Книга
← К списку книгЗагрузка разделов…
активнаАктивные записи участвуют в каталоге и синках. Неактивная книга скрыта, но не удалена из базы.
Книга
Организация защиты СЕТЕЙ Cisco*
Managim; Cisco
Network Security
Cisco®
ББК 32.973.26-018.2.75
У98
УДК 681.3.07
Издательский дом “Вильямс”
Зав. редакцией А. В. Слепцов
Перевод с английского и редакция А. Г. Сивака
По общим вопросам обращайтесь в Издательский дом “Вильямс” по адресу:info@williamspublishing.com, http://www. williamspublishing. com
Уэнстром M.
У98 Организация защиты сетей Cisco. : Пер. с англ. — М. : Издательский дом “Вильямс”, 2005. — 768 с. : ил. — Парад, тит. англ.
ISBN 5-8459-0387-4 (рус.)
Данная книга представляет собой официальный курс по управлению защитой сетей Cisco® (MCNS). Ее цель — обучение пользователей правильной установке, выбору конфигурации, эксплуатации, управлению и тестированию продуктов, предназначенных для защиты сетей Cisco, в частности средств защиты, предлагаемых программным обеспечением Cisco IOS®. Здесь, в основном, освещаются вопросы, касающиеся обеспечения защиты сети на уровне IP.
Обсуждение практической реализации средств защиты строится на примере реальных проблем безопасности, встающих перед некоей гипотетической компанией, создающей систему защиты своей сети “с нуля”. Книга будет полезна как профессионалам в области защиты сетей, так и всем интересующимся этой темой.
ББК 32.973.26-018.2.75
Все названия программных продуктов являются зарегистрированными торговыми марками соответствующих фирм.
Никакая часть настоящего издания ни в каких целях не может быть воспроизведена в какой бы то ни было форме и какими бы то ни было средствами, будь то электронные или механические, включая фотокопирование и запись на магнитный носитель, если на это нет письменного разрешения издательства Cisco Press.
Authorized translation from the English language edition published by Cisco Press, Copyright © 2001
All rights reserved. No part of this book may be reproduced or transmitted in any form or by any means, electronic or mechanical, including photocopying, recording or by any information storage retrieval system, without permission from the Publisher.
Russian language edition published by Williams Publishing House according to the Agreement with R&i Enterprises International, Copyright © 2003
ISBN 5-8459-0387-4 (pyc.)ISBN 1-5787-0103-1 (англ.)ISBN 5-8459-0387-4 (pyc.)ISBN 1-5787-0103-1 (англ.)© Издательский дом “Вильямс”, 2003
ISBN 5-8459-0387-4 (pyc.)
ISBN 1-5787-0103-1 (англ.)
ISBN 5-8459-0387-4 (pyc.)
ISBN 1-5787-0103-1 (англ.)
© Cisco Systems, Inc., 2001
Оглавление
Предисловие22
Введение25
Часть I. Выбор политики защиты31
Глава 1. Угрозы безопасности сети33
Глава 2. Оценка политики защиты65
Глава 3. Защита инфраструктуры сети91
Часть II. Защита удаленного доступа133
Глава 4. Технология защиты ААА135
Глава 5. Настройка средств ААА сервера сетевого доступа177
Глава 6. Настройка CiscoSecure ACS и TACACS+/RADIUS195
Часть III. Защита межсетевых соединений237
Глава 7. Настройка маршрутизатора периметра Cisco239
Глава 8. Настройка Cisco IOS Firewall273
Часть IV. Настройка CiscoSecure FIX Firewall301
Глава 9. Возможности FIX Firewall303
Глава 10. Настройка доступа через FIX Firewall345
Глава 11. Настройка интерфейсов и средств ААА FIX Firewall383
Глава 12. Использование дополнительных возможностей FIX Firewall415
Часть V. Технология шифрования Cisco447
Глава 13. Обзор технологии шифрования Cisco449
Глава 14. Применение шифрования Cisco467
Часть VI. Виртуальные частные сети, использующие IPSec511
Глава 15. Поддержка IPSec в сетях Cisco513
Глава 16. Настройка Cisco IOS для поддержки IPSec559
Глава 17. Настройка IPSec в брандмауэре PIX Firewall601
Глава 18. Масштабирование сетей IPSec633
Часть VII. Приложения671
Приложение А. Структура сети компании XYZ673
Приложение Б. Политика сетевой защиты компании XYZ681
Приложение В. Настройка стандартных и расширенных списков доступа 693
Приложение Г. Ответы на контрольные вопросы727
Предметный указатель748
Содержание
Об авторе19
О приглашенных авторах19
О рецензентах20
Посвящение21
Благодарности21
Предисловие22
Вступительное слово23
Введение25
Аудитория книги25
Особенности книги25
Соглашения, принятые в книге26
Структура материала книги26
Часть I. Выбор политики защиты31
Глава 1. Угрозы безопасности сети33
Необходимость защиты сети33
Причины возникновения проблем защиты34
Три главные причины проблем защиты34
Противника следует знать: мотивы действий нарушителя39
Типы угроз безопасности сети41
Разведка42
Несанкционированный доступ46
Блокирование сервиса51
Подтасовка данных56
Возможность защиты58
Резюме59
Контрольные вопросы60
Ссылки60
Защита сетей и бизнес60
Хакеры и их средства60
Web-узлы, посвященные вопросамбезопасности61
Обзоры и отчеты, посвященные вопросамбезопасности61
Описания сетевых вторжений61
Глава 2. Оценка политики защиты65
Важность защиты сети65
Процесс оценки состояния защиты66
Оценка политики сетевой защиты67
Политика защиты сети компании XYZ69
Защита сети70
Мониторинг системы защиты сети70
Тестирование состояния защиты с помощью средств аудита71
Совершенствование состояния системы защиты72
Анализ практики защиты сетей73
Пример 1. Открытая политика защиты75
Пример 2. Ограничивающая политика защиты78
Пример 3. Закрытая политика защиты81
Результат исследования84
Резюме84
Практическое занятие. Оценка политики защиты сети компании XYZ85
План практического занятия85
Ответы на вопросы практического занятия86
Контрольные вопросы87
Ссылки87
Разработка политики защиты88
Примеры политики защиты и соответствующие рекомендации88
Центры реагирования на инциденты защиты88
Другие Web-узлы, посвященные вопросам защиты89
Глава 3. Защита инфраструктуры сети91
Проблемы защиты территориальной сети и варианты их решения91
Защита физических устройств93
Защита административного интерфейса94
Защита доступа к консоли95
Шифрование паролей97
Настройка параметров линии100
Использование многоуровневой системы привилегий101
Использование информационных баннеров устройств103
Управление доступом Telnet104
Управление доступом SNMP106
Защита связи между маршрутизаторамиНО
Аутентификация протокола маршрутизацииНО
Защита файлов конфигурации маршрутизатора114
Управление потоком данных с помощью фильтров115
Запрет обработки маршрутов, указанных в обновлениях116
Входные сетевые фильтры117
Пример политики контроля потока данных118
Управление доступом HTTP к маршрутизатору119
Защита коммутаторов Ethernet120
Контроль управляющего доступа к коммутаторам Ethernet120
Защита портов коммутаторов Ethernet121
Защита доступа к коммутаторам Ethernet122
Резюме123
Практическое занятие. Настройка базовых средств сетевой защиты124
План практического занятия124
Топология124
Политика сетевой защиты124
Пример конфигурации маршрутизатора R2126
Контрольные вопросы
Ссылки
Общие вопросы конфигурации средств защиты маршрутизаторов
Стандартные и расширенные списки доступа
SNMP
Аутентификация соседних маршрутизаторов
Защита коммутаторов Ethernet
Часть II. Защита удаленного доступа
Глава 4. Технология защиты ААА
Защита сетевого доступа с помощью средств ААА
Архитектура защиты ААА
Средства ААА и трафик доступа
Методы аутентификации
Аутентификация по имени и паролю
Аутентификация S/Key
Идентификационные карты и серверы
Аутентификация РАР и CHAP
Методы авторизации
Методы аудита
Серверы защиты ААА
ААА и локальная база данных защиты
ААА и удаленная база данных защиты
Стандарты базы данных защиты, поддерживаемые Cisco
Резюме
Контрольные вопросы
Ссылки
Серверы идентификационных карт
S/Key
PPP
CHAP
MD5
TACACS+
RADIUS
Kerberos
Сервер защиты CiscoSecure ACS и программное обеспечение Cisco IOS
Глава 5. Настройка средств ААА сервера сетевого доступа
Проблема защиты удаленного доступа и ее решение
Конфигурация средств ААА сервера сетевого доступа
Шаг 1. Защита привилегированного режима ЕХЕС и режима конфигурации
Шаг 2. Глобальная активизация ААА в сервере сетевого доступа
Шаг 3. Настройка профилей аутентификации ААА
Шаг 4. Настройка средств авторизации ААА
Шаг 5. Настройка параметров аудита ААА
Шаг 6. Отладка конфигурации
128129129129129130130133135135135136138138141143145148149150150151152172173173173174174174174174174174175177177179180182182185187188188128129129129129130130133135135135136138138141143145148149150150151152172173173173174174174174174174174175177177179180182182185187188188Резюме
128
129
129
129
129
130
130
133
135
135
135
136
138
138
141
143
145
148
149
150
150
151
152
172
173
173
173
174
174
174
174
174
174
174
175
177
177
179
180
182
182
185
187
188
188
128
129
129
129
129
130
130
133
135
135
135
136
138
138
141
143
145
148
149
150
150
151
152
172
173
173
173
174
174
174
174
174
174
174
175
177
177
179
180
182
182
185
187
188
188
Практическое занятие. Конфигурация средств ААА сервера сетевого доступа 189
План практического занятия189
Топология189
Политика сетевой защиты189
Пример конфигурации сервера сетевого доступа190
Контрольные вопросы192
Ссылки193
Политика защиты193
Конфигурация ААА193
Глава 6. Настройка CiscoSecure ACS и TACACS+/RADIUS195
CiscoSecure ACS для Windows NT и UNIX195
Поддержка TACACS+196
Поддержка RADIUS196
CiscoSecure ACS для Windows NT196
Возможности CSNT199
Системные требования CSNT203
Архитектура CSNT203
Поддержка идентификационных карт206
Установка CSNT207
Администрирование CSNT и исправление ошибок конфигурации209
CiscoSecure ACS для UNIX212
Возможности CSUNIX213
Системные требования CSUN1X214
Настройка TACACS+ для CiscoSecure ACS214
Активизация и настройка ААА215
Команды конфигурации ААА216
Пример конфигурации средств AAA/TACACS+ сервера сетевого доступа 216
Тестирование TACACS+ и исправление ошибок конфигурации218
Настройка RADIUS для CiscoSecure ACS222
Активизация и настройка ААА222
Команды конфигурации ААА223
Пример конфигурации средств AAA/RADIUS сервера сетевого доступа223
Тестирование RADIUS и исправление ошибок конфигурации224
Двойная аутентификация227
Проблемы использования только аутентификации РАР или CHAP227
Решение, предлагаемое двойной аутентификацией227
Требования двойной аутентификации228
Резюме229
Практическое занятие. Настройка CSNT229
План практического занятия230
Топология230
Политика сетевой защиты231
* Пример конфигурации CSNT231
Контрольные вопросы234
Ссылки234
Политика защиты234
Конфигурация TACACS+/RADIUS235
CiscoSecure ACS235
Часть III. Защита межсетевых соединений237
Глава 7. Настройка маршрутизатора периметра Cisco239
Системы защиты периметра сети Cisco239
Маршрутизаторы периметра Cisco241
Демилитаризованные зоны (ДМ3)243
Бастионный хост244
Брандмауэр245
Управление сервисами TCP/IP246
Защита от несанкционированных изменений маршрутов247
Статические маршруты248
Контроль объявления маршрутов248
Аутентификация маршрутов249
Управление доступом249
Входной пакетный фильтр249
Выходной пакетный фильтр250
Защита типа замка251
Защита от блокирования сервиса252
Предотвращение распределенных атак блокирования сервиса253
Средства TCP-перехвата для защиты от синхронных атак254
Применение шифрования сетевого уровня256
Средства СЕТ шифрования сетевого уровня257
Средства IPSec шифрования сетевого уровня257
Средства трансляции IP-адресов257
Использование NAT258
Настройка динамических средств NAT259
Использование РАТ260
Настройка средств РАТ261
Регистрация событий маршрутизатора периметра262
Резюме263
Практическое занятие. Настройка маршрутизатора периметра Cisco263
План практического занятия264
Топология264
Политика сетевой защиты264
Пример конфигурации маршрутизатора периметра266
Контрольные вопросы269
Ссылки270
Общие вопросы защиты периметра270
Cisco IOS Firewall270
Защита от блокирования сервиса и фильтрация пакетов270
Средства NAT и РАТ271
Почтовые списки защиты271
Глава 8. Настройка Cisco IOS Firewall273
Задачи защиты Cisco IOS Firewall и пути их решения273
Конфигурация Cisco IOS Firewall274
Возможности Cisco IOS Firewall274
Обнаружение вторжений276
Подготовка Cisco IOS Firewall277
Функционирование СВАС277
Настройка СВАС279
Шаг 1. Выбор интерфейса для СВАС280
Шаг 2. Настройка списков доступа IP для интерфейса281
Шаг 3. Установка глобальных пороговых значений282
Шаг 4. Выбор правила проверки284
Шаг 5. Применение правила проверки к интерфейсу288
Шаг 6. Тестирование и контроль СВАС289
Управление Cisco IOS Firewall290
Управление с командной строки290
Возможности ConfigMaker290
Резюме291
Практическое занятие. Настройка Cisco IOS Firewall292
План практического занятия292
Топология293
Политика сетевой зашиты293
Пример конфигурации Cisco IOS Firewall294
Контрольные вопросы297
Ссылки297
Настройка брандмауэров298
Настройка Cisco IOS Firewall298
Часть IV. Настройка CiscoSecure PIX Firewall301
Глава 9. Возможности PIX Firewall303
Что такое PIX Firewall303
Возможности и функционирование PIX Firewall305
Движение через PIX Firewall извне305
Адаптивный алгоритм зашиты (ASA)306
Использование каналов и статических карт для входящего доступа308
Сквозная опосредованная аутентификация пользователей312
Модели брандмауэров PIX Firewall и их компоненты313
CiscoSecure PIX 515316
CiscoSecure PIX 520316
Интерфейсы, поддерживаемые брандмауэрами PIX317
Настройка брандмауэра PIX Firewall319
Интерфейс командной строки брандмауэра PIX320
Реализация защиты интерфейсов323
Команды interface и ip address326
Трансляция сетевых адресов с помощью команд global и nat328
Тестирование конфигурации брандмауэра PIX Firewall332
Пример конфигурации брандмауэра PIX Firewall337
Резюме338
Практическое занятие. Настройка трансляции сетевых адресов в брандмауэре PIX Firewall339
План практического занятия339
Топология340
Политика сетевой зашиты341
Пример конфигурации брандмауэра PIX Firewall341
Контрольные вопросы341
Ссылки342
Трансляция сетевых адресов342
Нарушения и хакеры342
Интерфейс командной строки342
Сетевая зашита342
Другие ресурсы, посвященные сетевой защите343
Глава 10. Настройка доступа через PIX Firewall345
Настройка управления исходящим доступом345
Средства NAT брандмауэра PIX346
Настройка NAT для контроля исходящего доступа347
Трансляция адресов портов352
Трансляция NetBIOS354
Контроль входящего и исходящего доступа355
Приложения мультимедиа, поддерживаемые брандмауэром PIX358
Управление доступом к внутренним хостам360
Статическая трансляция360
Разрешение доступа ping372
Система DNS Guard и зашита от атак блокирования сервиса373
Резюме377
Практическое занятие. Настройка брандмауэра PIX Firewall для защищенной двунаправленной связи377
План практического занятия377
Топология378
Политика сетевой зашиты378
Пример конфигурации брандмауэра PIX Firewall379
Контрольные вопросы380
Ссылки381
Настройка команд conduit381
Атаки блокирования сервиса381
Объекты xlate и структура команд381
Глава 11. Настройка интерфейсов и средств AAA PIX Firewall383
Настройка доступа к множеству интерфейсов383
Настройка средств поддержки множества интерфейсов384
Настройка внутреннего интерфейса для внешнего мира: команды global и nat 387
Команда show и другие полезные команды392
Настройка внешнего интерфейса для ДМ3: команды static и conduit393
Разрешение доступа ping и фильтрация ICMP395
Настройка вывода Syslog397
Настройка аутентификации пользователей401
Настройка сервера ААА брандмауэра PIXFirewall401
Примеры настройки средств ААА402
Резюме406
Практическое занятие. Настройка множества интерфейсов и средств ААА брандмауэра PIX Firewall407
План практического занятия407
Топология407
Структура сети и политика сетевой защиты407
Пример конфигурации брандмауэра PIX Firewall компании XYZ409
Контрольные вопросы412
Ссылки412
Общая информация о брандмауэрах PIX Firewall412
Информация о средствах ААА412
Общие вопросы защиты413
Информация о программном обеспечении брандмауэра PIX Firewall413
Глава 12. Использование дополнительных возможностей PIX Firewall415
Усовершенствованная трансляция сетевых адресов: NAT 0415
Контроль исходящего доступа417
Примеры управления исходящим доступом419
Блокирование аплетов Java и фильтрация URL420
Блокирование аплетов Java420
Фильтрация URL421
Настройка контрольных записей FTP и URL423
Настройка SNMP426
Настройка средств обработки отказов брандмауэра PIX Firewall428
Базовая обработка отказов428
Полномасштабная обработка отказов428
Процесс обработки отказов429
Настройка параметров обработки отказов430
Настройка возможностей VPN431
Шифрование Private Link432
Настройка поддержки РРТР434
Менеджер политики CiscoSecure436
Сопровождение брандмауэра PIX Firewall436
Восстановление паролей брандмауэра PIX Firewall436
Обновление программного обеспечения PIX Firewall437
Резюме439
Практическое занятие. Настройка дополнительных возможностей
брандмауэра PIX Firewall440
План практического занятия440
Топология440
Структура сети и дополнения политики защиты440
Пример конфигурации брандмауэра PIX Firewall компании XYZ440
Контрольные вопросы444
Ссылки444
Фильтрация URL445
Шифрование Private Link445
Протокол PPTP445
Сервер TFTP445
CiscoSecure Policy Manager445
Центр программного обеспечения Cisco Secure445
Часть V. Технология шифрования Cisco447
Глава 13. Обзор технологии шифрования Cisco449
Реализация технологии шифрования449
Проблема целостности данных и возможности ее решения449
Что такое шифрование450
Как работают средства шифрования451
Приложения шифрования452
Варианты реализации возможностей шифрования454
Обзор криптосистемы Cisco IOS456
Шифрование DES457
Алгоритм MD5 хэширования сообщений460
Шифрование DSS460
Согласование ключей по методу Диффи-Хеллмана462
Резюме463
Контрольные вопросы464
Ссылки464
Функционирование СЕТ464
Алгоритмы шифрования и их действие465
MD5465
DSS465
Другие источники информации о шифровании465
Глава 14. Применение шифрования Cisco467
Основы СЕТ467
Криптографические модули СЕТ467
Действие СЕТ470
Настройка СЕТ475
Задача 1. Генерирование открытого и личного ключей DSS475
Задача 2. Обмен открытыми ключами DSS478
Задача 3. Определение глобальной политики шифрования485
Задача 4. Согласование сеансовой политики шифрования488
Задача 5. Проверка конфигурации и действия системы шифрования493
Диагностика и отладка СЕТ499
Команды отладки500
Примеры вывода команды debug crypto sesmgmt500
Вопросы реализации шифрования501
Вопросы планирования501
Рекомендации по настройке СЕТ503
Экспортная политика шифрования504
Планирование задач шифрования505
Общее планирование505
Планирование конфигурации узлов505
Процедуры конфигурации505
Резюме507
Контрольные вопросы507
Ссылки508
Технология СЕТ, планирование ее применения и настройка508
Информация о ESA и VIP2-40 Настройка СЕТ
508
508
Часть VI. Виртуальные частные сети, использующие IPSec
511
Глава 15. Поддержка IPSec в сетях Cisco
Создание защищенных сетей VPN с помощью IPSec
Протоколы VPN
Что такое IPSec
Ассоциации защиты
Инфраструктура IPSec
Как работает IPSec
Шаг 1. Начало процесса IPSec
Шаг 2. Первая фаза IKE
Шаг 3. Вторая фаза IKE
Шаг 4. Передача данных
Шаг 5. Завершение работы туннеля IPSec
Технологии, используемые в рамках IPSec
Протокол АН
Протокол ESP
Стандарт DES
Протокол IKE
Согласование ключей по схеме Диффи-Хеллмана
Коды НМАС
Защита RSA
Инфраструктура открытых ключей и поддержка центров сертификации
Стандарты центров сертификации
Работа центра сертификации с SCEP
Поддержка сервера СА
Потоки IKE и IPSec в программном обеспечении Cisco IOS
Настройка шифрования IPSec
Задача 1. Подготовка к использованию IPSec
Резюме
Контрольные вопросы
Ссылки
Стандарты IPSec
Шифрование
IKE
Алгоритмы хэширования
Криптография с открытым ключом
Цифровые сертификаты и центры сертификации
Общие вопросы защиты
Глава 16. Настройка Cisco IOS для поддержки IPSec
Настройка IPSec для работы с общими ключами
Задача 1. Подготовка к использованию IPSec
Задача 2. Настройка IKE для работы с общими ключами
Задача 3. Настройка IPSec
Задача 4. Тестирование и контроль IPSec
513
513
514
515
515
516
516
517
518
519
521
521
522
522
523
529
531
535
537
539
542
544
545
545
546
548
548
554
554
555
555
555
556
556
556
556
556
559
559
560
560
565
578
Содержание
15
Настройка IPSec для работы с шифрованными оказиями585
Задача 1. Подготовка к использованию IPSec586
Задача 2. Настройка шифрования RSA586
Задача 3. Настройка IKE для работы с шифрованными оказиями592
Резюме593
Практическое занятие. Настройка IPSec Cisco IOS для работы с общими ключами594
План практического занятия594
Топология594
Политика зашиты сети594
Пример конфигурации маршрутизатора периметра595
Контрольные вопросы598
Ссылки598
Конфигурация IKE598
Конфигурация IPSec599
Расширенные списки доступа IP599
Системные сообщения об ошибках и сообщения отладки599
Глава 17. Настройка IPSec в брандмауэре PIX Firewall601
Задача 1. Подготовка к использованию IPSec602
Задача 2. Настройка IKE для работы с общими ключами603
Шаг 1. Активизация или отключение IKE603
Шаг 2. Создание политик IKE603
Шаг 3. Выбор согласованных общих ключей605
Шаг 4. Проверка конфигурации 1КЕ607
Задача 3. Настройка IPSec608
Шаг 1. Создание списков шифрованного доступа609
Шаг 2. Настройка наборов преобразований612
Шаг 3. Установка глобальных пределов существования для ассоциаций защиты IPSec614
Шаг 4. Создание криптографических карт616
Шаг 5. Применение криптографических карт кинтерфейсам621
Шаг 6. Проверка конфигурации IPSec621
Задача 4. Тестирование и контроль IPSec623
Проверка конфигурации и функционированияIKE623
Проверка конфигурации и функционирования IPSec624
Мониторинг и управление связями IKE и IPSec624
Резюме625
Практическое занятие. Настройка средств IPSec брандмауэра PIX Firewall для работы с общими ключами626
План практического занятия626
Топология626
Политика зашиты сети626
Пример конфигурации для брандмауэра PIX 1627
Пример конфигурации для брандмауэра PIX 2629
Контрольные вопросы630
Ссылки631
Глава 18. Масштабирование сетей IPSec633
Поддержка центров сертификации в маршрутизаторах и брандмауэрах633
Задача 1. Подготовка к использованию IPSec634
Задача 2. Настройка средств поддержки центров сертификации636
Задача 3. Настройка IKE для IPSec657
Задача 4. Настройка IPSec657
Задача 5. Проверка конфигурации VPN657
Масштабирование поддержки VPN в сетях Cisco659
Настройка динамических криптографических карт660
Настройка режима IKE mode config662
Настройка расширенной аутентификации IPSec664
Настройка средств распознавания конечных точек туннелей665
Резюме666
Контрольные вопросы667
Ссылки668
Стандарты СА и соответствующие обзоры668
Настройка СА в рамках Cisco IOS Software668
Поддержка сервера СА для брандмауэра PIX Firewall668
Стандарты IPSec и документы RFC668
Программа поддержки безопасности669
Часть VIL Приложения671
Приложение А. Структура сети компании XYZ673
Общая характеристика компании XYZ673
Удаленный доступ675
Доступ к Internet675
Подразделения компании675
Подразделение информационных систем675
Подразделение сбыта676
Подразделение разработки676
Цели сетевой зашиты компании XYZ676
Приложение Б. Политика сетевой защиты компании XYZ681
Приложение В. Настройка стандартных и расширенных списков доступа693
IP-адресация и общая структура списков доступа694
■ IP-адресация694
Групповые маски698
Общие задачи настройки списков доступа700
Принципы построения списков доступа700
Настройка стандартных списков доступа IP701
Обработка стандартных списков доступа702
Команды стандартного списка доступа704
Размещение стандартных списков доступа705
Типичные ошибки в стандартных списках доступа706
Пример стандартного списка доступа707
Настройка расширенных списков доступа IP707
Обработка расширенных списков доступа708
Команды расширенного списка доступа IP709
Синтаксис команд ICMP711
Синтаксис команд TCP714
Синтаксис команд UDP716
Размещение расширенных списков доступа IP718
Первый пример расширенного списка доступа IP719
Второй пример расширенного списка доступа IP720
Проверка конфигурации списка доступа720
Именованные списки доступа IP721
Резюме724
Ссылки724
Настройка списков доступа IP724
Протокол IP и правила адресации724
Приложение Г. Ответы на контрольные вопросы727
Предметный указатель748
Об авторе
Майкл Уэнстром работает в системе образования Cisco Systems, Inc., где он создает, развивает и преподает учебные курсы по построению виртуальных частных сетей Cisco и использованию продуктов, предназначенных для их зашиты.
Майкл выбрал карьеру преподавателя и инструктора, чтобы помогать людям расширять их знания и совершенствовать мастерство в области коммуникационных технологий. Наибольшее удовольствие от работы он получает тогда, когда сложные технические решения удается передать в простой для понимания форме. Имея большой опыт (более 18 лет) в самых разных областях практической подготовки технических специалистов, он выполняет инструктаж, разрабатывает учебные курсы, занимается преподаванием и руководит проектами.
Проживая в течение 21 года в Силиконовой Долине, Майкл работал для Cisco Systems, Aspect Communications, Siemens, IBM, ROLM, Tymnet, NCR и ведомства Военно-морского флота США. В настоящее время он вместе с женой и дочкой живет в Остине, шт. Техас, где занимается разработкой учебных курсов, обучением использованию виртуальных частных сетей Cisco, а также методам защиты таких сетей. Он окончил университет штата Западный Иллинойс, где получил степень бакалавра. Кроме того, он имеет степень в области электронных технологий и сертификат администратора сетевых программных средств Cisco (CCNA).
О приглашенных авторах
Дж. Т. Агнелло (J. Т. Agnello) в течение 15 лет работал системным администратором в Остине, шт. Техас, где занимался управлением сетями для самых разных компаний — от совсем небольших до таких, как Sematech, Schlumberger, IBM и др. Последние три года он разрабатывает учебные курсы, в которых освещаются вопросы использования компьютерных систем, защиты сетей и управления базами данных, для Tivoli Systems (являющейся одним из партнеров IBM) и Pervasive Software.
Скотт Моррис (Scott Morris) является консультантом компании Mentor Technologies, Inc. (ранее именуемой Chesapeake Computer Consultants). Он работал в различных областях, связанных с использованием компьютеров и сетей. Знания Скотта Морриса весьма обширны, о чем свидетельствуют сертификаты Novell, Microsoft и Cisco, но он по- прежнему продолжает расширять их (чтобы пополнить свою коллекцию дипломов и просто чтобы не скучать).
Что касается сетей Cisco, то Моррис имеет сертификат инструктора по использованию систем Cisco (CCSI), сертификаты CCIE #4713 и CCDP в области маршрутизации и коммутации, а также сертификат CCNA в области коммутации глобальных сетей. Скотт успешно сдал очередные письменные экзамены CCIE по управлению удаленным доступом к сети поставщика услуг Internet и администрированию проектов, а сейчас использует свое весьма ограниченное свободное время для того, чтобы подготовиться к следующему экзамену CCIE. Он специализируется на обучении методам устранения проблем межсетевого обмена в сетях Cisco и старается осваивать новейшие технологии в силу присущего ему непреодолимого стремления к новому.
Кэри А. Риддок (Cary A. Riddock) в течение последнего года выполняет обязанности сетевого инженера большой медицинской компании в Центральной Флориде.
В круг его обязанностей входят вопросы мониторинга и диагностики корпоративной сети, а также разрешение соответствующих проблем. В настоящее время он участвует в разработке системы доступа к приложениям частной сети корпорации через Internet на основе инфраструктуры открытых ключей и технологии идентификационных карт. Он имеет сертификаты MCSE, CCNA, CCDA, CCDP и ССА.
О рецензентах
Рецензенты, основываясь на своем богатом опыте, внесли неоценимый вклад в процесс подготовки данного учебного курса.
Ричард Бенуа (Richard Benoit) руководит сетевыми и технологическими проектами международного конгломерата развлечений в Орландо, шт. Флорида. В настоящее время он занимается разработкой архитектуры сети предприятия, вопросами управления и зашиты. Ранее он был консультантом, и ему приходилось работать со множеством клиентов, которым требовалась помощь в вопросах проектирования, реализации и поддержки крупномасштабных сетей. В области управления компьютерными сетями он имеет сертификаты CCNP, CCDA, а также сертификат Microsoft MCSE. Свою степень бакалавра в области систем управления он получил в Высшей технической школе штата Милуоки (Milwaukee School of Engineering).
Дуг Мак-Бет (Doug MacBeth) является менеджером Cisco Systems, Inc., по документации IOS (его сотрудничество c Cisco Systems началось в 1993 году). Он имеет большой опыт (более 15 лет) подготовки технической документации. В Cisco Systems Дуг выполнял обязанности редактора и руководил подготовкой пакета технической документации Cisco IOS. Проживает в Сан-Хосе, шт. Калифорния. Имеет степень бакалавра в области промышленных и коммерческих коммуникаций от университета Сан-Хосе.
Дуг Мак-Киллип (Doug McKillip), инженер-профессионал (Р.Е., сертификат CCIE #1851), является независимым консультантом по вопросам сертифицированной подготовки Cisco совместно с Global Knowledge. Имеет более 12 лет опыта работы с компьютерными сетями, а на протяжении последних восьми активно работает в области зашиты сетей и применения брандмауэров. Дуг обеспечивал инструктаж и техническую помощь с самого начала внедрения первой версии учебного курса MCNS, выполняя обязанности руководящего инструктора и директора курса в Global Knowledge, являющейся партнером Cisco Systems в области обучения. Имеет степени бакалавра и магистра в области химического машиностроения от Массачусетсского технологического института (MIT), а также степень магистра в области вычислительной техники от Университета штата Делавэр. Проживает в Уилмингтоне, шт. Делавэр.
Хэнк Молдин (Hank Mauldin) является инженером-консультантом службы технического обслуживания Cisco Systems, Inc. Работает с сетями Cisco уже в течение нескольких лет, занимаясь разработкой и экспертизой сетей. Сфера его компетенции охватывает протоколы маршрутизации IP, качество сервиса и защиту сетей. В настоящее время Хэнк является менеджером группы разработки и сопровождения системы Cisco Network Designer, предлагающей средства автоматизации проектирования сетей. Он имеет большой опыт (более 15 лет) в проектировании сетей, до прихода в Cisco работал в нескольких компаниях, занимающихся вопросами системного интегрирования. Проживает в Сан-Диего, шт. Калифорния. Имеет степень магистра в области технологии информационных систем от Университета Джорджа Вашингтона.
Посвящение
Я посвящаю эту книгу своей семье. Книга никогда бы не была завершена без поддержки моей жены Вирджинии и моей дочери Розмари. Во время моей работы над книгой им пришлось пережить немало рабочих ночей и несостоявшихся выходных. Я также посвящаю эту книгу моей матери Мэри Е. Уэнстром за то, что она вырастила меня, за ее добрые наставления, пронизанные любовью и помогающие мне до сих пор. Наконец, я посвящаю эту книгу моему отцу, уже покойному Конраду Р. Уэнст- рому, который научил меня настойчивости и труду и который помог мне стать тем, кем я сегодня являюсь.
Благодарности
Курс MCNS (Организация защиты сетей Cisco) является объединенным проектом, вклад в который внесли многие люди, как из Cisco, так и извне, включая разработчиков курса, редакторов и преподавателей. Хотя главным разработчиком курса MCNS был именно я, все же не могу оставить без внимания работу многих других людей, усилия которых принесли курсу успех. Это — участвовавшие в разработке материалов курса Том О’Хара (Tom O’Hara), Шон Ковилл (Sean Coville) и Боб Мартинез (Bob Martinez), преподаватели Cisco Мэт Лайонс (Matt Lyons), Франьо Майстор (Franjo Majstor) и Кевин Калкинс (Kevin Calkins), консультанты по вопросам структуры и содержания курса Хэнк Молдин (Hank Mauldin) и Крис Лонвик (Chris Lonvick), ведущий преподаватель Cisco Learning Partner Дуг Мак-Киллип (Doug McKillip), редакторы курса Брайан Адамс (Brian Adams) и Дебора Льюис (Deborah Lewis), а также Крис Берримэн (Chris Berriman), руководитель оригинального проекта MCNS.
Создание книги Организация защиты сетей Cisco было трудным, но стоящим делом. Я хотел бы поблагодарить моего менеджера Рика Стиффлера (Rick Stiffler) и моих сотрудников по группе обучения, которые каждый раз с пониманием относились к моему состоянию, когда я приходил на работу после бессонных ночей. Я также признателен работникам Cisco Press, которые помогли мне не сойти с дистанции и довести дело до конца. Особой благодарности заслуживают Китти Джарретт (Kitty Jarrett) и Бретт Бартоу (Brett Bartow) за их терпеливую работу со мной и другими авторами, участвовавшими в осуществлении данного проекта. Я высоко ценю значительный вклад рецензентов в успех данной книги и благодарю всех соавторов, с которыми я должен разделить этот успех.
Предисловие
Книга Организация защиты сетей Cisco представляет все вопросы, рассматриваемые в рамках курса MCNS при подготовке к экзамену на получение соответствующего сертификата. Эта книга дает необходимые знания и практические навыки, необходимые для установки, настройки, эксплуатации и проверки средств защиты и соответствующего программного обеспечения Cisco IOS в сетях, использующих IP. С помощью этой книги вы научитесь выявлять угрозы безопасности сети, обеспечивать защиту удаленного доступа с помощью средств ААА (аутентификации, авторизации и аудита) Cisco IOS и сервера управления доступом CiscoSecure ACS, организовывать безопасный доступ к Internet с помощью маршрутизаторов периметра Cisco и брандмауэров PIX, а также строить защищенные виртуальные частные сети (сети VPN) на основе IPSec. Вне зависимости от того, готовитесь ли вы к экзамену по защите сетей Cisco или вам необходимо понимание технологии защиты сетей Cisco для использования соответствующих средств на практике, представленная в данной книге информация окажется исключительно полезной.
Cisco и Cisco Press предлагают этот материал в виде печатного издания, чтобы наши клиенты имели дополнительную возможность получить соответствующие знания, а также чтобы расширить круг пользователей. Хотя публикация не может заменить уникальную среду обучения, создаваемую преподавателем, мы считаем, что разным людям требуются различные способы передачи полезной информации. Мы надеемся, что книга позволит получить соответствующие знания более широкой аудитории профессионалов, работающих с компьютерными сетями.
Cisco Press и в дальнейшем будет представлять учебные курсы в виде книг, чтобы помочь в решении главной задачи Группы обучающих Internet-решений Cisco (Cisco Internet Learning Solution Group), которой является повышение квалификации сообщества профессионалов сетевых технологий Cisco с целью повышения надежности и управляемости масштабируемых сетей. Сертификаты Cisco и учебные курсы в рамках соответствующей системы сертификации неизменно стремятся к прогрессивным способам обучения. Книги Cisco Press, создаваемые в тесном сотрудничестве с Cisco Systems, отвечают тем же стандартам качества содержания, что и учебные курсы в рамках системы сертификации. Наши цели будут достигнуты, если эта и последующие публикации сертификационных и учебных материалов Cisco Press пополнят ваши знания в области организации и использования компьютерных сетей.
Томас М. Келли (Thomas М. Kelly)
вице-президент Группы обучающих Internet-решений
Cisco Systems, Inc.
июль 2000 г.
