Сурков Л.В. - Виртуальные частные сети. IPSec-туннель

Министерство образования и науки Российской ФедерацииМосковский Государственный Технический Университетим. Н.Э. БауманаФакультет «Информатика и системы управления»Кафедра «Компьютерные системы и сети»Сурков Л.В.Методические указанияк лабораторной работе по дисциплинеКорпоративные сетиРазделПостроение защищенных сетей с использованием брандмауэровВиртуальные частные сети.IPSec-туннель.2011Сурков Л.В.Корпоративные сетиЛабораторный практикум «Виртуальные частные сети. IPSec-туннель» Rev.

01Виртуальные частные сетиIPSec-туннельТеоретические основыПеред выполнением практической части работы рекомендуется внимательнопрочитать:1. Раздел «Основы протокола IPSec» лабораторной работы «Защита сетевого трафикас использованием IPSec и сертификатов».2. Раздел «Теоретические основы VPN» лабораторной работы «Построениевиртуальных частных сетей VPN в сетевой среде Windows Server 2008/2003»Сведения по конфигурированию брандмауэра Cisco ASA 5500Режимы работы ASA 5500Cisco ASA 5505 может работать в двух режимах. Маршрутизирущий режим.

ASA работает в этом режиме по умолчанию ивыполняет фильтрацию трафика в соответствии с правилами межсетевогоэкрана как обычный узел сети. Прозрачный (Transparent) режим. . ASA осуществляет только фильтрациютрафика 2 уровня, но не маршрутизирует его, а только лишь перенаправляет спорта inside на порт outside. Пакеты уровня 2 пропускаются только дляследующих МАС-адресов:o широковещательный адрес (FFFF.FFFF.FFFF);o групповые адреса IPv4 (0100.5E00.0000-0100.5EFE.FFFF);o групповые адреса IPv6 (3333.0000.0000-3333.FFFF.FFFF);o адрес групповой рассылки BPDU (0100.0CCC.CCCD).При смене режимов ASA очищает текущую конфигурацию, не изменяя загрузочнуюПакеты уровня 3 фильтруются в соответствии с параметром «security» интерфейсов.Пакеты ARP пропускаются без ограничений.IP-адрес назначается устройству в целом, а не конкретному интерфейсу, и используетсяв качестве адреса отправителя в пакетах, отправленных с ASA.

Адрес долженпринадлежать сети, к которой подключен интерфейс.Для настройки интерфейса управления выполните команду:(config)# interface management0/0В этом режиме не поддерживается терминация VPN, протоколы динамическоймаршрутизации (как и сама маршрутизация) и процедуры QoS.Чтобы включить прозрачный режим, выполните следующую команду:(config)# firewall transparentЧтобы выключить прозрачный режим (и включить маршрутизирующий), выполнитеследующую команду: (config)# no firewall transparentБазовые настройки ASA 5500 SeriesПароль для Telnet/SSH-соединений (по умолчанию «cisco»):(config)# password <пароль>МГТУ им. БауманаКафедра ИУ-620112Сурков Л.В.Корпоративные сетиЛабораторный практикум «Виртуальные частные сети.

IPSec-туннель» Rev. 01Пароль для переходя в привилегированный режим («enable»):(config)# enable password <пароль>Имя устройства (hostname):(config)# hostname <имя_узла>Имя домена: (config)# domain-name <имя_домена>Дата и время:(config)# clock set <часы>:<минуты>:<секунды> <день> <месяц> <год>Месяц вводится словом: january, etc.Интерфейсы ASA 5500 SeriesCisco ASA 5505 имеет 8 Ethernet-портов, которые могут работать в 2 режимах: порты коммутатора 2 уровня; порты, образующие VLAN:◦ в маршрутизирующем режиме происходит маршрутизация трафика между VLAN сучетом политик межсетевого экрана и VPN;◦ в прозрачном режиме происходит перенаправление трафика между VLAN однойподсети в соответствии с политиками межсетевого экрана.При перенаправлении трафика между портами, входящими в одну VLAN, политикиМСЭ не применяются. В прозрачном режиме разрешено создать не более 2 VLAN, вмаршрутизирующем — не более 3, причем одна из них (VLAN для построениядемилитаризованной зоны, DMZ) сможет инициировать обмен трафиком только в однуиз двух других VLAN.

