Руководство по конфигурированию Cisco ASA/PIX 8.x

ASA/PIX 8.x.

Пример конфигурации, разрешающей/блокирующей FTP-сайты при использовании регулярных выражений с MPF Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Общие сведения Обзор системы модульных политик Регулярные выражения Конфигурирование Сетевой график Конфигурации Конфигурация ASA в интерфейсе командной строки Конфигурация ASA 8.x с ASDM 6.x Проверка Поиск и устранение неполадок Введение В настоящем документе описывается, как настроить защитные устройства Cisco Security Appliances ASA/PIX 8.x, которые используют регулярные выражения с системой модульных политик Modular Policy Framework (MPF) для того, чтобы блокировать/разрешать определенные FTP-сайты по имени сервера.

Предварительные условия Требования В данном документе предполагается, что устройство безопасности Cisco корректно настроено и работает нормально. Используемые компоненты Сведения, содержащиеся в этом документе, касаются следующих версий программного обеспечения и оборудования. Устройство адаптивной защиты Cisco серии 5500 (ASA), на котором установлена версия ПО 8.0(x) или более поздняя Cisco Adaptive Security Device Manager (ASDM) версии 6.x для ASA 8.x Сведения для данного документа были получены на тестовом оборудовании в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с "пустой" (стандартной) конфигурацией.

При работе с реально функционирующей сетью необходимо полностью осознавать возможные результаты использования всех команд. Условные обозначения

Стр. 1

Более подробную информацию о применяемых в документе обозначениях см. в статье Cisco Technical Tips Conventions (Условные обозначения, используемые в технической документации Cisco). Общие сведения Обзор модульной системы политик Модульная система политик (MPF) обеспечивает гибкий способ настройки параметров устройств безопасности. Например, MPF можно использовать для создания конфигурации с таймаутом, которая является специфичной для определенного TCP-приложения, в отличие от конфигураций, применимых ко всем TCP-приложениям. MPF поддерживает функции, перечисленные ниже.

Нормализация TCP, ограничение числа и продолжительности TCP- и UDP-соединений, а также рандомизация порядкового номера TCP CSC Контроль трафика на прикладном уровне IPS Входной контроль QoS Выходной контроль QoS Очередь с приоритетом QoS Настройка MPF включает следующие 4 задачи. Определение трафика уровней 3 и 4, для которого требуется применить действия. Для получения подробной информации см. документ Определение трафика с использованием карты класса уровней 3/4. 1. 2. (Только для контроля трафика на прикладном уровне.) Указание специальных действий для контроля трафика на прикладном уровне. Для получения подробной информации см.

документ Задание специальных действий для контроля трафика на прикладном уровне. Применение действий для трафика уровней 3 и 4. Для получения подробной информации см. документ Определение действий с использованием карты политик уровней 3/4. 3. Активация действий на интерфейсе. Для получения подробной информации см. документ Применение политики уровня 3/4 к интерфейсу с использованием служебной политики. 4. Регулярные выражения Регулярное выражение либо точно соответствует текстовой строке, либо допускает использование метасимволов, позволяя совмещать различные варианты текстовой строки. Регулярные выражения можно использовать для совмещения контента определенного трафика приложений.

Например, можно совместить строку URL внутри пакета HTTP. Примечание. Чтобы исключить все специальные символы в командной строке, такие как вопросительные знаки (?) или табуляторы, используйте сочетание клавиш Ctrl+V . Например, используйте комбинацию d[Ctrl+V]g , чтобы ввести в конфигурацию d?g . Для создания регулярных выражений используйте команду regex . Кроме того, команда regex может использоваться для реализации различных функций, требующих сравнения текста. Например, можно задать специальные действия для контроля приложения с использованием MPF и карты политик анализа. Для получения подробной информации см. команду policy-map type inspect .