Вступительное слово
Компьютерная и сетевая безопасность имеют первостепенное значение в связи с широким распространением атак, которым постоянно подвергаются компьютерные сети. Кроме того, уже свершившаяся Internet-революция является ключом к процветанию как отдельных индивидуумов, так и целых государств. Перед руководителями государств и компаний во всем мире остро стоит проблема принятия срочных мер по защите сетей. На сегодня многие сети лишены даже базовых средств защиты и имеется острый недостаток в профессионалах, способных построить такую защиту. Многим защита сетей кажется весьма сложной, чуть ли не эзотерической темой, доступной пониманию только элитарной части профессионалов.
Тем, кто работает в сфере обучения профессионалов сетевых технологий и повышения их квалификации, ясно видна необходимость целостного подхода к обучению методам сетевой безопасности, чтобы специалисты-практики могли получить реальную помощь в деле совершенствования защиты своих сетей. Мы считаем необходимым предоставить возможность ознакомиться с проблемами и методами защиты сетей как можно более широкому кругу потребителей, чтобы они могли самостоятельно оценить уровень безопасности своих сетей. Это должно сыграть положительную роль в целом и в конечном итоге привести к общему усилению защиты. Для решения этой задачи мы и решили создать новый курс по защите сетей.
Еще в 1997 году, когда я был разработчиком курсов в Cisco Worldwide Training, мой руководитель Крис Берримэн (Chris Berriman) поручил мне разработку курса по управлению защитой сетей Cisco (курса MCNS). Тогда курс еще не имел такой популярности, но наша группа смогла предвидеть необходимость обучения методам защиты сетей (сегодня такая необходимость уже не вызывает сомнений). Я провел неформальный анализ конкурирующих предложений и обнаружил, что нет ни одной фирмы, предлагающей равноценный курс.
Курс должен был предложить обзор технологий сетевой защиты Cisco, обеспечивая баланс между широтой охвата известных технологий и глубиной описания конкретных решений. Практические занятия и реальные примеры должны были закрепить понимание представленных идей и фактов. Решение было принято и работа над проектом MCNS началась, в результате чего появилась сначала первая, а затем и последующие версии курса.
Эта книга полностью соответствует содержанию курса MCNS, но ее материал подвергся существенной переработке с учетом опыта, полученного в результате интенсивных исследований. Необходимость во всеобъемлющей книге по защите сетей сегодня ощущается особенно остро. Книга призвана обеспечить поддержку процесса подготовки новых профессионалов защиты и их помощников, чтобы в конце концов тема защиты сетей стала доступной и понятной более широкому кругу специалистов.
Майкл Уэнстром
Cisco Systems, Inc.
август 2000 г.
Введение
Целью этой книги является предоставление читателю помощи при реализации технологий защиты сетей Cisco, а также при проектировании и построении более защищенных сетей. Данная книга предназначена для использования как в качестве дополнения к учебному курсу MCNS, так и в качестве отдельно используемого справочного пособия.
Аудитория книги
Книга предназначена для тех, кто интересуется технологиями и средствами защиты сетей Cisco. Главной аудиторией книги будут работающие в области сетевых технологий профессионалы, которые считают необходимым расширить свои знания за рамки границ маршрутизации и коммутации и совершенствовать свои возможности в области установки, настройки, мониторинга и использования средств защиты сетей Cisco. Эта книга предполагает, что читатель уже обладает знаниями в области сетевых технологий Cisco, необходимыми для получения сертификата CCNA.
Данная книга будет полезна и обычным пользователям сетей, которым необходимо получить информацию о возникающих в сети угрозах безопасности и методах снижения риска таких угроз. Для объяснения большинства принципов и сути технологий защиты сетей в книге использовался метод дружественного подхода, который привлекателен для читателей, предпочитающих не обращать слишком много внимания на технические подробности.
Особенности книги
Эта книга имеет ряд уникальных особенностей, которые будут помогать вам в процессе изучения средств сетевой защиты.
Списки обсуждаемых понятий и идей. В начале каждой главы имеется список обсуждаемых тем. Он может использоваться для ссылок на рассматриваемые понятия и идеи и может оказаться полезным в процессе поиска нужной темы.
Рисунки, примеры и таблицы. Книга содержит примеры, рисунки и таблицы, представляющие содержимое каждой главы в простой для использования форме. Рисунки помогают объяснить идеи и программные процессы, примеры содержат образцы использования команд и выводимые ими данные, а в таблицах представлены синтаксис и описания параметров команд.
Практические занятия. В каждой главе на примере гипотетического предприятия — компании XYZ — элементы конфигурации средств защиты объединяются в нечто целое, позволяющее связать изучаемый материал с реальностью. Политика сетевой зашиты компании XYZ используется в книге как модель для демонстрации возможностей реализации директив политики защиты в терминах команд конфигурации соответствующих сетевых устройств. Практические занятия на основе примеров конфигурации конкретных сетевых устройств иллюстрируют материал, изучаемый в рамках соответствующей главы.
Описания команд. Чтобы упростить для читателя процесс восприятия рассматриваемого материала, описания команд предлагаются в ходе изучения, а не вынесены в отдельный раздел.
Резюме по материалу главы. В конце каждой главы имеется краткая сводка рассмотренных идей и понятий, которая играет роль конспекта и оказывает помощь в изучении материала главы.
Контрольные вопросы. После резюме в конце каждой главы предлагаются 10 контрольных вопросов, ответы на которые помогут лучше понять освещенный в главе материал. Вопросы позволят определить уровень понимания материала и вашу готовность перейти к изучению новых понятий. (Ответы на контрольные вопросы содержатся в приложении Г.)
Ссылки. После контрольных вопросов предлагаются ссылки на источники дополнительной информации по представленным в главе темам. Ссылки помогут расширить ваши знания по соответствующим вопросам.
Соглашения, принятые в книге
В этой книге приняты следующие соглашения.
Важные или новые термины выделяются курсивом.
Примеры программного кода печатаются моноширинным шрифтом, а для частей программного кода используются следующие правила:
команды и ключевые слова печатаются полужирным;
аргументы, замещающие реальные значения, которые должны вводиться пользователем, печатаются курсивом;
в квадратных скобках ([...]) указываются необязательные ключевые слова или параметры;
в фигурных скобках ({...}) указываются допустимые варианты обязательных параметров;
вертикальные линии (|) используются для разделения имеющихся вариантов обязательных параметров.
Структура материала книги
Книга разделена на семь частей, включающих 18 глав и четыре приложения.
Часть I. Выбор политики защиты
Глава 1, “Угрозы безопасности сети”, рассматривая потенциальные угрозы безопасности сети типичного предприятия, обосновывает положительный ответ на фундаментальный вопрос о необходимости защиты сети. В главе приводятся примеры нарушений защиты, указываются главные причины уязвимости сетей, характеризуются основные типы нарушителей, описываются категории угроз безопасности сети и предлагаются варианты устранения таких угроз.
Глава 2, “Оценка политики защиты’’, рассматривает экономические вопросы защиты сети и обрисовывает общие контуры политики сетевой защиты. В главе содер-
жится обзор средств защиты сети, предлагаемых компанией Cisco, а в ходе практического занятия вы сможете оценить пример политики защиты.
Глава 3, “Защита инфраструктуры сети”, представляет возможности настройки маршрутизаторов Cisco для защиты внутренней сетевой среды (например, сети кампуса). Рассматриваются защита административного интерфейса, контроль доступа SNMP к сетевым устройствам, способы пресечения попыток изменения параметров маршрутизации неуполномоченными пользователями, простые методы управления сетевым трафиком, а также контроль портов коммутаторов Ethernet и зашита доступа к сети.
Часть II. Защита удаленного доступа
Глава 4, “Технология защиты ААА”, обсуждает архитектуру ААА (аутентификация, авторизация и аудит) Cisco и связанные с ней технологии. В главе представлены идеи, которые применяются при реализации решений защиты на основе использования сетевых продуктов Cisco.
Глава 5, “Настройка средств ААА сервера сетевого доступа”, объясняет, как настроить сервер сетевого доступа Cisco, чтобы средства ААА могли работать с локальной или удаленной базой данных защиты. Рассмотрены также пути решения проблем, которые могут возникать при использовании этих средств.
Глава 6, “Настройка CiscoSecure ACS и TACACS+/RADIUS”, обсуждает возможности и архитектуру сервера управления доступом CiscoSecure ACS для Microsoft Windows NT и UNIX. В частности, в главе объясняется, как настроить CiscoSecure ACS для NT на выполнение функций ААА для серверов сетевого доступа Cisco. При этом основное внимание уделяется использованию протокола TACACS+.
Часть III. Защита межсетевых соединений
Глава 7, “Настройка маршрутизатора периметра Cisco”, раскрывает возможности защиты периметра сети, предлагаемые маршрутизаторами Cisco. В главе содержится обзор компонентов системы защиты периметра сети и соответствующих программных возможностей Cisco IOS. Показано также, как использовать эти средства защиты на практике.
Глава 8, “Настройка Cisco IOS Firewall”, обсуждает возможности брандмауэра Cisco IOS Firewall в маршрутизаторах Cisco, используемые для усиления защиты периметра сети. В главе предлагается обзор методов контекстно-зависимого управления доступом и объясняется, как правильно настроить указанный брандмауэр в рамках системы общей защиты.
Часть IV. Настройка CiscoSecure PIX Firewall
Глава 9, “Возможности PIX Firewall", представляет возможности и особенности конфигурации брандмауэров семейства PIX Firewall. В главе показано, что PIX Firewall может обеспечить мощную защиту даже при использовании только команд базовой конфигурации.
Глава 10, “Настройка доступа через PIX Firewall”, на основе материала предыдущей главы обсуждает возможности управления потоком данных, проходящих через брандмауэр PIX Firewall, и используемые для этого команды. В главе рассматриваются
настройка средств трансляции сетевых адресов, статические трансляции и другие методы управления доступом.
Глава 11, “Настройка интерфейсов и средств AAA FIX Firewall”, описывает возможности гибкой настройки множества интерфейсов FIX Firewall для создания защищенной “демилитаризованной зоны” сети. В главе также объясняется, как настроить средства аутентификации, авторизации и аудита PIX Firewall для работы с CiscoSecure ACS, чтобы обеспечить контроль доступа на уровне пользователей.
Глава 12, “Использование дополнительных возможностей PIX Firewall”, обсуждает некоторые дополнительные возможности PIX Firewall, превращающие брандмауэр в мощное и вместе с тем достаточно гибкое средство управления межсетевым взаимодействием и доступом в Internet. В главе рассмотрены поддержка РРТР, возможности блокирования аплетов Java, фильтрация URL и FTP, поддержка SNMP и syslog, средства резервирования и сопровождения PIX Firewall.
Часть V. Технология шифрования Cisco
Глава 13, “Обзор технологии шифрования Cisco”, описывает понятия, понимание которых необходимо для квалифицированного использования средств СЕТ (Cisco Encryption Technology — технология шифрования Cisco) в маршрутизаторах Cisco. В главе представлены алгоритмы шифрования, методы хэширования и создания цифровых подписей, а также методы обмена ключами, используемые в рамках СЕТ.
Глава 14, “Применение шифрования Cisco”, предлагает пошаговые описания действий, которые потребуется выполнить в процессе настройки средств СЕТ в маршрутизаторах Cisco. В главе описываются команды Cisco IOS, используемые для настройки и тестирования средств СЕТ. Порядок описания команды соответствует порядку, в котором их необходимо вводить, чтобы указанные средства начали работать.
Часть VI. Виртуальные частные сети, использующие IPSec
Глава 15, “Поддержка IPSec в сетях Cisco”, представляет обзор средств IPSec и соответствующих протоколов, поддерживаемых продуктами Cisco и используемых для создания виртуальных частных сетей (сетей VPN). В данной главе рассмотрены все протоколы IPSec, а в последующих главах подробно обсуждаются вопросы настройки средств поддержки IPSec в продуктах Cisco.
Глава 16, “Настройка Cisco IOS для поддержки IPSec”, обсуждает вопросы настройки IPSec в маршрутизаторах Cisco для аутентификации с помощью предварительно согласованных общих ключей и шифрования RSA в топологии узел-узел. Сложный процесс конфигурации IPSec представлен в виде ряда последовательно решаемых задач и выполняемых действий.
Глава 17, “Настройка IPSec в брандмауэре PIX Firewall”, рассматривает вопросы настройки IPSec в брандмауэрах PIX Firewall для аутентификации с помощью предварительно согласованных общих ключей в топологии узел-узел. Задача настройки IPSec представлена в виде пошаговых инструкций, в которых показаны все команды, заставляющие функционировать эти средства защиты.
Глава 18, “Масштабирование сетей IPSec”, разъясняет, как настроить сеть IPSec, включающую маршрутизаторы Cisco и брандмауэры PIX Firewall, чтобы она была масштабируемой, могла поддерживать большое число использующих IPSec сторон и обеспечивала надежную защиту. В главе показано, как обеспечить поддержку центров сертификации и настроить средства удаленного доступа для клиентов виртуальных частных сетей Cisco.
Часть VII. Приложения
Приложение А, “Структура сети компании XYZ”, предлагает практический пример использования средств сетевой защиты в гипотетической компании XYZ, что помогает связать воедино теоретические принципы безопасности и соответствующие процедуры реализации, рассмотренные в книге. Указанные в данном приложении IP-адреса и параметры внешних устройств используются для примеров конфигурации во всех главах книги.
Приложение Б, “Политика сетевой защиты компании XYZ”, содержит описание политики защиты сети компании XYZ, используемой для примеров во всех главах книги. В данном приложении сформулированы требования политики, решающие основные вопросы защиты сети предприятия.
Приложение В, “Настройка стандартных и расширенных списков доступа”, предлагает краткое описание структуры списков доступа Cisco IOS, используемых многими средствами защиты в маршрутизаторах Cisco. Приводятся также списки команд настройки стандартных и расширенных списков доступа IP.
Приложение Г, “Ответы на контрольные вопросы”, содержит ответы на контрольные вопросы, имеющиеся в конце каждой главы.
Часть
ЫВыбор политики защиты
Глам^ Угрозы безопасности сети
Глава ЖОценка политики защиты
Главд^^щйта_ инфраструктуры сети
Изучив материал этой главы, вы сможете выполнить следующие задачи.
Определить необходимый уровеньзащиты сети., ,
Выяснить главные причины'проблем, возникающих призащите сети.
Дать характеристику нарушителей защиты и указать мотивы их действий.
Идентифицировать типичные угрозы безопасности сети.«
Выбрать контрмеры, с помощью которых решается задача противодействия атакам нарушителей на систему защиты сети.<
Глава
1
i Угрозы безопасности сети
‘ В этой главе рассматриваются потенциальные угрозы безопасности сети предпри- .ятия. На основе изучения главных задач защиты и соответствующих проблем, возни- кающихперед администратором сети, в главе обосновывается необходимость защиты сети и формулируются три основные причины уязвимости защиты. Предлагается классификация основных типов нарушений и характеристика нарушителей, чтобы вы могли лучше понять мотивы и цели вашего противника. Здесь рассматриваются раз- ^личные типы наиболее часто возникающих угроз, а также средства, используемые для 41^ ихреализации, и средства, призванные препятствовать им. В главе содержится крат- |i кое описание основных средств и методов, применяемых при таких нарушениях безо- ^ пасности сети, как разведка, несанкционированный доступ, блокирование сервиса и * подтасовка данных. Обзор типов нарушений сетевой защиты содержит также некоторые рекомендации относительно того, как можно помешать противнику реализовать такие нарушения. Глава заканчивается списком ресурсов, доступ к которым поможет к, у- расширить знания о защите от нарушителей и злоумышленников в сети.
Необходимость защиты сети
Распространение Internet быстро меняет наши представления о том, как следует вести дела, учиться, жить и отдыхать. Особое влияние это оказывает на способы ведения бизнеса и управления на глобальном уровне. Лидеры мирового бизнеса бесспорно признают стра- р ; ’ тероль Internet в деле сохранения жизнеспособности и конкурентоспособности
* их компаний в XXI столетии. Потребители и конечные пользователи желают иметь надежно защищенные средства коммуникаций и ведения электронной торговли. К сожалению, из-за того, что Internet изначально была основана на открытых стандартах, обеспечивающих простоту связи, были упущены некоторые ключевые компоненты зашиты, к которым, например, можно отнести контроль удаленного доступа, тайну коммуникаций и защиту от помех в предоставлении сервиса. Необходимость зашиты коммуникаций в I < Internet вызвала бурное развитие технологий защиты сетей вообще.
z Перед деловыми кругами встала пугающая проблема: Й1к реализовать и совершенствовать средства и методы защиты, чтобы уменьшить уязвимость бизнеса в условиях постоянного роста угрозы нарушения защиты, вызванного развитием хакерских методов.
5* Подходящее для всех решение проблемы сетевой безопасности предложить трудно, поскольку для локальной сети учебного заведения эффективными могут оказаться одни ре- ।: шения. а для глобальной сети — совсем другие. Некоторые решения защиты хороши для #?малых предприятий, но оказываются неприемлемыми для крупных организаций по при-
чине трудоемкости, слишком высокой стоимости или чрезмерных затрат времени, требуемых на реализацию таких решений в больших сетях. Выход в Internet создает дополнительную угрозу безопасности в связи с тем, что сетевой злоумышленник получает потенциальную возможность доступа к инфраструктуре данных компании.
Проблема защиты, стоящая перед современным бизнесом, сводится к задаче рассмотрения всего спектра имеющихся решений и выбора правильной их комбинации. Сегодня предлагается немало технологий и соответствующих средств защиты. Трудность реализации защиты сети заключается не в отсутствии подходящей технологии защиты, а в выборе из множества решений такого, которое лучше всего подойдет для вашей конкретной сети и требований вашего бизнеса и при котором затраты на поддержку и сопровождение средств защиты, предлагаемых соответствующим поставщиком, окажутся минимальными.
После того как сетевой инженер или администратор выберет подходящий набор средств защиты для сетевой среды, потребуются также и средства, интегрирующие все это в рамках соответствующего предприятия и обеспечивающие осуществление целостной и согласованной политики защиты, что в сегодняшних условиях является совсем непростым делом. Компания Cisco уже сегодня предлагает широкий спектр средств сетевой защиты, а еще больше аппаратных и программных средств находится в процессе разработки и должны появиться в недалеком будущем. Средства защиты Cisco разрабатываются в рамках архитектуры Cisco SAFE, представляющей собой динамический каркас защиты для сетей электронного бизнеса.
Причины возникновения проблем защиты
Доступ к внутренней сети, удаленный доступ и доступ в Internet сегодня используются довольно широко. Но это порождает определенный риск и ставит целый ряд вопросов безопасности. Сеть и аппаратные средства, используемые для доступа к сети, могут содержать дефекты зашиты, могут быть неправильно установлены или настроены, а также могут неправильно использоваться. После того как мы рассмотрим типы и мотивы поведения нарушителей в сети, необходимость защиты сети станет очевидной. Эти вопросы рассматриваются в следующих разделах.
Три главные причины проблем защиты
Существует по крайней мере три основные причины возникновения угроз защиты сети.
Технологические недостатки. Каждая сеть и каждая компьютерная технология имеют свои проблемы защиты.
Недостатки конфигурации. Даже самая надежная технология защиты может быть неправильно реализована или использована, результатом чего может оказаться появление проблем защиты.
Недостатки политики защиты. Неподходящая или неправильно реализуемая политика защиты может сделать уязвимой даже самую лучшую технологию сетевой защиты.
В мире есть люди, имеющие желание, достаточную квалификацию, а подчас и материальную заинтересованность для того, чтобы использовать известные недостатки
защиты, постоянно открывать и эксплуатировать новые. Известные недостатки защиты сетей достаточно подробно рассматриваются в следующих разделах.
Технологические недостатки
Компьютерные и сетевые технологии имеют свои внутренние проблемы защиты. Мы собираемся рассмотреть недостатки, присущие TCP/IP, операционным системам и сетевому оборудованию (рис. 1.1).
Операционная система •Каждая имеет свои уязвимые места и недостатки, которые можно использоватьОперационная система •Каждая имеет свои уязвимые места и недостатки, которые можно использовать
Операционная система •Каждая имеет свои уязвимые места и недостатки, которые можно использовать
Операционная система •Каждая имеет свои уязвимые места и недостатки, которые можно использовать
TCP/IP наблюдение
Слежение за пакетами и манипуляция ими
Сетевое оборудование• Ненадежные пароли• Доступ через люки или лазейки• Технические недостатки•Бреши в брандмауэре• Необходимость использования "заплат", исправляющих недостатки защитыСетевое оборудование• Ненадежные пароли• Доступ через люки или лазейки• Технические недостатки•Бреши в брандмауэре• Необходимость использования "заплат", исправляющих недостатки защитыОграничения сетевойфайловой системы
Сетевое оборудование
• Ненадежные пароли
• Доступ через люки или лазейки
• Технические недостатки
•Бреши в брандмауэре
• Необходимость использования "заплат", исправляющих недостатки защиты
Сетевое оборудование
• Ненадежные пароли
• Доступ через люки или лазейки
• Технические недостатки
•Бреши в брандмауэре
• Необходимость использования "заплат", исправляющих недостатки защиты
Возможности доступа telnet
Возможности доступа sendmailк корневому уровню системы
Рис. 1.1. Технологические недостатки защиты сетевых и компьютерных компонентов
Архивы CERT (Computer Emergency Response Team — группа компьютерной “скорой помощи”) на странице www.cert.org документируют многочисленные технологические недостатки защиты самых разных протоколов, операционных систем и сетевого оборудования. Экспертные рекомендации CERT касаются проблем защиты Internet- технологий. Они объясняют суть проблемы, помогают выяснить, имеет ли проблема отношение к вашей конкретной сети, предлагают возможные пути ее решения, а также предоставляют информацию о поставщике соответствующего оборудования.
Недостатки TCP/IP
Протокол TCP/IP разрабатывался как открытый стандарт, чтобы упростить связь в сети. Службы, средства и утилиты, построенные на его основе, тоже разрабатывались с целью поддержки открытых коммуникаций. Рассмотрим некоторые особенности TCP/IP и соответствующих сервисов, характеризующие их внутреннюю уязвимость.
Заголовки пакетов IP, TCP и UDP и их содержимое могут быть прочитаны, изменены и посланы повторно так, чтобы это не было обнаружено.
Сетевая файловая система (NFS) позволяет получить незащищенный доверительный доступ к хостам. NFS не обеспечивает аутентификацию пользователей и использует случайные номера портов UDP для сеансов связи, что практически не дает возможности ограничить протокольный и пользовательский доступ.
Telnet является мощным средством, предоставляющим пользователю возможность доступа ко многим утилитам и службам Internet, которые иначе оказыва-
ются недоступными. Используя Telnet и указывая номер порта вместе с именем хоста или IP-адресом, хакеры могут начать интерактивный диалог с сервисами, которые считаются недостаточно защищенными.
В системе UNIX демон sendmail может позволить доступ к корневому уровню UNIX, в результате чего возможен нежелательный доступ ко всей системе. Сервис sendmail представляет собой программу, используемую для обмена электронной почтой в UNIX. Эта сложная программа имеет длинную историю проблем защиты. Вот некоторые из них:
sendmail можно использовать для получения доступа к корневому уровню UNIX путем внедрения соответствующих команд в фальсифицированные сообщения электронной почты;
sendmail позволяет выяснить тип операционной системы, в которой выполняется эта программа (по номеру версии, возвращаемой фальсифицированными сообщениями); эта информация может использоваться для того, чтобы начать атаку точек уязвимости конкретной операционной системы;
sendmail можно использовать для того, чтобы выяснить, какие узлы принадлежат домену с данным именем;
sendmail можно использовать для того, чтобы направить почту по несанкционированным адресам.
Недостатки операционных систем
Каждая операционная система тоже имеет свои проблемы защиты. Linux, UNIX, Microsoft Windows 2000, Windows NT, Windows 98, Windows 95 и IBM OS/2 — все они имеют недостатки, которые были обнаружены и зафиксированы документально.
Архивы CERT содержат описания проблем защиты многих операционных систем. Каждый поставщик или разработчик операционных систем имеет информацию о известных проблемах защиты и методах их решения. Вероятно, существует немало проблем защиты операционных систем, которые еще предстоит обнаружить, документировать и решить.
Недостатки сетевого оборудования
Сетевое оборудование любого производителя имеет свои недостатки защиты, которые тоже должны быть выяснены и в отношении которых должны быть приняты соответствующие меры. Примерами таких недостатков являются ненадежная защита пароля, отсутствие средств аутентификации, незащищенность протоколов маршрутизации и бреши брандмауэров. Выявленные недостатки защиты сетевого оборудования большинство производителей исправляют достаточно быстро. Обычно такие недостатки исправляются с помощью программной “заплаты” или путем обновления операционной системы оборудования.
Бреши позволяют неуполномоченным пользователям получить несанкционированный доступ или повышенные привилегии доступа к системе. Причиной может оказаться дефект аппаратных средств или программного обеспечения. Большинство брешей в сетевом оборудовании и сетевых устройствах хорошо известны и документированы, например, на страницах консультационного центра CERT. Компания Cisco извещает пользователей и сообщество Internet о потенциальных проблемах защиты в продуктах Cisco через консультационный центр защиты Internet (Internet Security Advisories, www.cisco.com/warp/customer/707/advisory.htmly Для доступа к этому ресурсу
требуется пароль ССО. Соответствующие материалы, публикуемые Cisco, обычно в реферативном виде можно найти и на Web-странице CERT.
Обратите внимание на то, что предварительные и ограниченные версии программного обеспечения Cisco IOS чаше содержат неизвестные бреши, в отличие от полных и окончательных версий, которые тестируются более тщательно.
Недостатки конфигурации
Недостатки конфигурации, показанные на рис. 1.2, близки к технологическим. Они возникают вследствие неправильной конфигурации сетевого оборудования, используемого для решения выявленных или потенциальных проблем зашиты. Следует заметить, что если недостатки конфигурации известны, их обычно можно легко исправить с минимальными затратами.
Сетевое оборудованиеСетевое оборудованиеSerial Оpermit ip any anySerial Оpermit ip any anyEthernet 0Ethernet 0
Сетевое оборудование
Сетевое оборудование
Serial О
permit ip any any
Serial О
permit ip any any
Ethernet 0
Ethernet 0
КомпьютерыКомпьютеры
Компьютеры
Компьютеры
Рис. 1.2. Проблемы защиты, возникающие по причине неправильнойконфигурации или неправильного использования оборудования
Вот несколько примеров недостатков конфигурации.
Недостаточная защита, обеспечиваемая установками по умолчанию. Установки по умолчанию многих продуктов оставляют открытыми бреши в системе зашиты. Пользователи должны проконсультироваться с фирмой-производителем или сообществом пользователей о том, какие установки по умолчанию порождают слабость защиты и как их следует изменить.
Неправильная конфигурация сетевого оборудования. Неправильная конфигурация оборудования может вызывать серьезные проблемы защиты. Например, неправильная структура списков доступа, протоколов маршрутизации или групповых строк SNMP может открывать широкие бреши в системе защиты.
Незащищенные учетные записи пользователей. Если информация об учетных записях пользователей передается по сети открыто, это дает возможность использовать имена пользователей и пароли злоумышленникам.
Учетные записи пользователей, использующих слишком простые пароли. Эта широко распространенная проблема возникает в результате выбора пользователями легко угадываемых паролей из ограниченного множества вариантов. Например, системы NetWare, UNIX и Windows NT могут содержать учетные записи с именем пользователя guest и паролем guest.
Неправильная настройка служб Internet. Общей проблемой является применение Java и JavaScript в обозревателях Web, что открывает возможности для атак внедрения вредоносных аплетов Java. Сетевое оборудование или операционная система компьютера могут допускать использование незащищенных служб TCP/IP, позволяющих удаленный доступ к сети.
Информацию об этих недостатках и о правильной конфигурации сетевых устройств и компьютерных систем в целом можно получить через консультационные центры CERT, из документации производителей сетевого оборудования и из информационных документов RFC (Request for Comments — запрос комментариев), в которых описаны лучшие на текущий момент варианты конфигурации сети (как, например, в документе RFC 2827, “Фильтрация внешнего доступа к сети”).
Недостатки политики защиты сети
Документированная и объявленная персоналу политика защиты является существенным компонентом защиты сети. Но некоторые проблемы защиты могут быть вызваны недостатками самой политики защиты, и к таким проблемам можно отнести следующие.
Отсутствие документированной политики защиты. Не представленную в виде набора документов политику невозможно применять последовательно и принудительно.
Внутренние политические противоречия. Политические баталии, закулисные войны и скрытые конфликты будут препятствовать проведению согласованной и обязательной политики защиты.
Отсутствие преемственности. Частая замена персонала, отвечающего за реализацию политики защиты, ведет к непостоянству в политике защиты.
Отсутствие логичного контроля доступа к сетевому оборудованию. Недостаточно строго контролируемые процедуры выбора пароля пользователями открывают несанкционированный доступ к сети.
Небрежность администрирования, мониторинга и контроля. Неадекватный мониторинг, аудит и несвоевременное устранение проблем позволяют атаковать систему защиты и незаконно использовать сетевые ресурсы в течение длительного времени, что означает расточительное использование средств компании и может привести к ответственности перед законом.
Неосведомленность о возможности атаки. Организация может даже не знать о нарушениях, если в организации не проводится регулярный мониторинг сети или нет системы обнаружения сетевых вторжений вообще.
Несоответствие программного обеспечения и аппаратных средств принятой политике защиты. Несанкционированные изменения топологии сети или установка непроверенных приложений создают бреши в системе защиты.
Отсутствие процедур обработки инцидентов защиты и плана восстановления системы. Отсутствие четкого плана обработки инцидентов защиты и восстановле-
ния работоспособности сети предприятия в случае сетевой атаки приведет к хаосу, панике и ошибочным действиям.
В главе 2 вопрос оценки надежности политики защиты рассматривается более подробно.
Противника следует знать: мотивы действий нарушителя
Вы сможете лучше защитить свою сеть, если будете знать, кем является нарушитель. Люди, которые крадут у вас информацию, могут оказаться беспринципными. Они, скорее всего, достаточно умны для того, чтобы найти пути обхода статических схем защиты. Для эффективной долгосрочной защиты вам придется создать крепкую архитектуру защиты и выделить достаточные средства на непрерывный, многошаговый процесс совершенствования защиты. Обратитесь к разделу ссылок в конце этой главы для получения дополнительной информации об истории реальных деяний хакеров.
В этой книге тс, кто пытается получить доступ к сети или компьютерным ресурсам без разрешения, будут называться нарушителями защиты сети, или просто нарушителями. Нарушителем может быть кто угодно, но мы попытаемся помочь вам лучше узнать вашего противника. Нарушитель может быть взломщиком (cracker) или хакером (hacker).
Взломщик — это персона, которая использует передовые знания в области Internet и сетей для того, чтобы, не имея соответствующего права, зондировать или компрометировать сетевую защиту. Действия взломщика обычно содержат злой умысел.
Хакер — это персона, исследующая целостность и надежность защиты операционной системы или сети. Обычно это программист, использующий передовые знания в области аппаратных средств и программного обеспечения и желающий проверить систему новыми новаторскими способами. Нередко хакер свободно делится своими новыми знаниями с другими, обычно через Internet, что может создавать дополнительные проблемы для его жертвы. Действия хакера обычно не содержат злого умысла, и хакер не пытается предложить свои услуги в Internet. Хакеров иногда называют “нравственными хакерами” или “хакерами в белых шляпах’’ (“white hat” hackers).
Мотивы действий сетевых нарушителей довольно разнообразны, но всех нарушителей можно отнести к категориям внутренней или внешней угрозы.
Внутренние угрозы
Внутренние угрозы исходят изнутри организации вследствие соответствующих умышленных или неумышленных действий служащих.
Служащие с недостойными намерениями. Служащие, преднамеренно проверяющие уязвимость защиты с целью получения прибыли или с целью кражи.
Служащие, совершающие непреднамеренные нарушения. Служащие, которые случайно загрузили вирус или другую опасную для системы программу или случайно получили доступ к важной части внутренней сети или главному компьютеру.
Служащие, неправильно использующие сетевую среду. Служащие, по незнанию использующие ненадежные пароли или неправильную конфигурацию сетевого оборудования.
Внешние угрозы
Внешние угрозы исходят от объектов, находящихся вне организации, также вследствие умышленных или неумышленных действий.
Любители острых ощущений. Многие нарушители атакуют сети просто ради удовольствия или с тем, чтобы произвести соответствующее впечатление.
Конкуренты. Ваш успех может привлечь конкурентов, заинтересованных в доступе к информации, важной с точки зрения конкуренции.
Враги. Правительства многих стран обеспокоены информационными войнами дружественных или враждебных государств, мотивируемыми национализмом, фанатизмом или идеологическими соображениями. Например, в ходе конфликта в Косово на Web-узле НАТО наблюдалось заметное повышение активности хакеров.
Похитители. Нарушители могут искать конкретную ценную информацию, например, с целью ее продажи или использования.
Шпионы. Промышленный шпионаж сегодня распространяется все шире и шире.
Враждебно настроенные бывшие служащие. Служащие, знающие внутреннюю структуру сети, могут преследовать цели отмщения, извлечения прибыли или морального удовлетворения.
Другие. Люди могут вторгаться в сеть по различным причинам: из спортивного интереса или желания исследовать сеть, от скуки или любопытства или же с целью получения признания.
Уровень знаний и характеристика нарушителей первой волны
Сетевые вторжения начинались людьми, стремящимися получить несанкционированный доступ к телекоммуникационным ресурсам. Для обозначения соответствующих действий обычно используют слово фрикинг (phreaking). Нарушитель первой волны имел определенный уровень мастерства и обладал следующими характеристиками.
Он умел практически использовать несколько языков программирования:
С, C++ — важнейшие языки программирования;
Perl — язык компьютерных сценариев;
CGI (Common Gateway Interface — общий шлюзовой интерфейс) — интерфейс программирования серверных приложений Web;
Microsoft Visual Basic (VB) — дружественная среда программирования;
Java — переносимая производная С и C++.
Имел глубокие знания в области использования протоколов TCP/IP, сервисов и соответствующих средств.
Был хорошим специалистом по использованию Internet.
Досконально знал, как минимум, две операционные системы. Например, мог использовать UNIX и DOS или UNIX и VMS.
Имел работу, связанную с использованием компьютеров или сетей. Получал удовольствие от работы с компьютерным оборудованием, что воспринимал как образ жизни.
Собирал аппаратные средства и программное обеспечение. Имел возможность работать с самыми разными компьютерами.
Уровень знаний и характеристика современных нарушителей
Методы сетевого вторжения и соответствующие средства теперь широко известны и доступны. Давайте рассмотрим характеристику и уровень знаний современного нарушителя.
Он может загрузить созданные кем-то другим программные средства из Internet с хакерских узлов или досок объявлений. (Существует огромное множество средств сетевого вторжения и тестирования, а их исходные тексты широко доступны. Более того, каждый день появляются новые такие средства. При этом требуется только умение использовать компилятор для генерирования исполняемого файла из исходного текста хакерской программы.)
Умеет творчески использовать уже имеющиеся сценарии и утилиты для вторжения в сеть и вычислительные системы. Может применять средства автоматического зондирования сети для выявления слабых мест защиты.
Находится в той возрастной группе, когда имеется достаточно времени на эксперименты и разработку соответствующих методов. Обычно это студент или большой любитель технологических новинок. (Системные администраторы называют его “юным сценаристом", поскольку его атаки, как правило, строятся на сценариях и программах, созданных другими.)
Обратите внимание на то, что действия современных нарушителей менее разнообразны, но и в этом случае необходимо найти методы, позволяющие помешать их выполнению.
Типы угроз безопасности сети
Диапазон угроз безопасности настолько широк, что невозможно подвергнуть их полной классификации и разработать совершенную систему защиты от них. Давайте рассмотрим наиболее часто встречающиеся типы угроз безопасности сети.
Разведка
Несанкционированный доступ
Блокирование сервиса
Подтасовка данных
Эти категории угроз свидетельствуют об уязвимости сети и характеризуются атрибутами компьютера, позволяющими кому-либо начать враждебные действия против соответствующих сетевых объектов. В данном случае враждебное действие означает метод извлечения выгоды из уязвимости с помощью некоторой процедуры, сценария или программы. Целью такого действия является сбор имеющейся информации (разведка), блокирование системы обслуживания легальных пользователей, получение несанкционированного доступа к объектам и данным или подтасовка данных.
Враждебные действия имеют выдающую их сигнатуру — отличительное распознаваемое состояние или изменение состояния. Системы обнаружения вторжений, такие как CiscoSecure IDS (Intrusion Detection Systems — система обнаружения вторжений), могут распознавать сигнатуры враждебных действий непосредственно в ходе их выполнения. Обнаружив сигнатуры враждебных действий, можно использовать соответствующие контрмеры, либо устраняющие точку уязвимости вообще, либо блокирующие выполнение
враждебных действий в данной точке. Изучение уязвимости систем представляет собой исследование категорий уязвимости и соответствующих им враждебных действий.
