается, так как не требуется устранять проблемы, связанные со сложными шаблонами маршрутизации или настройкой NAT. Несмотря на то, что функционирование в режиме прозрачности напоминает работу моста, трафик уровня 3, например, IP-трафик, не может проникнуть сквозь устройство защиты, если не было явно заданного разрешения на выполнение этого действия, сопровожденного расширенным списком доступа. Единственный трафик, для которого возможно прохождение через прозрачный межсетевой экран без списка доступа — это трафик ARP. Проверка ARP-трафика осуществляется с помощью функции инспектирования ARP.

В маршрутизируемом режиме некоторые виды трафика не могут быть пропущены устройством защиты, даже если они разрешены списком доступа. Кроме того, прозрачный межсетевой экран пропускает любой трафик из расширенного списка доступа (IP-трафик) или списка доступа EtherType (трафик, отличный от IP-трафика). Например, с помощью прозрачного межсетевого экрана можно установить смежности протокола маршрутизации; также можно разрешить прохождение трафика VPN (IPSec), OSPF, RIP, EIGRP или BGP на основании расширенного списка доступа. Точно так же

Стр. 1

протоколы, например, HSRP или VRRP, могут быть пропущены через устройство защиты. Для трафика, отличного от IP трафика (например, AppleTalk, IPX, BPDU и MPLS), можно задать конфигурацию для прохождения на основании списка доступа EtherType. Если какие-либо функции не поддерживаются прозрачным межсетевым экраном, можно разрешить прохождение трафика через него, чтобы восходящие или нисходящие маршрутизаторы смогли обеспечить необходимую функциональность. Например, можно разрешить прохождение DHCP-трафика в расширенном списке доступа (вместо неподдерживаемой функции переключения DHCP) или многоадресный трафик, который создается IP/TV.

Если устройство защиты работает в прозрачном режиме, исходящий интерфейс пакета определяется с помощью поиска MAC-адреса, а не с помощью поиска маршрута. Инструкции маршрута можно настроить, однако они применимы только для трафика, созданного устройством защиты. Например, если сервер системного журнала расположен в удаленной сети, необходимо использовать статический маршрут, чтобы устройство защиты могло достичь данной подсети. Устройство адаптивной защиты может быть настроено для работы в режиме маршрутизируемого межсетевого экрана по умолчанию или в режиме прозрачного межсетевого экрана.

При смене режимов устройство адаптивной защиты очищает конфигурацию, так как многие команды поддерживаются только в одном из режимов. Если заполненная конфигурация уже имеется, сохраните ее перед тем, как изменить режим; сохраненную конфигурацию можно использовать для справки при создании новой конфигурации. В многоконтекстном режиме возможно использование только одного межсетевого экрана для всех контекстов. Режим необходимо указать в системном поле выполнения. В многоконтекстном режиме конфигурация системы стирается, при этом все контексты удаляются. При добавлении контекста с уже существующей конфигурацией, заданной для другого режима, конфигурация контекста не будет работать корректно.

Примечание. Убедитесь, что конфигурации контекстов созданы для соответствующего режима до того, как они будут добавлены, или добавляйте новые контексты с новыми путями для новых конфигураций. Примечание. Если для устройства защиты была загружена текстовая конфигурация, которая изменила режим с помощью команды firewall transparent , убедитесь, что она находится в верхней части текста конфигурации. Устройство адаптивной защиты изменяет режим сразу после исполнения команды, а затем продолжает чтение загруженной конфигурации. Если команда расположена ниже части текста конфигурации, устройство адаптивной защиты удалит все предыдущие строки конфигурации.

Дополнительные сведения о настройке многоконтекстного режима прозрачного межсетевого экрана, см. в разделе Многоконтекстный режим, прозрачный межсетевой экран с внешним доступом Предварительные условия Требования Настоящий документ не предъявляет каких-либо специфических требований. Используемые компоненты Сведения, содержащиеся в данном документе, относятся к следующим версиям программного и аппаратного обеспечения: Адаптивная система безопасности (ASA) версии 7.x и более поздняя Данные для документа были получены в специально созданных лабораторных условиях. Все упоминаемые устройства первоначально работали в конфигурации по умолчанию.

Если сеть работает в реальных условиях, следует адекватно оценивать возможные последствия использования каждой команды. Соответствующие продукты

Стр. 2

Эта конфигурация может также использоваться со следующими версиями программного/аппаратного обеспечения. Устройство защиты PIX Security Appliance версии 7.x и выше Условные обозначения Подробные сведения о применяемых в документе обозначениях см. в статье Условные обозначения, используемые в технической документации Cisco. Прозрачный межсетевой экран Рекомендации Следуйте данным рекомендациям при планировании сети с прозрачным межсетевым экраном: Необходимо наличие управляющего IP-адреса; для многоконтекстного режима IP-адрес обязателен для каждого контекста.

