Introducción Cisco-Pix Firewall. Ing. Civil en Sistemas Ricardo E. Gómez M.

Transcripción

1 Introducción Cisco-Pix Firewall Ing. Civil en Sistemas Ricardo E. Gómez M.

2 ESTRUCTURA FUNCIONAMIENTO ESQUEMA DE PROTECCION A.S.A. -Adaptative Security Algoritm - Stateful y Orientado a la Conexión. - Flujo de sesiones se basa en : * Dirección Fuente Destino * Secuencia TCP * Número de Puertos -Puede controlar tanto tráfico saliente como entrante. CUT-THROUGH PROXY -Metodo de verificación de usuarios, sirve para denegar o permitir acceso para cualquier tipo de aplicación TCP o UDP

3 APLICACIONES RED FIREWALL LAN-1: X VPN Cliente Server FTP Segmento IP Pública PAT: /29 INTERNET Server smtp -Acceso Internet - Accseso Controlado - VPN Client StoS - Fix Up - Ruteo Interno LAN-2: X

4 DIAGRAMA RED FIREWALL LAN-1: X 506-E INTERNET Segmento IP Pública PAT: /29

5 ACCESO INTERNET LAN-1: X e1 Inside E e0 Ouside interface ethernet0 auto interface ethernet1 auto nameif ethernet0 outside security0 nameif ethernet1 inside security ip address outside ip address inside global (outside) netmask global (outside) nat (inside) route outside conduit permit icmp any any... telnet inside

6 N.A.T. ó P.A.T. NAT - Permite ocultar los host`s del interior de la red. - La asociación de las IP`s del NAT con los User es uno a uno - Permite Protocolo de Señalización H.323 global (outside) netmask PAT - Port Address Traslation - Permite la asociación de varias IP inside a una sola outside - Permite realizar Over Flow. - No permite protocolo de Señalización H.323 global (outside)

7 CONTROL USUARIOS LAN-1: X e1 inside 506-E e0 ouside El PIX NO filtra: - Usuarios sobre un ambiente Dinámico. - Usuarios por Horarios y Fechas. - Sitios Internet por palabra en URL. - No entrega privilegios por User y Pass. - El acceso de una Zona insegura a otra segura sólo se hace a través de N.A.T. nat (inside) nat (inside) nat (inside) nat (inside) nat (inside) access-list USER permit tcp host any access-list USER permit udp host any access-list USER permit icmp host any... access-list USER permit ip host any access-list USER permit tcp host any eq 22 access-list USER permit tcp host any eq ftp-data access-list USER permit tcp host any eq ftp access-list USER permit udp host any eq snmp... access-group USER in interface inside

8 SERVIDORES - INSIDE LAN-1: X e1 inside 506-E e0 ouside static (inside,outside) netmask access-list 101 permit tcp any host eq smtp access-list 101 permit tcp any host eq www Server SMTP-Web

9 SERVIDOR DMZ LAN-1: X Server FTP e1 Inside Server FTP-WEB E e0 DMZ Ouside nameif ethernet2 DMZ security20... ip address DMZ static (inside,dmz) netmask static (DMZ,outside) netmask conduit permit tcp host eq ftp any conduit permit tcp host eq www any... alias (inside)

10 FIXUP - PROTOCOL LAN-1: X e1 IP SRC IP DST PORT A.B.C.D. X.X.X.X PPP Inside E e0 Ouside fixup protocol ftp 21 fixup protocol h323 h fixup protocol h323 ras fixup protocol http 80 fixup protocol ils 389 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521

11 LAN-1: X VPN CLIENTE Server FTP INTERNET VPN Cliente LAN-2: X

12 VPN CLIENTE LAN-1: X Server FTP INTERNET VPN Cliente POOL VPN X * VPN CLIENT tiene sus puertos y protocolos abiertos. * VPN CLIENT, NO permite acceder a Internet por la misma interface Outside. * VPN CLIENT, NO permite el paso de Broadcast. LAN-2: X

13 CISCO VPN CLIENT X INTERNET VPN Cliente POOL VPN SOPORTE X ACCESO CONMUTADO access-list 101 permit ip nat (inside) 0 access-list 101 ip local pool remoto sysopt connection permit-ipsec crypto ipsec transform-set myset esp-des esp-md5-hmac crypto dynamic-map dynmap 10 set transform-set myset crypto map mymap 10 ipsec-isakmp dynamic dynmap crypto map mymap client configuration address initiate crypto map mymap client configuration address respond crypto map mymap interface outside isakmp enable outside isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 2 isakmp policy 20 lifetime vpngroup usera address-pool remoto vpngroup usera idle-time 1800 vpngroup usera password ******

14 CONJUNTO TRANSFORMADA PARAMETROS VPN crypto ipsec transform-set myset esp-des esp-md5-hmac ESP: Encapsulation Security Payload, define la confidencialidad, autenticación e integridad de los datos(payload)/ Cifrado de Payload de los paquetes con un algoritmo de encryptación DES: Algoritmo de Encriptación de 56 bit s MD5: Autentificación IPSEC ESP AH DES / 3DES HMAC-MD5 / HMAC SHA HMAC-MD5 / HMAC SHA

15 PARAMETROS VPN ISAKMP: Internet Security Association and Key Management Protocol isakmp enable outside isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 2 isakmp policy 20 lifetime CRYPTO MAP crypto dynamic-map dynmap 10 set transform-set myset crypto map mymap 10 ipsec-isakmp dynamic dynmap crypto map mymap client configuration address initiate crypto map mymap client configuration address respond crypto map mymap interface outside

16 ACCESO PIX - VPN access-list 80 permit ip host telnet outside isakmp nat-traversal ( usuarios VPN que utilizan NAT para acceder a Intenet ) INSIDE OUTSIDE INTERNET X POOL VPN SOPORTE X NAT VPN Cliente-1 VPN Cliente-2

17 MULTI-USUARIOS VPN OUTSIDE INTERNET NAT VPN Cliente-1 VPN Cliente-2 VPN Cliente-3 - PIX indica a usuario que él será su nuevo gateway, todos los paquetes sólo conocen al PIX como gateway. - Usuario Pierde su entorno de red. - Usuario Pierde Acceso a Internet. SPLIT TUNNEL access-list split permit ip vpngroup aeropuerto1 split-tunnel split

18 MONITOREO INTERNET... logging on logging buffered debugging logging trap debugging logging host inside RnR entrega información: Uso Básico de acceso a Internet. 20 IP`s de URL más visitados. Bytes Inbound/Outbound por IP. Protocolos y Puertos utilizados. Errores y Advertensias. Puede filtrar una IP especifica.

19 MONITOREO INTERNET