В следующих разделах мы рассмотрим четыре категории уязвимости и соответствующие им враждебные действия.
Разведка
Разведка представляет собой несанкционированное выявление структуры сети, построение ее карты и мониторинг систем, служб и точек уязвимости сети. К ней также относят мониторинг сетевого трафика. Разведка может быть активной или пассивной. Информация, полученная в результате атак разведки, может затем использоваться для проведения атак другого типа в той же сети или для того, чтобы осуществить хищение важных данных. На рис. 1.3 показано, в каких именно точках сети предприятия могут предприниматься попытки провести разведывательные атаки.
nternetnternetУдаленное подразделениеУдаленное подразделениеМаршрутизатор периметраМаршрутизатор периметраАнализатор протокола, физически размещенный в сетиАнализатор протокола, физически размещенный в сети"Грязная"ДМ3"Грязная"ДМ3Утилиты развертки ping и сканирования портов, используемые для обнаружения периметра сетиУтилиты развертки ping и сканирования портов, используемые для обнаружения периметра сетиБрандмауэр PIX FirewallБрандмауэр PIX FirewallУтилита захвата пакетов, размещенная в бастионном узлеУтилита захвата пакетов, размещенная в бастионном узлеЗащищеннаяДМ3ЗащищеннаяДМ3
nternet
nternet
Удаленное подразделение
Удаленное подразделение
Маршрутизатор периметра
Маршрутизатор периметра
Анализатор протокола, физически размещенный в сети
Анализатор протокола, физически размещенный в сети
"Грязная"
ДМ3
"Грязная"
ДМ3
Утилиты развертки ping и сканирования портов, используемые для обнаружения периметра сети
Утилиты развертки ping и сканирования портов, используемые для обнаружения периметра сети
Брандмауэр PIX Firewall
Брандмауэр PIX Firewall
Утилита захвата пакетов, размещенная в бастионном узле
Утилита захвата пакетов, размещенная в бастионном узле
Защищенная
ДМ3
Защищенная
ДМ3
Утилита захвата
пакетов, размещеннаяпакетов, размещеннаяУдаленный клиентУдаленный клиентСервер CiscoSecure ACSСервер CiscoSecure ACSРис. 1.3. Точки проведения разведывательных атакРис. 1.3. Точки проведения разведывательных атакв бастионном узлев бастионном узлеИСИССервер SMTP с тайно установленной Esniff.cСервер SMTP с тайно установленной Esniff.c
пакетов, размещенная
пакетов, размещенная
Удаленный клиент
Удаленный клиент
Сервер CiscoSecure ACS
Сервер CiscoSecure ACS
Рис. 1.3. Точки проведения разведывательных атак
Рис. 1.3. Точки проведения разведывательных атак
в бастионном узле
в бастионном узле
ИС
ИС
Сервер SMTP с тайно установленной Esniff.c
Сервер SMTP с тайно установленной Esniff.c
Атаки разведки могут иметь форму выявления целей, перехвата сообщений и кражи информации. В следующих разделах будут рассмотрены типы разведывательных атак, соответствующие враждебные действия нарушителей, а также описаны контрмеры, применяемые для противодействия таким атакам.
Выявление целей
В данном случае выявление целей означает определение имен доменов и соответствующих IP-адресов, выяснение диапазона IP-адресов организации или IP-адресов конкретных узлов. Для конкретного узла можно выяснить список доступных сервисов или какую-то иную информацию об этом узле. Например, хакер может попытаться узнать IP-адрес интерфейса маршрутизатора периметра сети, обеспечивающего связь с поставщиком услуг Internet, чтобы получить возможность атаковать этот маршрутизатор. Выявление целей может быть проведено с помощью общих команд опроса сети, развертки ping и сканирования портов.
Сетевые команды
Для разведки можно использовать сетевые команды, доступные в UNIX, Windows и Linux, — это ping, whois, finger, rusers, nslookup, rpcinfo, telnet, dig, шпар, а также другие команды и утилиты, обеспечивающие информацию о сети и ее узлах. Использовать эти команды можно научиться самостоятельно или на примерах утилит общего пользования, объединяющих команды запроса для выполнения конкретных задач. Некоторые утилиты можно использовать для сбора информации о сетевых устройствах путем отправки специально создаваемых для этого пакетов и последующего анализа параметров и опций заголовка IP пакетов, посылаемых в ответ на них.
Развертка ping
Хотя для сбора информации о сети и ее узлах можно использовать саму команду ping, были разработаны утилиты развертки ping, автоматизирующие выявление узлов внутри сети или подсети. Утилита развертки ping просматривает диапазон IP-адресов и используется для того, чтобы построить карту сети. Эта утилита применяется также для выявления потенциальных целей, на которых следует сосредоточиться для глубинной разведки. Команда ping генерирует направляемое конкретному узлу сообщение ICMP Echo Request (запрос отклика ICMP; ICMP — это аббревиатура, обозначающая протокол контроля сообщений в сети Internet). Узел должен ответить соответствующим набором сообщений ICMP. Иногда утилита развертки ping комбинирует запросы отклика ICMP с другими сообщениями ICMP (например, с сообщениями ICMP Timestamp, ICMP Address Mask или ICMP Information Request), чтобы собрать дополнительную информацию.
Сканирование портов
После выявления интересующего узла хакер может выполнить сканирование портов. Утилита сканирования портов проверяет заданный диапазон портов TCP или UDP с целью выявления доступных сетевых служб типа Telnet, FTP, HTTP или RCP. Такое сканирование может быть общим, когда проверяется диапазон портов (например, порты с номерами 1 — 1023), или специальным, когда внимание концентрируется на определенных портах, чтобы выявить, например, информацию об операционной системе, а также имена узлов или пользователей. Утилиты сканирования портов могут использовать фрагментацию пакетов и устанавливать биты SYN и FIN в заголовках TCP, чтобы скрыть факт сканирования.
После выявления интересующих портов противник может приступить к проведению атаки против конкретного порта. Например, если хакер выяснит, что на данном узле доступна служба SMTP (служба электронной почты), он может послать соответствующие команды SMTP с целью получения дополнительной информации или даже несанкционированного доступа. Можно также попытаться получить доступ Telnet или FTP, чтобы извлечь дополнительные сведения о данном узле из заголовков пакетов, посылаемых в ответ на запрос доступа. Если хакер обнаружит, что на данном узле доступна служба DNS (служба имен доменов), он может попытаться получить доступ к записям HINFO (записи информации об узле) службы DNS. HINFO является необязательным типом записи для сбора и анализа дополнительной информации о системе. Эта информация обычно включает имя операционной системы и характеристики аппаратной платформы, на базе которой работает система. Аргументов в пользу включения этой записи в базу данных совсем немного, тем более что она открывает противнику весьма ценную информацию. Сканеры портов могут исследовать открытые порты недостаточно защищенных пользователей или уязвимость удаленного доступа.
Для проведения атак развертки ping и сканирования портов используются такие средства, как SATAN (System Administrators Tool for Analyzing Networks — средство системного администратора для анализа сети), сканеры защиты, поставляемые производителями сетевых продуктов, portscan.с, пиар и neptune (сканеры портов Linux, сообщающие об активных сервисах других узлов) и другие общедоступные сканеры (типа Network Toolbox).
Перехват сообщений
Перехват сообщений (сбор информации) является методом пассивного наблюдения за сетевым трафиком с помощью некоторого устройства или утилиты. Цель перехвата — выявление структуры потока данных, а также сбор данных для последующего анализа и кражи информации. Синонимами понятия “перехват” являются сетевое слежение и анализ пакетов. Информация, собранная посредством перехвата, может использоваться для подготовки других типов сетевых атак или кражи информации. Типичным способом перехвата сообщений в области коммуникаций является захват пакетов TCP/IP и декодирование их содержимого с помощью анализатора протокола или иной подобной утилиты. Захваченные пакеты с данными процедуры входа в сеть нарушитель может воспроизвести вновь, чтобы попытаться получить доступ к сети.
С помощью перехвата сетевые нарушители могут выяснить имена и пароли пользователей (чтобы получить право доступа к узлам сети), извлечь из пакета такие данные, как номер кредитной карточки, или другую частную информацию.
Примером данных, подходящих для перехвата, являются строки идентификации (community string) SNMP версии 1, посылаемые в открытом виде. Перехватив запрос SNMP, нарушитель может получить ценную информацию о конфигурации сетевого оборудования.
Средства перехвата описываются в табл. 1.1.
Таблица 1.1.
":—
Средства перехвата
Категория
Средство
Описание
Утилиты
захвата пакетов
tcpdump, esniff .с для UNIX
linsnif fer.c для Linux
Инспектор сети Microsoft (Network Monitor) для Windows NT
Утилиты, устанавливаемые в соответствующем узле. Требуют наличия сетевой интерфейсной платы, работающей в беспорядочном режиме
Категория
Средство
Описание
Анализаторы
Network Associates Sniffer или NetXray
Программное обеспечение, устанавливав-
протоколов
Анализаторы протоколов Hewlett Packard (Internet Advisor)
мое в соответствующем узле или специализированном тестовом оборудовании
Кража информации
Перехват сообщений мало отличается от кражи информации. Кража может происходить во время передачи данных по внутренней или внешней сети. Нарушитель может украсть данные и с компьютера сети, получив к нему несанкционированный доступ.
Цель сетевых вторжений заключается в использовании нарушителем файлов или ресурсов, которые ему не принадлежат. Примером может служить подключение к сети финансового учреждения и получение номеров кредитных карточек. Другим примером является доступ к файлу паролей и его копирование на другой компьютер, чтобы в дальнейшем расшифровать этот файл.
В табл. 1.2 описываются методы противодействия разведывательным атакам в сети.
^Таблица Я .2. Методы противодействия разведывательным атакам
Тип атаки
Методы противодействия
Выявление целей
Отключение ответа на команды типа finger и nslookup в маршрутизаторах и узлах сети. Использование системы обнаружения вторжений для выявления попыток получить ответы на такие запросы
Развертка ping
Отключение ответа на команды ping и использование системы обнаружения вторжений для выявления соответствующих попыток
Сканирование портов
Использование сканера портов для выявления открытых портов. Отключение невостребованных сервисов в маршрутизаторах и узлах сети, а также использование системы обнаружения вторжений для выявления попыток сканирования портов. Это уменьшит уязвимость системы в отношении синхронных атак (лавинных атак SYN)
Перехват
Ограничение физического доступа к сетевому оборудованию, исключающее возможность размещения анализаторов протокола в подходящих точках сети. Использование коммутаторов Ethernet для разделения внутренней сети на локальные сегменты с целью предотвращения возможности захвата всего сетевого трафика с одной рабочей станции.
Принятие мер, гарантирующих невозможность несанкционированного доступа к хостам и размещения утилит захвата пакетов. Использование программ проверки целостности систем для выявления файлов, размещенных без разрешения.
Использование на важных узлах сетевых интерфейсных плат, которые нельзя переключить в беспорядочный режим работы. Физическая проверка всех узлов на предмет наличия интерфейсов, работающих в беспорядочном режиме. Использование программного обеспечения типа срт и if status для выявления интерфейсов, работающих в беспорядочном режиме.
Применение шифрования данных для защиты содержимого пакетов при передаче через незащищенные сети. Шифрование должно соответствовать уровню защиты данных, необходимому для организации, и не должно создавать неадекватную нагрузку на ресурсы системы или слишком обременять пользователей
Несанкционированный доступ
Нарушитель может пытаться получить несанкционированный удаленный доступ к компьютерам сети или сетевым устройствам самыми разными способами. Общей целью нарушителей является получение прав корневого пользователя (UNIX) или администратора (Windows NT) на том компьютере, где он имеет больше возможностей для управления интересующей его системой или для доступа к другим компьютерам сети. На рис. 1.4 показаны основные точки сети, в которых нарушитель может пытаться получить несанкционированный доступ.
Получение первичного доступа
Сетевому нарушителю обычно сначала требуется получить доступ к любому узлу сети, чтобы затем попытаться выйти за рамки этого узла и проникнуть в связанные сети. Он устанавливает соединение с узлом, не имея на это право, чтобы затем попытаться найти бреши, позволяющие получить привилегированный доступ (например, права корневого пользователя в системе UNIX).
Маршрутизатор периметраМаршрутизатор периметра"Грязная"ДМ3"Грязная"ДМ3НарушительНарушительБастионный узелБастионный узелСервер CiscoSecure, Web, ТЕТР, SyslogСервер CiscoSecure, Web, ТЕТР, SyslogСервер СерверSMTP DNSСервер СерверSMTP DNSРис. 1.4. Точки проведения атак несанкционированного доступа к сетиРис. 1.4. Точки проведения атак несанкционированного доступа к сети
Маршрутизатор периметра
Маршрутизатор периметра
"Грязная"
ДМ3
"Грязная"
ДМ3
Нарушитель
Нарушитель
Бастионный узел
Бастионный узел
Сервер CiscoSecure, Web, ТЕТР, Syslog
Сервер CiscoSecure, Web, ТЕТР, Syslog
Сервер Сервер
SMTP DNS
Сервер Сервер
SMTP DNS
Рис. 1.4. Точки проведения атак несанкционированного доступа к сети
Рис. 1.4. Точки проведения атак несанкционированного доступа к сети
Обычно нарушитель сначала пытается получить как можно больше информации об интересующем его узле с помощью методов разведки, а затем использует эту информацию для того, чтобы получить первичный доступ. Обычно сначала выясняется IP- адрес узла, в который можно проникнуть, а потом используется анализатор пакетов для перехвата имен и паролей пользователей. Посредством сканирования портов нарушитель может искать уязвимые сервисы Internet, позволяющие удаленный доступ.
Для получения первичного или даже привилегированного доступа нарушитель может использовать психологические методы. Психология открывает путь к преодолению аппаратной защиты через получение нужной информации от того, кому она известна (здесь имеются в виду как имена и пароли пользователей, так и другие данные, важные для получения удаленного доступа).
Нарушитель может пытаться получить доступ к сети, используя удаленный доступ и “звонилки” — программы, упрощающие процедуру набора телефонных номеров в заданном диапазоне с целью обнаружения портов данных, присоединенных к модемам.
Наконец, нарушитель может работать и внутри организации, будучи легальным пользователем се сети. Такой нарушитель может использовать свое служебное положение или доверие другого сотрудника. Поскольку внутренний пользователь имеет привилегии легального пользователя системы, он находится внутри области, ограниченной брандмауэром, а потому имеет возможность практически свободного исследования внутренней сети.
Преодоление парольной защиты
Разнообразие атак на систему парольной защиты повышает шансы нарушителя получить удаленный доступ. Зная учетное имя одного из легальных пользователей сети, он может попытаться угадать пароль этого пользователя путем простого перебора вариантов (в надежде, что пользователь создал легко угадываемый пароль). Безопаснее всего получить доступ к узлу сети через “парадную дверь”, т.е. с помощью общей для всех процедуры входа в сеть (login). Поэтому нарушитель предпочтет найти пароль, который позволит получить первичный доступ.
Пересылаемые в виде открытого текста имена и пароли пользователей нарушитель может захватить с помощью анализатора пакетов. Можно также попытаться получить файл всех паролей, например /etc/passwd в UNIX или улей SAM (Security Account Manager — администратор учетных данных системы защиты) в Windows NT, чтобы затем попробовать выяснить пароли с помощью утилиты взлома паролей. Эта утилита на самом деле не “взламывает” пароли, а просто угадывает их, используя компьютерную мощь для сравнения хэш-кодов паролей. Утилиты взлома паролей широко доступны как для UNIX, так и для NT. Нарушитель затем использует найденные имена и пароли для получения доверительного доступа к соответствующему компьютеру сети.
Защититься от атак парольной защиты можно с помощью последовательно проводимой политики выбора трудноугадываемых и труднораскрываемых паролей, которые должны содержать символы, отличные от букв и цифр, а также символы обоих регистров. Пересылка паролей через незащищенные сети должна осуществляться только в зашифрованном виде, а файлы паролей должны тщательно охраняться от возможности удаленного доступа к ним.
Получение доверительного или привилегированного доступа
Надежный компьютер — это компьютер, над которым вы имеете административный контроль или в отношении которого вы сознательно принимаете решение о том, что ему можно “доверять" доступ к вашей сети.
Получив доступ к компьютеру сети, нарушитель попытается перейти на более привилегированный уровень или использует доверительные отношения между компьютерами, чтобы получить доступ к другим узлам сети. Целью получения доступа с более высоким уровнем привилегий является достижение привилегий корневого уровня или администратора узла, не имея привилегированной учетной записи. Чтобы получить доступ к другим узлам, противник может имитировать обладающего доверием пользователя (используя его имя и пароль) или надежный узел.
В системах UNIX чаще всего применяются команды, использующие возможности надежных узлов, — rlogin, rsh и гср.
Для получения несанкционированного доступа к корневому уровню нарушители могут также воспользоваться недостатками защиты операционной системы.
Получение повторного доступа
После получения первичного доступа нарушитель может попытаться обеспечить себе тайную возможность для повторных обращений к узлу, уничтожив все признаки своего вторжения, чтобы позже вернуться и использовать “взломанный” узел в качестве трамплина для достижения других целей. Чтобы “замести следы” несанкционированного доступа, нарушитель может пытаться выполнить следующее:
удалить соответствующие записи журналов трассировки удаленного доступа;
переместить файлы с данными аудита в каталог /trap, содержимое которого в конечном счете уничтожается;
установить анализатор пакетов, чтобы иметь возможность наблюдать за сетевым трафиком;
создать для себя “черный ход”, добавив подходящие имена и пароли пользователей или установив программу “троянского коня” (например, rootkit или BackOrifice).
Уязвимость сервисов удаленного доступа
Многие IP-приложения и сервисы могут сделать узлы и сетевые устройства весьма уязвимыми в отношении атак удаленного доступа. Эти приложения разрабатывались с тем, чтобы упростить, а нс защитить соответствующие возможности связи. Часть сервисов почти (или совсем) не имеет встроенных средств аутентификации, с помощью которых можно было бы гарантировать, что удаленный пользователь имеет право доступа к сети. Неиспользуемые сервисы удаленного доступа к узлам сети и сетевому оборудованию необходимо отключить.
| Таблица 1.| Таблица 1.В табл. 1.3 представлен ряд уязвимых сервисов IP, с указанием типа сервиса и кратким описанием характера уязвимости.
| Таблица 1.
| Таблица 1.
3. Приложения и сервисы IP, уязвимые в отношении атак .^даленнр1х1 доступа■ \•
ТипХарактер уязвимости
Команды г (BSD) При аутентификации удаленного доступа с помощью команд г проверяется только адрес источника (который легко фальсифицировать с целью получения полного доступа к удаленным узлам, использующим этот сервис)
FTPАнонимный доступ FTP позволяет нарушителям читать и, возможно, записывать файлы
в узле сети. Не используйте этот протокол без особой надобности и обязательно контролируйте возможность записи
Тип
Характер уязвимости
finger
Сервис finger используется для получения информации о пользователях, что может оказаться первым шагом к выяснению их учетных имен
NFS
Позволяет доступ к файлам удаленной системы. Имеет слабые средства аутентификации запросов (IP-адрес источника, который легко фальсифицировать)
Telnet
Предоставляет пользователю возможность удаленного доступа к командному процессору в открытом (незашифрованном) виде. Контролируется простым механизмом аутентификации (по имени пользователя и паролю), который легко обмануть
TFTP
При доступе TFTP нарушители могут беспрепятственно перемещать файлы ввиду отсутствия механизма аутентификации
SMTP, POP, MIME,
Нарушители могут манипулировать средой sendmail с целью получения привилегий
sendmail
корневого уровня
Серверы Web, HTTP
Слабые точки защиты связаны с ошибками в программном обеспечении серверов, неправильной конфигурацией и незащищенностью операционных систем. Аплеты Java, JavaScript и ActiveX могут действовать, как вирусы или “троянские кони"
Уязвимость приложений удаленного доступа
Многие программы, используемые для связи в Internet, были написаны на языке С. Для значений переменных эти программы используют буферы (области рабочей памяти фиксированной длины). Нарушитель, знающий язык С, может сознательно пытаться превысить фиксированную длину буфера программы, чтобы вызвать переполнение буфера и в конечном итоге получить несанкционированный доступ к выбранному им узлу. Вероятно, самым известным примером использования ошибки переполнения буфера является “червь” Morris Worm, распространявшийся в Internet в 1988 году. Переполнение буфера не учитывается программистами довольно часто. От переполнения буфера можно защититься с помощью установки самых последних версий программного обеспечения и соответствующих “заплат”, информацию о которых можно получить на Web-страницах консультативных центров производителей программного обеспечения. .
Нарушители защиты сети могут пытаться получить удаленный доступ, используя недостатки операционной системы. Каждая операционная система имеет свои недостатки защиты, и нарушитель может использовать их для получения несанкционированного доступа. Следует регулярно просматривать Web-страницы сетевых консультативных служб и производителей программного обеспечения, чтобы знать, какие версии операционных систем являются наиболее защищенными, и устанавливать именно их.
Враждебные действия при несанкционированном доступе
После получения доступа к компьютерам сети нарушители могут использовать узлы сети в своих целях. Они могут без разрешения размещать в узлах файлы и другие объекты, чтобы открыть свободный доступ к системе. Давайте рассмотрим примеры несанкционированного размещения файлов.
Файлы изображений. Несанкционированное использование компьютера для создания библиотеки изображений в формате GIF и других электронных форматах. Изменение содержимого Web-узла, в частности имеющихся на нем файлов изображений GIF.
Хакерские средства. Несанкционированное использование компьютера для хранения, тестирования и распространения программных средств, предназначен-
ных для сетевого вторжения. (Так эти средства становятся широко доступными большим группам нарушителей сетевой защиты.)
Программы для бесплатного распространения без лицензии. Для обозначения несанкционированного распространения программного обеспечения используется термин WareZ.
Методы противодействия атакам удаленного доступа
Для противодействия атакам удаленного доступа разработан ряд мер. Можно использовать маршрутизатор периметра Cisco, чтобы позволить доступ только к тем адресатам в Internet, которые укажете вы. Кроме того, можно применять средства Cisco IOS, ограничивающие доступ к сервисам удаленного доступа, контролировать доступ пользователей к сети, фильтровать поток данных на основе адресов источника и адресата, протокола или порта или же использовать защиту типа замка (Lock and Key). Защита типа замка связывает списки управления доступом с механизмом запросов/ответов, идентифицирующим пользователей при попытках доступа к корпоративной или территориальной сети. В рамках периметра сети с помощью брандмауэра CiscoSecure FIX Firewall можно создать вторую линию защиты, ограничивающую доступ к внутренним узлам. Маршрутизаторы Cisco и брандмауэр FIX Firewall могут взаимодействовать с сервером управления доступом (CiscoSecure ACS), контролирующим доступ с учетом имени и пароля пользователя, а также идентификатора запрошенного сервиса. В узлах сети можно просто отключить ненужные сервисы, установить программы удаленного доступа с усиленной защитой, проверить, что операционные системы и серверы имеют правильную конфигурацию, их версии являются самыми последними и установлены все обновления и “заплаты", а также предпринять иные меры, препятствующие проведению атак удаленного доступа. Кроме того, можно использовать систему обнаружения вторжений (CiscoSecure IDS), которая сканирует сетевой поток на предмет наличия сигнатур атак удаленного доступа и выводит предупреждающие сообщения при выявлении признаков атаки.
Методы противодействия атакам удаленного доступа представлены в табл. 1.4.
ра6лица1^|^е^ |||^врдайств^,ата1^' "А
Тип атаки Методы противодействия
Первичный доступ
Сокращение числа точек доступа к сети, контроль и пресечение попыток несанкционированного удаленного доступа к сети внутренними пользователями.
Использование сервера ААА (аутентификации, авторизации и аудита) для управления привилегиями удаленного доступа, именами и паролями пользователей (например, в рамках сервера CiscoSecure ACS).
Использование более защищенного протокола удаленного доступа (например, PPP, CHAP или MS-CHAP).
Ограничение использования командной процедуры входа в сеть, требующей только пароль, или отказ от ее использования вообще.
Применение средств “Lock and Key” системы защиты Cisco IOS
Парольные атаки
Проведение политики выбора трудноугадываемых и труднораскрываемых паролей.
Выполнение программ взлома паролей на уровне администратора для выявления слабых паролей.
Использование ограничений времени, заставляющих пользователей часто менять пароли
Доверительный доступ
Усиленная защита доступа к корневому уровню или уровню администратора. Мониторинг и контрольдоверительных отношений
Тип атаки
Методы противодействия
Повторный доступ
Сканирование системы на предмет появления вирусов и “троянских коней” (с помощью которых могут создаваться лазейки в системе).
Сканирование запросов на открытие портов от узлов, с которых такие запросы не ожидаются (что может быть признаком присутствия “троянского коня”).
Установка и использование программ проверки целостности файлов, обнаруживающих несанкционированные изменения в структуре каталогов.
Применение шифрования для защиты данных на жестких дисках узлов
Сервисы удаленного доступа
Запрет использования всех ненужных сервисов и команд.
Проверка защищенности доверительных отношений между узлами.
Установка защищенных версий программ, предлагающих сервисы Internet (в частности, установка самых последних версий серверов Web, электронной почты и FTP).
Замена значений конфигурации, установленных по умолчанию (например, замена разрешения "чтение/запись для всех пользователей” на значение, которое определите вы)
Блокирование сервиса
Блокирование сервиса означает попытку нарушить или прекратить работу сети, всей системы или отдельных сервисов, в результате чего отказ на запрос соответствующих сетевых услуг получат и легальные пользователи. Нарушители сетевой защиты порой демонстрируют бессмысленное создание помех (ради удовольствия) в использовании общедоступных сервисов, что очень напоминает акт вандализма. Кроме того, атаки блокирования сервиса используются и для проверки уязвимости системы, и как прелюдия к дальнейшим атакам, и как средство сокрытия следов несанкционированного доступа, и просто в отместку. Протокол IP весьма уязвим в отношении атак блокирования сервиса, поэтому существует множество типов таких атак, тем более что они реализуются так же просто, как сравнительно просто реализуются акты вандализма. Атаки блокирования сервиса могут быть направлены против маршрутизатора периметра, бастионного узла или брандмауэра, как показано на рис. 1.5.
Перегрузка ресурса
Блокирование сервиса в результате перегрузки ресурса является попыткой создания такой нагрузки на выбранные для атаки узлы и сетевое оборудование, в результате чего они становятся недоступными для легальных пользователей или перестают работать вообще. К примерам попыток перегрузки ресурсов относятся выход за рамки допустимых параметров интерфейса, переполнение внутренней оперативной памяти (буфера), достижение предела возможностей процессора или переполнение дискового пространства.
В табл. 1.5 для соответствующих типов атак указан список средств, используемых для их проведения, и описаны некоторые контрмеры, применяемые для противодействия таким атакам.
Выход за рамки ограничений для данных
Атаки выхода за рамки ограничений для данных являются контекстно-зависимыми в том смысле, что они основаны на манипуляции данными заголовка IP (TCP или UDP) с целью нарушения нормальной работы протокола IP. В результате соответствующий узел или сетевое оборудование отказываются работать.
В табл. 1.6 представлен список средств, используемых для проведения таких типов атак, и описаны некоторые контрмеры, применяемые для противодействия таким атакам.
узелузелРис. 1.5. Точки проведения атак блокирования сервисаРис. 1.5. Точки проведения атак блокирования сервиса
узел
узел
Рис. 1.5. Точки проведения атак блокирования сервиса
Рис. 1.5. Точки проведения атак блокирования сервиса
Таблица 1 .5. Атаки перегрузки ресурсов t^y
ЙЖДЖЯ
Тип атакиСредства атаки Описание
Контрмеры
Лавина ping
pingflood, с, smurf.с, fraggle, с, papasmurf.с
pingflood.с посылает атакуемому узлу большое число запросов ICMP Echo Request (запрос отклика ICMP).
smurf посылает большое число запросов ICMP Echo Request по широковещательному адресу, указывая в качестве адреса отправителя адрес "узла-жертвы". Когда пакет с запросом отклика достигает сети назначения, все узлы сети посылают пакеты ICMP Echo Reply (ответ на запрос отклика ICMP) по фальсифицированному адресу. При этом каждый запрос порождает множество ответов. Генерируемый поток сообщений в адрес соответствующего узла создает перегрузку вычислительных ресурсов и может вызвать прекращение работы всей системы, fraggle является версией smurf, использующей протокол UDP
Запрет генерирования ответов на пакеты ICMP Echo Request в маршрутизаторах периметра. Отключение возможностей широковещания во всех внутренних и внешних маршрутизаторах. Запрет обработки поступающих пакетов ICMP Echo Reply в маршрутизаторах периметра
Тип атаки
Средства атаки
Описание
Контрмеры
Лавина SYN (синхронная атака или атака полуоткрытых соединений)
Пакетный шторм
neptune, с, synk4.с
chargen, PepsiS.c,
“бомба” UDP
Инициализация большого числа ТСР- соединений с некоторым портом без завершения процесса инициализации, в результате чего легальные пользователи не имеют возможности открыть новое соединение.
chargen работает с портом 19, генерируя бесконечный поток ASCII-символов проверки. Поток пакетов UDP с фальсифицированным IP-адресом источника посылается по широковещательному адресу подсети с портом назначения 19. Соответствующий узел подсети отвечает на все широковещательные сообщения, в результате чего возникает лавина пакетов UDP в бесконечном цикле, что приводит к отказу в обслуживании. Эта атака имеет множество вариантов.
PepsiS.c “заваливает" цель пакетами UDP, содержащими случайные адреса .узлов источника.
"Бомба" UDP формирует пакеты с некорректным значением поля длины в заголовке пакета, что в некоторых узлах вызывает "панику" ядра (т.е. регистрируемую ядром системы внутреннюю ошибку, которую система считает достаточно серьезной для того, чтобы об этом заявить и прекратить работу)
Использование средств TCP-перехвата, предлагаемых программным обеспечением Cisco IOS. Использование системы защиты от атак SYN, предлагаемой брандмауэром CiscoSecure PIX Firewall.
Использование системы обнаружения вторжений Отключение chargen и службы отклика на всех машинах.
Использование системы защиты от атак SYN, предлагаемой брандмауэром CiscoSecure PIX Firewall.
Установка обновлений операционной системы
.Атаки выход;
а за рамки ограничений для да!
иных .
Тип атаки
Средства атаки
Описание
Контрмеры
Пакеты больших размеров
simping.с
Создание IP-заголовка, в котором в поле длины указано значение, превышающее реальную длину данных, или отправка сообщения, превышающего максимально допустимый размер (65535 байт), что приводит к краху принимающей системы
фильтрация большого (по объему) или фрагментированного трафика ICMP. Соответствующие атаки обнаруживаются с помощью системных средств обнаружения вторжений Cisco
Тип атаки
Средства атаки
Описание
Контрмеры
Пакеты
с перекрытием
winnuke.с
Отправка данных (выходящих за рамки ограничений) по установленному соединению с хостом, управляемым Windows 95 или Windows NT (как правило, по интерфейсу NetBIOS, порт 137), что вызывает перезагрузку или прекращение работы узла
Отключение NetBIOS, если это возможно. Установка обновлений операционной системы (сервисных пакетов) в соответствии с рекомендациями CERT
Фрагментация
teardrop.с
Использование того факта, что в некоторых реализациях TCP/IP при восстановлении сообщения из фрагментов неправильная обработка перекрывающихся фрагментов IP вызывает переполнение буфера памяти
Запрет обработки входящих фрагментированных пакетов IP в маршрутизаторе периметра.
Установка обновлений операционной системы в соответствии с рекомендациями CERT
Имитация IP-адреса источника
land.с
Попытка заставить компьютер создать TCP-соединение с собой, что должно привести к зацикливанию и перезагрузке
Фильтрация пакетов с фальсифицированными IP-адресами в устройствах периметра и хостах. Установка обновлений операционной системы в соответствии с рекомендациями CERT
Некорректные заголовки пакетов
"Бомба" UDP
Создание пакетов UDP с некорректными значениями поля длины в заголовке пакета, что в некоторых узлах вызывает панику ядра
Установка обновлений операционной системы в соответствии с рекомендациями CERT
Другие атаки блокирования сервиса
К сожалению, в IP-сетях для атак блокирования сервиса имеется немало других возможностей. В частности, при атаке можно использовать уязвимость сервисов и аппаратных средств, не обязательно связанных с TCP/IP. В конечном счете легальные пользователи все равно лишаются возможности доступа к соответствующему сервису ввиду нехватки ресурсов системы. Вот еще несколько примеров угрозы блокирования сервиса.
Распределенное блокирование сервиса. Означает использование множества систем для координированных атак против Web-узла или хоста. Более подробная информация содержится в документе Strategies to Protect Against Distributed Denial of Service (DDoS) Attacks (Стратегии защиты от атак распределенного блокирования сервиса), доступном по адресу: www.cisco.com/warp/public/707/newsflash.html.
Почтовые бомбы. Многие бесплатные программы осуществляют массовую рассылку электронной почты индивидуальным лицам, спискам и доменам, по сути, захватывая службу электронной почты в монопольное пользование.
Захват процессора. Вирус или программы типа “троянского коня”, которые приводят либо к зацикливанию в работе процессора или памяти, либо к захвату дру-
гих ресурсов компьютера, в результате чего легальные пользователи тоже не смогут получить доступ к ресурсам.
Вредоносные аплеты. Программы Java, JavaScript или ActiveX, которые могут работать, как “троянские кони” или вирусы, выполняя деструктивные функции или связывая компьютерные ресурсы.
Перенаправление трафика. Блокирование трафика путем изменения параметров маршрутизаторов и направления потока данных по неверному маршруту.
Случайные блокирования сервиса. Легальные пользователи и администраторы системы могут вызвать блокирование сервиса случайно, в результате выбора неправильной конфигурации или неправильного использования ресурсов.
Переполнение буфера. Информационный сервер Internet (IIS) версии 4.0 фирмы Microsoft весьма чувствителен к ошибкам переполнения буфера, которые приводят к отказу в работе этого сервера. Такие проблемы могут быть решены с помощью установки обновлений или сервисных пакетов.
Действия CGI (Common Gateway Interface — общий шлюзовой интерфейс). Некоторые Web-броузеры разглашают важную информацию, если в конце адреса URL, ссылающегося на включаемый файл серверной стороны, будут обнаружены определенные символы. При этом нарушитель, использующий удаленный доступ, получает возможность восстановить исходный текст этого файла и раскрыть частную информацию, защищенный авторским правом исходный текст, а иногда имена пользователей и пароли, используемые для входа в базы данных.
Серверные блокирования сервиса. Microsoft NT Server версии 4.0 (с установленным Service Pack 3 или Service Pack 4) перезагружается или “зависает" (в зависимости от объема памяти, имеющейся в распоряжении сервера), если в ходе сеанса Telnet определенный порт получит достаточно длинную строку символов, завершающуюся командой выполнения.
Методы противодействия атакам блокирования сервиса
Программное обеспечение CiscoSecure Integrated Software в маршрутизаторах Cisco и брандмауэрах PIX Firewall использует мощную технологию, которая обеспечивает представленные ниже возможности защиты от атак блокирования сервиса и сводит к минимуму их отрицательные последствия.
Средства СВАС (Context-Based Access Control — управление доступом на основе контекста) используются для выявления признаков атак блокирования сервиса и защиты от них (например, для защиты от атак SYN).
Запрет использования Java в брандмауэре PIX Firewall позволяет фильтровать аплеты Java.
Средства TCP-перехвата, предлагаемые программным обеспечением Cisco IOS Software, помогают обнаружить и контролировать атаки SYN.
Правильный выбор версии Cisco IOS является гарантией решения известных проблем защиты.
С помощью следующих средств можно уменьшить ущерб, наносимый системе атаками блокирования сервиса.
Средства аудита; записывается подробная информация о транзакциях, включая метки времени, адреса источника и назначения, номера портов, длительность связи и объем переданных данных.
Система извещений; в реальном масштабе времени сообщается о выявлении признаков атак блокирования сервиса и других заданных конфигурацией событиях.
Подтасовка данных
Нарушитель может захватить пересылаемые по коммуникационному каналу данные, изменить их и воспроизвести повторно. Подтасовка данных именуется также имитацией, что подразумевает фальсификацию IP-адреса, повторное воспроизведение сообщений с целью захвата сеанса связи, изменение параметров маршрутизации и содержимого передаваемых сообщений. К подтасовке данных относят и граффити — своего рода вандализм в отношении Web-узла, заключающийся в изменении содержимого Web-страниц. Атаки подтасовки данных оказываются возможными вследствие уязвимости протокола IP, соответствующих сервисов и приложений. Атаки подтасовки данных называют также атаками посредника, поскольку обычно они предполагают внедрение в линию связи между двумя узлами, использующее уязвимость сеанса TCP/IP.
Возможности реализации атак подтасовки данных показаны на рис. 1.6.