В отличие от маршрутизируемого режима, в котором требуется IP-адрес для каждого интерфейса, в прозрачном межсетевом экране имеется IP-адрес, назначенный для всего устройства. Устройство защиты использует этот IP-адрес в качестве исходного адреса для пакетов, созданных устройством защиты, таких как системные сообщения или сообщения авторизации, аутентификации и учета (ААА). Управляющий IP-адрес должен принадлежать той же подсети, что подключенная сеть. Не допускается устанавливать подсеть равной подсети хоста (255.255.255.255). Прозрачное устройство защиты использует только внутренний и внешний интерфейс.

Если у платформы имеется выделенный интерфейс управления, можно выполнить настройку интерфейса управления или подчиненного интерфейса только для пропускания трафика управления. В одиночном режиме можно использовать два интерфейса данных (а также выделенный интерфейс управления, если он доступен) даже в том случае, если устройство защиты включает в себя более двух интерфейсов. Каждая напрямую подключенная сеть должна быть расположена в той же подсети. Не допускается указывать управляющий IP-адрес устройства защиты в качестве шлюза по умолчанию для подключенных устройств. В качестве шлюза по умолчанию для устройств должен быть определен маршрутизатор на другой стороне устройства защиты.

В многоконтекстном режиме каждый контекст должен использовать различные интерфейсы, несколько контекстов не могут использовать один интерфейс. В многоконтекстном режиме для каждого контекста обычно используются разные подсети. Можно использовать перекрывающиеся подсети, однако для сетевой топологии обязательно наличие маршрутизатора и конфигурации NAT, чтобы это было осуществимо с точки зрения маршрутизации. Необходимо использовать расширенный список доступа для разрешения прохождения через устройство защиты трафика уровня 3, например, IP-трафика. Также можно использовать список доступа EtherType для разрешения пропуска трафика, отличного от IP.

Разрешенные MAC-адреса Эти MAC-адреса назначения разрешены для прохождения трафика через прозрачный межсетевой экран. Любые MAC-адреса, не указанные в данном списке, отбрасываются. Широковещательные MAC-адреса назначения TRUE равны FFFF.FFFF.FFFF MAC-адреса многоадресной рассылки IPv4 с 0100.5E00.0000 по 0100.5EFE.FFFF

Стр. 3

MAC-адреса многоадресной рассылки IPv6 с 3333.0000.0000 по 3333.FFFF.FFFF Адрес многоадресной рассылки BPDU, равный 0100.0CCC.CCCD Многоадресные MAC-адреса AppleTalk с 0900.0700.0000 до 0900.07FF.FFFF Не поддерживаемые функции Следующие функции не поддерживаются в прозрачном режиме: NAT/PAT NAT выполняется в маршрутизаторе восходящего потока. Протоколы динамической маршрутизации (RIP, EIGRP, OSPF) Допускается добавление статических маршрутов для трафика, созданного устройством защиты. Также можно разрешить прохождение трафика протоколов динамической маршрутизации через устройство защиты, с помощью расширенных списков доступа.

IPv6 Ретрансляция DHCP Прозрачный межсетевой экран может выступать в качестве DHCP-сервера, но при этом он не поддерживает выполнение команд ретрансляции DHCP. Ретрансляция DHCP не требуется, поскольку для пропуска DHCP-трафика можно использовать расширенный список доступа. Качество обслуживания (QOS) Многоадресная рассылка Многоадресный трафик может быть разрешен для прохождения через устройство защиты с помощью расширенного списка доступа. Прерывание проходящего трафика в VPN Прозрачный межсетевой экран поддерживает VPN-туннели типа "узел-узел" только для соединений управления. Он не выполняет прерывание соединений VPN для трафика, проходящего через устройство защиты.

Можно разрешить прохождение трафика VPN через устройство защиты с помощью расширенного списка доступа, однако прерывания соединений, не относящихся к управлению, выполняться не будет. Примечание. В прозрачном режиме устройство защиты не пропускает CDP-пакеты или любые другие пакеты, не имеющие допустимого значения EtherType, большего или равного 0x600. Например, невозможно прохождение пакетов IS-IS. Исключение составляют поддерживаемые блоки данных протокола моста (BPDUs), которые поддерживаются. Настройка В этом разделе приводится информация по настройке функций, описанных в данном документе. Примечание.

Воспользуйтесь Средством поиска команд ( только для зарегистрированных клиентов ) для получения дополнительных сведений о командах, упомянутых в этом разделе. Схема сети На схеме сети представлена типичная сеть с прозрачным межсетевым экраном, в которой внешние устройства расположены в той же подсети, что и внутренние. Внутренний маршрутизатор и узлы подключены напрямую к внешнему маршрутизатору.

Стр. 4