На карте политик анализа можно задать трафик, используемый при создании карты классов анализа, которая содержит одну или

Стр. 2

несколько команд match . Можно также использовать команды match непосредственно в карте политик анализа. Некоторые команды match позволяют идентифицировать текст в пакете, используя регулярное выражение. Например, можно совместить строки URL внутри пакетов HTTP. Можно группировать регулярные выражения в соответствующую карту класса. Для получения подробной информации см. команду class-map type regex . Следующая таблица содержит список метасимволов, имеющих специальное значение. Символ Описание Примечания . Точка Соответствует любому одиночному символу. Например, выражению d.g соответствуют слова dog, dag, dtg, а также любое слово, содержащее эти символы, например, «doggonnit».

(exp) Вложенное выражение Вложенное выражение отделяет символы от окружающего текста, позволяя использовать внутри скобок другие метасимволы. Например, выражению d(o|a)g соответствуют слова dog и dag, в то время как выражению do|ag соответствуют do и ag. Вложенные выражения могут также использоваться с кванторами повторения для указания числа повторяющихся знаков. Например, выражению ab(xy){3}z удовлетворяет последовательность abxyxyxyz. | Дизъюнкция (логическое сложение) Соответствует любому из разделенных им выражений. Например, выражению dog|cat удовлетворяет как слово dog, так и слово cat. ?

Вопросительный знак Квантор, указывающий, что предшествующее ему выражение может встречаться 0 или 1 раз. Например, выражению lo?se соответствуют строки «lse» и «lose». Примечание. Чтобы набрать вопросительный знак, перед ним необходимо нажать Ctrl+V в противном случае будет вызвана функция справки. * Звездочка Квантор, указывающий, что предшествующее ему выражение может встречаться 0, 1 или произвольное число раз. Например, выражению lo*se соответствуют строки lse, lose, loose и т. д. {x} Квантор повторения Повторяет символы ровно x раз. Например, выражению ab(xy){3}z удовлетворяет последовательность abxyxyxyz. {x,} Квантор минимального повторения Повторяет символы не менее x раз.

Например, выражению ab(xy){2,}z удовлетворяют последовательности «abxyxyz», «abxyxyxyz» и т. д.

Стр. 3

[abc] Класс символа Соответствует любому символу в квадратных скобках. Например, выражению [abc] удовлетворяют символы a, b и c. Соответствует символу ASCII с указанным [^abc] Отрицание класса символа Соответствует одному символу, не содержащемуся в квадратных скобках. Например, выражению [^abc] удовлетворяет любой из знаков, кроме a, b и c. [^A-Z] соответствует любому одиночному знаку, который не является латинской буквой в верхнем регистре. [a-c] Класс диапазона символов Соответствует любому символу в определенном диапазоне. [a-z] соответствует любой букве в нижнем регистре. Символы и диапазоны можно сочетать:

[abcq-z] соответствует знакам a, b, c, q, r, s, t, u, v, w, x, y, z, как и выражение [a-cq-z]. Внутри квадратных скобок знак тире (-) воспринимается как таковой только в том случае, если он стоит первым или последним: [abc-] или [-abc]. "" Кавычки Позволяют указать пробелы в начале или конце строк. Например, выражение " test" обрабатывается с учетом стоящего в начале пробела. ^ Вставка Указывает, что выражение должно начинаться с начала строки. \ Подтверждение символа В сочетании с метасимволом указывает, что последний должен восприниматься как обычный символ. Например, выражению \[ соответствует открывающая квадратная скобка.

char Символ Если знак не является метасимволом, он воспринимается как обычный символ. \r Возврат каретки Соответствует символу возврата каретки: 0x0d. \n Перевод строки Соответствует символу перевода строки: 0x0a. \t Табулятор Соответствует табулятору: 0x09. \f Новая страница Соответствует символу новой страницы: 0x0c. \xNN Шестнадцатеричная нумерация Соответствует символу ASCII с указанным кодом в шестнадцатеричном виде (код должен содержать строго две цифры).

Стр. 4