Нарушитель, перехватывающий и изменяющий данные сеанса связи
Рис. 1.6. Реализация атаки подтасовки данных
Фальсификация IP-адресов
Нарушитель может фальсифицировать IP-адрес с целью имитации узла, которому разрешен доступ к приложениям и сервисам, выполняющим аутентификацию запросов на основе проверки адресов. С помощью фальсификации IP-адреса внешний нарушитель пытается представиться заслуживающим доверия узлом, находящимся внутри или вне сети. Для фальсификации выбирается IP-адрес из диапазона IP-адресов, используемых внутри сети, или же авторизованный внешний IP-адрес, которому вы доверяете и которому разрешается доступ к определенным ресурсам вашей сети.
Фальсификация адреса обычно предполагает манипуляцию данными пакетов TCP/IP, в результате чего нарушитель получает возможность выступать от имени другого узла. Например, нарушитель может фальсифицировать IP-адрес и представить себя в качестве легального пользователя, чтобы получить привилегии доступа более высокого уровня. Фальсификация адреса называется также маскировкой.
При попытке обойти механизм аутентификации, основанный на проверке адресов, противник может указать для пакета произвольный адрес источника. Наибольший эффект достигается в случае, когда в качестве адреса источника внешний нарушитель может указать адрес внутреннего узла, находящегося за маршрутизатором периметра или брандмауэром.
Обычно при атаках фальсификации IP-адреса нарушитель ограничивается внедрением данных и команд в существующий поток обмена между клиентом и сервером или равноправными сторонами.
Противник, использующий фальсификацию IP-адресов, может обойти механизмы аутентификации, а при недостаточно квалифицированной их реализации может разрушить и фильтры на фильтрующих маршрутизаторах.
Контрмерой против атак фальсификации IP-адресов является фильтрация пакетов, приходящих извне, а объявляющих себя пришедшими из самой сети. Соответствующие фильтры устанавливаются в маршрутизаторе периметра, но соответствующие атаки обнаруживаются системой обнаружения вторжений CiscoSecure IDS.
Воспроизведение и захват сеанса связи
Воспроизведение сеанса связи. Нарушитель перехватывает ряд пакетов или команд приложения, изменяет полученные данные (например, меняет значение суммы в долларах, указанной в транзакции), а затем воспроизводит пакеты с целью выполнения несанкционированных действий. При атаке воспроизведения сеанса связи используется несовершенство средств аутентификации потока данных.
Захват сеанса связи. Нарушитель захватывает управление уже установленным соединением IP, пересылая по нему фальсифицированные пакеты данных IP. Методы захвата сеанса связи предполагают фальсификацию IP-адресов, манипуляцию адресами источника и/или адресата, а также прогнозирование и изменение порядковых номеров пакетов. В этом случае нарушитель использует анализатор протокола или соответствующую утилиту для наблюдения за пакетами, изменения порядковых номеров и ретрансляции пакетов TCP/IP.
В одной из документированных записей атаки захвата сеанса связи использовались средства перенаправления вывода Xterminal на терминал нарушителя, вместо исходного терминала назначения.
Одним из видов атаки воспроизведения сеанса связи является применение JavaScript для создания бреши в Hotmail и других системах электронной почты Web. Такая брешь позволяет хакеру создать сообщение электронной почты с фальсифицированным адресом и направить его на компьютер другого лица. Пользователь, заинтересовавшись “невинной” на вид Web-страницей, в которую хакер вложил наносящий вред программный код JavaScript, подвергается атаке.
Атаки воспроизведения и захвата сеанса связи могут реализовать только квалифицированные программисты, поэтому документально подтвержденных случаев проведения таких атак немного. Одним из средств проведения атак захвата сеанса связи является программа hunt-1.0, выполняемая в системах Linux.
Теперь давайте рассмотрим контрмеры, используемые для защиты против указанных атак.
Использование настроек Web-броузера, которые запрещают загрузку аплетов вообще или заставляют запрашивать разрешение на выполнение мобильного программного кода.
Блокирование корпоративного доступа к общедоступным узлам электронной почты, что снижает риск разглашения конфиденциальных данных и заражения внутренних узлов сети вирусами.
Применение средств управления доступом в устройствах периметра сети.
Использование средств аутентификации, таких как CiscoSecure TACACS+, RADIUS или SSL.
Применение технологий шифрования для защиты целостности и конфиденциальности данных.
Использование таких средств защиты от искажения информации, как цифровые подписи, предлагаемые уполномоченными центрами сертификации.
Изменение маршрутизации
Сетевой нарушитель может изменить параметры маршрутизации, получив несанкционированный доступ к маршрутизатору и изменив его конфигурацию или фальсифицировав идентификационные данные маршрутизаторов и хостов по некоторому маршруту. Изменение маршрутизации может позволить удаленному узлу выступать в качестве локального узла сети. В результате могут быть скомпрометированы сервисы, средства аутентификации которых опираются на проверку IP-адресов.
Контрмеры против атак изменения параметров маршрутизации включают ограничение доступа к маршрутизаторам, фильтрацию пакетов, маршруты которых задаются источниками, использование средств аутентификации маршрутов, предлагаемых программным обеспечением Cisco IOS Software, и отключение возможности маршрутизации от источника (во всех узлах). Соответствующие атаки выявляются системой обнаружения вторжений CiscoSecure IDS.
Отречение
Если стороны, участвующие в обмене финансовыми данными, смогут в дальнейшем отрицать свою причастность к конкретной транзакции, риск электронных сделок и соглашений будет слишком высок, а третья сторона (арбитр) не сможет доказать, что связь между двумя другими сторонами имела место. С точки зрения права на тайну переписки такая ситуация была бы желательной, если вы не хотите, чтобы ваши связи можно было отследить. Невозможность отречения, наоборот, позволяет третьей стороне доказать, что связь между двумя другими сторонами устанавливалась. При этом у обеих сторон имеется возможность отслеживать свои связи и при необходимости доказать, что они действительно имели место.
Возможность защиты
Как могут компании эффективно защитить свои сети от атак нарушителей защиты? Решения, соответствующие любому необходимому уровню безопасности, предлагаются Cisco и другими производителями.
Правильно выбранное решение проблемы защиты уменьшит уязвимость сети и тем самым сэкономит средства компании. Правильное решение должно также минимизировать общие расходы компании на внедрение и эксплуатацию средств сетевой защиты.
Кроме того, правильное решение проблемы защиты может обеспечить возможность использования приложений электронной коммерции и межсетевых приложений, которые обеспечивали более тесные связи с поставщиками и партнерами, но ранее считались потенциально опасными из-за недостаточной надежности защиты.
Защита должна быть главным элементом организации сети. Хорошее решение проблемы защиты дает вам следующее:
сокращает издержки внедрения и эксплуатации средств сетевой защиты;
открывает возможность использования новых сетевых приложений и услуг;
превращает Internet в недорогое средство глобальных коммуникаций.
Резюме
В этой главе обосновывается необходимость защиты сети. Данный раздел содержит краткое описание рассмотренных главе вопросов.
Разнообразие и распространенность угроз усложняет проблему защиты и делает практически невозможной выработку единообразных рекомендаций по реализации интегрированной сетевой защиты.
Существует три главные причины возникновения проблем защиты: недостатки технологии, конфигурации и политики.
Нарушители сетевой зашиты имеют ряд побуждающих мотивов для попыток преодоления защиты сетей; для этого в их арсенале имеются самые разнообразные средства.
Спектр средств сетевого нарушителя включает анализаторы протоколов и сканеры сети, а также специальные средства, разрабатываемые нарушителями для проведения конкретных типов атак.
Разведка является попыткой получения дополнительной информации о сети и сетевом оборудовании с целью проведения последующих атак.
Несанкционированный доступ представляет собой попытку нарушителя получить доступ к сетевым ресурсам без разрешения. К таким попыткам относят получение первичного доступа, привилегированного доступа и повторного доступа.
Блокирование сервиса подобно вандализму; цель нарушителя — создание помех в получении сетевых услуг и доступа к ним для законных пользователей.
Подтасовка данных является попыткой перехвата и изменения потока данных между узлами, использующими TCP/IP.
Для каждого вида сетевого вторжения имеются свои контрмеры, которые позволят не допустить проведения соответствующих атак или, по крайней мере, свести к минимуму их отрицательные последствия.
Эффективные решения проблемы защиты, реализованные администраторами систем и сетевыми инженерами, позволяют снизить затраты на обеспечение требуемого уровня безопасности, использовать новые сетевые приложения и услуги, а также обеспечить организации конкурентное преимущество.
Контрольные вопросы
Ответьте на следующие вопросы, чтобы проверить свои знания в области оценки угроз сетевой безопасности.
В чем проблема безопасности сетей, стоящая перед бизнесом сегодня?
Перечислите пять главных факторов возрастания важности защиты сетей.
Каковы три главные причины возникновения проблем защиты сетей?
Какие недостатки может иметь политика защиты?
Кто обычно выступает в роли внутренних нарушителей защиты сети?
Как проводятся атаки разведки с помощью сетевого анализатора пакетов?
Опишите стадии несанкционированного доступа.
Почему так распространены атаки блокирования сервиса?
Какой тип атак подтасовки данных является наиболее распространенным?
Какую пользу могут принести организации сетевые инженеры и системные администраторы, имеющие соответствующую подготовку в области сетевой защиты?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Защита сетей и бизнес
Bernstein Т., Bismani A., Schultz Е. and Siegel С. Internet Security for Business. Wiley Computer Publishing, 1996. Обсуждаются вопросы планирования и реализации сетевой защиты.
Chapman D., Cooper S. and Zwicky E. Building Internet Firewalls. Second Edition, O'Reilly and Associates Publishing, 2000. Рассматриваются вопросы построения брандмауэров и описываются точки уязвимости сетевой защиты.
Хакеры и их средства
Anonymous. Maximum Security: A Hacker's Guide to Protecting Your Internet Site and Network. Second Edition, Sams.net Publishing, 1998. Описываются хакерские возможности с точки зрения хакера.
AntiOnline. Всеобъемлющий, посвященный средствам безопасности узел, на котором имеются хакерские средства (www.antionline.com).
McClure S., Scambray J., et al. Hacking Exposed: Network Security Secrets and Solutions. McGraw-Hill, 1999. Описываются методы хакеров и меры противодействия им.
Root Shell. Узел, содержащий информацию о проблемах защиты и предлагающий хакерские средства (www.rootshell.com).
Shimomura Т. and Markoff J. Takedown: The Pursuit and Capture of Kevin Mitnick, America's Most Wanted Computer Outlaw — By the Man Who Did It. Hyperion Books, 1996. Описывается драма хакера из реальной жизни.
Ежеквартальный хакерский журнал, содержащий описания хакерских приемов и проблем защиты (www.2600.com).
LOpht. "The top US hackers hang out at the LOpht. But why can’t they spelP." журнал spews.net, декабрь 1995 г., доступен по адресу: www.lOpht.com.
Web-узлы, посвященные вопросам безопасности
Координационный центр группы компьютерной “скорой помощи” (CERT) предлагает ответы на вопросы об инцидентах, уязвимости и возможностях обучения; доступен по адресу: www.cert.org.
Microsoft Security. Официальная, посвященная вопросам безопасности страница Мicrosoft (и'Н'и'.microsoft.com/security/default.asp).
NT Bugtraq. Список почтовой рассылки по вопросам проблем защиты Windows NT и соответствующих контрмер; доступен по адресу: www.ntbugtraq.com.
SANS Institute (System Administration, Networking, and security Institute — Институт системной администрации, сетей и сетевой защиты). Организация, которая проводит совместные исследования и обучает персонал. Соответствующий почтовый список доступен по адресу: www.sans.org.
SecurityFocus.com. Web-узел, предназначенный для обсуждения связанных с безопасностью тем, формирования компетентного представления о проблемах защиты и поддержки широкодоступной и всеобъемлющей (самой большой в Internet) базы данных, охватывающей широкий спектр касающихся безопасности знаний и соответствующих ресурсов. Поддерживает также популярный список рассылки Bugtraq. Этот узел имеет адрес: www.securityfocus.com.
Консультативная служба компьютерных сбоев (CIAC) Министерства энергетики США. Обеспечивает бесплатный сервис компьютерной защиты для служащих и подрядчиков Министерства энергетики; доступна по адресу: ciac.llnl.gov.
Обзоры и отчеты, посвященные вопросам безопасности
Information Systems Security Survey. Краткое изложение отчета WarRoom Research LLC, доступное по адресу: www.warroomresearch.com/researchcollabor/infosecuritysurvey.htm.
Annual Global Information Security Survey, Ernst & Young and Computerworld, доступен по адресу: www.ey.com/aabs/isaas.
Описания сетевых вторжений
Cheswick В. An Evening with Berferd in Which a Cracker Is Lured, Endured, and Studied. Хроника атак взломщика в записи Б. Чезвика из AT&T. Может быть найдена на Web- узле COAST Университета Пэдью (www.cs.purdue.edu/coast/archive/data/categ40.html).
Farmer D. and Venema W. Improving the Security of Your Site by Breaking Into It. В этой статье вопросы безопасности рассмотрены с точки зрения потенциального нарушителя и показано, что даже безобидные на первый взгляд сетевые сервисы могут стать ценным средством поиска слабых мест системы. Статью можно найти на Web-узле Advanced Laboratory Workstation System {www.alw.nih.gov/Security/Docs/ admin-guide-to-cracking. 101.html).
Изучив материал этой £тавы, вы сможете выполнить следующие задачи
Сформулировать цели политики сетевой защитит*
Определить составляюшие политики сетевой защиты. -
Наметитьйути реализации политики сетевой защиты. ж
Оценим политику защиты сети компании XYZ. - #i
Глава
2
Оценка политики защиты
В этой главе описывается процесс оценки политики защиты сети корпоративного > предприятия. Рассматриваются экономические вопросы защиты сети и подчеркивается, что оптимальная защита должна предполагать равновесие между требуемым уровнем зашиты и удобством работы пользователя. Здесь же приведены основные характеристики ключевых компонентов политики сетевой защиты.
»? В главе описывается исследование проблем зашиты сетей, проведенное компанией ? Cisco. В ходе исследования был выполнен анализ приоритетов планирования систем к|»';' сетевой защиты и применения соответствующих средств достаточно большого числа if: компаний. В результате все изученные компании были разделены на три группы: с U открытой, ограничивающей и закрытой политикой защиты.
V, Глава ссылается на приложение Б, “Пример политики защиты сети компании vXYZ”, и включает контрольные вопросы, призванные помочь проанализировать предлагаемый пример политики защиты. Завершается глава обсуждением необходимости тестирования системы защиты сети с помощью средств аудита.
Важность защиты сети
При анализе политики зашиты сети и средств реализации ее директив, необходимо выяснить стоимость ее реализации и поддержки, а затем сравнить планируемые расходы с потенциальными преимуществами, получаемыми в результате внедрения такой политики. Нужно оценить объем ресурсов, как человеческих, так и денежных, необходимых для реализации политики защиты, и сравнить их с риском нарушения системы защиты, как схематически показано на рис. 2.1. Инвестиции в дело защиты сети должны быть оправданы в сравнении с потенциальными экономическими потерями из-за возможных брешей в системе защиты.
Вот некоторые рекомендации, которые могут оказаться полезными для оценки стоимости и преимуществ политики сетевой защиты.
’• Определите стоимость каждого элемента системы управления защитой сети и
. затраты на его обслуживание. Жизненный цикл большинства компьютерных аппаратных компонентов составляет от трех до пяти лет.
» • Оцените экономию от снижения потерь в результате внедрения соответствующих & ■ средств управления защитой.
у X • Оцените максимум возможных потерь в случае отказа от средств управления ■ защитой.
Рис. 2.1. Сравнение потерь от нарушений защиты с затратами на построение и содержание системы защиты
Определите объем сэкономленных средств за все время использования средств управления защитой.
Определите выгоду от применения средств управления зашитой.
Выясните, какие средства управления зашитой оказываются для вас наиболее выгодными и экономичными.
Процесс оценки состояния защиты
Специалисты Cisco разработали цикл зашиты (соответствующая диаграмма показана на рис. 2.2), чтобы формализовать процесс внедрения и использования средств защиты сети. Процесс, изображаемый диаграммой, называется оценкой состояния защиты. Он представляет собой постоянные циклично повторяющиеся мероприятия компании, направленные на защиту ее жизненно важных активов при наименьших затратах, позволяющих снизить риск потерь до приемлемого уровня.
СовершенствованиеСовершенствованиеМониторингМониторингРис. 2.2. Цикл защиты, иллюстрирующий процесс, который должен поддерживаться предприятием в рамках реализации системы защитыРис. 2.2. Цикл защиты, иллюстрирующий процесс, который должен поддерживаться предприятием в рамках реализации системы защиты
Совершенствование
Совершенствование
Мониторинг
Мониторинг
Рис. 2.2. Цикл защиты, иллюстрирующий процесс, который должен поддерживаться предприятием в рамках реализации системы защиты
Рис. 2.2. Цикл защиты, иллюстрирующий процесс, который должен поддерживаться предприятием в рамках реализации системы защиты
Ввиду сложной итерационной природы задачи обеспечения безопасности предприятия, чтобы предприятие оставалось защищенным от самых новых угроз, процесс не должен останавливаться никогда. Указанный цикл включает следующие четыре фазы.
Защита. Необходимая защита корпоративных данных. На этой стадии организации обычно начинают применение технологий защиты (например, брандмауэров и систем аутентификации), повышающих степень защиты сети.
Мониторинг. Наблюдение за активностью (как внешней, так и внутренней) в критических точках доступа к сети. Кроме того, следует постоянно проводить мониторинг сетей на предмет выявления вторжений и фактов недопустимого использования, а также иметь механизмы автоматизированного подавления несанкционированной активности, работающие в реальном масштабе времени.
Тестирование. Проверка того, что меры защиты являются достаточными для успешного противостояния различным хакерским атакам. Кроме того, поскольку сети динамично развиваются и часто меняют свою конфигурацию, необходимо постоянно проверять состояние системы защиты и давать соответствующую оценку ее уязвимости.
Совершенствование. Внедрение новых и обновление имеющихся средств защиты. Необходимо централизованное управление всеми средствами и политиками защиты с целью достижения максимума эффективности и быстрого внедрения усовершенствований.
Процесс оценки состояния защиты определяет направление развития системы защиты всего предприятия. При этом определяются связанные с безопасностью роли и ответственность служащих звена управления корпорации и подразделения информационных технологий, корпоративные данные разделяются по уровням секретности и определяются допустимые риски для каждого из этих уровней. В центре цикла защиты находится наиболее важный элемент — политика сетевой защиты. Политика сетевой защиты содержит инструкции, устанавливающие необходимый уровень защиты предприятия, и должна определять следующие элементы.
Важные для предприятия активы, которые следует защищать.
Ресурсы (денежные, человеческие и временные), которые предприятие готово потратить на защиту того, что оно считает важным.
Уровень риска, с которым предприятие готово смириться.
Ключом к успеху при построении системы защиты сети является баланс между простотой использования средств защиты и степенью защиты, обеспечиваемой этими средствами (рис. 2.3). Если затраты на защиту несоразмерны действительной опасности, это нанесет вред интересам компании. А если меры предосторожности будут сильно ограничивать пользователей, они могут найти пути их обхода, что сведет на нет пользу от введения соответствующих мер.
В следующих разделах фазы процесса оценки состояния защиты будут рассмотрены подробнее.
Оценка политики сетевой защиты
Наиболее важной частью системы управления безопасностью сети является точная реализация политики защиты сети. Необходимо сначала выполнить анализ политики защиты, а затем реализовать ее. Но что же представляет собой сама политика защиты и из каких элементов она должна состоять?
Рис. 2.3. Баланс между прозрачностью доступа пользователей и максимальной защитой
Как указано в справочнике по защите узлов (Site Security Handbook, RFC 2196), “политика защиты состоит из формального набора правил, в соответствии с которыми должны действовать люди, получающие доступ к технологическим и информационным активам организации. ... по существу, политика защиты является документом, обобщающим практику использования и защиты компьютерных и сетевых ресурсов данной корпорации”.
Обоснование необходимости разработки политики защиты
Политика защиты имеет немаловажное значение и стоит тех усилий, которые требуются на ее разработку. Политика сетевой защиты является планом зашиты сети, поэтому она должна быть четкой и завершенной. Вот некоторые аргументы в пользу необходимости разработки политики защиты.
Политика защиты является основой процесса проверки надежности существующей системы сетевой защиты.
Она обеспечивает каркас системы защиты, в рамках которого строится безопасность сети.
Определяет допустимые и недопустимые типы поведения.
Помогает определить, какие средства и методы защиты требуются организации.
Помогает достичь консенсуса группе лиц, принимающих ключевые решения, и определяет ответственность пользователей и администраторов.
Определяет процедуру обработки инцидентов защиты.
Позволяет осуществить глобальный подход к вопросам безопасности: компьютерная безопасность теперь является вопросом уровня предприятия, и все компьютерные системы должны соответствовать политике сетевой защиты.
Создает основу для применения санкций в случае необходимости.
Что должна включать политика защиты
Каждое предприятие должно разработать свою политику сетевой защиты, приспособленную к сетевой среде предприятия и имеющимся в ней приложениям. Вот некоторые из рекомендуемых ключевых разделов политики защиты.
Распределение полномочий и сфер действий. В этом разделе указывается, кто организует политику защиты и какие области должна охватывать эта политика.
Политика приемлемого использования. В этом разделе указывается, что позволено (и не позволено) делать в рамках информационной инфраструктуры компании.
Политика идентификации и аутентификации. Здесь указываются технологии и оборудование, используемые компанией для обеспечения доступа к данным только тем пользователям, которые имеют на это право.
Политика доступа к Internet. В этом разделе указывается, что компания считает нравственным и правильным при использовании возможностей доступа к Internet.
Политика внутреннего доступа. В этом разделе указывается, как внутренние пользователи должны использовать инфраструктуру данных компании.
Политика удаленного доступа. В этом разделе указывается, как пользователи, осуществляющие удаленный доступ к сети, могут использовать инфраструктуру данных компании.
Процедура обработки инцидентов. В этом разделе указывается, какой должна быть структура группы реагирования на инциденты и какие процедуры будут использоваться во время и после таких инцидентов.
Политика защиты сети компании XYZ
В приложении Б предлагается пример политики защиты сети компании XYZ. Главные разделы всеобъемлющей политики защиты приведены в следующем описании, которое является частью первого раздела политики защиты сети компании XYZ (полный текст примера политики защиты содержится в приложении Б).
Распределение полномочий и сфер действия
Каждый служащий, как зарегистрированный пользователь внутренней сети XYZ, имеет свои права доступа к информации. Чтобы способствовать обеспечению сетевой безопасности и целостности информации, каждый пользователь должен подчиняться требованиям политики защиты. Компания XYZ следует принципу “необходимого знания”, сознательно избегая предоставления служащему информации, которая не требуется для выполнения его работы.
Для кого предназначена политика
Политика разработана для следующих категорий служащих:
пользователи сети, которые должны действовать в соответствии с политикой защиты;
персонал службы поддержки систем, который реализует требования политики защиты и осуществляет ее поддержку;
менеджеры, в сфере компетенции которых находится защита данных и связанные с ней расходы;
управление компании, желающее обеспечить целостность сети наряду с простотой ее использования и минимальными расходами на ее содержание.
Использование политики защиты сети
Компания использует политику защиты, чтобы определить, что является жизненно важным в вопросе зашиты сети, и распределить ответственность за осуществление директив, указываемых политикой. Вот некоторые варианты использования политики сетевой защиты.
Идентификация активов и угроз. Руководство компании может использовать политику сетевой зашиты для того, чтобы четко определить свои сетевые активы и оценить существующие угрозы для корпоративных данных.
Планирование реализации политики. Компания может использовать политику сетевой защиты для того, чтобы описать задачи подразделения управления информационной системой по реализации требований политики защиты.
Обучение пользователей. С помощью политики сетевой защиты компания информирует пользователей об их обязанностях по защите информационных активов компании.
Защита сети
Следующим шагом в использовании политики зашиты сети является выбор, установка и настройка соответствующих средств сетевой защиты. Например, если сеть имеет выход в Internet (сегодня это вполне привычно), то потребуется создать систему защиты периметра, позволяющую защитить данную точку уязвимости сети. Точно так же сеть с возможностью удаленного доступа нуждается в средствах управления доступом, а базовая или магистральная сеть — в средствах зашиты и доступа, и периметра. В книге анализируется политика зашиты сети компании XYZ и рассматриваются варианты настройки средств управления защитой в соответствии с требованиями этой политики.
Мониторинг системы защиты сети
Политика защиты сети должна описывать технологию и процедуры, используемые для мониторинга состояния системы зашиты. С помощью мониторинга обнаруживаются угрозы защиты сети. Контроль активности в сети может выявить попытки скомпрометировать систему и помогает выполнить анализ атак, которым может подвергаться система. Мониторинг обеспечивает соответствие политике зашиты. Мониторинг состояния сетевой зашиты может включать анализ сообщений системных журналов маршрутизаторов периметра, брандмауэров и системы управления доступом.
Мониторинг может выполняться системами обнаружения вторжений. Такие системы призваны автоматизировать выявление сетевых вторжений. CiscoSecure IDS является системой обнаружения вторжений, работающей в реальном масштабе времени, причем данная система прозрачна для потока легальных данных и допустимых действий в сети. CiscoSecure IDS состоит из двух компонентов: сенсоров и управляющих устройств. Сенсоры CiscoSecure IDS, представляющие собой скоростные сетевые устройства, анализируют содержимое отдельных пакетов на предмет наличия в сетевом трафике признаков угрозы или вторжения. Если поведение потока данных вызывает подозрение, сенсоры CiscoSecure IDS в реальном масштабе времени регистрируют нарушение политики и передают сигналы тревоги управляющей консоли CiscoSecure IDS, чтобы вовремя отключить нарушителя от сети и не допустить дальнейшего развития атаки. Управляющее устройство CiscoSecure IDS представляет собой высокопроизводительную программную систему управления, осуществляющую централизованное управление множеством сенсоров CiscoSecure IDS, размещенных в локальных или удаленных сегментах сети.
Тестирование состояния защиты с помощью средств аудита
Политика защиты сети должна определять процедуры, используемые для аудита, тестирования и поддержки системы защиты сети. Аудит и тестирование могут помочь при выяснении общего технического состояния сетевых компонентов и всей компьютерной системы в целом. Они могут использоваться и для проверки функционального соответствия системы требованиям политики защиты.
Использование средств аудита и тестирования является лучшим способом проверки эффективности имеющейся инфраструктуры системы защиты. Аудит системы защиты должен выполняться регулярно через определенные промежутки времени и достаточно часто. В список задач аудита должно включаться следующее.
Проверка каждой новой системы, устанавливаемой в сети.
Проверка соответствия изменения конфигурации сетевых устройств действующей политике защиты.
Регулярные проверки системы, по возможности с помощью некоторого автоматизированного процесса.
Внеплановые проверки состояния системы.
Ежесуточные ночные проверки важнейших файлов (например, /etc/passwd) и файлов системного журнала.
Контроль активности пользователей.
Примеры таблиц контрольных проверок систем зашиты имеются в Internet, например, в справочнике “NIST Computer Security Handbook", который можно найти по адресу, указанному в разделе ссылок в конце главы. Вам необходимо разработать таблицу контрольных проверок, соответствующую особенностям структуры вашего узла. Процесс аудита можно автоматизировать с помощью сценариев или аудиторских программ, примеры которых описаны в следующем разделе.
Регулярные проверки системы
На основании регулярных проверок системы создается общая характеристика состояния системы защиты. Такие проверки могут моделировать большинство вариантов проникновения нарушителей в систему. Ваши меры предотвращения вторжений могут быть проверены с помощью средств аудита. Точно так же может быть выявлена и незаконная активность служащих. Для проверки применяют самые разные методы, причем можно использовать и некоторые средства, применяемые для сетевых вторжений. Чаще всего для проверки состояния системы защиты сети используют следующие средства.
CiscoSecure Scanner. Средство, автоматизирующее процесс проверки состояния системы защиты сети с помощью построения подробной карты сети и сканирования точек уязвимости. CiscoSecure Scanner предлагает следующие возможности:
построение карты сети, обеспечивающей общую характеристику состояния электронного “хозяйства” сети;
использование оценок уязвимости защиты, помогающих распознать потенциальные бреши в системе защиты;
простое управление рисками на основе доступности данных, характеризующих уязвимость;
использование отдельной системы на базе Windows NT или Solaris.
Computer Oracle and Password System (COPS). “Инспектор” системы защиты UNIX, позволяющий выяснить, является ли конфигурация системы UNIX оптимальной с точки зрения защищенности от атак удаленного доступа.
Tiger. Набор сценариев UNIX, разработанных специалистами университета сельского хозяйства и машиностроения штата Техас (Texas А&М University) для проверки систем UNIX на уязвимость. Включает пакетный фильтр, программу проверки конфигурации и программу аудита/протоколирования. Программа Tiger Analytical Research Assistant (TARA) является обновлением программы Tiger, работающим в системах UNIX и Linux.
Tripwire. Монитор целостности файловой системы для UNIX, генерирующий предупреждения при изменении ключевых файлов. ViperDB, Triplight, Advanced Intrusion Research Assistant (AIDE) и Sentinel являются производными Tripwire.
Simple WATCHdog (Swatch). Анализатор журналов для систем на базе UNIX, просматривающий журналы с целью выявления определенных событий.
Условно-бесплатные версии этих программ можно найти на Web-страницах узла Rootshell по адресу: www.rootshell.com.
Внеплановые проверки системы
Неплохой практикой является выполнение внеплановых (как правило, поверхностных) проверок системы. Они могут использоваться в качестве одного из методов обнаружения действий нарушителей, а также в качестве теста для выявления определенных проблем защиты (например, уязвимости сетевой файловой системы). Внеплановые проверки можно применять для контроля соответствия системы конкретным требованиям и стандартам политики защиты. Результаты внеплановых проверок должны доводиться до сведения руководства компании.
Совершенствование состояния системы защиты
Мониторинг и аудит могут выявить ранее неизвестные слабые места системы защиты. На основании результатов проверок необходимо совершенствовать состояние системы защиты компании, используя для этого самые последние обновления программных средств, технические рекомендации, новые версии существующего программного обеспечения и новые технологии.
Непрерывный контроль, сопровождение и модификация системы защиты предприятия обеспечивают безопасность сети. Поскольку средства и методы нарушителей постоянно меняются и совершенствуются, системе защиты предприятия тоже приходится претерпевать изменения, чтобы достойно встречать новые угрозы.
Стратегия управления рисками должна меняться с ростом масштабов бизнеса, который выходит на новые рынки и покидает те, которые признаны не целесообразными. При изменении профиля рисков должно меняться и состояние системы защиты.
Мысль о том, что защита является одноразовым мероприятием типа “установил и забыл”, не соответствует действительности. Поддержание соответствующего уровня защиты во всех областях деятельности компании требует непрерывных усилий. Нежелание или неумение приложить необходимые усилия в соответствующий момент времени подвергает предприятие ненужному риску.
Вы должны совершенствовать защиту своих систем, придерживаясь следующих рекомендаций.
Следите за информацией о новых типах атак и новых точках уязвимости, постоянно просматривая посвященные защите группы новостей и соответствующие Web-страницы. Посещайте специальные мероприятия производителей систем защиты и регулярно читайте соответствующие публикации.
Внесите свой адрес в список рассылки типа Bugtraq на www.securityfocus.com, список консультативного совета CERT на www.cert.org или список, предлагаемый Web-узлом www.sans.org. Каждый из этих списков предлагает регулярные публикации о защите и информацию о появлении “заплат” для соответствующих программ.
Следите за информацией о новых технологиях защиты сетей и новых методах защиты существующего оборудования и систем.
Регулярно просматривайте Web-страницы поставщиков программного обеспечения и оборудования, чтобы вовремя узнавать о появлении “заплат”, пакетов сопровождения и новых версий программ. Проверяйте и устанавливайте обновления программного обеспечения защиты, исправляющие замеченные ошибки.
Обновляйте политику и методы защиты компании, чтобы не отставать от передовых технологий в этой динамично меняющейся области.
Организуйте интенсивную подготовку служащих, направленную на разъяснение важности зашиты и повышение их ответственности; поддерживайте активную информационную связь с другими заинтересованными группами.
Выполняйте регулярно (и как можно чаще) анализ профилей атак. Например, система CiscoSecure IDS содержит базу данных сетевой защиты и список сигнатур атак, который регулярно обновляется и применяется в системе обнаружения вторжений. Эта база данных обеспечивает постоянный доступ к конкретной информации об атаках и соответствующих контрмерах.
Применяйте новые технологии защиты, позволяющие обеспечить сквозную защиту потока данных между конечными пунктами. Оценивайте преимущества новых продуктов в лабораторной среде, прежде чем установить их в сети предприятия. Меняйте конфигурацию сети по мере необходимости, основываясь на результатах анализа профилей атак.
Обеспечьте расследование, координацию действий, документальное подтверждение и необходимые напоминания в случаях инцидентов защиты.
Анализ практики защиты сетей
Следующие три примера иллюстрируют различные уровни политики сетевой защиты. Частью процесса разработки политики защиты является принятие решения о том, какой должна быть политика вашего предприятия — открытой, ограничивающей или закрытой. По мере движения указателя вдоль шкалы защиты (рис. 2.4) в направ-
лении более надежной защиты предприятия, политика защиты становится все более ограничивающей. Чтобы сделать предприятие более защищенным, приходится выбирать более ограничивающую политику защиты, которая, как правило, является и более дорогой в плане внедрения и поддержки.
Рис. 2.4. Разделение политик защиты сети на открытые, ограничивающие и закрытые
После того как политика защиты определена, можно рассмотреть средства защиты сети и приложений, в совокупности обеспечивающие необходимый уровень сетевой защиты предприятия. Скорее всего для достижения полного соответствия требованиям выбранной политики защиты понадобится некоторая комбинация средств защиты сети и средств защиты приложений.
Защита приложений зачастую ассоциируется с электронной торговлей, поскольку чаще всего требуется гарантировать осуществление операций купли-продажи в Web, при которых у нарушителя нет возможности определить номер кредитной карточки покупателя.
В этой книге мы сосредоточим обсуждение па той части решений защиты, которая касается защиты сети предприятия. Ниже будут рассмотрены три примера политики защиты сети, обеспечивающие различные уровни общей защиты.
Информация, используемая для примеров, была получена независимой компанией исследования рынка, созданной по инициативе Cisco. Была сформирована регистрационная комиссия, призванная определить стоимость имеющихся систем защиты в различных компаниях. Результирующий отчет содержал информацию о большом числе компаний, работающих в самых разных областях рынка — от финансовых учреждений, осуществляющих поддержку предприятий сферы коммунальных услуг, до многонациональных корпораций, занимающихся производством потребительских товаров. Некоторые компании использовали для своих сетей оборудование Cisco.
Обследованные компании в совокупности имели около 70000 сетевых компьютеров, поэтому полученную в результате исследования статистическую базу можно считать достаточной для определения средней стоимости защиты одного компьютера в сети.
Интересным результатом исследования является то, что диапазон расходов на защиту оказался достаточно большим — от $53 до $368 па одну рабочую станцию. Средние расходы на защиту каждого сетевого компьютера составляли около $250 в год. Cisco обнаружила, что в среднем защита забирала 17% общих расходов на поддержку рабочих станций.
Расходы на защиту сетевого компьютера включают:
стоимость соответствующих аппаратных средств и программного обеспечения;
расходы на обслуживающий персонал (составляли 60% общих расходов на защиту);
периодические расходы, связанные с поддержкой необходимого уровня защиты сети.
Оказалось возможным разделить компании на три группы — с открытой, ограничивающей и закрытой защитой. В каждой из этих групп наблюдалось сходство по технологиям, используемым для реализации избранной компаниями политики защиты.
Пример 1. Открытая политика защиты
Часть компаний в своих подходах к реализации систем защиты предпочитала мириться с риском; она предоставляла пользователям большую гибкость и широкую свободу действий. Эти компании относятся к группе с открытой политикой защиты. Как показано на рис. 2.5, для открытой политики прозрачность пользовательского доступа перевешивает требование максимальной защиты.
Компании этой группы были склонны разрешать все сетевые соединения, которые не запрещались явно. Такая открытая политика разрешений требует от компании создания специальных барьеров только для определенной группы соединений, чтобы затем управлять этими “особо важными соединениями”, используя минимум сетевого персонала и, главным образом, уже имеющееся сетевое оборудование. Такую систему защиты просто настроить и ею легко управлять, а пользователи не сталкиваются с обременительными мерами предосторожности, что делает использование сети более простым.
Компании этой группы тратили на защиту в среднем менее $70 на каждое рабочее место в сети (напомним, что для всех компаний издержки колеблются в диапазоне от $53 до $368). Но, как правило, это были относительно небольшие компании.
Еще одним интересным результатом исследований является то, что компании этой группы не испытывали значительных финансовых потерь от взломов сетевой защиты, а потому у них не было большого желания увеличивать свои расходы в области информационных технологий.
