Руководство по настройке фильтрации ACL на Cisco PIX

Списки управления транзитным доступом: фильтрация граничного уровня Содержание Введение Фильтры передачи Обычная настройка Разделы списков ACL для транзитного трафика Как создать список ACL для транзитного трафика Определение требуемых протоколов Определение недопустимого трафика Применение ACL Пример списка контроля доступа (ACL) Списки контроля доступа и фрагментированные пакеты Оценка риска Приложения Часто используемые протоколы и приложения Указания по развертыванию Пример развертывания Дополнительные сведения Введение Данный документ содержит указания и рекомендуемые методы развертывания для фильтрации транзитного и граничного трафика на точках входа в сеть.

Списки управления транзитным доступом (ACL) используются для увеличения безопасности сети, разрешая только требуемый трафик в сети. Фильтры передачи Обычная настройка В большинстве граничных сетевых сред, таких как точки выхода в корпоративные Интернет-сети, фильтрация входа должна использоваться для перемещения трафика от незарегистрированных пользователей на границу сети. В некоторых развертываниях поставщиков услуг такая форма фильтрации трафика граничного уровня или транзитного трафика также может эффективно использоваться для ограничения входящего и исходящего транзитного трафика с помощью специально разрешенных протоколов.

Основной темой этого документа является модель развертывания сети предприятия. На рисунке изображена схема типичного Интернет-соединения предприятия. Два граничных маршрутизатора – IR1 и IR2 – обеспечивают прямой доступ к Интернету. Помимо этих маршрутизаторов, два брандмауэра (на этой схеме Cisco PIX) обеспечивают проверку трафика "потоком" и доступ как к внутренней сети, так и к демилитаризованной зоне (DMZ). DMZ включает в себя внешние услуги, такие как DNS и Интернет; это единственная сеть, доступная непосредственно при коллективном доступе в Интернет.

Прямой Интернет-доступ к внутренней сети должен отсутствовать, в то время как для исходящего трафика внутренней сети должна быть возможность выхода на Интернет-сайты.

Стр. 1

Граничные маршрутизаторы должны быть настроены таким образом, чтобы обеспечивать первый уровень безопасности с помощью списков ACL для входящего трафика. Списки ACL допускают в DMZ только специально разрешенный трафик, а также открывают пользователям внутренней сети, имеющим выход в Интернет, доступ к ответному трафику. Весь незарегистрированный трафик должен быть отправлен во входящие интерфейсы. Разделы списков ACL для транзитного трафика Как правило список управления транзитным доступом состоит из четырех разделов.

Специальный адрес и анти-спуфинговые записи, которые запрещают незаконным источникам и пакетам с адресами отправителей, принадлежащими вашей сети, доступ в сеть с внешнего источника. Примечание. RFC 1918 определяет зарезервированное адресное пространство, которому не могут принадлежать адреса источников в Интернете. RFC 3330 определяет адреса для специального пользования, которым может потребоваться фильтрация. RFC 2827 предоставляет анти-спуфинговые рекомендации. Четко определенный ответный трафик для внутреннего подключения к Интернету Четко определенный внешний трафик, предназначенный для защиты внутренних адресов Явный оператор deny Примечание.

Кроме этого, все списки ACL содержат неявный оператор deny , Cisco рекомендует использовать явный оператор deny , например, deny ip any any . На большинстве платформ такие операторы выполняют расчет числа запрещенных пакетов, которые могут быть отображены с помощью команды show access-list . Создание списка ACL для транзитного трафика Первым этапом в создании списка ACL для транзитного трафика является определение протоколов, требуемых в пределах ваших сетей. Кроме того, каждый узел имеет специфические требования, которые широко применяются и подразумевают использование разрешенных протоколов и приложений.

Например, если сегмент DMZ обеспечивает связь с общедоступным веб-сервером, требуется TCP из Интернета на адрес(а) сервера DMZ в порт 80. Таким же образом, при внутреннем соединении с Интернетом требуется, чтобы ACL разрешил установленный ответный график TCP, имеющий установленный бит подтверждения (ACK). Определение требуемых протоколов Разработка данного списка протоколов может быть весьма сложной задачей, но существует ряд методик для определения требуемого

Стр. 2

трафика. Просмотрите настройки локальной политики безопасности/стратегии обслуживания. Политика локальных сетевых узлов должна помогать в предоставлении базы разрешенных и запрещенных служб. Проведите проверку конфигурации брандмауэра. Текущие конфигурации брандмаура должны содержать явный оператор permit для разрешенных служб. В большинстве случаев возможно преобразовывать эти конфигурации в формат списка ACL и использовать их для создания большого числа записей ACL. Примечание. Как правило, брандмауэр с контролем состояния соединений не имеет определенных правил для авторизированного соединения возвратного трафика.

