Den här laborationen fokuserar på hur en Cisco ASA 5505 fungerar i praktiken. Målet är att förstå hur ASA separerar nätverk, kontrollerar trafik, använder säkerhetsnivåer samt skyddar interna nätverk mot oönskad trafik. I denna laboration används inte NAT och ACL funktioner.

Laborationen utgår från en enkel topologi med ett internt nätverk och ett externt nätverk. Senare i kommande laborationer kan topologin byggas ut med en DMZ för att placera publika servrar i ett separat och mer kontrollerat nätverk.

Topologi

I topologin fungerar ASA 5505 som gränsen mellan det interna nätverket och det externa nätverket.

ASA delar nätverket i säkerhetszoner inside och outside.

ASA 5505 och VLAN-interface

ASA 5505 har en inbyggd Layer 2-switch. Det innebär att de fysiska Ethernet-portarna fungerar som switchportar istället för traditionella routed interfaces. Därför används VLAN-interface för Layer 3-konfiguration:

• VLAN 1 används för inside-nätverket
• VLAN 2 används för outside-nätverket

De fysiska portarna kopplas till rätt VLAN, medan IP-adress, säkerhetsnivå och övriga Layer 3-inställningar konfigureras på VLAN-interfacet. Till exempel:

• Ethernet 0/1–0/7 → VLAN 1 (inside)
• Ethernet 0/0 → VLAN 2 (outside)

På modernare ASA-modeller används istället routed interfaces där varje fysisk port konfigureras direkt med en egen IP-adress.

Säkerhetsnivåer

ASA använder security levels för att avgöra hur trafik får flöda mellan olika nätverk.

Grundprincipen är:

• Trafik från högre säkerhetsnivå till lägre säkerhetsnivå tillåts som standard
• Trafik från lägre säkerhetsnivå till högre säkerhetsnivå blockeras som standard

Det innebär exempelvis att:

• trafik från inside (100) till outside (0) normalt tillåts
• trafik från outside (0) till inside (100) blockeras om ingen regel uttryckligen tillåter trafiken

Denna modell hjälper till att skydda interna nätverk mot obehörig extern åtkomst.

ASA 5505 standardinställningar

I laborationen används flera standardinställningar av ASA brandväggen och en förenklad policy-baserad grundkonfiguration.

Följande är redan konfigurerat:

• INSIDE-DHCP aktiverat med nätverket 192.168.1.0/24
• Ethernet 0/1–0/7 kopplade till VLAN 1 (inside)
• Ethernet 0/0 kopplad till VLAN 2 (outside)

Outside-nätverk saknar ofta färdig IP-konfiguration i labbmiljön och konfigureras senare i laborationen.

I vissa labbmiljöer kan standardlösenord förekomma för att förenkla den initiala åtkomsten till privilegierat EXEC-läge. I verkliga nätverk ska standardlösenord alltid ändras direkt eftersom de är välkända och innebär en stor säkerhetsrisk.

Stateful inspection

ASA är en stateful brandvägg. Det innebär att den håller reda på aktiva sessioner och automatiskt tillåter returtrafik som hör till en redan etablerad anslutning. Om en klient på inside-nätverket exempelvis skickar trafik mot outside skapas en sessionstabell i ASA. När svarstrafiken kommer tillbaka känner brandväggen igen sessionen och tillåter returtrafiken automatiskt.

Däremot blockeras som standard nya anslutningsförsök som initieras från outside mot inside eftersom outside har en lägre security level.

I laborationen används en policy och en klass för att aktivera inspektion av ICMP- och HTTP-trafik. Med kommandot inspect icmp kan ASA hålla reda på ICMP-sessioner och tillåta returtrafik för exempelvis ping. Med inspect http analyserar ASA HTTP-trafiken statefully och kontrollerar att trafiken följer giltiga HTTP-regler innan den släpps igenom.

Licens

ASA 5505 i laborationen använder en Base License. Licensen stödjer upp till tre VLAN, vilket räcker för:

• inside
• outside
• en enklare DMZ

För större nätverk och mer avancerade funktioner krävs normalt en Security Plus License.

Konfigurationer