Руководство компаний было склонно считать, что вероятность оказаться целью хакерских атак для них весьма невелика ввиду того, что их частная информация не
представляет интереса для кого-либо вне компании. Но после того, как компания подвергалась нарушениям защиты сети, что влекло за собой финансовые потери, она начинала устанавливать дополнительные средства защиты, в результате чего имела более высокую степень защиты.
Технологии защиты, обеспечивающие минимум безопасности
Рассматриваемые в этом примере компании имели сетевые соединения, показанные на рис. 2.6. Филиалы были связаны с предприятием линиями ISDN и лишь в нескольких случаях линиями, использующими технологию ретрансляции кадров. На концах всех линий использовались маршрутизаторы. (На схеме, показанной на рис. 2.6, маршрутизатор головного офиса обозначен как маршрутизатор WAN.)
ОбщедоступныйОбщедоступныйОфис отделенияОфис отделениясерверсерверРис. 2.6. Сетевая среда, обеспечивающая минимум безопасностиРис. 2.6. Сетевая среда, обеспечивающая минимум безопасности
Общедоступный
Общедоступный
Офис отделения
Офис отделения
сервер
сервер
Рис. 2.6. Сетевая среда, обеспечивающая минимум безопасности
Рис. 2.6. Сетевая среда, обеспечивающая минимум безопасности
Служащие, находящиеся в пути, малых удаленных офисах или дома, используют общедоступную телефонную сеть для удаленного доступа к сети предприятия по асинхронным линиям удаленного доступа. Для того чтобы связать эти линии с головным офисом компании, используется сервер сетевого доступа.
Соединение с Internet допускает как поток данных, исходящих от предприятия, так и поток данных, направленных к общедоступному серверу предприятия. Весь трафик Internet должен проходить через шлюзовой маршрутизатор — единственную точку доступа, связывающую сеть предприятия с Internet. Удаленные пользователи, чтобы подключиться через это соединение к Internet, должны получить доступ к предприятию.
Напомним, что компании этой группы находятся на нижнем уровне шкалы защиты и несут наименьшие расходы на поддержку средств защиты. Чтобы распознать своих пользователей, эти компании полагаются исключительно на учетные имена и пароли. В рамках территориальной сети предприятия паролями управляет сервер службы каталогов. Только одна из компаний этой группы использовала DHCP (Dynamic Host Configuration Protocol — протокол динамической конфигурации хоста) для динамического выбора IP-адресов.
Чтобы идентифицировать удаленных пользователей, все компании полагались на значение, введенное пользователем в поле пароля диалогового окна программы входа в сеть, начинающей выполняться после того, как сервер сетевого доступа регистрировал удаленное соединение. В некоторых случаях пользователю было необходимо ввести отдельный пароль для создания соединения. Этот пароль передавался серверу сетевого доступа с использованием протокола PAP (Password Authentication Protocol — протокол аутентификации паролей) и проверялся этим сервером. Удаленные пользователи в офисах филиалов при подключении к территориальной сети тоже идентифицировались с помощью паролей. Удаленные маршрутизаторы для соединения с маршрутизатором, находящимся в головном офисе, использовали маршрутизацию с предоставлением канала ISDN по требованию. Для связи между маршрутизаторами использовался протокол PPP (Point-to-Point Protocol — протокол двухточечных или сквозных соединений), а для их аутентификации применялись средства РАР с фиксированными паролями, программно назначенными маршрутизаторам.
Чтобы обеспечить целостность сети, в маршрутизаторе WAN и маршрутизаторе шлюза Internet использовались программируемые списки доступа, ограничивающие доступ к сети предприятия на основе IP-адресов удаленных узлов. Эти списки доступа использовались входным интерфейсом маршрутизатора WAN и выходным интерфейсом маршрутизатора шлюза. Списки доступа были исключительно простыми и поддерживались теми же специалистами, которые управляли сетью маршрутизатора. В этих компаниях достаточно редко применялись отдельно размещенные брандмауэры, а если и использовались, то создавали границу защиты только вокруг особо важных сегментов сети, например вокруг сети финансового отдела. Шифрование для защиты каких-либо частей сети не применялось.
Для аутентификации пользователей территориальной сети и удаленных пользователей использовались пароли. Для аутентификации связей с филиалами применялись средства РАР в рамках протокола РРР, и только несколько компаний использовали РАР для идентификации удаленных клиентов. Протокол РАР относительно легко обмануть, поскольку он предполагает пересылку пароля в открытом виде. Подробнее протокол РАР будет обсуждаться в главе 4.
При управлении доступом эти компании полагались исключительно на списки доступа, программируемые в маршрутизаторах. Списки доступа ограничивали внешний доступ из Internet к сети предприятия. Доступ к Internet в этих компаниях был, в основном, неограниченным.
Ввиду того, что компании не испытывали значительных финансовых потерь из-за нарушений системы защиты, они, как правило, не тратили средства на создание отдельно размещенных брандмауэров или шифрование.
Итак, стратегия компаний, обеспечивающих минимум безопасности, состоит в следующем.
Открытая политика аутентификации и управления доступом
Аутентификация:
РАР (удаленные клиенты и филиалы);
пароли (для узлов территориальной сети и удаленного доступа).
Управление доступом:
списки доступа в маршрутизаторе WAN и шлюзовом маршрутизаторе;
отсутствие отдельно размещенных брандмауэров;
отсутствие шифрования.
Пример 2. Ограничивающая политика защиты
Рассматриваемые в этом примере компании использовали подход, при котором устанавливался баланс между свободой действий пользователей (в смысле доступности соединений и простоты их использования) и степенью защиты сети. В ходе исследования эти компании были классифицированы, как имеющие ограничивающую политику защиты. Как показано на рис. 2.7, при такой политике защиты наблюдается баланс между прозрачностью пользовательского доступа и требованием максимальной надежности защиты.
Рис. 2.7. Ограничивающая политика защиты
Компании, о которых идет речь, использовали подход, при котором одни сетевые соединения разрешались, а другие были ограничены, что требовало создания специальных барьеров для одних групп соединений и специальных разрешений для других. Реализация такой системы защиты оказывается более сложной, требует больше усилий для настройки и сопровождения, а пользователям такой системы приходится выполнять дополнительные шаги для получения доступа к сети предприятия.
Эти компании имели больший штат сотрудников, занимающихся защитой, чем компании первой группы, и были готовы выделять достаточные средства на поддержку программы реализации политики защиты. В среднем эти компании тратили около $250
на защиту одного рабочего места (напомним, что для всех компаний издержки колеблются от $53 до $368). Большинство компаний этой группы хотя бы раз терпели финансовые потери из-за взлома зашиты сети. В эту группу входят различные компании.
Технологии защиты, обеспечивающие средний уровень безопасности
Компании дайной группы имели различные типы соединений и топологии сетей. На рис. 2.8 показана схема, отражающая характерные особенности сети и демонстрирующая используемое в данном случае оборудование сетей.
Рис. 2.8. Сетевая среда, обеспечивающая средний уровень безопасности
Филиалы связывались с предприятием линиями, использующими технологию ретрансляции кадров, и лишь в нескольких случаях выделенными линиями. На концах линий использовались маршрутизаторы.
Удаленные пользователи, включая служащих, находящихся в пути, удаленных офисах или дома, для подключения к сети предприятия по асинхронным линиям и
линиям ISDN использовали обычную телефонную сеть. Для того чтобы связать эти линии с головным офисом компании, использовался сервер сетевого доступа.
Соединение с Internet допускало как поток данных, исходящих от предприятия, так и поток данных, направленных к общедоступному серверу предприятия. Как и в первом случае, весь этот поток данных был сосредоточен в одной точке входа, хотя обычной практикой было использование резервных маршрутизаторов шлюза. Как правило, поддерживались связи с несколькими поставщиками услуг Internet. Удаленные пользователи, чтобы получить доступ к Internet, по-прежнему должны были соединяться с сетью предприятия.
Чтобы идентифицировать своих пользователей, эти компании в рамках территориальной сети предприятия использовали учетные имена и пароли. Для удаленных пользователей из филиалов компании применялся сервер каталогов, размешенный в рамках территориальной сети предприятия. Многие из компаний, о которых идет речь, применяли протокол DHCP для динамического выбора IP-адресов узлов территориальной сети.
Чтобы идентифицировать удаленного пользователя, все компании, кроме одной, полагались на одноразовый пароль, который требовалось ввести во время обращения пользователя к серверу сетевого доступа перед установкой соединения. При передаче такого пароля серверу сетевого доступа использовались протоколы РРР и РАР. Одноразовый пароль проверялся сервером ААА или сервером идентификационных карт.
Чтобы обеспечить целостность сети, маршрутизатор WAN и маршрутизатор шлюза Internet использовали программируемые списки доступа, разрешающие доступ к сети предприятия только узлам с определенными сетевыми адресами. Отдельно размешенный брандмауэр канального уровня позволял доступ в Internet только тем соединениям, которые исходили из области, ограниченной брандмауэром.
Для связей между филиалами и маршрутизатором WAN головного офиса, как правило, использовалась аутентификация маршрутов. Некоторые компании этой группы, чтобы гарантировать целостность данных, передаваемых по каналам связи, уже начали применять шифрование. ,
Для аутентификации пользователей как территориальной сети, так и удаленных филиалов использовались пароли. Для идентификации пользователей, использующих удаленный доступ, применялись одноразовые пароли, генерируемые идентификационными картами. Один из клиентов этой группы пробовал вариант доступа удаленных пользователей к предприятию через Internet. Соответствующее приложение использовало встроенные в брандмауэр средства аутентификации пользователей на основе одноразовых паролей.
Для контроля доступа компании этой группы применяли широкий спектр технологий, начиная от списков доступа для маршрутизаторов и заканчивая отдельно размешенными брандмауэрами для выхода в Internet, аутентификацией маршрутов и шифрованием связей с филиалами.
Выходной поток в Internet был ограничен в небольшом числе компаний, для чего использовались брандмауэры канального уровня.
Некоторые компании этой группы пытались с помощью Internet создать виртуальную частную сеть (Virtual Private Network — сеть VPN).
Итак, стратегия компаний, обеспечивающих более высокий уровень безопасности, чем компании первой группы, заключается в следующем.
Ограничивающая политика аутентификации и управления доступом
Аутентификация:
одноразовые пароли (удаленный доступ и Internet);
пароли (территориальная сеть).
Управление доступом:
списки доступа в маршрутизаторе WAN и шлюзовом маршрутизаторе;
брандмауэр между предприятием и Internet;
аутентификация маршрутов (филиалы и территориальная сеть);
шифрование связей с филиалами.
Пример 3. Закрытая политика защиты
В этом случае компании предпочитали вводить дополнительные ограничения. Они желали иметь политику, которая по умолчанию обеспечивала бы более сильную защиту, даже если это означало ограничение пользователей, замедление работы и усложнение использования системы. Эти компании относятся к группе с закрытой политикой защиты.
Рассматриваемые в этом примере компании стремятся запретить все сетевые соединения, которые не были разрешены явно, что требует выработки исключительно подробной политики защиты и определения полного набора привилегий для каждого пользователя. Как показано на рис. 2.9, при закрытой политике защиты баланс между прозрачностью пользовательского доступа и требованием максимальной защиты не сохраняется.
• Наиболее сложная настройка и администрирование• Наибольшие сложности в работе для пользователей• Стоимость защиты $350 на каждое рабочее место• Наиболее сложная настройка и администрирование• Наибольшие сложности в работе для пользователей• Стоимость защиты $350 на каждое рабочее местоРис. 2.9. Закрытая политика защитыРис. 2.9. Закрытая политика защиты
• Наиболее сложная настройка и администрирование
• Наибольшие сложности в работе для пользователей
• Стоимость защиты $350 на каждое рабочее место
• Наиболее сложная настройка и администрирование
• Наибольшие сложности в работе для пользователей
• Стоимость защиты $350 на каждое рабочее место
Рис. 2.9. Закрытая политика защиты
Рис. 2.9. Закрытая политика защиты
В рамках такой политики, системы защиты компаний оказываются более сложными для настройки и управления, а также более сложными для пользователей.
Не удивительно, что эти компании тратили более $350 на защиту одного рабочего места. Компании этой группы имели самые большие сети.
В данной ситуации высокая степень защиты свидетельствовала о том, что эти компании в прошлом уже были жертвами нарушения системы защиты (что обошлось им дорого) или их аудиторы требовали проведения закрытой политики защиты с целью предупреждения возможности взлома. Все эти компании работали на рынке финансовых услуг.
Технологии защиты, обеспечивающие максимальный уровень безопасности
Компании этой группы имели линии связи, аналогичные линиям связи компаний из других групп, но число разрешенных соединений было значительно меньшим и пользователи имели существенно меньшую свободу действий при использовании этих соединений, чем пользователи других групп. На рис. 2.10 показана схема сети, которая отражает характерные особенности топологии сетей и демонстрирует используемое в данном случае сетевое оборудование.
Офис отделенияОфис отделения□ □□□О□ □□□ОMEDMEDСервер сетевого доступаСервер сетевого доступаЭлектронная карточкаЭлектронная карточкаЛиния с ретрансляцией кадровЛиния с ретрансляцией кадровМаршрутизатор WANМаршрутизатор WANСлужба сертификацииСлужба сертификацииЛиния с ретрансляцией кадровЛиния с ретрансляцией кадровМаршрутизатор- шлюзМаршрутизатор- шлюзUser Name] jdoePassword }••••User Name] jdoePassword }••••Общедоступный серверОбщедоступный сервериЬШзЬгСмарт-картаиЬШзЬгСмарт-картаП—RomCaco...П—RomCaco...АсинхроннаяАсинхроннаялиниялинияISDNISDNISDNISDNОбщедоступнаяОбщедоступнаясетьсетьРис. 2.10. Сетевая среда предприятия, реализующего закрытую политику защитыРис. 2.10. Сетевая среда предприятия, реализующего закрытую политику защитыnternetnternetУдаленныйдоступУдаленныйдоступАсинхронная линияАсинхронная линия
Офис отделения
Офис отделения
□ □□□О
□ □□□О
MED
MED
Сервер сетевого доступа
Сервер сетевого доступа
Электронная карточка
Электронная карточка
Линия с ретрансляцией кадров
Линия с ретрансляцией кадров
Маршрутизатор WAN
Маршрутизатор WAN
Служба сертификации
Служба сертификации
Линия с ретрансляцией кадров
Линия с ретрансляцией кадров
Маршрутизатор- шлюз
Маршрутизатор- шлюз
User Name] jdoe
Password }••••
User Name] jdoe
Password }••••
Общедоступный сервер
Общедоступный сервер
иЬШзЬг
Смарт-карта
иЬШзЬг
Смарт-карта
П—
RomCaco...
П—
RomCaco...
Асинхронная
Асинхронная
линия
линия
ISDN
ISDN
ISDN
ISDN
Общедоступная
Общедоступная
сеть
сеть
Рис. 2.10. Сетевая среда предприятия, реализующего закрытую политику защиты
Рис. 2.10. Сетевая среда предприятия, реализующего закрытую политику защиты
nternet
nternet
Удаленныйдоступ
Удаленныйдоступ
Асинхронная линия
Асинхронная линия
Филиалы связывались с предприятием выделенными линиями связи, если требовался интенсивный трафик SNA (Systems Network Architecture — системная сетевая архитектура; общее описание структуры, форматов, протоколов, используемых для передачи информации между программами IBM и оборудованием), или линиями с ретрансляцией кадров, если использовалась комбинация IP и SNA. На концах линий применялись самые разные типы сетевых устройств — маршрутизаторы, устройства FRAD (Frame Relay access device —
устройство доступа с ретрансляцией кадров) или CSU/DSU (модуль обслуживания канала и данных). На рис. 2.10 указаны маршрутизаторы, поскольку другие устройства не имеют интересующих нас встроенных средств защиты.
Удаленные пользователи, включая служащих, находящихся в пути, удаленных офисах или дома, для подключения к сети предприятия по асинхронным линиям и линиям ISDN применяли обычную телефонную сеть. Для того чтобы связать эти линии с головным офисом компании, использовался сервер сетевого доступа.
Соединение с Internet допускало как поток данных, исходящих от предприятия, так и поток данных, направленных к общедоступному серверу предприятия. Как и в первых двух случаях, весь поток данных был сосредоточен в одной точке входа, хотя обычной практикой было использование резервных маршрутизаторов шлюза и поддержка связей с несколькими поставщиками услуг Internet. Удаленные пользователи, чтобы получить доступ к Internet, по-прежнему должны были соединяться с сетью предприятия.
Чтобы идентифицировать своих пользователей, компании в рамках территориальной сети предприятия использовали учетные имена и пароли. Для удаленных пользователей из филиалов компании применяли сервер каталогов, размещенный в рамках территориальной сети. Многие компании использовали протокол DHCP (Dynamic Host Configuration Protocol — протокол динамической конфигурации хоста) для динамического выбора IP-адресов узлов территориальной сети. Для идентификации удаленных пользователей все компании применяли одноразовые пароли, но планировали перейти к использованию цифровых сертификатов (см. рис. 2.10) в течение ближайших шести месяцев. Цифровые сертификаты должны обрабатываться службой сертификации.
Целостность сети обеспечивалась методами, подобными тем, которые применялись компаниями с ограничивающей политикой защиты. Маршрутизаторы WAN и маршрутизаторы шлюза Internet использовали программируемые списки доступа, разрешающие доступ к сети предприятия только узлам с определенными сетевыми адресами. Отдельно размещенный брандмауэр с фильтрацией пакетов позволял доступ в Internet только тем соединениям, которые исходили из области, ограниченной брандмауэром.
Для связи между филиалами и маршрутизатором WAN головного офиса аутентификация маршрутов была правилом. Для соответствующих каналов связи компании этой группы использовали отдельно размещенные устройства канального шифрования (на схеме не показаны), чтобы таким образом гарантировать секретность своей информации.
Для аутентификации пользователей как территориальной сети, так и удаленных филиалов использовались пароли. Для аутентификации удаленных пользователей применялись одноразовые пароли, генерируемые идентификационными картами, хотя планировался переход к цифровым сертификатам и смарт-картам, поскольку они обеспечивают лучшую защиту и гибкость.
Для контроля доступа эти компании использовали широкий спектр технологий, начиная от списков доступа для маршрутизаторов и заканчивая отдельно размещенными брандмауэрами для выхода в Internet, аутентификацией маршрутов, шифрованием всех исходящих из узлов внутренней сети связей (и даже некоторых внутренних связей). Выход в Internet был разрешен только ограниченной группе пользователей сети.
Ни одна из компаний не собиралась предоставлять возможность доступа к сети пользователям из Internet, поскольку соответствующие средства защиты пока недоступны.
Итак, стратегия компаний, реализующих более высокую степень защиты, чем компании первых двух групп, состоит в следующем.
Закрытая политика аутентификации и управления доступом
Аутентификация:
цифровые сертификаты (удаленный доступ, связь с филиалами и территориальная сеть).
Управление доступом:
списки доступа в маршрутизаторе WAN и маршрутизаторе шлюза;
брандмауэр между сетью предприятия и Internet;
аутентификация маршрутов (филиалы и территориальная сеть);
шифрование (удаленный доступ, связь с филиалами и частично территориальная сеть).
Результат исследования
Как показывает проведенный выше анализ, решение проблемы защиты для каждой компании будет своим, и даже для одной и той же компании оно может меняться со временем. Подробный анализ, планирование и использование средств типа CiscoSecure Scanner позволят реализовать подходящее решение наиболее экономичным и эффективным способом. В табл. 2.1 приводится краткая сводка применения технологий сетевой защиты различными компаниями.
; Таблица 2.1. Краткая сводка использования технологий защиты. ' 5 /: в зависимости от типа политики защиты
Критерий
Открытая
Ограничивающая
Закрытвя
Пароли
Да
Да
Да
Идентификационные карты
Нет
Нет
Да
Брандмауэры
Нет
Да
Да
Шифрование
Нет
Иногда
Да
Цифровые сертификаты
Нет
Нет
Да
Резюме
В этой главе обоснована необходимость разработки политики сетевой защиты. Данный раздел содержит краткое описание рассмотренных главе вопросов.
Следует оценить стоимость внедрения и поддержки политики защиты с учетом простоты использования средств защиты и затрат ресурсов, сравнить полученные оценки с вероятностью возможных потерь от нарушений защиты и найти баланс, приемлемый для вашего предприятия.
Оценка состояния системы защиты представляет собой итерационный процесс, состоящий из четырех этапов, призванных помочь постепенно и последовательно выстроить систему защиты сети, — это защита, мониторинг, тестирование и совершенствование.
Политика защиты является формальным набором правил, в соответствии с которыми должны действовать лица, получающие доступ к технологическим и информационным активам предприятия.
Политика защиты сети стоит затраченных на ее создание усилий, поскольку она обеспечивает общий каркас системы защиты, определяет допустимое поведение в сети, помогает сформулировать цели защиты, является базой для проверки ее надежности и основанием для применения соответствующих санкций к нарушителям, а также определяет процедуры обработки инцидентов нарушения зашиты.
Политика защиты может использоваться для выявления активов, которые следует защитить, и главных сетевых угроз, которых компании следует опасаться.
Хотя политика защиты и не является детальным планом реализации защиты, все же она может сформулировать ключевые цели защиты, которые должны быть достигнуты, что упрощает задачу исполнителям директив политики.
Политика защиты может играть обучающую роль для пользователей, разъясняя им, что приемлемо и неприемлемо при работе в сети.
Политика защиты сети должна определять процедуры и средства, используемые для аудита и поддержки системы защиты.
Аудиторские проверки системы защиты должны проводиться регулярно и достаточно часто, но, кроме того, следует проводить и внеплановые проверки.
Компания должна иметь подробно описанный и оформленный документально план действий в случае инцидентов защиты, чтобы гарантировать, что инциденты защиты будут разрешены.
Узел группы компьютерной “скорой помощи” CERT ^-www.cert.or^ является хорошим информационным ресурсом по вопросам выявления сетевых угроз и способов противодействия им.
Политика защиты сети может быть открытой, ограничивающей или закрытой. Как правило, чем более ограничивающей является политика защиты, тем выше ее стоимость.
Практическое занятие. Оценка политики защиты сети компании XYZ
На этом практическом занятии предлагается оценить политику защиты сети гипотетического предприятия — компании XYZ. Прочитайте сначала приложение А, “Структура сети компании XYZ”, чтобы узнать о структуре сети компании, а затем приложение Б, “Политика сетевой защиты компании XYZ”, чтобы получить общее представление о политике защиты сети компании. После этого вы будете готовы ответить на поставленные ниже вопросы, которые помогут вам оценить политику сетевой защиты компании XYZ.
План практического занятия
Компания XYZ разработала политику сетевой защиты. Она поручает вам проанализировать эту политику с точки зрения ее реализации на сетевом оборудовании Cisco, которое компания XYZ приобрела и установила в своей сети. Ответьте на следующие вопросы.
Кто уполномочен начать внедрение политики сетевой защиты?
Какова роль администратора сети в процессе внедрения и реализации политики сетевой защиты?
Какова процедура сопровождения политики защиты?
Определите область применимости политики сетевой защиты компании XYZ. Насколько ограничивающей она является?
Какова общая политика защиты сети XYZ в отношении пользователей территориальной сети?
Какова общая политика зашиты сети XYZ в отношении доступа к Internet?
Какова общая политика защиты сети XYZ в отношении удаленных пользователей?
Какие методы планирует использовать компания XYZ для выявления сетевых вторжений?
Какова процедура обработки инцидентов защиты компании XYZ?
Как компания XYZ планирует обучать пользователей приемлемым способам использования сети?
Ответы на вопросы практического занятия
Теперь давайте рассмотрим ответы на вопросы практического занятия.
Правление компании XYZ и исполнители высшего звена были уполномочены акционерами компании начать осуществление и поддержку политики зашиты в соответствии с законами под руководством главы отделения информационной безопасности XYZ и правоведа корпорации.
Сетевой администратор играет роль гаранта надежности защиты предприятия XYZ. Администратор должен убедиться в том, что действия, выполняемые в процессе реализации политики защиты, не приводят к снижению уровня защиты сети.
Заинтересованные лица компании должны пересматривать и обновлять политику не реже одного раза в год, а отделение информационных систем должно проводить внеплановые проверки системы и документировать результаты.
Политика является умеренно ограничивающей. Аутентификация выполняется сервером TACACS+, но не серверами идентификационных карт. Выходной поток в Internet не ограничивается, но поступающий — ограничивается. В рамках территориальной сети доступ контролируется уровнями доверия. Удаленный доступ контролируется паролями под управлением сервера TACACS+.
Доступ к ресурсам и оборудованию территориальной сети контролируется посредством присваивания уровней доверия пользователям, в зависимости от выполняемых ими задач. Несанкционированный доступ запрещается.
Выход в Internet для пользователей территориальной сети и удаленных пользователей в интересах бизнеса не ограничивается. Внешний доступ из Internet запрещен, если только на это нет специального разрешения. Для реализации политики доступа к Internet будет использоваться брандмауэр.
Удаленный доступ через общедоступную телефонную сеть интерпретируется как расширение внутренней сети XYZ, поэтому ограничения для этого типа доступа
аналогичны ограничениям территориальной сети. Доступ управляется паролями или идентификационными картами и соответствующими серверами, а также сервером TACACS+.
Компания XYZ планирует для выявления вторжений в сеть использовать систему обнаружения вторжений, регулярно просматривать журналы событий сетевого оборудования, устанавливать и использовать средства регистрации состояния хостов, а также регулярно проверять систему защиты с помощью сетевого сканера. Для выявления попыток вторжения будет использоваться система CiscoSecure IDS.
Заинтересованные лица компании XYZ должны разработать детальные планы действий для всех возможных инцидентов защиты, включая непредвиденные обстоятельства.
Осознанная поддержка политики защиты должна стать обязательной частью требований, предъявляемых служащим. При трудоустройстве пользователи в обязательном порядке должны ознакомиться с политикой защиты и ежегодно подтверждать подписью согласие с ней. Служащих также предполагается информировать об использовании психологических методов для проведения атак против системы защиты.
Контрольные вопросы
Ответьте на следующие контрольные вопросы, касающиеся некоторых ключевых моментов и понятий, рассмотренных в этой главе.
Какие два элемента сетевой защиты должны быть уравновешены?
Из каких пяти компонентов состоит цикл защиты?
Что представляет собой политика зашиты сети?
Почему предприятию следует тратить усилия и время на разработку эффективной политики сетевой защиты?
Назовите основные разделы политики сетевой защиты.
Для чего можно использовать политику сетевой защиты?
Каким образом политика сетевой защиты может помочь при тестировании системы зашиты?
Какие из средств, предлагаемых компанией Cisco, применяются для проверки систем защиты?
Куда можно сообщить о неизвестном ранее серьезном случае сетевого вторжения?
Что является основным требованием закрытой политики защиты?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Разработка политики защиты
Bernstein Т„ Bismani A., Schultz Е. and Siegel С. Internet Security for Business. Wiley Computer Publishing, 1996. Описывает варианты реализации защиты с точки зрения перспективы бизнеса.
Каео М. Designing Network Security. Cisco Press, 1999.
“The Politics of Information Management” (www.strassmann.com/iep/info-politics.html).
RFC 2196. “Site Security Handbook". Набор стандартов, касающихся политики сетевой защиты.
Примеры политики защиты и соответствующие рекомендации
Web-узел “The Electronic Frontier Foundation”, www.eff.org.
“Guidelines for the Security of Information Systems”, документ ICCP (Information, Computer, and Communications Policy Committee — Комитет информационной, компьютерной и коммуникационной политики), доступный по адресу: www.oecd.org/ dsti/sti/it/secur/prod/e_secur.htm. Набор руководств по вопросам создания политики защиты.
“Internet Security Policy: A Technical Guide NIST Special Publication 800-XX”, авторы Барбара Гутгман (Barbara Guttman) и Роберт Багвилл (Robert Bagwill), доступен по адресу: csrc.nist.gov/isptg. Всеобъемлющий и реалистичный источник информации о политике сетевой защиты. Документ может быть загружен в разных форматах (Microsoft Word 97, Adobe Acrobat PDF и HTML). Если у вас будет время проверить только одну ссылку, выберите именно эту!
“Model Security Policies” (www.sans.org/newlook/resources/policies/policies.htm). Образцы политики защиты, коллекция Микеля Грабб-Гуля (Michele Crabb-Guel).
“Security Policies for the Internet”, автор Стефен Л. Арнольд (Stephen L. Arnold) из Arnold Consulting, документ доступен по адресу: www.amold.com/policies_9512_slides.html. Пример политики защиты доступа в Internet.
Центры реагирования на инциденты защиты
Австралийская группа компьютерной “скорой помощи” (AUSCERT), www. auscert. org.au.
Домашняя страница группы компьютерной “скорой помощи” (CERT), www.cert.org. Главный центр реагирования на инциденты защиты.
Домашняя страница консультативного совета по вопросам компьютерных инцидентов (CIAC), www.ciac.llnl.gov.
Страница группы поддержки автоматизированных систем обработки инцидентов защиты разведывательного управления министерства обороны США, посвященная вопросам противодействия атакам блокирования сервиса (www.assist.mil).
“European Contact List” (www.cert.dfh.de/eng/csir/europe/certs.html). Узел предлагает полный список европейских отделений CERT.
Форум групп защиты и реагирования на инциденты защиты (FIRST), www.first.org. Международная группа реагирования на инциденты защиты.
Домашняя страница немецкой исследовательской группы компьютерной “скорой помощи” (DFN-CERT), www.cert.dfn.de/eng. Создана в помощь членам немецкой исследовательской сети с целью совершенствования защиты входящих в нее узлов.
Домашняя страница центра NASA реагирования на инциденты защиты (NASIRC), nasirc. nasa.gov/NASIR C_home. html.
Другие Web-узлы, посвященные вопросам защиты
Архив COAST (www.cs.purdue.edu/coast/hotlist). Это архив университета Пэдью. По-видимому, это наиболее полный архив связанных с защитой ссылок в Internet. Если какой-либо узел посвящен защите, то ссылка на него, скорее всего, имеется в архиве COAST.
“InfoSec and InfoWar Portal" (www.infowar.com). Краткая сводка ресурсов защиты.
Сеть ресурсов защиты Национального института безопасности (www.nsi.org/ compsec.html).
Изучив материал этой главы, вы сможете выполнить следующие задачи. ,
Идентифицировать потенциальные угрозы территориальной сети предприятия (кампуса) и выбрать методы защиты, позволяющие уменьшить опасность таких угроз.
Предпринять шаги, усиливающие физическую защищенность оборудования.
Выяснить, как обеспечить защиту .административного интерфейса маршрутизаторов Cisco.
Использовать методы и команды, обеспечивающие защиту связи между мар- ■ шрутизаторами. < '
Использовать настройки коммутаторов Ethernet Cisco, позволяющие обеспечить защиту инфраструктуры сети.
Глава
3
Защита инфраструктуры сети
' В этой главе обсуждается использование настроек маршрутизаторов Cisco IOS и коммутаторов Ethernet, обеспечивающих защиту инфраструктуры территориальной сети предприятия (кампуса). Глава начинается с обсуждения потенциальных угроз защите сети, типичных в условиях кампуса. В результате обсуждения будет ясно, как можно усовершенствовать физический доступ к сетевым устройствам.
Здесь будут рассмотрены вопросы зашиты административного интерфейса маршрутизаторов и контроля доступа к сетевым устройствам Cisco с помощью протокола SNMP (Simple Network Management Protocol — простой протокол сетевого управления), а также вопросы выбора конфигурации маршрутизаторов, позволяющей обеспечить защиту файлов конфигурации в серверах TFTP (Trivial File Transfer Protocol — простейший протокол передачи данных). Кроме того, в главе будет рассмотрено использование стандартных и расширенных списков доступа, позволяющих организовать управление сетевым потоком маршрутизаторов кампуса. Основными элементами территориальной сети предприятия являются коммутаторы Ethernet, поэтому мы обсудим вопрос управления доступом коммутаторов Ethernet к портам и административным интерфейсам. Вы получите необходимые практические знания, изучив предлагаемые в главе примеры, в которых политика сетевой защиты гипотетической компании XYZ выражается в терминах соответствующих команд конфигурации маршрутизатора сети.
Проблемы защиты территориальной сети и варианты их решения
Инфраструктура территориальной сети предприятия (или кампуса), включающая маршрутизаторы Cisco и коммутаторы Ethernet, уязвима в отношении угроз, исходящих от внутренних и внешних нарушителей. Нарушителями, создающими угрозу сети, могут быть следующие лица.
Служащие, проявляющие излишнее любопытство или желающие получить доступ к защищенным участкам сети.
Служащие или пользователи, неумышленно выполняющие действия, которые могут нарушить сетевую защиту.
Враждебно настроенные уволенные служащие.
Шпионы, преследующие задачу выявления внутренней информации компании.
Сложнее всего, пожалуй, выявить нарушения, исходящие со стороны служащих компании, поскольку обычно между служащими и их работодателями поддерживаются доверительные отношения. В арсенале сетевых нарушителей имеется множество методов, позволяющих провести атаку на инфраструктуру территориальной сети. Если знать уязвимые точки сети и правильно сконфигурировать сетевые устройства с тем, чтобы должным образом обеспечить наилучшую защиту сети в этих точках, можно существенно усилить защиту инфраструктуры сети. Из этой главы вы узнаете, как обеспечить защиту инфраструктуры территориальной сети на практике. Вот список некоторых конкретных угроз, которым подвержено сетевое оборудование:
возможность доступа к консоли устройств и портам Telnet;
возможность доступа к файлам конфигурации маршрутизаторов и паролей;
возможность доступа к данным конфигурации устройств и выяснения топологии внутренней сети с помощью средств SNMP;
возможность выяснения топологии внутренней сети с помощью перехвата обновлений маршрутизации;
возможность перенаправления потока данных с помощью фальсифицированных обновлений маршрутизации;
возможность доступа к закрытым данным внутренней сети;
возможность доступа HTTP (Hypertext Transfer Protocol — протокол передачи гипертекстовых файлов) к маршрутизаторам;
возможность несанкционированного доступа через коммутаторы Ethernet.
На рис. 3.1 показана инфраструктура территориальной сети компании XYZ — сети, которая будет обсуждаться в этой главе. Инфраструктура этой сети состоит из двух внутренних подсетей — сети сбыта и сети производственного подразделения. В каждой подсети имеется маршрутизатор Cisco (обеспечивающий защиту потока данных сети) и коммутаторы Ethernet. Кроме того, в каждой из них есть размещенные в рамках соответствующего подразделения компьютеры-клиенты и сетевые серверы, нуждающиеся в защите.
Решение проблемы зашиты инфраструктуры территориальной сети предприятия заключается в выборе правильной конфигурации сетевой инфраструктуры в соответствии с политикой защиты, учитывающей реальные угрозы данной сети. Точки уязвимости инфраструктуры сети, которым требуется обеспечить защиту, хорошо известны, и также хорошо известны методы противодействия соответствующим угрозам. Конфигурация устройств, обеспечивающая защиту инфраструктуры сети, складывается из следующих компонентов:
защита физических устройств;
зашита административного интерфейса;
защита связей между маршрутизаторами;
защита коммутаторов Ethernet.
сетевого
управления
Рис. 3.1. Инфраструктура территориальной сети компании XYZ, включающей нуждающиеся в защите две внутренние подсети
Защита физических устройств
Физический доступ к сетевому оборудованию может обеспечить искушенному пользователю возможность практически полного контроля над ним. Физический доступ к линии связи дает возможность перехватывать поступающие сообщения или внедрять в линию дополнительные данные. Нет никакого смысла устанавливать сложные программные средства защиты, если не контролируется доступ к сетевому оборудованию и линиям связи. Например, лицо, имеющее возможность физического доступа к маршрутизатору, фактически имеет доступ к консольному порту и может переустановить системный пароль, в результате чего будет получено право полного доступа к маршрутизатору и, возможно, к другим сетевым устройствам. Необходимо обеспечить защиту сетевого оборудования посредством решения следующих задач.
Выбор правильной конфигурации оборудования и политики контроля. Следует разработать план политики защиты сети в отношении сетевого оборудования и линий связи. Необходимо также регулярно выполнять проверки состояния защиты, чтобы гарантировать требуемый уровень физической защиты.
Ограничение доступа к оборудованию и обеспечение надежности его электропитания и охлаждения. Следует позаботиться о правильном размещении оборудования. Разместите оборудование в помещениях, имеющих средства физического контроля доступа (например, электронные замки с идентификационными карточками или даже самые обычные замки). Тщательно контролируйте право сотрудников иметь соответствующие ключи и доступ к таким комнатам. Позаботьтесь о том, чтобы для важного оборудования имелись альтернативные источники питания. Можно установить для такого оборудования источники бесперебойного питания (ИБП). Позаботьтесь также о том, чтобы охлаждение оборудования было достаточно интенсивным для предотвращения перегрева.
Контроль прямого доступа ко всему сетевому оборудованию. Закройте корпуса оборудования на замки или разместите оборудование в ячейках стоек, закрывающихся на замки. Разрешите доступ к консольному порту только ограниченному числу строго контролируемых лиц. Позаботьтесь о том, чтобы доступ к оборудованию нельзя было осуществить через разборные потолки или полы соответствующих комнат.
