सिस्को एएसए 5510 + सुरक्षा मॉड्यूल एएसए-एसएसएम-सीएससी -10 + एनएटी को कॉन्फ़िगर करें

एक वास्तविक आईपी (1.1.1.1), तीन आंतरिक सबनेट 192.168.2.0/24 192.168.3.0/24 172.16.0.0/24 है। लेखा विभाग की एक महिला भी है, जिसे हमारे NAT के माध्यम से ग्राहक बैंक की आवश्यकता है। SSM-CSC-10 मॉड्यूल पैच कॉर्ड द्वारा f0 / 3 इक्के पोर्ट से जुड़ा है।

एएसए 5510 के बारे में थोड़ा
एएसए इंटरफेस को कॉन्फ़िगर करने का मूल सिद्धांत सुरक्षा-स्तर को 0 से 100 तक असाइन करना है।
0 को एक असुरक्षित नेटवर्क पर रखा जाता है, आमतौर पर एक बाहरी एक।
100 को आंतरिक नेटवर्क पर रखा गया है जिसकी हमें सुरक्षा करने की आवश्यकता है।

पैकेट के लिए इंटरफेस से गुजरने के लिए जहां सुरक्षा-स्तर = 0 से इंटरफ़ेस जहां सुरक्षा-स्तर = 100 है, आपको एक्सेस-लिस्ट में एक अनुमति नियम बनाने की आवश्यकता है । हमें इसकी आवश्यकता तब होगी जब हम बहीखाता पद्धति के लिए नैट के माध्यम से "अंदर" पोर्ट को फॉरवर्ड करेंगे, साथ ही सुरक्षा मॉड्यूल तक पहुंच के लिए।

मुझे तुरंत कहना होगा कि एएसए 5510 का अपना टेलनेट क्लाइंट नहीं है और यह बहुत दुखद है। लेकिन एक रास्ता है।
यह सब इस तथ्य से उबलता है कि एएसए-एसएसएम-सीएससी -10 मॉड्यूल हमारा पसंदीदा लिनक्स है, इसलिए हमें मॉड्यूल के रूट कंसोल को प्राप्त करने की आवश्यकता है, और वहां से यह टेलनेट है।
डिफ़ॉल्ट लॉगिन पासवर्ड सिस्को एएसए-एसएसएम-सीएससी -10 मॉड्यूल पर है।

• मॉड्यूल में रूट खाते को सक्रिय करें
• हम NAT th tcp पोर्ट को लपेटते हैं, उदाहरण के लिए 5555, मॉड्यूल के ssh पोर्ट पर (हमारे उदाहरण में, मॉड्यूल में ip 192.168.1.1 और ssh 22 पोर्ट होगा)
• एक्सेस-लिस्ट में tcp पोर्ट 5555 की अनुमति दें
• हम बाहरी रूप से ssh के माध्यम से 5555 पोर्ट से जुड़े हुए हैं। वॉयला, हम मॉड्यूल के बैश कंसोल पर पहुंचते हैं।
• अगली क़ीमती टेलनेट टीम

सुरक्षा मॉड्यूल से कनेक्शन:

asa5510# conf t asa5510(config)# session 1 

यह सेटअप विज़ार्ड जैसा दिखता है, सब कुछ सहज है। आपको रूट खाते को सक्रिय करने और आईपी मॉड्यूल (192.168.1.1/24) और डिफ़ॉल्ट मार्ग 192.1.1.154 को पंजीकृत करने की आवश्यकता होगी

 asa5510(config)# session 1 Opening command session with slot 1. Connected to slot 1. Escape character sequence is 'CTRL-^X'. login: cisco Password: Trend Micro InterScan for Cisco CSC SSM Setup Main Menu --------------------------------------------------------------------- 1. Network Settings 2. Date/Time Settings 3. Product Information 4. Service Status 5. Password Management 6. Restore Factory Default Settings 7. Troubleshooting Tools 8. Reset Management Port Access Control List 9. Ping 10. Exit ... Enter a number from [1-10]: 

मॉड्यूल के साथ काम करने के लिए कुछ और उपयोगी कमांड:

 asa5510# show module asa5510(config)# hw-module module 1 ? exec mode commands/options: password-reset Reset the CLI password on the module recover Configure recovery of this module reload Reload the module reset Reset the module shutdown Shut down the module 

इसके बाद, हमें tcp पोर्ट 5555 के लिए एक्सेस-लिस्ट में एक नियम जोड़ना होगा और अपने मॉड्यूल तक ssh एक्सेस के लिए PAT (NAT) रजिस्टर करना होगा। मैं यह काम आप पर छोड़ता हूं। (नीचे इसी तरह के उदाहरण होंगे)।

एएसए इंटरफेस को कॉन्फ़िगर करना
बाहरी इंटरफ़ेस:

 asa5510# conf t asa5510(config)# interface Ethernet0/0 asa5510(config-if)# security-level 0 asa5510(config-if)# nameif outside asa5510(config-if)# ip address 1.1.1.1 255.255.255.0 

आंतरिक वाई-फाई वीएलएएन 110:

 asa5510# conf t asa5510(config)# Ethernet0/1.110 asa5510(config-if)# security-level 100 asa5510(config-if)# nameif wi-fi asa5510(config-if)# ip address 192.168.2.254 255.255.255.0 

लेखा नेटवर्क Vlan 120:

 asa5510# conf t asa5510(config)# Ethernet0/1.120 asa5510(config-if)# security-level 100 asa5510(config-if)# nameif byx asa5510(config-if)# ip address 192.168.3.254 255.255.255.0 