Поскольку списки управления доступом (ACL) к маршрутизатору не изменяют свое состояние, ответный трафик должен быть явно разрешен. Просмотрите приложения. Те приложения, которые расположены в DMZ или используются внутри, могут помочь определить требования фильтрации. Просмотрите требования к приложениям для получения необходимой информации о структуре фильтра. Использование списка ACL в формате классификации. Список ACL в формате классификации состоит из операторов permit для различных протоколов, которые могут быть предназначены для внутренней сети. (См.

Приложение A для списка наиболее часто используемых протоколов и приложений.) Используйте команду show access-list для отображения числа записей управления доступом (ACE) для определения требуемых протоколов. Изучите все сомнительные и неожиданные результаты перед созданием явного оператора permit для непредусмотренных протоколов. Использование функции коммутации Netflow. Netflow – это функция коммутации, которая в активированном состоянии предоставляет подробную информацию о технологическом процессе. Если функция Netflow активирована на ваших граничных маршрутизаторах, команда show ip cache flow выдает список протоколов, зарегистрированных с помощью функции Netflow.

Функция Netflow не определяет все протоколы, поэтому эта методика должна применяться совместно с остальными. Определение недопустимого трафика Помимо направленной защиты список ACL для транзитного трафика также должен обеспечивать оперативную защиту от определенных типов недопустимых видов трафика в Интернете. Пространство Deny RFC 1918. Пакеты Deny, адрес источника которых входит в пространство адресов специального пользования, определяемых в RFC 3330. Использование анти-спуфинговых фильтров в соответствии с RFC 2827; ваше адресное пространство не должно быть источником пакетов, расположенных за пределами автономной системы (AS). Остальные типы рассматриваемых трафиков включают в себя:

Внешние протоколы и IP-адреса, необходимые для связи с граничным маршрутизатором ICMP из IP-адресов поставщиков услуг Протоколы маршрутизации IPSec VPN, если граничный маршрутизатор используется в качестве граничного устройства Четко определенный ответный трафик для внутреннего соединения с Интернетом Специальные виды трафика ICMP (протокола управляющих сообщений Интернета) Ответы на запрос системы исходящих имен доступа (DNS)

Стр. 3

Установленный протокол TCP Ответный трафик пользовательского протокола данных (UDP) Информационные соединения FTP Информационные соединения TFTP Мультимедийные соединения Четко определенный внешний трафик, предназначенный для защиты внутренних адресов Трафик VPN Ассоциация межсетевой безопасности и протокол управления ключами (ISAKMP) Просмотр трансляции сетевых адресов (протокол NAT) Собственный механизм инкапсуляции Инкапсуляция защищенной полезной нагрузки (протокол ESP) Протокол аутентификации заголовка (AH) HTTP для веб-серверов Протокол безопасных соединений (SSL) для веб-серверов FTP для FTP-серверов Входящие информационные соединения FTP Входящие пассивные информационные соединения FTP ( pasv ) Простой протокол передачи почты (SMTP) Другие приложения и серверы Входящий запрос DNS Зонный перенос входящего DNS Применение ACL Вновь созданный список ACL следует применять к входящему трафику для интерфейсов со стороны Интернета в граничных маршрутизаторах.

В примере, приведенном в разделе Обычная установка, ACL применяется в интерфейсах Интернет-сетей на IR1 и IR2. Более подробную информацию см. в разделе указания к применению и пример развертывания. Пример ACL Данный список доступа обеспечивает простой и в тоже время вполне реальный пример обычных записей, требуемых в списке ACL для транзитного трафика. Эти базовые списки ACL необходимо сопоставлять с элементами локальных конфигураций, характерных для каждого из узлов. !--- Добавьте анти-спуфинговые записи. !--- Запретите источники адресов специального пользования. !--- О дополнительных адресах специального пользования см. RFC 3330.

access-list 110 deny ip 127.0.0.0 0.255.255.255 any access-list 110 deny ip 192.0.2.0 0.0.0.255 any access-list 110 deny ip 224.0.0.0 31.255.255.255 any access-list 110 deny ip host 255.255.255.255 any

Стр. 4