Обеспечение защиты линий связи. Убедитесь в том, что все коммуникационные линии и сетевые провода защищены от прослушивания, а распределительные шкафы надежно закрыты. Постоянно проверяйте оборудование, чтобы не допустить несанкционированное подсоединение модемов к консольным портам.
Разработка плана восстановления системы в случае катастрофы. Разработайте план восстановления работоспособности системы, соответствующий условиям размещения вашего предприятия.
Защита административного интерфейса
Одной из главных точек атак нарушителей является административный интерфейс маршрутизаторов Cisco, коммутаторов Ethernet и серверов сетевого доступа. Если нарушитель сможет получить доступ к административному интерфейсу устройства, он сможет выяснить конфигурацию соответствующего устройства, изменить ее в соответствии со своими целями и получить право управления этим устройством или право доступа к другим элементам сетевого оборудования, связанным с данным устройством. Защита административного интерфейса маршрутизаторов Cisco включает следующее:
зашита доступа к консоли;
использование шифрования паролей;
тщательная настройка параметров линий связи;
использование многоуровневой системы привилегий доступа;
использование информационных баннеров устройств;
управление доступом Telnet;
управление доступом SNMP.
Защита доступа к консоли
Консоль представляет собой терминал, связанный непосредственно с маршрутизатором через консольный порт, как показано на рис. 3.2. Защита консоли означает требование к пользователям идентифицировать себя путем введения паролей. В конфигурации маршрутизатора, устанавливаемой по умолчанию, пароли консоли не назначаются, и изначально в диалоговом окне настройки конфигурации установка соответствующего пароля не требуется. Поэтому необходимо установить этот пароль с помощью команд изменения конфигурации. Физическую защиту маршрутизатора обеспечить очень важно, так как при отсутствии такой защиты нарушитель может установить свой пароль, вызвав сначала перезагрузку, а затем нажав клавишу <Break>, чтобы инициализировать процесс обновления пароля. Пароли могут назначаться непосредственно в маршрутизаторе или же они могут контролироваться удаленной базой данных защиты (как это реализовано, например, в сервере управления доступом CiscoSecure ACS), наряду с процессами ААА (аутентификации, авторизации и аудита) Cisco IOS.
Рис. 3.2. Терминал, связанный с консольным портом маршрутизатора
Маршрутизаторы Cisco могут работать в различных режимах. Сначала вы получаете доступ к консольному порту в режиме пользователя (user EXEC). Если пароль уровня пользователя, называемый также паролем начала сеанса (login password), был установлен, вам будет предложено ввести его. В режиме пользователя маршрутизатор отображает имя хоста маршрутизатора и символ приглашения в виде router>. В режиме пользователя можно использовать ряд команд, список которых можно получить в результате введения ? или help.
Чтобы получить доступ к привилегированному уровню (privileged EXEC или enable), необходимо ввести enable и нажать <Enter>. Если пароль режима enable был установлен, маршрутизатор запросит его. В этом режиме имя хоста маршрутизатора и символ приглашения отображаются в виде router#. Привилегированный режим открывает доступ к большему набору команд, а также доступ к режиму глобальной конфигурации, в котором вы можете изменить конфигурацию маршрутизатора. Для привилегированного режима можно установить разные уровни привилегий команд и разные уровни администрирования. Управление доступом пользователей к привилегированным уровням является очень важной составляющей защиты маршрутизатора.
Установка паролей консоли
Можно установить пароли как для режима пользователя, так и для привилегированного режима. Пароли консоли могут включать до 25 буквенно-цифровых символов как верхнего, так и нижнего регистров.
Приведем некоторые рекомендации, касающиеся парольной защиты консоли и Telnet, включая правила выбора надежных паролей и правила управления ими.
Назначайте пароли при первой же установке системы. Не используйте пароли, установленные по умолчанию.
Убедитесь, что привилегированный пароль отличается от пароля доступа.
Используйте пароли со смешанным набором символов (не ограничивайтесь только буквами нижнего и верхнего регистров), чтобы максимально усложнить нарушителю задачу взлома пароля.
Не записывайте пароли и не храните их там, где они могут быть легко найдены.
Не используйте легко угадываемые пароли типа имен домашних животных, адресов или дней рождения.
Как можно чаще меняйте пароли.
Никогда не используйте пароли типа “cisco” или “san-fran”, равно как и другие очевидные производные известных слов в условиях реального предприятия. Такие пароли обязательно будут проверены нарушителями, если последние обнаружат приглашение входа в систему Cisco.
Пароль пользовательского режима
Пароль консоли для режима пользователя устанавливается в файле конфигурации маршрутизатора с помощью команд, показанных в примере 3.1. В паролях различаются символы верхнего и нижнего регистров. В данном примере паролем является ruHamlet.
Пример 3.1. Установка пароля консоли для режима начала сеанса '
router(config)#line console О
router(config-line)#login
router (conf ig-1 ine) # pa s sword ruHaml et
При входе в систему маршрутизатора с установленным паролем начала сеанса, приглашение маршрутизатора будет выглядеть подобно показанному в примере 3.2.
[ Пример 3.2. Вид приглашения маршрутизатора с установленным паролем i V/чХ л начала сеанса '' .. 1
User Access Verification
Password:ruHamlet router>
В этом примере, чтобы получить непривилегированный доступ к маршрутизатору, необходимо ввести пароль ruHamlet. В ответ маршрутизатор открывает режим пользователя, на что указывает приглашение “>”. В этом режиме имеется возможность ввести ряд команд, позволяющих получить информацию о работе маршрутизатора, но нет возможности изменить его конфигурацию.
Пароль привилегированного режима
Пароль привилегированного режима устанавливается в файле конфигурации маршрутизатора в режиме глобальной конфигурации с помощью команд, показанных в примере 3.3. В этом примере пароль указывается в виде открытого текста 2Ьг! 2Ь@?.
ГгТр»«1М Установка пароля для режима enable ,j
router(config)#enable password 2br!2b®?
Чтобы перейти в привилегированный режим из непривилегированного, следует действовать так, как показано в примере 3.4. Маршрутизатор запрашивает пароль привилегированного режима. В данном примере, чтобы получить привилегированный доступ к маршрутизатору, необходимо ввести пароль 2br!2b??. В ответ маршрутизатор открывает привилегированный доступ, на что указывает приглашение “I”.
[ Пример 3.4. Выход в привилегированный режим из непривилегированного I 1с помощью ввода соответствующего пароля-‘
router>enable
Password: 2br12b??
router#
Шифрование паролей
По умолчанию все пароли консоли и Telnet сохраняются в маршрутизаторе в открытом виде и поэтому оказываются уязвимыми. Кроме того, их можно перехватить во время сеанса Telnet при вводе пароля привилегированного доступа или просмотра конфигурации с помощью команд write terminal или show running-config привилегированного режима. Пароли оказываются уязвимыми и при хранении конфигурации маршрутизатора на сервере ТЕТР.
Как станет ясно из последующих разделов, имеется две возможности скрыть пароли, обеспечиваемые командами service password-encryption и enable secret.
Команда service password-encryption
Данная команда заставляет систему хранить пароли конфигурации маршрутизатора в зашифрованном виде. Применяемая при этом схема шифрования представляет собой специальный обратимый алгоритм, используемый в устройствах Cisco и построенный на основе шифра Виженера, являющегося одним из вариантов полиалфавит- ного шифра.
Шифрование касается всех паролей, включая пароли пользователей, ключей аутентификации, привилегированных команд, доступа к консоли и виртуальным терминалам, а также пароли BGP (Border Gateway Protocol — пограничный межсетевой протокол, протокол BGP). Соответствующая команда имеет такой вид. router(config)#enable password [level уровень^ {пароль |
[ тип-шифрования] шифрованный-пароль}
Параметры команды и их значения представлены в следующей таблице.
Синтаксис
Описание
level уровень
(необязательный) Определяет уровень привилегий, для которого устанавливается пароль. Можно указать до 16 уровней привилегий, используя номера от 0 до 15. Уровень 1 соответствует уровню привилегий обычного пользователя привилегированного режима. Если этот параметр в данной команде (или в соответствующей команде с префиксом по) не определен, то для уровня привилегий по умолчанию устанавливается значение 15 (традиционно соответствующее разрешению привилегий). То же верно и для соответствующей команды с префиксом по
пароль
Задает пароль, требуемый от пользователя для входа в привилегированный режим. Этот пароль должен отличаться от пароля, создаваемого с помощью команды enable secret
тип-шифроваиия
(необязательный) Указывает используемый в устройствах Cisco алгоритм, с помощью которого выполняется шифрование пароля. В настоящее время единственным допустимым значением для этой команды является 7. Если этот параметр указан, то следующий параметр должен задавать шифрованный пароль (пароль, шифрованный маршрутизатором Cisco с помощью указанного типа шифрования). Если указано значение 0, пароль следует вводить в открытом виде
шифрованный-пароль
Определяет вводимый вами шифрованный пароль, копируемый из другой области конфигурации маршрутизатора
Предупреждение
Команда service password-encryption не обеспечивает высокого уровня защиты. Многие программы взлома паролей способны расшифровать пароли Cisco. При использовании этой команды вам придется принять дополнительные меры сетевой защиты.
Если возможность шифрования пароля активизирована, при вводе команды show running-config пароль будет показан в зашифрованном виде. Ключевое слово password 7 указывает, что возможность шифрования пароля активизирована, как показано в примере 3.5.
: Пример 3.5. Шифрованная форма пароля говорит о том, что возможность
Iшифрования пароля активизирована
router#show running-config
enable password 7 14141B180F0B i
line con 0
password 7 094F471A1A0A i
line vty 0 4
password 7 05080F1C2243
Команда enable password позволяет задать шифрование пароля с помощью метода шифрования Cisco. Как правило, эту опцию следует использовать только для повторного ввода неправильно введенного шифрованного пароля до выхода из привилегированного режима. Если в команде enable password указан тип шифрования пароля, пароль должен вводиться в зашифрованном виде, отображаемом командой show running-config. Если вы введете пароль в открытом виде, не сможете снова войти в привилегированный режим.
Замечание
Если вы потеряете или забудете шифрованный пароль, вам придется очистить энергонезависимое ЗУ (NVRAM) и установить новый пароль.
Команда enable secret
Эта команда глобальной конфигурации предполагает применение схемы одностороннего шифрования, основанной на использовании функции хэширования MD5, которая будет описана в главе 13. Этот метод шифрования более надежен, чем метод, предлагаемый командой service password-encryption. Команда доступна в рамках Cisco IOS Software версий 10.0(9), 10.2(5), 10.3(2) и последующих. Пароли данной команды остаются уязвимыми в отношении перебора всех вариантов и перебора по словарю. Рассмотрим синтаксис этой команды.
enable secret [level уровень] (пароль | [тнп-шнфрования] шнфрованнын-пароль^
Параметры команды и их значения представлены в следующей таблице.
Синтаксис
Описание
level уровень
(необязательный) Определяет уровень привилегий, для которого устанавливается пароль. Можно указать до 16 уровней привилегий, используя номера от 0 до 15.
Уровень 1 соответствует уровню привилегий обычного пользователя привилегированного режима. Если этот параметр в данной команде (или в соответствующей команде с префиксом по) не определен, то для уровня привилегий по умолчанию устанавливается значение 15 (традиционно соответствующее разрешению привилегий). То же верно и для соответствующей команды с префиксом по
пароль
Задает пароль, требуемый от пользователя для входа в привилегированный режим. Этот пароль должен отличаться от пароля, создаваемого с помощью команды enable password
тип-шифрования
(необязательный) Указывает используемый в устройствах Cisco алгоритм, с помощью которого выполняется шифрование пароля. В настоящее время единственным допустимым значением для этой команды является 5. Если этот параметр указан, то следующий параметр должен задавать шифрованный пароль (пароль, шифрованный маршрутизатором Cisco с помощью указанного типа шифрования). Если указано значение 0, пароль следует вводить в открытом виде
шифроваиный-пароль
Определяет вводимый вами шифрованный пароль, копируемый из другой области конфигурации маршрутизатора
На пароль команды enable secret указывает число 5, как видно из примера 3.6.
|Пример 3.6. На шифрованный пароль enable Secret указывает число 517*
router#show running-config ।
enable secret 5 $l$6cWV$inD7guHPLlD3ZmdX08MMS/
Конечно, шифрование полезно, но все же это не должно быть единственным методом, используемым для зашиты сетевых паролей.
Специалисты Cisco рекомендуют команду enable secret, поскольку она предполагает применение более совершенного алгоритма шифрования. Используйте команду
enable password только при загрузке достаточно старого программного обеспечения Cisco IOS или загрузчиков на ПЗУ (до версий 10.3, 4000 и 4000М маршрутизаторов Cisco), не распознающих команду enable secret.
Настройка параметров линии
Установка паролей начала сеанса и привилегированного доступа в некоторых случаях не может обеспечить достаточную степень защиты. Если консоль или сеанс связи Telnet останется без контроля в привилегированном режиме, любой пользователь сможет изменить конфигурацию маршрутизатора. Можно указать предельное время открытого состояния несопровождаемых линий, тем самым обеспечив дополнительную степень защиты.
Регулирование предельного времени работы несопровождаемой консоли (которой по умолчанию является консоль, не используемая в течение 10 минут) обеспечит дополнительную меру защиты. Можно изменить предельную длительность такой работы с помощью команды exec-timeout mm ss, где mm означает минуты, a ss — секунды, как показано в примере на рис. 3.3 (в этом примере значение предельной длительности работы консольного порта без сопровождения устанавливается равным 2 минутам 30 секундам).
КонсольКонсольКонсольный портКонсольный портМаршрутизатор подразделенияМаршрутизатор подразделенияРис. 3.3. Управление настройками линии с помощью соответствующих команд с их многочисленными опциямиРис. 3.3. Управление настройками линии с помощью соответствующих команд с их многочисленными опциямиrouter(config)#line console в router(config-line)#exec-tiiieout 2 Зв
Консоль
Консоль
Консольный порт
Консольный порт
Маршрутизатор подразделения
Маршрутизатор подразделения
Рис. 3.3. Управление настройками линии с помощью соответствующих команд с их многочисленными опциями
Рис. 3.3. Управление настройками линии с помощью соответствующих команд с их многочисленными опциями
Для управления защитой линии оказываются полезными и многие другие команды конфигурации. В примере 3.7 показаны некоторые типы линий, для которых в Cisco IOS предусмотрена настройка множества параметров.
Пример 3.7. Некоторые типы линий, для которых в Cisco IOS ",
Г . " ■ предусмотрена настройка множества параметров ' >.
router(config)#line ?
<0-70>First Line number
auxAuxiliary line
console Primary terminal line
ttyTerminal controller
vtyVirtual terminal
В примере 3.8 показаны некоторые из множества параметров, с помощью которых осуществляется управление защитой линий.
Пример 3.8. Параметры управления защитой линий
router(config)iline console router(config-line)1?
Line configuration commands:
0
absolute-timeout access-class
exec exec-banner exec-timeout exit full-help history login logout-warning
Set absolute timeout for line disconnection Filter connections based on an IP access list Start an EXEC process
Enable the display of the EXEC banner
Set the EXEC timeout
Exit from line configuration mode
Provide help to unprivileged user
Enable and control the command history function
Enable password checking
Set Warning countdown for absolute timeout of line
monitor
motd-banner
no
privilege
refuse-message
session-disconnect-warning session-timeout
Copy debug output to the current terminal line Enable the display of the MOTD banner Negate a command or set its defaults Change privilege level for line Define a refuse banner
Set warning countdown for session-timeout
Set interval for closing connection when there is no input traffic
telnet timeout
vacant-message
Telnet protocol-specific configuration
Timeouts for the line
Define a vacant banner
Использование многоуровневой системы привилегий
Как уже говорилось выше, программное обеспечение Cisco IOS имеет по умолчанию два режима зашиты пароля — это user EXEC и privileged EXEC (режим enable). Командам каждого из этих режимов можно назначить до 16 иерархических уровней, что позволяет делегировать административные полномочия. Команды Cisco IOS можно связать с любым из уровней, и это обеспечивает достаточно широкие возможности управления доступом пользователей. С помощью множества паролей можно разрешить различным группам пользователей доступ к разным наборам команд. Предопределенными являются следующие уровни.
Уровень 1 предназначен для получения права доступа в режиме пользователя.
Уровни 2—14 являются настраиваемыми уровнями привилегий пользователей.
Уровень 15 предназначен для разрешения доступа в привилегированном режиме; тот же тип доступа открывается командой enable.
Уровень привилегий для команды задается с помощью команды privilege level глобальной конфигурации. Использование этой команды с префиксом по возвращает к уровню привилегий, заданному для соответствующей команды по умолчанию. Синтаксис команды следующий.
privilege режим {level уровень команда | reset команда}
Параметры команды и их значения описываются в следующей таблице.
Синтаксис
Описание
режим
Указывает режим конфигурации. Допустимыми значениями являются ехес, configure, line, interface и другие режимы конфигурации маршрутизатора
level уровень
Назначает уровень привилегий от 0 до 15, связываемый с указанной командой
команда
Указывает команду, с которой связывается назначаемый уровень привилегий
reset команда
Восстанавливает уровень привилегий указанной команды
Примером использования команды privilege level является разрешение системному администратору применять команды мониторинга и тестирования (ping, show, debug) путем назначения им уровня 2, а системному инженеру — все команды, как показано на рис. 3.4.
Системный администратор уровень 2: show, debug, pingСистемный администратор уровень 2: show, debug, pingСетевой инженер уровень 15: все командыСетевой инженер уровень 15: все команды
Системный администратор уровень 2: show, debug, ping
Системный администратор уровень 2: show, debug, ping
Сетевой инженер уровень 15: все команды
Сетевой инженер уровень 15: все команды
Маршрутизатор
Рис. 3.4. Использование команды privilege level для создания иерархии административных уровней
Соответствующим образом настроить маршрутизатор можно так, как показано в примере 3.9.
Пример 3.9. Назначение уровней привилегий позволяет системному ад- I . министратору использовать команды системного монито- ■л гринга и тестирования;
router(config) if privilege exec level 2 show startup-config
router(config)#privilege exec level 2 debug ip rip
router (config) if privilege exec level 2 ping router (config) if enable secret level 2 2kdo40d
Вы можете установить уровень привилегий по умолчанию для линии с помощью команды privilege level конфигурации линии, которая имеет следующий синтаксис, privilege level уровень
Чтобы получить доступ к привилегированному уровню, можно воспользоваться командой enable привилегированного режима линии, имеющей такой синтаксис.
router>enable уровень
Использование информационных баннеров устройств
Вы можете использовать баннерные сообщения, информирующие о том, кому позволено (и не позволено) входить в вашу сеть. Никогда не применяйте слово welcome (добро пожаловать) в баннерах, демонстрируемых пользователям в процессе регистрации входа в систему. Имеются прецеденты, когда по решению суда нарушители признавались невиновными на основании того, что слово welcome расценивалось ими как приглашение администратора войти в систему. Создайте сообщение, извещающее о том, насколько серьезными для вас являются нарушения защиты. Если это возможно, относительно текста баннерных сообщений следует получить заключение соответствующего специалиста в области юриспруденции. Цитируйте соответствующие гражданские акты и законы, относящиеся к вопросам сетевой защиты. Простым примером является следующий текст: “Внимание! Это частная сеть компании XYZ. Несанкционированный доступ и использование ресурсов сети будут преследоваться по закону”.
Параметры команды banner
Вы можете выбрать конфигурацию, которая предполагает отображение информации об активизации линии при инициализации процесса ЕХЕС. Баннерные сообщения могут появляться тогда, когда пользователь входит в режим privileged EXEC, при активизации линии, попытке связи с виртуальным терминалом или как специальные сообщения. Чтобы создать баннерное сообщение, в режиме глобальной конфигурации вводят следующую команду.
banner {exec j incoming | login | motd} d сообщение d
Параметры команды и их значения описываются в таблице.
В примере 3.10 указаны типы активизации линии, для которых вы можете назначить баннерное сообщение.
Синтаксис Описание
ехесГоворит о том, что сообщение должно появляться при создании процесса ЕХЕС (например,
при активизации консольной линии или при попытке доступа к линии vty)
incoming Свидетельствует о том, что сообщение должно появляться при попытке (асинхронного) подключения к линии со стороны узла сети
loginГоворит о том, что сообщение должно появляться во время работы программы входа в
систему перед приглашением ввести имя пользователя и пароль
motdВызывает появление сообщения MOTD (Message of the Day — специальное сообщение).
Появляется во время входа в систему и оказывается полезным при необходимости распространения информации, касающейся всех пользователей сети
Синтаксис Описание
dЗадает символ разделителя, которым, например, может быть символ “#”. В тексте бан
нерного сообщения символ разделителя использовать нельзя
сообщение Задает текст сообщения
Пример 3.10. Пример создания баннерного сообщения, которое будет появ-' : пяться при инициализации пользователем процесса ЕХЕС у
router(config)#banner exec $
Session activated. Enter commands at the prompt.
$
Управление доступом Telnet
Основной возможностью защиты маршрутизаторов Cisco является управление доступом Telnet к маршрутизатору. Этот тип защиты важен, поскольку с помощью Telnet к маршрутизатору можно получить привилегированный доступ. При попытке доступа к маршрутизатору с помощью Telnet пользователь получает приглашение маршрутизатора в пользовательском режиме. Затем пользователь может войти в привилегированный режим. Рассмотрим несколько замечаний, которые следует учитывать при управлении доступом Telnet.
Порты Telnet в маршрутизаторе называются портами виртуальных терминалов (портами vty).
Следует установить пароль привилегированного режима (пароль enable), ограничивающий доступ к привилегированному режиму через Telnet.
По умолчанию пароль режима enable для маршрутизатора не установлен. При попытке подключения посредством Telnet к интерфейсу, пароль для которого не установлен, вы увидите сообщение, информирующее о том, что требуется пароль, но он не был установлен. Консольный порт при этом является единственным портом, позволяющим доступ в привилегированном режиме, когда пароль vty не установлен.
Программное обеспечение Cisco IOS использует один и тот же пароль для портов vty и консоли.
Необходимо ограничить доступ Telnet с помощью команд access-class и access-list, в частности необходимо сделать следующее:
ограничить доступ Telnet источникам с определенными IP-адресами;
определить стандартный список доступа с разрешенными IP-адресами;
использовать список доступа для линий vty с помощью команды access-class.
Необходимо настроить все заданные конфигурацией порты vty. Порты с номерами 0—4 имеются по умолчанию, но можно назначить и большее число портов.
Следует ограничить доступ к порту aux, заблокировать его или вообще отключить с помощью команды no ехес в режиме конфигурации линии.
Нужно отключить команды, подобные ip alias, no cdp running и no cdp enable, чтобы предотвратить возможность доступа нарушителей к маршрутизатору через порты vty. Подробную информацию о командах, которые следует отключить в целях защиты от атак доступа, вы найдете в главе 7.
Необходимо заблокировать запросы отклика с помощью команд no service tcp-small-servers и no service udp-small-servers.
Следует установить ограничения на типы соединений (secure shell, LAT, RCP), которые могут быть открыты к маршрутизатору, используя для этого команды transport input.
Примеры конфигурации Telnet
Рассмотрим примеры конфигурации, обеспечивающие защиту доступа Telnet. В примере 3.11 показано, как установить пароль начала сеанса (режима пользователя) для линий vty с номерами 0-4.
Пример 3.11. Установка пароля начала сеанса (режим пользователя) для ' линий vty с номерами 0-4, J
router(config)#line vty 0 4
router(config-line)#login
router(config-line)#password Shakespeare
В примере 3.12 устанавливается пароль маршрутизатора для привилегированного режима — такой пароль пользователь должен вводить после получения доступа Telnet к линии vty. В примере показан фрагмент сеанса Telnet. При этом отображается баннер MOTD. Пользователь вводит пароль Shakespeare, требуемый для начала сеанса Telnet. Затем он вводит команду enable и получает приглашение ввести пароль режима enable. После этого пользователь вводит соответствующий пароль, а именно пароль whatlight, и получает доступ в привилегированном режиме.
! Пример 3.12. Использование пароля привилегированного режима в ходе • |1 сеанса Telnet' ' г’ ’ {
router(config)#enable password whatlight
C:\>telnet 10.1.1.2
"MOTD Banner"
User Access Verification
Password: shakespeare
router>enable
Password: whatlight
router#
Рассмотрим теперь пример 3.13, в котором демонстрируется использование списка доступа, разрешающего доступ к линиям vty с номерами 0—4 только системе администратора с адресом 10.1.1.4. Обратите внимание на то, что применение списка доступа к линиям vty обеспечивается командой access-class.
^Пример 3.13. Список доступа 21 разрешает доступ к линиям vty админи- ‘ j -страторус адресом 10.1.1.4• •..
router(config)#access-list 21 permit 10.1.1.4
router(config)#line vty 0 4
router (config-line) #access-class 21 in
Управление доступом SNMP
Средства SNMP могут использоваться нарушителями для внедрения в сеть, если эти средства не настроены должным образом. Вы можете даже не знать о том, что кто-то получает доступ к базам MIB (Management Information Base — информационная база управления) с помощью средств мониторинга SNMP или осуществляет захват сообщений SNMP вашего сетевого оборудования. Для защиты инфраструктуры сети очень важно контролировать доступ SNMP. Протокол SNMP допускает различные уровни доступа: доступ только для чтения (RO) позволяет читать базы MIB, доступ чтения/записи (RW) позволяет как читать, так и записывать данные, а доступ записи (W) — только записывать данные.
Обзор SNMP
SNMP (Simple Network Management Protocol — простой протокол сетевого управления) представляет собой протокол прикладного уровня, обеспечивающий связь между диспетчерами и агентами SNMP.
Система SNMP состоит из следующих трех компонентов (рис. 3.5).
Управляемые устройства типа маршрутизаторов и коммутаторов.
Агенты SNMP и базы MIB, в частности базы RMON MIB (Remote MONitoring MIB — база MIB удаленного мониторинга), размещенные в управляемых устройствах.
Приложение-диспетчер SNMP типа CiscoWorks 2000, которое взаимодействует с агентами и управляемыми устройствами с целью сбора статистических данных и предупреждений.
Замечание
Управляющее приложение SNMP (диспетчер), вместе с компьютером, на котором оно выполняется, называется системой сетевого управления (Network Management System — NMS).■
Сетевое управление SNMP использует следующие функции агента SNMP.
Доступ к переменным MIB. Эта функция инициализируется агентом SNMP в ответ на запрос NMS. Агент извлекает значение запрашиваемой переменной MIB и возвращает его системе NMS. Доступ систем NMS должен контролироваться, чтобы не допустить доступ нарушителей к базам MIB с целью выяснения конфигурации и состояния устройств.
NMS
Диспетчер SMNPАгент SMNP
Базы управления SMNP
Рис. 3.5. Компоненты системы SNMP
Установка переменных MIB. Эта функция инициализируется агентом SNMP в ответ на сообщение NMS. Агент SNMP изменяет значение переменной MIB на
значение, указанное NMS. Доступ должен контролироваться, чтобы не дать нарушителям возможности изменить конфигурацию устройств.
Прерывания SNMP. Эта функция используется для извещения NMS о том, что в системе агента произошло важное событие. Когда в результате наступления определенного события генерируется прерывание, агент SNMP посылает сообщение прерывания SNMP всем станциям NMS, указанным в списке получателей такого сообщения. Доступ должен контролироваться, чтобы не дать сетевым нарушителям возможности перехватить информацию о событиях оборудования.
Групповые строки SNMP. Групповые строки SNMP идентифицируют доступ к объектам MIB и функционируют подобно встроенным паролям.
Извещения SNMP
Система может генерировать извещения SNMP двух типов — прерывания и информационные запросы. Прерывания обеспечивают ограниченную надежность ввиду того, что от получателя не требуется подтверждение получения прерывания. Отправитель не может определить, было ли получено отправленное прерывание. Информационные запросы более надежны, поскольку в этом случае агент SNMP посылает запрос, который должен быть подтвержден диспетчером SNMP посредством возвращения PDU (Protocol Data Unit — протокольная единица обмена). Если диспетчер не получит информационный запрос, он не отправит ответ. Если отправитель не получит ответ, информационный запрос можно послать снова. Поэтому вероятность того, что соответствующая информация достигнет своего адресата, оказывается выше.
Поддерживаемые версии SNMP
Программное обеспечение Cisco IOS версии 12.0 поддерживает следующие версии SNMP.
SNMPvl, принятый в качестве стандарта Internet и определенный в документе RFC 1157.
SNMPv2C (Classic), состоящий из следующих частей:
SNMPv2 — версия 2 протокола SNMP, принятая в качестве проекта стандарта Internet и определенная в документах RFC 1902-1907;
SNMPvZC — распределенная административная структура для SNMPv2, принятая в качестве экспериментального протокола Internet и определенная в документе RFC 1901.
SNMPv2C заменяет административную и защитную структуру SNMPv2Classic на распределенную административную структуру, во многом сохраняя средства массового поиска и усовершенствованного контроля ошибок SNMPv2Classic.
Как SNMPvl, так и SNMPv2C используют распределенные (т.е. доступные в сети) формы защиты. Совокупность диспетчеров, имеющих право доступа к базе MIB агента, определяется списком доступа с IP-адресами и паролями. Поддержка SNMPv2C включает механизм массового поиска и возвращение управляющим станциям более подробных сообщений об ошибках.
Настройка агента SNMP
Агент SNMP должен быть настроен так, чтобы имелась возможность использовать ту версию SNMP, которую поддерживает NMS. Один агент может связываться со
многими системами NMS, поэтому программное обеспечение Cisco IOS можно настроить так, чтобы при связи с одними станциями управления использовался протокол SNMPvl, а с другими — протокол SNMPv2.
Чтобы настроить SNMP в маршрутизаторе, необходимо определить связь между NMS и соответствующим агентом. Агент SNMP имеет переменные MIB, значения которых система NMS может запросить или изменить. Система NMS может получать данные от агента и сохранять их в системе агента. Агент собирает данные баз MIB, хранящих информацию о параметрах сетевых устройств. Агент может также отвечать на запросы системы NMS о получении или изменении данных.
Управление доступом SNMP с помощью групповых строк
Существует возможность настройки групповых строк SNMP, определяющих связи между диспетчером SNMP и соответствующим агентом. Групповые строки подобны паролям, разрешающим доступ к агенту в маршрутизаторе. Можно указать один или несколько следующих объектов, связываемых со строкой, контролирующей доступ.
Список доступа с IP-адресами систем NMS, которым разрешается использовать данную групповую строку для получения доступа к агенту.
Представление базы MIB, определяющее набор всех объектов MIB, доступных системам данной группы.
Установка доступа чтения/записи или только чтения для объектов MIB, доступных системам данной группы.
Чтобы определить групповую строку, используйте следующую команду в режиме глобальной конфигурации.
router(config)#snmp-server community строка [view имя-представления] [го | rw] [число]
Поле число должно содержать необязательный номер списка доступа. В команде snmp- server community можно использовать стандартные списки доступа IP (Internet Protocol — протокол межсетевого взаимодействия) или стандартные списки доступа IP с расширенным диапазоном. Можно определить несколько групповых строк, а для их удаления нужно применить команду no snmp-server community.
Непривилегированный доступ SNMP
Для непривилегированного доступа SNMP к маршрутизаторам используется параметр го команды snmp-server community. Показанные в примере 3.14 команды конфигурации разрешают агенту в маршрутизаторе принимать только запросы get-request и get-next-request SNMP, посылаемые с помощью групповой строки secure.
I Пример 3.14. Разрешение использовать сообщения SNMP, посылаемые ' г - с помощью групповой строки secure ..
router (config)# snmp-server community secure ro
Привилегированный доступ SNMP
Для привилегированного доступа SNMP к маршрутизаторам используется параметр rw команды snmp-server community. Показанные в примере 3.15 команды конфигурации разрешают агенту в маршрутизаторе использовать только сообщения setrequest SNMP, посылаемые с помощью групповой строки semisecure.
router(config)#snmp-server community semisecure rw
Доступ SNMP по спискам доступа
Можно указать список хостов с конкретными IP-адресами, которым разрешается посылать сообщения маршрутизатору. Для этого используется параметр access-list команды snmp-server community, который можно применять как в привилегированном, так и в непривилегированном режимах. Показанные в примере 3.16 команды конфигурации разрешают доступ к маршрутизатору в привилегированном режиме SNMP только узлам с адресами 10.1.1.4 и 10.1.1.5.
Пример 3.16. Разрешение доступа в привилегированном режиме SNMP.
router(config)iaccess-list 1 permit 10.1.1.4
router(config)#access-list 1 permit ID.1.1.5
router(config)#snmp-server community private rw 1
Разрешение прерываний и запросов SNMP только заданным системам
Вы должны быть уверены, что конфигурация маршрутизатора позволит отсылать прерывания SNMP только узлам, которые назначены вами для выполнения функций NMS. Прерывание представляет собой сообщение, посылаемое агентом SNMP системе NMS, консоли или терминалу; оно информирует о наступлении некоторого важного события, например о выполнении определенных условий или достижении некоторой пороговой величины.
Настройка маршрутизатора для отсылки прерываний SNMP только заданным узлам NMS осуществляется с помощью команды snmp-server host узел trap, а настройка маршрутизатора для отсылки информационных запросов SNMP только заданным узлам NMS — с помощью команды snmp-server host узел informs.
Команда snmp-server enable traps предназначена для того, чтобы дать общее разрешение использовать механизм генерирования прерываний и информационных запросов.
Некоторые прерывания и информационные запросы не контролируются командой snmp-server enable traps. Эти элементы системы либо активизированы по умолчанию, либо управляются другими командами. Например, при открытии и закрытии интерфейса соответствующие прерывания линии SNMP генерируются по умолчанию. Для интерфейсов, которые часто открываются и закрываются (например, для интерфейса ISDN), генерирование соответствующих прерываний может оказаться нежелательным. Чтобы отменить генерирование прерываний, используйте команду no snmp trap link-status в режиме конфигурации интерфейса.
Кроме того, можно указать значения, отличные от значений по умолчанию, для числа попыток, интервала ретрансмиссии, максимального числа отложенных запросов и IP-адреса источника. Для этого используются дополнительные команды snmp-server informs и snmp-server trap-source в режиме глобальной конфигурации.
Защита связи между маршрутизаторами
Связь между маршрутизаторами можно использовать для прослушивания, манипуляции данными, воспроизведения сеансов связи и изменения параметров маршрутизации. Примерами могут быть обновления параметров маршрутизации, передача файлов маршрутизатора по протоколу ТЕТР и доступ к маршрутизатору по протоколу HTTP. Защита связи между маршрутизаторами может быть обеспечена так, как предлагается в следующих разделах, где будут рассмотрены следующие вопросы:
аутентификация протокола маршрутизации;
защита файлов конфигурации маршрутизатора;
управление потоком данных с помощью фильтров;
запрет обработки обновлений маршрутизации;
входные сетевые фильтры;
пример политики защиты, предполагающей контроль потока данных;
управление доступом HTTP к маршрутизатору.
Аутентификация протокола маршрутизации
Протоколы маршрутизации уязвимы в отношении прослушивания и фальсификации обновлений маршрутизации. Например, протокол маршрутизации RIP можно фальсифицировать, имея правильную контрольную сумму любого действительного заголовка IP над произвольным обновлением маршрутизации; контрольная сумма UDP при этом не используется. Программное обеспечение Cisco IOS поддерживает аутентификацию обновлений маршрутизации, чтобы обнаружить несанкционированные или фальсифицированные сообщения маршрутизации из неизвестных источников. Аутентификация протокола маршрутизации называется также аутентификацией соседнего узла.
Если в маршрутизаторе предусмотрена аутентификация соседнего узла, он выполняет аутентификацию источника для всех пакетов обновления маршрутизации. Для этого применяется процедура обмена ключами аутентификации или подписями, настраиваемыми как в посылающем, так и в принимающем маршрутизаторах. На рис. 3.6 показана схема процесса аутентификации соседнего узла, когда предполагается, что маршрутизаторы А и В настроены на выполнение соответствующей функции. Маршрутизатор А подписывает пакет обновления маршрутизации и посылает пакет маршрутизатору В. Маршрутизатор В проверяет подпись аутентификации, чтобы убедиться в том, что обновление не было изменено в пути.
Cisco IOS версии 12.0 предлагает два типа аутентификации соседнего узла — открытую аутентификацию и аутентификацию MD5. В обоих случаях аутентификация выполняется одинаково, с той лишь разницей, что при использовании MD5 пересылается “профиль” ключа аутентификации, а не сам ключ. Профиль сообщения создается с помощью ключа и сообщения, но сам ключ непосредственно не пересылается, что исключает возможность его перехвата. Открытая аутентификация предполагает пересылку ключа аутентификации по сети. Настройку средств аутентификации MD5 мы рассмотрим в этой главе немного позже, а алгоритм MD5 будет подробно рассматриваться в главе 13.