स्विच और वाई-फाई वलान 999 के प्रबंधन के लिए प्रबंधन इंटरफ़ेस:

 asa5510# conf t asa5510(config)# Ethernet0/1.999 asa5510(config-if)# security-level 100 asa5510(config-if)# nameif mng asa5510(config-if)# ip address 172.16.0.254 255.255.255.0 

Ssm मॉड्यूल को देखने वाला इंटरफ़ेस:

 asa5510# conf t asa5510(config)# Ethernet0/3 asa5510(config-if)# security-level 100 asa5510(config-if)# nameif antivirus asa5510(config-if)# ip address 192.168.1.254 255.255.255.0 

डिफ़ॉल्ट मार्ग सेट करना:

 asa5510# conf t asa5510(config)# route outside 0.0.0.0 0.0.0.0 1.1.1.2 1 

DNS सेटअप:

 asa5510(config)# dhcpd dns 8.8.8.8 178.151.44.131 

NAT सेटअप:

 asa5510# conf t asa5510(config)# nat-control asa5510(config)# global (outside) 100 interface asa5510(config)# nat (wi-fi) 100 192.168.2.0 255.255.255.0 asa5510(config)# nat (byx) 100 192.168.3.0 255.255.255.0 asa5510(config)# nat (antivirus) 100 192.168.1.1 255.255.255.255 

जहां 100 एक NAT समूह है, समूहों की कुल संख्या 2147483647 है। यह मत भूलो कि केवल 65536 कनेक्शन एक समूह में रखे गए हैं, यदि आपके पास वास्तविक समय में 1000 से अधिक "ग्राहक" हैं, तो यह अलग NAT समूहों में ग्राहकों के अलग-अलग स्रोतों की सलाह दी जाती है।

Accsess- सूची सेटअप:

 asa5510(config)# access-list outside_access_in extended permit tcp any any eq ssh asa5510(config)# access-list outside_access_in extended permit tcp any any eq 5555 asa5510(config)# access-list outside_access_in extended permit tcp any any eq https asa5510(config)# access-list outside_access_in extended permit tcp any any eq 8443 asa5510(config)# access-list outside_access_in extended permit tcp any any eq bgp asa5510(config)# access-list outside_access_in extended permit tcp any any eq pptp asa5510(config)# access-list outside_access_in extended permit tcp any any eq 7521 asa5510(config)# access-list outside_access_in extended permit tcp host 159.224.XX any eq 3006 asa5510(config)# access-list outside_access_in extended deny tcp any any eq 3006 log 

हम बाहरी इंटरफ़ेस पर अपनी उप-सूची को लटकाते हैं:

 asa5510(config)# access-group outside_access_in in interface outside 

हम सुरक्षा मॉड्यूल में सत्यापन के लिए www और मेल लपेटते हैं:

 asa5510(config)# access-list csc-acl remark Exclude CSC module traffic from being scanned asa5510(config)# access-list csc-acl extended permit tcp any any eq www asa5510(config)# access-list csc-acl remark Scan Web & Mail traffic asa5510(config)# class-map csc-class asa5510(config-cmap)# match access-list csc-acl 

डिफ़ॉल्ट पोर्ट 8443 द्वारा सुरक्षा इंटरफेस के लिए वेब इंटरफेस के माध्यम से प्रवेश के लिए पैट कॉन्फ़िगर करें:

 asa5510(config)# static (antivirus,outside) tcp interface 8443 192.168.1.1 8443 netmask 255.255.255.255 

उसके बाद, ब्राउज़र https: // बाहरी आईपी: 8443 के माध्यम से बाहर से मॉड्यूल तक पहुंचना संभव होगा

और अंत में, हम अपने ग्राहक बैंक से निपटेंगे।
दो मामले होंगे:
1) ग्राहक बैंक vpn कनेक्शन के माध्यम से काम करता है;
2) क्लाइंट-बैंक एक विशिष्ट tcp पोर्ट पर काम करता है, हमारे मामले में यह 7521 port है।

पहले मामले के लिए, हम पीपीटीपी प्रोटोकॉल के लिए निरीक्षण नीति का उपयोग करेंगे। बहुत सुविधाजनक और आवश्यक बात। यह linux पर iptables के लिए insmod ip_nat_pptp मॉड्यूल के समान है।

 asa5510(config)# policy-map global_policy asa5510(config-pmap)# class inspection_default asa5510(config-pmap-c)# inspect pptp 

नतीजतन, इस नीति को लागू करने के बाद, एएसए "दुनिया" के लिए वीपीएन कनेक्शन पारित करेगा।

अब मशीन पर अकाउंटेंट को tcp पोर्ट 7521 के पारदर्शी अग्रेषण के साथ दूसरा मामला।

पैट सेट करें:

 static (byx,outside) tcp interface 7521 192.168.3.5 7521 netmask 255.255.255.255 

लेखांकन के लिए एक डीएचसीपी सर्वर सेट करें

 asa5510(config)# dhcpd address 192.168.3.1-192.168.3.253 byx asa5510(config)# dhcpd enable byx 

वाई-फाई के लिए एक डीएचसीपी सर्वर सेट करें:

 asa5510(config)# dhcpd address 192.168.2.1-192.168.2.253 wi-fi asa5510(config)# dhcpd enable wi-fi 

सुरक्षा

 asa5510(config)#wr 

अंत
आपका ध्यान देने के लिए आप सभी का धन्यवाद! मुझे आशा है कि मैंने इसे स्पष्ट रूप से चित्रित किया है।