Создать тегирующий порт нельзя, то есть невозможнопостроение магистральных линий связи между устройствами, обслуживающими болееодной VLAN.Для каждого интерфейса должен быть задан параметр security в границах от 0 до100. Это параметр, определяющий базовую возможность взаимодействия междупортами: порт с большим значением security всегда может инициировать соединения напорт с меньшим значением security, при этом порт с меньшим значением security неможет инициировать соединения на порт с большим значением security.

Порты сравным значением security могут свободно взаимодействовать между собой.Обычно security=100 задают для порта, присоединенного к локальной сети,security=0 для порта, присоединенного к внешней сети, а порту, присоединенному кDMZ, присваивается промежуточное значение. Дальнейшее ограничение доступаосуществляется с помощью списков контроля доступа (Access Control Lists, ACL).Также по этим значениям определяется тип соединения — входящее (с порта сменьшим security на порт с большим security) или исходящее (с порта с большимsecurity на порт с меньшим security).

По умолчанию интерфейсу присваиваетсяsecurity=0. Если интерфейс inside, то для него по умолчанию security=100.Перейти в режим настройки VLAN:(config)# interface vlan <vlan_id>vlan_id может иметь значение от 0 до 4090.Настроить «DMZ VLAN» (VLAN, из которой могут устанавливаться соединениятолько в одну из двух других VLAN):(config-if)# no forward interface vlan <vlan_id>МГТУ им. БауманаКафедра ИУ-620113Сурков Л.В.Корпоративные сетиЛабораторный практикум «Виртуальные частные сети. IPSec-туннель» Rev. 01Здесь vlan_id — номер VLAN, в которую запрещено устанавливать содинения.

«DMZVLAN» должна быть настроена до создания третьей VLAN.Включить порт в VLAN:(config)# interface <имя>(config-if)# switchport access vlan <vlan_id>Запретить взаимодействие с другими защищ нными портами в VLAN:(config-if)# switchport protectedЕсли вы настраиваете VLAN, то следующие параметры надо назначать интерфейсуVLAN, а не каждому физическому интерфейсу.Задать интерфейсу имя:(config-if)# nameif <символьное_имя>Символьное имя должно быть не длиннее 48 символов, регистр не имеет значения.Задать интерфейсу значение security:(config-if)# security-level <значение>Задать интерфейсу IP-адрес: (config-if)# ip address <адрес> <маска>Включить получение IP-адреса по DHCP:(config-if)# ip address dhcp [setroute]Ключ setroute разрешает использование маршрута по умолчанию, получаемого отDHCP-сервера.Настроить интерфейс как интерфейс управления:(config-if)# management-onlyПо умолчанию все интерфейсы административно отключены.

Чтобы включить их,выполните команду no shutdown в режиме настройки интерфейса.Вывести настройки всех интерфейсов:# show interfaceВывести краткие настройки IP-интерфейсов:# show interface ip briefСписки контроля доступа (ACL) ASA 5500 SeriesСписок контроля доступа — инструмент для фильтрации трафика. Каждый списокдоступа состоит из нескольких записей контроля доступа (Access Control Entry, ACE).Каждая такая запись разрешает или запрещает перенаправление попадающего подправила этой записи пакета.

Каждая новая ACE по умолчанию добавляется в конецсписка. ACE применяются по порядку их появления в списке.Существует два типа списков доступа: Стандартные (standard) — применяются для контроля адресов направлений вмаршрутах OSPF. Не могут быть назначены интерфейсам для фильтрациитрафика. В конец всегда добавляется правило, запрещающее весь трафик.МГТУ им.

БауманаКафедра ИУ-620114Сурков Л.В.Корпоративные сетиЛабораторный практикум «Виртуальные частные сети. IPSec-туннель» Rev. 01 Расширенные (extended) — определяют адреса отправителя и получателя,протокол, порты (для TCP и UDP) и типы сообщений ICMP.Создание стандартного списка доступа(config)# access-list <имя_ACL> standard {deny | permit} {any | <IP-адрес> <маска>}Создание расширенного списка доступаДля IP-трафика, без указания портов:(config)# access-list <имя_ACL> [line <номер_строки>] extended {deny|permit}<протокол> <адрес_отправителя> <маска> <адрес_получателя> <маска>Протокол может быть задан по имени или по номеру.