Подпись
Обновление маршрутизации
Маршрутизатор Аподписывает обновлениемаршрутизацииМаршрутизатор Аподписывает обновлениемаршрутизацииТерриториальнаясетьТерриториальнаясетьМаршрутизатор Впроверяет подписьМаршрутизатор Впроверяет подпись
Маршрутизатор Аподписывает обновлениемаршрутизации
Маршрутизатор Аподписывает обновлениемаршрутизации
Территориальнаясеть
Территориальнаясеть
Маршрутизатор Впроверяет подпись
Маршрутизатор Впроверяет подпись
Рис. 3.6. Аутентификация соседнего маршрутизатора с целью защиты обновлений протокола маршрутизации
Замечание
Открытая аутентификация не рекомендуется для использования в качестве составляющей стратегии сетевой защиты. Главной областью ее применения является защита от случайных изменений маршрутизации. Для защиты сетевой инфраструктуры рекомендуется аутентификация MD5.
Открытая аутентификация
Каждая пара соседних маршрутизаторов должна использовать обший ключ аутентификации. Этот ключ задается в каждом маршрутизаторе в процессе его настройки. Некоторые протоколы позволяют определить множество ключей, и тогда каждый ключ должен иметь свой номер.
Вообще говоря, когда посылается обновление маршрутизации, выполняется следующая последовательность операций.
Маршрутизатор посылает соседнему маршрутизатору обновление маршрутизации вместе с ключом и соответствующим номером ключа. В протоколах, допускающих использование только одного ключа, номер ключа всегда равен 0.
Принимающий (соседний) маршрутизатор сравнивает полученный ключ с ключом, хранимым в памяти.
Если два ключа совпадают, адресат принимает пакет обновления маршрутизации.
В противном случае пакет обновления отвергается.
В рамках программного обеспечения Cisco IOS поддерживаются следующие протоколы маршрутизации с открытой аутентификацией пакетов:
агент сервера DRP;
протокол IS-IS (Intermediate System to Intermediate System — протокол связи между промежуточными системами);
OSPF (Open Shortest Path First — первоочередное открытие кратчайших маршрутов);
RIP версии 2 (Routing Information Protocol — протокол маршрутной информации).
Аутентификация MD5
Аутентификация MD5 выполняется аналогично открытой аутентификации, за исключением того, что ключ по линии не пересылается. Вместо этого маршрутизатор
использует алгоритм MD5, чтобы создать профиль ключа (называемый также хэш- кодом). Профиль ключа пересылается вместо самого ключа, и это гарантирует, что никто не сможет перехватить ключ во время пересылки, а значит, и не сможет изменить или создать новое сообщение обновления маршрутизации.
Программное обеспечение Cisco IOS Software поддерживает использование аутентификации MD5 обновлений маршрутизации для следующих протоколов:
протокол BGP (Border Gateway Protocol — пограничный межсетевой протокол);
протокол EIGRP (Enhanced Interior Gateway Routing Protocol — частный протокол внутреннего шлюза, используемый маршрутизаторами Cisco);
. OSPF;
RIP версии 2.
Аутентификация MD5 для EIGRP
Аутентификация MD5 для протокола маршрутизации EIGRP обеспечивает защиту обновлений маршрутизации. Профиль ключа MD5 в пакете EIGRP исключает возможность использования несанкционированных или фальсифицированных сообщений маршрутизации из неизвестных источников. Аутентификация маршрутов EIGRP использует MD5 для идентификации обновлений маршрутизации в рамках протокола маршрутизации EIGRP.
Перед тем как воспользоваться возможностью аутентификации маршрутов EIGRP, необходимо активизировать EIGRP. Для настройки средств аутентификации пакетов EIGRP, выполните следующие шаги в режиме конфигурации интерфейса.
Активизируйте аутентификацию MD5 пакетов IP, использующих протокол EIGRP, с помощью команды ip authentication mode eigrp автономная-система md5.
Активизируйте аутентификацию пакетов IP, использующих протокол EIGRP, с помощью команды ip authentication key-chain eigrp автономная-система цепочка-ключей.
Перейдите в режим глобальной конфигурации с помощью команды exit.
Определите цепочку ключей с помощью команды key chain имя-цепочки. Используйте имя, заданное в п. 2.
Определите номер ключа с помощью команды key число в режиме конфигурации цепочки ключей.
В режиме конфигурации цепочки ключей определите строку ключа с помощью команды key-string текст.
В качестве опции с помощью команды accept-lifetime начало (infinite | конец | duration секунды} можно указать интервал времени, в течение которого можно получить ключ.
В качестве опции с помощью команды send-lifetime начало (infinite | конец | duration секунды} можно указать интервал времени, в течение которого можно отослать ключ.
Каждый ключ имеет свой идентификатор (определенный командой key число), хранимый локально. Комбинация идентификатора ключа и интерфейса, связываемого с сообщением, уникальным образом характеризует алгоритм аутентификации и используемый ключ аутентификации MD5.
Можно разместить множество ключей с разными сроками их использования. Но независимо от числа имеющихся действительных ключей посылается только один пакет аутентификации. Программное обеспечение проверяет номера ключей по порядку, от наименьшего к наибольшему, и использует первый подходящий ключ. Обратите внимание на то, что маршрутизатору необходимо знать время (см. главу “Performing Basic System Management” руководства Configuration Fundamentals Configuration Guide).
Пример аутентификации маршрутов EIGRP
' Рассмотрим пример 3.17, в котором выполняется настройка параметров аутентификации маршрутов EIGRP с помощью MD5 (см. также рис. 3.6).
Пример 3.17. Аутентификация маршрутов EIGRP с помощью MD5 ! Router А ip authentication mode eigrp 1 md5 ip authentication key-chain eigrp 1 cbobw key chain cbobw key 1 key-string 0987654321 accept-lifetime infinite send-lifetime Jan 01 2001 infinite key 2 key-string 1234567890 accept-lifetime infinite send-lifetime Jan 01 2002 infinite exit ! router eigrp 200 network 10.1.1.0 network 10.1.2.0 ! Router В ip authentication mode eigrp 1 md5 ip authentication key-chain eigrp 1 cpw key chain cpw key 1 key-string 0987654321 accept-lifetime infinite send-lifetime 04:00:00 Jan 01 2001 04:00:00 Jan 01 2002 key 2 key-string 1234567890 accept-lifetime infinite send-lifetime Jan 01 2002 infinite exit router eigrp 200 network 10.2.1.0 network 10.2.2.0
В этом сценарии для аутентификации обновлений маршрутизации EIGRP используется MD5. Маршрутизатор А принимает пакет EIGRP и пытается проверить его
профиль MD5, применяя ключ 1 или 2. Другие пакеты отвергаются. Маршрутизатор А отправляет все пакеты EIGRP с ключом 2. Маршрутизатор В принимает ключ 1 или 2, но отправляет ключ 1.
Внимание!
Как любые ключи паролей и другие секреты защиты, ключи аутентификации соседних маршрутизаторов настоятельно рекомендуется хранить в тайне. От этого напрямую зависит надежность аутентификации. Кроме того, при управлении маршрутизатором средствами SNMP не забывайте о риске, связанном с пересылкой ключей в открытом виде.
Защита файлов конфигурации маршрутизатора
Если маршрутизатор регулярно использует файлы конфигурации с сервера ТЕТР (Trivial File Transfer Protocol — простейший протокол передачи данных) или МОР (Maintenance Operations Protocol — протокол операций сопровождения), то любой, кто имеет доступ к такому серверу, может изменить файлы конфигурации маршрутизатора, как показано на рис 3.7. Обмен файлами ТЕТР уязвим в отношении их перехвата на пути между клиентами и серверами ТЕТР.
Важно обеспечить защиту серверов ТЕТР, на которых хранятся файлы конфигурации маршрутизаторов, ограничив доступ к таким серверам с учетом следующего.
Файлы конфигурации могут храниться на сервере ТЕТР, а также загружаться на него извне.
Протокол ТЕТР не является защищенным, а значит, не предполагает использования пароля.
Каждый, кто имеет доступ к серверу ТЕТР, может изменить файл конфигурации маршрутизатора.
Требуется надежная защита хоста.
Для копирования параметров конфигурации маршрутизаторов Cisco в сети можно использовать защищенное дистанционное копирование (Kerberized гср, см. главу 4).
Серверы ТЕТР могут быть обнаружены с помощью программ сканирования портов. Здесь может оказаться полезным вручную запрещать или разрешать использование программного обеспечения сервера ТЕТР .
Ограничение использования SNMP с серверами ТЕТР
Доступ к серверам ТЕТР, используемым для сохранения и загрузки файлов конфигурации по протоколу SNMP, можно ограничить путем создания соответствующих списков доступа. Используйте команду snmp-server tftp-server-list число, чтобы ог-
раничить набор серверов ТЕТР, используемых для копирования файлов конфигурации по протоколу SNMP, серверами из списка доступа. Маршрутизаторы Cisco поддерживают загрузку конфигурации и загрузочных модулей через FTP, что может оказаться предпочтительнее использования TFTP.
Управление потоком данных с помощью фильтров
Списки доступа являются мощным средством для контроля потока обновлений маршрутизации и обычных данных маршрутизатора. Структура списков доступа и их настройка подробно рассмотрены в приложении В, “Создание стандартных и расширенных списков доступа”. Здесь мы сформулируем следующие рекомендации, касающиеся использования списков доступа для контроля трафика.
Используйте списки доступа для того, чтобы заблокировать или разрешить трафик на уровне интерфейса маршрутизатора.
Списки доступа не идентифицируют индивидуальных пользователей, а фильтруют поток данных на основе информации, содержащейся в пакетах, такой как адрес получателя или порта назначения, адрес источника или соответствующего порта, протокол верхнего уровня.
Фильтрация сетей в пакетах обновления маршрутизации
Фильтрация сетей в пакетах обновления маршрутизации помогает защитить сеть следующим образом.
Усиливает защиту. Если сеть не является широко известной, неизвестны и маршруты в такой сети, поэтому нарушители будут иметь больше проблем при доступе к ней. Таким образом, если защита маршрутизатора оказывается важным делом, имеет смысл ограничить распространение информации о сетевых маршрутах.
Повышает устойчивость сети. Фильтрация сетей в пакетах обновления маршрутизации обеспечивает защиту от получения ложной информации в обновлениях маршрутизации из-за неправильной конфигурации или преднамеренных действий, ведущих к возникновению проблем маршрутизации.
В следующих четырех разделах описываются сценарии и методы фильтрации обновлений маршрутизации. Схема, представленная на рис. 3.8, применима к первым двум сценариям. В этом случае списки доступа связываются с сетевыми интерфейсами с помощью команды distribute-list и оказываются полезными для фильтрации как поступающих, так и исходящих обновлений маршрутизации.
Фильтрация маршрутов в исходящих обновлениях
Рис. 3.8. Фильтрация обновлений маршрутизации с помощью списков доступа
Запрет объявления маршрутов в обновлениях маршрутизации
Чтобы нс дать возможности потенциальным нарушителям выяснить конфигурацию вашей сети, не следует “рекламировать” внутренние сети, которые должны быть доступны только внутренним пользователям. В сети реального предприятия некоторые подразделения — такие как отдел сбыта компании XYZ — не заинтересованы в объявлении информации о внутренних сетях внешним устройствам, находящимся за пределами сети подразделения. Запретить объявление соответствующих сетей в обновлениях маршрутизации можно с помощью списков доступа, как показано в примере 3.18.
Пример 3.18. Запрет объявления сети в обновлениях маршрутйзации \^1 с помощью списка доступаz.
router(config)#access-list 45 deny 10.1.2.0 0.0.0.255 router(config)#access-list 45 permit any any router(config)#router eigrp 200
router(config-router)#distribute-list 45 out serialO
С помощью этих команд создается конфигурация списка доступа, исключающая возможность объявления обновлений, исходящих от сети 10.1.2.0, и требуется применение этого списка доступа к исходящему трафику EIGRP интерфейса serialO.
Запрет обработки маршрутов, указанных в обновлениях
Следует запретить использовать адреса сетей, указываемые в обновлениях маршрутизации. Запрет обработки таких сетей не дает возможности навязать системе маршруты, которые могут оказаться фиктивными. Фильтры списка доступа разрешают использовать обновления маршрутизации, исходящие только от маршрутизаторов сети, информация о которых имеется в таблице маршрутизации данного маршрутизатора. Эта возможность неприменима при работе с протоколами OSPF и IS-IS. Запрет обработки маршрутов выполняется с помощью команд, показанных в примере 3.19.
’ Пример 3.19. Запрет обработки маршрутов-уj
router(config)#access-list 46 permit 10.2.0.0 0.0.255.255
router(config)#router eigrp 200
router (config-router) #distribute-list 46 in serialO
С помощью этих команд создается конфигурация списка доступа, допускающая возможность использования обновлений, исходящих только от надежной сети 10.2.0.0, и указывается необходимость применения этого списка доступа к входящему трафику интерфейса serialO.
Запрет движения обновлений маршрутизации через интерфейс
Чтобы исключить возможность получения динамической информации о маршрутах другими маршрутизаторами локальной сети, можно запретить движение сообщений маршрутизации через интерфейс маршрутизатора. Эта возможность касается всех
протоколов маршрутизации IP, кроме BGP (Border Gateway Protocol — пограничный межсетевой протокол) и EGP (Exterior Gateway Protocol — протокол внешней маршрутизации). Запретить пересылку обновлений маршрутизации через интерфейс конкретного маршрутизатора можно с помощью команды passive-interface тип число. При этом интерфейс по-прежнему будет проверять (принимать) динамическую информацию о маршрутизации, которая будет поступать на его вход.
Фильтрация источников информации о маршрутизации
Использование параметра административной дистанции позволяет маршрутизатору интеллектуально подходить к вопросу о различиях между источниками информации о маршрутизации. Административная дистанция представляет собой рейтинг надежности источника информации о маршрутизации, которым может быть маршрутизатор или группа маршрутизаторов. Маршрутизатор всегда будет выбирать маршрут, протокол маршрутизации которого будет характеризоваться наименьшей административной дистанцией. В большой сети некоторые протоколы маршрутизации и некоторые маршрутизаторы, как источники информации о маршрутизации, могут быть более надежными, чем другие. Источники информации о маршрутизации фильтруются с помощью команды distance вес [адрес маем [номер-списка-доступа | имя]] [ip].
Входные сетевые фильтры
С помощью списков доступа можно фильтровать пакеты, поступающие от внутренних сетей, чтобы не допустить внешних атак с использованием фальсифицированных адресов. Списки доступа должны запрещать пакетам, приходящим извне, иметь адреса внутренних источников вашей сети. Убедитесь в том, что фильтр применяется только в маршрутизаторах периметра сети, поскольку фильтры замедляют работу маршрутизаторов. Рассмотрим примеры использования входных сетевых фильтров в соответствии со схемой, показанной на рис. 3.9. Эти примеры показывают, что при использовании списков доступа для создания входных фильтров исключается возможность фальсификации адресов и контролируется доступ к внутренним сетям и узлам.
Фильтрация источника 10.1.2.0
Рис. 3.9. С помощью входных сетевых фильтров, использующих списки доступа, исключается возможность фальсификации адресов и контролируется доступ к внутренним сетям и узлам
Необходимо выбрать такую конфигурацию маршрутизатора, чтобы от внешних источников не принимались никакие внутренние сетевые адреса, а также адреса, зарезервированные в документе RFC 1918 (адреса типа 192.168, 10.0 или 172.). Команда из примера 3.20 конфигурирует список доступа таким образом, чтобы пакеты с фальси-
фицированным адресом внутренней сети 10.1.2.0 отвергались, а соответствующие попытки фальсификации регистрировались.
■ Пример 3.20. Конфигурация списка доступа, позволяющая отвергать -- пакеты с фальсифицированным адресом внутренней сети >
router(config)#access-list 102 deny ip 10.1.2.0 0.0.0.255 any log
Команда из примера 3.21 с помощью опции established конфигурирует список доступа таким образом, что допускается только разрешенный входящий трафик; соответствующее событие распознается по наличию в заголовке TCP установленных битов АСК или RST.'
! Пример 3.21. Конфигурация списка доступа, допускающая толькоj
■разрешенные входящие связи':
router(config)#access-list 102 permit top 10.1.2.0 0.0.255.255
0 0.0.0.255 established
Команды из примера 3.22 связывают список доступа с входной частью интерфейса.
Пример 3.22. Применение списка доступа к входной части интерфейса - V ;
router(config)|interface serial 0
router(config-if)Iip access-group 102 in
Пример политики контроля потока данных
Списки доступа должны быть настроены в соответствии с политикой защиты сети. Приведем простой пример политики защиты, предполагающей контроль трафика в сети, как показано на рис. 3.10.
Разрешается весь исходящий трафик.
Разрешается входящий трафик, установленный изнутри, чтобы предотвратить возможность фальсификации адресов.
Разрешаются входящие ответы на установленный исходящий трафик.
Запрещается какой-либо иной входящий трафик и регистрируются все попытки несанкционированного доступа.
Команды из примера 3.23 реализуют указанную политику защиты.
I Пример 3.23. Реализация политики защиты, предполагающей контроль , i 1 потока данных в сети
router(config)#access-list 47 permit 10.1.2.0 0.0.0.255
router(config)laccess-list 103 permit tcp any any established
router(config)laccess-list 103 deny ip any any log
router (config) interface serial 0
router(config-if)#ip access-group 47 out
router (conf ig-if) Hip access-group 103 in
Разрешается весь исходящий трафик
Разрешается входящий_
трафик, установленный изнутри*"
Трафик HTTPТрафик HTTPРис. 3.11. Контроль доступа HTTP к маршрутизатору с помощью списков доступаРис. 3.11. Контроль доступа HTTP к маршрутизатору с помощью списков доступаПорт 80 TCPПорт 80 TCP
Трафик HTTP
Трафик HTTP
Рис. 3.11. Контроль доступа HTTP к маршрутизатору с помощью списков доступа
Рис. 3.11. Контроль доступа HTTP к маршрутизатору с помощью списков доступа
Порт 80 TCP
Порт 80 TCP
Запрещается входящий трафик любого другого вида
Рис. 3.10. Использование списка доступа для контроля трафика
Управление доступом HTTP к маршрутизатору
Программное обеспечение Cisco IOS предлагает сервер HTTP (это касается версии 11.0(6) и более поздних), что делает процесс настройки более простым, но открывает новые бреши в системе защиты. Сервер HTTP по умолчанию отключен. Для того чтобы передать команды Cisco IOS маршрутизатору, можно использовать средство обзора Web (броузер), как показано на рис. 3.11.
Рассмотрим следующие ключевые моменты, касающиеся доступа HTTP.
По умолчанию доступ HTTP не используется.
Можно определить список доступа, где указываются адреса, которым разрешается иметь доступ к ТСР-порту 80 на маршрутизаторе.
HTTP допускает использование парольной защиты подобно доступу к консоли или vty.
При использовании программного обеспечения Cisco IOS ClickStart, маршрутиза торы Cisco 1003, Cisco 1004 и Cisco 1005 можно настраивать с помощью броузера. Можно осуществлять мониторинг любого маршрутизатора, а также менять его конфигурацию, используя интерфейс броузера Cisco Web и соответствующую команду ip http server глобальной конфигурации.
С помощью команды ip http port глобальной конфигурации укажите порт, который будет использоваться программным обеспечением Cisco IOS ClickStart или ин-
терфейсом броузера Cisco Web (например, порт 8080). Чтобы указать порт, используемый по умолчанию (порт 80), воспользуйтесь этой же командой с префиксом по.
Для того чтобы связать список доступа с сервером HTTP, использующим программное обеспечение Cisco IOS ClickStart или интерфейс броузера Cisco Web, воспользуйтесь командой ip http access-class глобальной конфигурации. Для отмены действия списка доступа, используйте форму по этой команды. Номер стандартного списка доступа IP из диапазона 0-99 присваивается с помощью стандартной команды access-list. Использование списка доступа задается командой ip http access-class, как показано в примере 3.24.
router(config)#access-list 52 permit 10.1.1.4 0.0.0.0
router(config)#ip http access-class 52
Команда ip http authentication глобальной конфигурации используется для того, чтобы указать метод аутентификации пользователей сервера IP HTTP, обеспечивающий наилучшую защиту, когда вам необходим сервер HTTP маршрутизатора. Приведем синтаксис этой команды.
ip http authentication {ааа | enable | local | tacacs}
Параметры команды представлены в следующей таблице.
Синтаксис
Описание
ааа
Активизирует выполнение аутентификации средствами ААА
enable
Активизирует аутентификацию с помощью пароля enable, что является методом аутентификации пользователей сервера НИР, принятым по умолчанию
local
Активизирует аутентификацию с помощью локальной базы данных пользователей, определенной в маршрутизаторе Cisco или сервере доступа
tacacs
Активизирует аутентификацию средствами TACACS (Terminal Access Controller Access Control System - система управления доступом к контроллеру терминального доступа) или XTACACS
Защита коммутаторов Ethernet
В этом разделе объясняется, как правильно настроить коммутаторы Ethernet серии Cisco Catalyst, обеспечив защиту портов коммутаторов Ethernet и доступа к ним. Здесь будут рассмотрены следующие темы.
Контроль управляющего доступа к коммутаторам Ethernet.
Защита портов коммутаторов Ethernet.
Защита доступа к коммутаторам Ethernet.
Контроль управляющего доступа к коммутаторам Ethernet
Как и в случае маршрутизатора, первым шагом в осуществлении зашиты коммутатора Ethernet является защита управляющего доступа к нему. Защитить доступ к коммута-
тору в нормальном режиме можно с помощью пароля пользовательского режима (пароль login), для чего используется команда set password. С помощью команды enablepass изменяется пароль привилегированного режима (пароль enable) коммутатора.
Доступ Telnet и SNMP к коммутатору можно защитить с помощью списков разрешений IP, которые отвергают попытки доступа Telnet и SNMP к коммутатору со стороны источников с несанкционированными IP-адресами. Все другие службы TCP/IP (в частности, traceroute и ping) при этом продолжают работать в нормальном режиме. Списки разрешений IP не влияют на исходящие сервисы Telnet, ТЕТР и другие подобные сервисы IP. Настройка и активизация списков разрешений IP выполняется с помощью команд ip permit list. Сначала необходимо создать строки разрешений для клиентов Telnet или систем NMS, а затем активизировать соответствующий список разрешений.
Кроме того, можно указать необходимость использования возможностей ААА для локальной или удаленной базы данных защиты, воспользовавшись командами set authentication и set authorization.
Защита портов коммутаторов Ethernet
Защитная фильтрация портов является одной из возможностей защиты доступа коммутаторов Ethernet серии Cisco Catalyst, заключающейся в блокировании входного потока порта Ethernet или Fast Ethernet от несанкционированных станций. Защитная фильтрация портов называется также изоляцией МАС-адресов (Media Access Control — протокол управления доступом к передающей среде).
Защитная фильтрация портов блокирует входной поток порта, когда МАС-адрес станции, пытающейся получить к нему доступ, не совпадает с МАС-адресом, указанным для данного порта.
Когда защищенный порт получает пакет, МАС-адрес источника пакета сравнивается с адресом надежного источника, указанного в конфигурации порта. Если МАС- адрес устройства, соединенного с портом, отличается от надежного адреса, порт становится недоступным, включается оранжевый индикатор линии порта и диспетчеру SNMP посылается прерывание, соответствующее разрыву линии.
Можно задать надежные МАС-адреса порта вручную или же разрешить динамическое получение МАС-адресов присоединенных устройств. После того как адреса заданы или получены, они сохраняются в энергонезависимом ЗУ (NVRAM) и остаются доступными даже после выключения устройства.
Замечание
Конфигурация многих виртуальных локальных сетей (VLAN) предполагает соединение с одним магистральным портом, поэтому защиту портов для магистрального порта реализовать практически невозможно.
Чтобы задать МАС-адрес порта, используется команда set port security. Если МАС- адрес не задан, он выясняется в автоматическом режиме. Приведем синтаксис команды, set port security mod_num/port_num(s) enable [mac_addr]
После того как адрес определен, он остается неизменным до тех пор, пока система не получит новый или пока вы повторно не введете соответствующую команду. МАС- адрес сохраняется в NVRAM и остается там даже после перезагрузки. Если адрес источника пакета не соответствует разрешенному, то порт, в адрес которого прибыл пакет, отключается, а диспетчеру SNMP посылается прерывание, соответствующее раз-
рыву линии. Можно настроить порт так, чтобы он оставался отключенным до тех пор, пока диспетчер не активизирует его снова, или же порт может быть активизирован автоматически по прошествии определенного периода времени.
Команда show port отображает всю касающуюся защиты информацию, в частности МАС-адреса, значения счетчиков порта, а также информацию о том, активизированы или отключены возможности защиты, как показано в примере 3.25.
Пример 3.25.-Отображение информации о защите порта с помощью :
,., • команды show port<
Console> (enable) set port security 3/1 enable 01-02-03-04-05-06
Console> (enable) set port security 3/2 enable
Console>
Console> (enable)
Port Status Vian
3/1 connect 1
3/2 connect 1
show port 3
i Level Duplex
normal half
normal half
Speed Type
1010 BASE-T
1010 BASE-T
Port
Security
Secure-Src-Addr
Last-Src-Addr
Shutdown
3/1enabled
3/2enabled
Console> (enable)
01-02-03-04-05-06
05-06-07-08-09-10
01-02-03-04-05-06
10-11-12-13-14-15
No
Yes
Обратите внимание на то, что МАС-адрес, назначенный первой командой, отображается в разделе защиты портов команды show, а порт, указанный в последней строке команды show, оказывается отключенным, поскольку адрес последнего источника не соответствует адресу надежного источника.
Защита доступа к коммутаторам Ethernet
Использование списков разрешений IP позволяет закрыть доступ Telnet и SNMP к коммутатору со стороны источников с несанкционированными IP-адресами. Все остальные службы TCP/IP (например, traceroute и ping) продолжают работать в нормальном режиме. Списки разрешений IP не влияют на исходящие сервисы Telnet, ТЕТР и другие подобные сервисы IP.
Списки разрешений IP можно использовать независимо от того, активизирована ли система TACACS в сети. Если она активизирована, список разрешений IP обеспечивает первый уровень контроля, учитывающий IP-адрес источника. Список разрешений IP касается только сервисов Telnet и SNMP входящего потока (в этот список можно внести до десяти записей). Каждая запись списка состоит из IP-адреса и маски в десятичном формате с точками-разделителями. Нули в маске указывают на несущественные биты адреса.
Когда список разрешений IP активизирован, доступ Telnet и сервис SNMP оказываются разрешенными только для узлов, IP-адреса которых указаны в списке. Извещения о несанкционированных попытках доступа могут быть получены через прерывания SNMP и посредством использования соответствующих опций системного журнала.
Список разрешений IP по умолчанию не используется. Активизация этого списка осуществляется в привилегированном режиме командой set ip permit enable. Удалить IP-адрес из списка разрешений IP можно с помощью команды clear ip permit в
привилегированном режиме. Отменить использование списка разрешений IP в коммутаторе можно командой set ip permit disable. С помощью команды show ip permit можно проверить конфигурацию списка. В примере 3.26 показано, как можно добавить IP-адреса в список разрешений и как проверить его конфигурацию.
Пример 3.26. Добавление IP-адресов в список разрешений IP и проверка !' его конфигурации.'
Console> (enable) set ip permit 172.16.1.11
Console> set ip permit 172.16.11.0 255.255.255.0
Console> set ip permit enable
Console> show ip permit
IP permit list feature enabled.
Permit ListMask
172.16.1.11
172.16.11.0 Denied IP Address
255.255.255.0
Last Accessed TimeType
172.16.1.11
172.16.11.3 Console>
01/20/2000,07:45:20SNMP
01/21/2000,14:23:05Telnet
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Следует ограничить физический доступ к сетевым устройствам и каналам связи, иначе они могут быть легко скомпрометированы. Необходимо иметь достаточно детальный план действий на случай аварии, при которой может быть нарушена работа сетевого оборудования.
Следует обеспечить защиту административного интерфейса с помощью назначения паролей доступа к консоли и паролей Telnet, а также системы привилегий доступа.
Следует использовать баннерные сообщения устройств, придерживаясь следующих правил. Такие сообщения должны включать предупреждения для потенциальных сетевых нарушителей, не должны приглашать нарушителей войти в сеть и должны быть размещены во всех местах, где потенциально возможно получение доступа к сети.
Следует использовать возможности шифрования пароля, предлагаемые программным обеспечением Cisco IOS, но не следует полагаться на них как на единственный метод защиты. Проследите за тем, чтобы используемые для пользователей сети пароли были надежными.
Можно контролировать доступ SNMP к сетевым устройствам с помощью групповых строк и списков доступа, ограничивающих доступ систем NMS к агентам SNMP и базам MIB в сетевых устройствах.
Можно использовать аутентификацию протокола маршрутизации, чтобы обеспечить защиту обновлений протокола маршрутизации. Если имеется возмож-
ность, используйте аутентификацию MD5, чтобы исключить необходимость пересылки паролей аутентификации, которые при этом могут быть фальсифицированы или раскрыты.
Можно защитить файлы конфигурации маршрутизатора, реализовав защиту хостов и средств SNMP.
Можно использовать стандартные и расширенные списки доступа, чтобы обеспечить контроль сетевого трафика, проходящего через маршрутизаторы.
Можно контролировать доступ HTTP к маршрутизатору с помошью списков доступа и команд ip http, если настройка маршрутизатора осуществляется с применением броузера. Доступ HTTP по умолчанию отключен.
Можно контролировать доступ к коммутаторам Ethernet путем контроля управляющего доступа к коммутаторам и фильтрации защищенных портов.
Практическое занятие. Настройка базовых средств сетевой защиты
Целью этого практического занятия является демонстрация того, как можно реализовать принципы защиты, рассмотренные в этой главе. Прочитайте план практического занятия, изучите схему топологии сети и рассмотрите политику защиты. Затем проанализируйте пример конфигурации, чтобы понять, как элементы политики защиты реализуются для маршрутизаторов Cisco.
План практического занятия
Компания XYZ намеревается начать реализацию политики защиты сетевой инфраструктуры с правильной настройки маршрутизаторов территориальной сети, чтобы противостоять угрозам, исходящим изнутри. Таким образом компания может начать реализацию первого этапа плана защиты без каких бы то ни было дополнительных расходов.
Топология
На рис. 3.12 показана часть сети компании XYZ, которая будет рассмотрена в ходе данного практического занятия. В фокусе внимания здесь оказываются маршрутизаторы R2 и R3.
Политика сетевой защиты
К политике защиты территориальной сети компании XYZ предъявляются следующие требования, которые касаются сетей подразделений производства и сбыта.
Защита консоли и доступа Telnet:
защита консоли и доступа Telnet с помощью уникальных паролей;
ограничение длительности сеанса в режиме ЕХЕС без сопровождения;
использование баннерных сообщений маршрутизатора для предупреждения нарушителей;
разрешение доступа Telnet к серверам сетевого доступа только для систем NMS.
ПроизводствоПроизводствоСистема Сервер СерверСистема Сервер СерверNMS SMTP DNSNMS SMTP DNSРис. 3.12. Настройка маршрутизаторов R2 и R3 в соответствии с политикой сетевой защиты компании XYZРис. 3.12. Настройка маршрутизаторов R2 и R3 в соответствии с политикой сетевой защиты компании XYZ
Производство
Производство
Система Сервер Сервер
Система Сервер Сервер
NMS SMTP DNS
NMS SMTP DNS
Рис. 3.12. Настройка маршрутизаторов R2 и R3 в соответствии с политикой сетевой защиты компании XYZ
Рис. 3.12. Настройка маршрутизаторов R2 и R3 в соответствии с политикой сетевой защиты компании XYZ
Управление трафиком между маршрутизаторами:
разрешение входного потока, установленного только внутренними источниками;
разрешение любому оборудованию территориальной сети или удаленному клиенту использовать средства ping для проверки доступности адресата, которым может быть любое другое оборудование территориальной сети или удаленный клиент;
разрешение всего исходящего трафика, за исключением некоторых обновлений маршрутизации;
разрешение трафика FTP и Web от удаленных клиентов к внутренним серверам сети.
Защита связей между маршрутизаторами:
разрешение передачи обновлений маршрутизации RIP;
запрет объявления информации о внутренних сетях внешним удаленным клиентам и разрешение объявления только блока IP-адресов, соответствующих маршрутизаторам.
Контроль доступа SNMP:
разрешение чтения и записи SNMP только системе сетевого управления.
Пример конфигурации маршрутизатора R2
Рассмотрим конфигурацию маршрутизатора R2 компании XYZ, представленную в примере 3.27. В этом примере реализуются элементы политики защиты, касающиеся защиты территориальной сети. Это только одна из возможных конфигураций маршрутизатора R2, реализующих указанную политику защиты; можно выбрать и другую конфигурацию, обеспечивающую успешное решение тех же задач. Маршрутизатор R3 может быть настроен аналогично маршрутизатору R2.
Обратите внимание на комментарии в примере конфигурации, поясняющие связь соответствующих команд с требованиями политики защиты. Эта конфигурация соответствует маршрутизатору Cisco 1720. Не относящиеся к рассматриваемому вопросу команды были из листинга удалены с целью его сокращения.
|||||w^^конфигурации маршрутизатора R2
plr2#show running-config
Current configuration:
version 12.0
service password-encryption
no service udp-small-servers
no service tcp-small-servers I
hostname plr2
! Защита консоли и доступа Telnet разными паролями
! Шифрование паролей обеспечивается командой service password-encryption
enable secret 5 $l$b4X5$7A7IUNmzGm8vOmi9nBkCl/
enable password 7 15141905172924
I
ip host modem 2002 10.1.1.1 i
! Применение списка доступа 101 к входящему трафику интерфейса interface FastEthernetO
ip address 10.1.1.1 255.255.255.0
ip access group 101 in
no mop enabled [
interface SerialO physical-layer async ip address 10.1.2.1 255.255.255.0 ip tcp header-compression passive encapsulation ppp bandwidth 38 async mode interactive peer default ip address pool classpool no fair-queue
no cdp enable i
! Разрешение передачи обновлений маршрутизации RIP
! Маршрутизаторы должны запрещать сообщение информации о внутренних сетях
! удаленным клиентам и должны объявлять только свой блок IP-адресов router rip version 1
network 10.0.0.0
distribute-list 21 out EthernetO
distribute-list 22 out Senal2 distance 2
i
ip local pool classpool 10.1.2.2 10.1.2.10 ip classless
access-list 20 permit 10.1.1.4
! Разрешение передачи обновлений маршрутизации RIP
! Маршрутизаторы должны запрещать сообщение информации о внутренних сетях
! удаленным клиентам и должны объявлять только свой блок IP-адресов access-list 21 permit 10.1.2.0 0.0.0.255
! Запрет объявления удаленным клиентам информации о обновлениях маршрутизации access-list 22 deny 10.1.0.0 0.0.255.255
! Чтение и запись SNMP разрешается только системе сетевого управления
! (сервер Windows NT)
access-list 25 permit 10.1.1.4
! Разрешение доступа Telnet к серверам сетевого доступа только для сервера Windows NT access-list 101 permit tcp host 10.1.1.4 any eq telnet
! Разрешение входного потока, установленного только внутренними источниками
! Разрешение исходящего трафика, за исключением некоторых обновлений маршрутизации access-list 101 permit tcp any any established
! Разрешение оборудованию сети и удаленному клиенту использовать средства ping
! для проверки доступности адресата (оборудования сети или удаленного клиента) access-list 101 permit icmp 10.1.0.0 0.0.255.255 any echo
access-list 101 permit icmp 10.1.0.0 0.0.255.255 any echo-reply
! Разрешение трафика FTP и Web от удаленных клиентов к внутренним серверам сети
! Разрешение сеансов FTP н Web, исходящих от узлов сети или удаленных клиентов
! к "серверам FTP н Web"
access-list 101permittcp10.1.0.00.0.255.25510.1.2.00.0.0.255eqftp
access-list 101permittcp10.1.0.00.0.255.25510.1.2.00.0.0.255eqftp-data
access-list 101permittcp10.1.0.00.0.255.25510.1.2.00.0.0.255eqwww
access-list 101permitudpany any eq rip
! Разрешение приема обновлений маршрутизации RIP маршрутизатором R2
! Разрешение трафика TCP от сервера CiscoSecure на ntl
! Запрет остального трафика IP и регистрация соответствующих попыток access-list 101 deny ip any any log
! Чтение и запись SNMP разрешается только системе сетевого управления
! (сервер Windows NT)
snmp server party ntl iso.2.3.4.10.1.4.1 udp 0.0.0.0 0 authentication snmpvl pc snmp-server community KingLear RW 25
! Создание баннерного сообщения с предупреждением для нарушителей
banner motd ЛС Warning: Unauthorized users will be prosecuted ЛС i
! Защита консоли и доступа Telnet разными паролями
! Задание предельного времени для режима ЕХЕС без сопровождения line con О
exec-timeout 60 0
password 7 020500480809
login
line 2
password 7 13061E010803
autoselect dunng-login
autoselect ppp login local modem InOut modem autoconfigure type usr_sportster transport input all
stopbits 1
rxspeed 115200
txspeed 115200
flowcontrol hardware line aux 0 line vty 0 4
! Разрешение доступа Telnet к серверам сетевого доступа только для ! Windows NT access-class 20 in
! Задание предельного временя для режима ЕХЕС без сопровождения exec-timeout 5 0
! Защита консоли и доступа Telnet разными паролями
password 7 13061Е010803 login
I end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых моментов и понятий, рассмотренных в этой главе.
Чем оправдана трата времени на создание настроек оборудования, обеспечивающих максимальную защищенность инфраструктуры сети?
С помощью каких двух команд Cisco IOS назначаются пароли начала сеанса для консоли и доступа Telnet?
Какие команды используются для обеспечения защиты административного интерфейса в режиме конфигурации линии?
Какая необходима команда, чтобы создать иерархию уровней привилегий администрирования?
Какие три команды Cisco IOS могут использоваться для ограничения доступа Telnet к маршрутизатору с пятью назначенными портами vty для узла с адресом 10.16.4.1?
Как запретить доступ NMS-нарушителя к агенту SNMP?
Какая из возможностей Cisco IOS обеспечивает защиту обновлений маршрутизации от атак фальсификации адресов при использовании протокола маршрутизации EIGRP?
Какие четыре метода с их соответствующими командами используются для контроля объявления и обработки обновлений маршрутизации маршрутизатором?
Какие три команды Cisco IOS следует применить, чтобы запретить объявление обновлений маршрутизации IGRP (автономная система 100) в рамках интерфейса Ethernet 0 от сети 16.17.1.0 на интерфейсе Ethernet 1?
Какими методами осуществляется управление защитой коммутатора Ethernet?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Общие вопросы конфигурации средств защиты маршрутизаторов
Обзор возможностей, касающихся настройки средств защиты маршрутизаторов Cisco, представлен в главах “Security Overview”, “Traffic Filtering and Firewalls” и “Other Security Features” руководства Cisco IOS Release 12.0 Security Configuration Guide.
Информацию об использовании конкретных команд, с помощью которых осуществляется общая настройка средств защиты маршрутизаторов Cisco, можно найти в главе “Other Security Features” из раздела “Router and Network Monitoring Commands” руководства Cisco IOS Release 12.0 Security Command Reference.
Стандартные и расширенные списки доступа
Вопросы использования и настройки стандартных и расширенных списков доступа обсуждаются в главах “Configuring IP Services” и “IP Addressing and Services” из раздела “Configuring IP Services” руководства Cisco IOS Release 12.0 Network Protocols Configuration Guide.
Сведения о применении стандартной и расширенной версий команды access-list можно найти в главе “IP Addressing and Services” из раздела “IP Services Commands” руководства Cisco IOS Release 12.0 Network Protocols Command Reference.
SNMP
Обзор возможностей использования средств SNMP маршрутизаторов Cisco представлен в главе “System Management” из раздела “Monitoring the Router and Network” руководства Cisco IOS Release 12.0 Configuration Fundamentals Configuration Guide.
Использование конкретных команд, с помощью которых осуществляется настройка средств SNMP в маршрутизаторах Cisco, описано в главе “System Management Commands” из раздела “Router and Network Monitoring Commands” руководства Cisco IOS Release 12.0 Configuration Fundamentals Command Reference.
Аутентификация соседних маршрутизаторов
Обзор возможностей аутентификации маршрутизаторов представлен в главе “Other Security Features” из раздела “Neighbor Router Authentication: Overview and Guidelines” руководства Cisco IOS Release 12.0 Security Configuration Guide. По вопросам использования команд конфигурации, с помощью которых осуществляется настройка средств аутентификации соседних маршрутизаторов для поддерживаемых протоколов, следует обратиться к разделу “Finding Neighbor Authentication Configuration Information”.
Защита коммутаторов Ethernet
Обзор возможностей конфигурации средств защиты коммутаторов Ethernet серии Catalyst 6000/6500 можно найти в разделе “Configuring Network Security” руководства Catalyst 6000/6500 Series Software Configuration Guide (5.2).
Описание возможностей конфигурации средств защиты коммутаторов Ethernet серии Catalyst представлено в руководствах по программному обеспечению коммутаторов Catalyst 5000, 4000, 2948G, 2926G и 2926 (4.5) и соответствующих главах “Software Configuration Guide”, “Controlling Access to the Switch Using Authentication” и “Configuring Secure Port Filtering” этих руководств.
Часть
Защита удаленного доступа
Глава 4. Технология защиты ААА
ЙГлаваЗ.Йастройка средств ААА сервера сетевого доступа
Глава 6. Настройка CiscoSecure ACS и TACACS+/RADIUS
Изучив материал этой главы, вы сможете выполнить следующие задачи.
Описать компоненты модели ААА.
Описать технолоши парольного доступа. ...v,. . ■ .
Объяснить, как осуществляется аутентификация в рамках протокола РРР.
Описать взаимодействие аутентификации RAP и CHAP. .
Сравнить возможности серверов защиты различных типов. ■
Дать описания серверов защиты Cisco..
Глава
4
Технология защиты ААА
' ' Данная глава представляет собой обзор возможностей архитектуры AAA (Authentication, Authorization, and Accounting — аутентификация, авторизация и аудит) Cisco и технологий зашиты,’ связываемых с этой архитектурой. Здесь содержится информация, необходимая для практической реализации возможностей защиты доступа к сети с помощью продуктов Cisco, которые будут обсуждаться в главе 5, “Настройка сервера сетевого доступа”, и главе
“Настройка CiscoSecure ACS и TACACS+/RADIUS”. В этой главе обсуждаются только
’ вопросы защиты доступа, связанные с продуктами Cisco.
Защита сетевого доступа с помощью средств ААА
Несанкционированный доступ, а также возможность фальсификации и обмана в сетевой среде дают" нарушителям потенциальную возможность получения доступа к сетевому оборудованию и сетевым службам. Архитектура ААА позволяет сильно ограничить возможности нарушителей, оставляя законным пользователям сети право иметь доступ к сетевым ресурсам.
Архитектура защиты ААА
. г ■ Зашита сетевого доступа — независимо от того, рассматривается она в применении ’ к территориальной сети предприятия, удаленному доступу или Internet — имеет модульную архитектуру, состоящую из следующих трех компонентов.
> Аутентификация. Требует от пользователей доказательства того, что они действи- - тельно являются теми, за кого себя выдают, например, посредством ввода имени пользователя и пароля, использования системы запросов/подтверждений, иденти- фикациопных карт или какого-то другого метода.
. “Я — пользователь student, и мой пароль validateme доказывает это.”
• Авторизация. После аутентификации пользователя сервис авторизации решает, - к каким ресурсам разрешается доступ данному пользователю и какие действия ; 7 разрешается ему выполнять.
' “Пользователь student может иметь доступ к узлу NT_Server посредством Telnet.”
’• Аудит. Запись того, что пользователь действительно делал, к чему имел доступ и
в течение какого времени, осуществляется с целью учета, контроля и выясне-
ния стоимости. С помощью аудита можно проследить за тем, как используются сетевые ресурсы. Аудит может быть применен для анализа практики сетевого доступа и обнаружения сетевых вторжений.
“Пользователь student получал доступ к узлу NT_Server посредством Telnet 15 раз.”
В табл. 4.1 содержится краткая сводка проблем защиты доступа и указаны методы ААА, которые могут использоваться для их решения. Там же указаны и некоторые пути реализации методов ААА.
[таблица 4.1. Проблемы защиты доступа и их решения
Проблема защиты
Метод ААА
Путь реализации
Несанкционированный доступ
• Аутентификация
• Пароли
• Территориальная сеть
• Авторизация
• Возможности защиты доступа к
• Удаленный доступ
сетевому оборудованию
• Internet
• Серверы защиты
Обман
• Аудит
Возможности аудита сетевого оборудования
Серверы защиты
Обратите внимание на то, что все решения защиты сетевого доступа, предлагаемые в табл. 4.1, включают, по крайней мере, один из трех методов ААА, поддерживаемых в продуктах Cisco. Реализация защиты может также предполагать использование стандартов сервера защиты ААА (удаленной базы данных защиты), поддерживаемых продуктами Cisco, включая системы TACACS+ (Terminal Access Controller Access Control System Plus — система управления доступом к контроллеру терминального доступа), RADIUS (Remote Access Dial-In User Service — сервис идентификации удаленных абонентов) и Kerberos. Методы ААА и стандарты удаленной базы данных защиты будут рассматриваться достаточно подробно в этой главе ниже.
Средства ААА и трафик доступа
Удаленный доступ является неотъемлемой частью деятельности корпорации. Находящимся в командировке служащим, работникам управления, персоналу филиалов, надомным работникам и другим сотрудникам требуется связь с сетью главного офиса.
Чтобы иметь возможность устанавливать сетевые соединения, удаленный пользователь должен иметь необходимое программное обеспечение (например, программное обеспечение клиента FTP или Telnet), набор протоколов (например, протокол TCP/IP (Transmission Control Protocol/Intemet Protocol — протокол управления передачей/1п1ете1-протокол), IPX (Internetwork Packet Exchange — межсетевой пакетный обмен), AppleTalk) и драйверы канального уровня, устанавливаемые в системе удаленного клиента.
Программное обеспечение с помощью набора протоколов инкапсулирует данные пользователя и протоколов высшего уровня в протоколы канального уровня, такие как SLIP (Serial Line Internet Protocol — межсетевой протокол для последовательного канала) и РРР (Point-to-Point Protocol — протокол передачи от точки к точке). Инкапсулированные пакеты передаются по линии удаленного доступа в аналоговой или цифровой форме, в зависимости от типа используемого телекоммуникационного канала.
Компонентами удаленного доступа обычно являются удаленная система клиента (Windows 95/98/2000 или Macintosh), канал связи PSTN (Public Switched Telephone Network — коммутируемая телефонная сеть общего пользования) или ISDN (Integrated Services Digital Network — цифровая сеть связи с комплексными услугами), сервер сетевого доступа (например, сервер сетевого доступа Cisco 5300) и удаленная база данных защиты под управлением программного обеспечения сервера управления доступом (сервер CiscoSecure ACS, использующий систему TACACS+), как показано на рис. 4.1.
Удаленный клиент (SLIP, PPP, ARAP)Удаленный клиент (SLIP, PPP, ARAP)Сервер Сервер защитыСервер Сервер защитыКонсольный терминалКонсольный терминалРис. 4.1. Технологии ААА, обеспечивающие защиту трафика в символьном и пакетном режимахРис. 4.1. Технологии ААА, обеспечивающие защиту трафика в символьном и пакетном режимах
Удаленный клиент (SLIP, PPP, ARAP)
Удаленный клиент (SLIP, PPP, ARAP)
Сервер Сервер защиты
Сервер Сервер защиты
Консольный терминал
Консольный терминал
Рис. 4.1. Технологии ААА, обеспечивающие защиту трафика в символьном и пакетном режимах
Рис. 4.1. Технологии ААА, обеспечивающие защиту трафика в символьном и пакетном режимах
Использование технологии ААА в системе удаленного клиента, сервере сетевого доступа и сервере защиты (сервере сетевого доступа) обеспечивает защиту удаленного доступа. Сервер сетевого доступа использует протоколы ААА, на основе которых предоставляется сервис ААА.
Средства ААА и трафик символьного режима
Технологии ААА обеспечивают защиту в символьном и линейном режимах доступа к серверам сетевого доступа и другому сетевому оборудованию. В маршрутизаторах Cisco с помощью средств ААА обеспечивается зашита трафика в символьном режиме для связи по линиям, указанным в табл. 4.2.
Таблица 4.2, Типы линий, допускающие защиту трафика в символьном ' ’. режиме средствами ААА ■■.. : -
Тип линии Описание
AuxВспомогательный порт EIA/TIA-232 DTE в маршрутизаторах Cisco и коммутаторах Ethernet,
используемый для поддержки модемов и асинхронного доступа
Console Консольный порт EIA/TIA-232 DCE в маршрутизаторах Cisco и коммутаторах Ethernet, используемый для асинхронного доступа к режимам конфигурации устройств
ttyСтандартная асинхронная линия EIA/TIA-232 DTE сервера сетевого доступа
vtyЛиния виртуального терминала и соответствующий интерфейс, разрывающий входящие сим
вольные потоки, не имеющие физической связи с сервером доступа или маршрутизатором
Средства AAA и трафик пакетного режима
Технологии ААА могут обеспечить защиту удаленного доступа по асинхронным, групповым асинхронным линиям, линиям ISDN с интерфейсом BRI (Basic Rate Interface — интерфейс базового уровня) или PRI (Primary Rate Interface — интерфейс основного уровня) маршрутизаторов Cisco в пакетном и интерфейсном режимах. В табл. 4.3 перечислены протоколы, генерирующие защищенный средствами ААА трафик маршрутизатора Cisco в пакетном режиме.
I Таблица 4.3. Протоколы, генерирующие трафик пакетного режима, ,. защищенный средствами ААА
Тип пакетного режима
Описание
РРР
РРР последовательного интерфейса или интерфейса ISDN
агар
ARAP (AppleTalk Remote Access Protocol — протокол удаленного доступа AppleTalk) последовательного интерфейса
NASI
Клиенты NASI (NetWare Acccess Server Interface — интерфейс сервера доступа NetWare), связывающиеся с сервером доступа в рамках последовательного интерфейса
Методы аутентификации
Основными из рассматриваемых методов аутентификации является проверка имени пользователя и пароля, использование технологии S/Key, идентификационных карт и соответствующих серверов, применение аутентификации протоколов РАР (Password Authentication Protocol — протокол аутентификации пароля) и CHAP (Challenge Handshake Authentication Protocol — протокол аутентификации с предварительным согласованием вызова). Все эти методы обсуждаются в следующих разделах.
Аутентификация по имени и паролю
Наиболее часто используемым методом аутентификации пользователя является проверка его имени и пароля. С точки зрения аутентификации проверка имени и пароля может оказаться как ненадежной, так и надежной, в зависимости от метода проверки. Простые методы аутентификации предполагают применение базы данных имен и паролей, тогда как при более сложных методах используются одноразовые пароли. Давайте рассмотрим методы, показанные на рис. 4.2, начиная с наиболее слабого, размещенного внизу рисунка, и заканчивая наиболее сильным, расположенным вверху. Более сильные методы аутентификации обеспечивают лучшую защиту от несанкционированного доступа. Более слабые методы аутентификации доступа обычно проще с точки зрения их использования и администрирования по сравнению с более сильными методами. Для простых методов аутентификации используется база данных имен и паролей, а для более сложных предполагается применение одноразовых паролей.
Указанные на рис. 4.2 методы аутентификации имеют следующие особенности.
Отсутствие проверки имен пользователей или паролей. Некоторые системные администраторы разрешают доступ к сетям без проверки имен пользователей и паролей. Это, очевидно, обеспечивает наименьшую защиту, поскольку нарушителю в этом случае необходимо только выяснить способ входа в сеть.
Статические имена пользователей и пароли. Остаются неизменными до тех пор, пока не будут изменены администратором системы или пользователем. Уязвимы в отношении атак воспроизведения сообщений и программ “взлома” паролей.
Сильная
Идентификационные карты и их программные аналоги (одноразовые пароли) Одноразовые пароли
АутентификацияАутентификацияСлабаяСлабаяS/Key (одноразовые пароли терминального доступа)
Аутентификация
Аутентификация
Слабая
Слабая
Имена пользователей и пароли (меняющиеся со временем)
Имена пользователей и пароли (статические)
Отсутствие проверки имен пользователей или паролей
СложныеВ использованииПростые
Рис. 4.2. Методы аутентификации и относительная простота их использования
Имена пользователей и пароли, меняющиеся со временем. Становятся недействительными по истечении определенного времени (обычно от 30 до 60 дней). Чтобы доступ к сети был разрешен, они должны быть установлены снова (обычно самим пользователем). Уязвимы в отношении атак воспроизведения сообщений и программ “взлома” паролей, но в меньшей степени, чем статические пары имен пользователей и паролей.
Одноразовые пароли S/Key. Генерирование множества одноразовых паролей обычно используется для терминального доступа. Метод S/Key предполагает генерирование первого пароля на основе секретной парольной фразы, а каждого последующего — на основе шифрования предыдущего. Список паролей генерируется программным обеспечением сервера S/Key и доставляется пользователям.
Одноразовые пароли. Один из наиболее сильных методов, основанных на проверке имен пользователей или паролей. Большинство систем одноразовых паролей строится на секретной парольной фразе, с помощью которой генерируется список паролей. Такие парольные фразы пригодны только для одного сеанса связи и поэтому оказываются бесполезными для тех, кому удается перехватить ее. Для терминального доступа обычно используется метод S/Key, представляющий собой один из вариантов метода одноразовых паролей.
Идентификационные карты и программные маркеры. Методы, основанные на применении некоторого устройства (например, идентификационной карты) и информации, необходимой для использования этого устройства (например, PIN-кода соответствующей идентификационной карты). Идентификационные карты по сложности сравнимы с калькуляторами. Имеется немало производителей идентификационных карт, и каждый из них имеет собственный сервер идентификационных карт. Для такой карты требуется ввести PIN-код, и тогда она генерирует пароль защиты. Сервер идентификационных карт получает и проверяет пароль. Соответствующая система обычно складывается из компьютера удаленного клиента, сервера сетевого доступа и сервера защиты, на котором выполняется программное обеспечение обработки информации идентификационных карт.
Вы должны выбрать и реализовать метод аутентификации, соответствующий требованиям вашей политики сетевой защиты. Политика должна определять желатель-
ный баланс между надежностью защиты и удобством использования соответствующих средств.
На рис. 4.3 показана схема аутентификации удаленного доступа с помощью имен пользователей и паролей. На стороне клиента система удаленного доступа Windows NT запрашивает у удаленного пользователя его имя и пароль (как показано на рис. 4.4), которые пересылаются по линиям связи с использованием протоколов TCP/IP и РРР удаленному серверу сетевого доступа или серверу защиты для аутентификации. В операционных системах Windows 95, 98 и 2000 окна аутентификации выглядят примерно так же.
Система удаленного клиентаСистема удаленного клиентаСервер сетевого доступаСервер сетевого доступаСервер защитыСервер защиты
Система удаленного клиента
Система удаленного клиента
Сервер сетевого доступа
Сервер сетевого доступа
Сервер защиты
Сервер защиты
Имя пользователя и пароль (TCP/IP РРР)
Рис. 4.3. Удаленный клиент посылает имя пользователя и пароль серверу сетевого доступа для аутентификации
Рис. 4.4. Диалоговое окно аутентификации удаленного доступа Windows NTРис. 4.4. Диалоговое окно аутентификации удаленного доступа Windows NT
Рис. 4.4. Диалоговое окно аутентификации удаленного доступа Windows NT
Рис. 4.4. Диалоговое окно аутентификации удаленного доступа Windows NT
Удаленному пользователю необходимо ввести имя и пароль и щелкнуть на кнопке ОК, чтобы инициировать удаленное соединение.
После ввода пользователем имени и пароля и щелчка на кнопке ОК система удаленного доступа Windows NT передает полученные данные удаленному серверу сетевого доступа или серверу защиты для аутентификации, используя протоколы TCP/IP и РРР (рис. 4.3).
Аутентификация имен пользователей и паролей часто используется приложениями защиты Internet. Например, некоторые приложения Cisco Connection Online (ССО) требуют, чтобы пользователь имел имя и пароль, зарегистрированные ССО. Когда пользователь пытается получить доступ к защищенному ССО-приложению с помо-
щью Web-броузера, приложение заставляет броузер отобразить окно с требованием ввести имя пользователя и пароль, подобное показанному на рис. 4.4. Имя пользователя и пароль могут быть проверены средствами ААА сервера защиты.
Аутентификация S/Key
Сеансы связи удаленного доступа уязвимы в отношении атак нарушителей, использующих средства перехвата для выявления имен пользователей и паролей. Нарушители могут использовать перехваченную информацию для организации атак воспроизведения пакетов с целью получения несанкционированного доступа к сети. Система S/Key одноразовых паролей разработана с целью получения паролей, которые могут безопасно пересылаться по линиям связи. Технология S/Key предполагает пересылку по сети только одноразового пароля. Такой пароль представляет собой хэш-код секретного пароля пользователя, так что сам секретный пароль никогда по сети не передается, а одно и то же хэшированное представление пароля никогда не используется повторно.
Откуда система S/Key получила свое имя
После не увенчавшихся успехом попыток найти в доступных документах RFC и других публикациях ответ на вопрос о происхождении названия системы S/Key, я решился спросить об этом у Нейла Халлера (Neil Haller), одного из разработчиков S/Key и авторов соответствующих документов RFC. Вот его ответ: “Я выдумал это названиё. Сначала система называлась по-другому, но исходное название оказалось защищенной торговой маркой. Потом был долгий период поиска имени, подходящего для использования в качестве нашей торговой марки. Название S/Key явилось результатом отчаяния после рвссмотрения множества альтернатив. Я думаю, что при этом в моей голове вертелись слова ‘secure’ (защищенный) и ‘key’ (ключ)”.
Важным преимуществом системы S/Key является то, что она обеспечивает защиту от атак перехвата сообщений без модификации программного обеспечения удаленного клиента и не создает больших неудобств пользователям. Ввиду того, что система S/Key легко интегрируется в другие системы защиты, она используется для защиты паролей во многих сетях. Клиент S/Key и хост не хранят при этом никакой секретной информации. Поэтому даже если какой-то из элементов системы оказывается скомпрометирован, сетевой нарушитель не получает возможности выяснить секретные пароли.
Как показано на рис. 4.5, система S/Key состоит из трех главных компонентов: системы удаленного клиента, с помощью которой пользователь получает удаленный доступ, программного обеспечения клиента для генерирования одноразовых паролей и программного обеспечения хоста S/Key на сервере защиты удаленного доступа.
Удаленный клиент
Одноразовый пароль S/Key (открытый текст)
ПрограммноеПрограммное
обеспечениеобеспечение
клиента S/Keyхоста S/Key,
.выполняемое
сервером защиты
Рис. 4.5. Компоненты системы аутентификации S/Key; удаленныйклиент, программное обеспечение клиента S/Key и хост S/Key
Программное обеспечение клиента S/Key
Программное обеспечение клиента S/Key для генерирования одноразовых паролей называется генератором паролей и обычно устанавливается в удаленной системе. Когда требуется одноразовый пароль, пользователь вводит секретный пароль в соответствующее поле диалогового окна интерфейса клиента S/Key. Клиент S/Key с помощью одностороннего алгоритма хэширования на основе введенного пользователем секретного пароля и специального начального числового значения, полученного от хоста S/Key, создает одноразовый пароль. В системе S/Key для создания одноразовых паролей используются MD4 или MD5, являющиеся односторонними алгоритмами хэширования. Каждый одноразовый пароль, генерируемый в системе S/Key, состоит из шести коротких слов. При этом клиент S/Key может иметь интерфейс командной строки или графический интерфейс пользователя. Примером пароля S/Key, генерируемого посредством интерфейса командной строки, может быть BONE YANK ROW RING WHOA TRUE. На рис. 4.6 показан пример интерфейса пользователя генератора паролей S/Key для Windows 95 — программы keyapp.exe.
Рис. 4.6. Интерфейс пользователя клиента S/Key (keyapp.exe)
Программа keyapp.exe имеет графический интерфейс пользователя, позволяющий ввести секретный пароль, вычислить одноразовый пароль, скопировать пароль в буфер обмена, а затем вставить его в соответствующее поле окна аутентификации (например, окна удаленного доступа к сети в Windows). Программное обеспечение аутентификации удаленного клиента посылает одноразовый пароль в виде открытого текста хосту S/Key, который должен проверить его.
После того как одноразовый пароль использован, он не принесет никакой пользы перехватчику сообщений. Некоторые генераторы паролей S/Key создают список одноразовых паролей, который может быть напечатан, чтобы пароли можно было ввести вручную в окне аутентификации, когда это потребуется.
Хосты S/Key
Хост S/Key получает запрос аутентификации от клиента S/Key и посылает запрос согласования параметров S/Key, включающий порядковый номер сообщения и начальное числовое значение, используемое алгоритмом хэширования клиента. Затем клиент S/Key посылает хосту S/Key одноразовый пароль. Хост S/Key проверяет этот пароль путем применения к нему алгоритма хэширования и сравнения полученного результата с одноразовым паролем, полученным от клиента. Если значения совпадают, запрос пользователя удовлетворяется и полученный одноразовый пароль сохраняется в некотором файле. Клиент S/Key и сервер следят за числом использованных одноразовых паролей, генерируя уменьшающиеся порядковые номера, так что пользователь должен вновь инициализировать счетчик S/Key с новым секретным паролем, когда счетчик достигает значения 0. Средства аутентификации S/Key поддерживаются программным обеспечением CiscoSecure ACS для сервера защиты UNIX.
Пример использования S/Key
Рассмотрим пример того, как пользователь Sally использует средства S/Key с удаленной системы UNIX (с интерфейсом командной строки), обращаясь к CiscoSecure ACS через сервер сетевого доступа.
Пользователь Sally идентифицирует себя в ответ на стандартное приглашение аутентификации сервера сетевого доступа.
User Access Verification
Username: sally
s/key 98 agst2359
Password:
Система CiscoSecure ACS генерирует запрос, включающий порядковый номер 98 для ожидаемого одноразового пароля и agst2359 — для начального числового значения. Эти значения предъявляются пользователю Sally сервером сетевого доступа.
В строке приглашения UNIX пользователь Sally вводит 98 и agst2359 в свою программу-калькулятор S/Key, имеющую имя key. Секретным паролем может быть любая строка (не менее 10 буквенно-цифровых символов), выбираемая самим пользователем.
% key 98 agst2359
Введите секретный пароль: secret_password
Калькулятор S/Key создает одноразовый пароль следующего вида:
ANNE JEAN MILK SHAW LARK NEST
После этого пользователь Sally снова взаимодействует с сервером сетевого доступа. Он вводит пароль S/Key, чтобы пройти процедуру аутентификации.
Password: ANNE JEAN MILK SHAW LARK NEST
При следующей попытке пользователя Sally получить доступ к сети будет запрошен одноразовый пароль с порядковым номером 97. Порядковый номер будет на единицу меньше, чем тот, что использовался для предыдущей аутентификации. Когда значение порядкового номера достигает 0, пользователь Sally не сможет войти в сеть без повторной инициализации калькулятора S/Key с новым секретным паролем.
Идентификационные карты и серверы
Еще один метод аутентификации с применением одноразовых паролей, обеспечивающий более высокую степень защиты, предполагает использование идентификационных карт и серверов. Каждая идентификационная карта, размером с банковскую кредитную карточку, программируется под конкретного пользователя, а пользователь получает уникальный PIN-код, позволяющий генерировать пароль, соответствующий только конкретной карте. Такой пароль затем вводится в поле пароля в процессе аутентификации удаленного доступа.
Данный метод аутентификации требует, чтобы пользователь имел идентификационную карту или соответствующий программный аналог и знал код, с помощью которого можно инициировать процесс генерирования пароля. Этот метод аутентификации из всех коммерчески доступных обеспечивает наилучшую защиту. Аутентификация с применением одноразового пароля осуществляется между соответствующим сервером с базой данных идентификационных карт и программным обеспечением аутентификации удаленного клиента.
Операции, выполняемые идентификационной картой и сервером
Элементами системы аутентификации, о которой идет речь, являются удаленный клиент, идентификационная карта, сервер сетевого доступа и сервер идентификационных карт. Идентификационные карты и серверы используются следующим образом.
Пользователь генерирует одноразовый пароль с помощью идентификационной карты, использующей для этого некоторый алгоритм.
Пользователь вводит одноразовый пароль в соответствующее поле окна аутентификации (например, окна Windows удаленного доступа к сети), отображаемого удаленным клиентом.
Удаленный клиент посылает одноразовый пароль серверу идентификационных карт по сети через сервер удаленного доступа.
Сервер идентификационных карт использует тот же алгоритм для проверки того, что пароль корректен и идентифицирует удаленного пользователя.
Методы использования идентификационных карт
Чаще всего сервер идентификационных карт использует следующие методы.
Метод согласования времени. В этом случае идентификационная карта содержит криптографический ключ и генерирует пароль (или маркер) после введения пользователем определенного PIN-кода. Пароль вводится в ответ на требование удаленного клиента, который должен переслать пароль серверу маркеров. Пароль приблизительно синхронизируется по времени с сервером маркеров. Сервер сравнивает полученный маркер с маркером, генерируемым на месте. Если маркеры совпадают, пользователь считается аутентифицированным и получает доступ.
Метод запроса и подтверждения. В данном случае идентификационная карта хранит криптографический ключ. Сервер маркеров генерирует случайную строку цифр и посылает ее удаленному клиенту, требующему доступ к сети. Удаленный пользователь вводит эту строку, а идентификационная карта вычисляет значение некоторой криптографической функции для этой строки, используя хранимый картой ключ. Результат возвращается серверу маркеров, который также вычислил значение этой функции. Если результаты совпадают, аутентификация пользователя считается успешной.
Идентификационные карты сегодня имеют программные аналоги в системе удаленного клиента. Примером такой программной идентификационной карты является программа SofToken, генерирующая одноразовые пароли без дополнительных расходов на аппаратные средства генерирования паролей.
Поддержка Cisco идентификационных карт и серверов
Cisco поддерживает аутентификацию следующих четырех серверов идентификационных карт в рамках программного обеспечения CiscoSecure ACS.
CRYPTOCard RB-1 производства CRYPTOCard Corporation;
SecurlD ACE/Server производства RSA Security, Inc.;
SafeWord производства Secure Computing Corporation, использующей идентификационную карту DES Gold Card и программную идентификационную карту SafeWord SofToken;
Сервер идентификационных карт от Axent Technologies в составе CiscoSecure ACS 2.4 для Windows NT.
Более подробная информация об этих серверах содержится в публикациях, представленных в разделе ссылок этой главы.
Аутентификация РАР и CHAP
Важным моментом защиты удаленного доступа является поддержка аутентификации протоколов PAP (Password Authentication Protocol — протокол аутентификации пароля) и CHAP (Challenge Handshake Authentication Protocol — протокол аутентификации с предварительным согласованием вызова). В следующих разделах сравнивается относительная надежность РАР и CHAP. Сначала мы выясним, как работает аутентификация РАР и CHAP, а затем рассмотрим протокол MS-CHAP (Microsoft Challenge Handshake Authentication Protocol), являющийся расширением CHAP.
PPP является стандартным протоколом инкапсуляции для транспортировки данных протоколов сетевого уровня (включая IP, но не ограничиваясь им) через каналы связи типа PSTN или ISDN. Протокол РРР позволяет выполнять аутентификацию удаленных клиентов и серверов с помощью РАР или CHAP.
Замечание
Протокол РРР был разработан с целью преодоления ограничений SLIP и в ответ на необходимость иметь протокол инкапсуляции для последовательных линий, отвечающий стандартам Internet. Усовершенствованные версии РРР допускают шифрование, контроль ошибок, динамическую адресацию IP, поддержку множества протоколов, е также согласование и аутентификацию соединений.
Средства аутентификации в серверах сетевого доступа Cisco настраиваются с помощью команд ааа authentication, которые будут рассматриваться в главах 5 и 6.
Аутентификация РАР для РРР
Аутентификация РАР при использовании протокола РРР обеспечивает удаленному клиенту простую возможность идентифицировать себя с помощью процедуры двухстороннего квитирования (рис. 4.7), которая выполняется только после установки соединения РРР. После того как фаза установки соединения завершена, пара “имя пользователя/пароль” посылается аутентифицирующей стороне до тех пор, пока аутентификация не завершится успешно или соединение не будет разорвано. В ходе аутентификации РАР стороны обмениваются следующими сообщениями.
Удаленный клиент устанавливает связь.
Удаленный клиент сообщает серверу сетевого доступа о том, что используется протокол РРР.
Сервер сетевого доступа, конфигурация которого должна допускать использование РАР, извещает удаленного клиента о применении РАР в ходе этого сеанса связи.
Удаленный клиент посылает имя пользователя и пароль в формате РАР.
Сервер сетевого доступа сравнивает имя пользователя и пароль с сохраненными в базе данных и принимает или отвергает их.
Удаленный клиентУдаленный клиентимя пользователя:пароль: noseeимя пользователя:пароль: nosee5. Подтверждение или отказ —►5. Подтверждение или отказ —►имя пользователя: пароль: noseeимя пользователя: пароль: nosee
Удаленный клиент
Удаленный клиент
имя пользователя:
пароль: nosee
имя пользователя:
пароль: nosee
5. Подтверждение или отказ —►
5. Подтверждение или отказ —►
имя пользователя: пароль: nosee
имя пользователя: пароль: nosee
Рис. 4.7. Шаги аутентификации РАР для протокола РРР
Процедура РАР не является очень надежным методом аутентификации. Имя пользователя и пароль посылаются в виде открытого текста, поэтому с помощью анализатора протокола пароль можно перехватить. Метод РАР не предлагает никакой защиты против атак воспроизведения или атак по методу проб и ошибок. Контроль частоты и числа попыток оставлен на усмотрение сторон. РАР обеспечивает уровень защиты, аналогичный обыкновенной проверке имени пользователя и пароля при доступе к удаленному хосту.
Обычно РАР используется тогда, когда это единственный метод аутентификации, поддерживаемый клиентом, или когда линии связи защищены. Более предпочтительным является использование CHAP. Оборудование и программное обеспечение большинства поставщиков поддерживают РАР, чтобы обеспечить максимальную совместимость.
Аутентификация CHAP для РРР
Протокол CHAP предлагает более падежный метод аутентификации, чем РАР, поскольку он не предполагает передачу реального пароля по каналу связи. В CHAP для аутентификации используется процедура трехходового квитирования, которая выполняется после установки соединения и затем может повторяться периодически для гарантии аутентичности корреспондента. Процедура инициализации CHAP и трехходовое квитирование выполняются по следующей схеме (также рис 4.8).
Соединение РРР создается в результате удаленного вызова. Конфигурация сервера сетевого доступа должна предполагать поддержку РРР и CHAP.
Сервер сетевого доступа предлагает удаленному клиенту использовать CHAP.
Удаленный клиент посылает в ответ ОК.
Процедура трехходового квитирования состоит их следующих шагов:
сервер сетевого доступа посылает сообщение запроса удаленному клиенту;
удаленный клиент возвращает значение односторонней функции хэширования;
сервер сетевого доступа обрабатывает полученное значение хэширования. Если оно совпадает со значением, вычисленным сервером, аутентификация считается успешной. Пароли при этом не пересылаются.
Протокол CHAP предполагает периодический контроль аутентичности удаленного клиента с помошью повторного использования процедуры трехходового квитирования. Сервер сетевого доступа посылает сообщение запроса удаленному узлу. Удаленный узел должен ответить значением, вычисленным с помощью некоторой односторонней функции хэширования (обычно MD5). Сервер сетевого доступа сравнивает ответ с вычисленным им ожидаемым значением хэширования. Если значения совпадают, аутентификация подтверждается. В противном случае соединение немедленно разрывается.
Удаленный клиентУдаленный клиентимя пользователя: John пароль: noseeимя пользователя: John пароль: noseeимя пользователя: john пароль: noseeимя пользователя: john пароль: noseeРис. 4.8. Шаги аутентификации CHAP для протокола РРРРис. 4.8. Шаги аутентификации CHAP для протокола РРР
Удаленный клиент
Удаленный клиент
имя пользователя: John пароль: nosee
имя пользователя: John пароль: nosee
имя пользователя: john пароль: nosee
имя пользователя: john пароль: nosee
Рис. 4.8. Шаги аутентификации CHAP для протокола РРР
Рис. 4.8. Шаги аутентификации CHAP для протокола РРР
Метод CHAP обеспечивает защиту от атак воспроизведения сообщений путем использования в запросах уникальных и непредсказуемых значений. Применение повторных запросов ограничивает время возможной атаки. Сервер сетевого доступа (или сервер защиты типа CiscoSecure TACACS+) может контролировать частоту и время отправки запросов. Главным преимуществом постоянного изменения строки запроса является то, что при этом нет смысла перехватывать значения запроса с целью получения несанкционированного доступа к сети путем его последующего воспроизведения, поскольку это значение постоянно меняется. Таким образом, CHAP оказывается предпочтительнее РАР. Единственной проблемой CHAP до сих пор являлось то, что этот метод не поддерживался в системах Windows NT. Системы на базе Windows NT поддерживают MS-CHAP — версию CHAP, предлагаемую Microsoft.
Аутентификация CHAP зависит от “секрета”, известного только аутентифицирующей стороне и удаленному клиенту. Этот секрет не пересылается по линии связи. Хотя указанная аутентификация является односторонней, посредством выполнения процедуры CHAP в обоих направлениях, один и тот же секрет может использоваться и для взаимной аутентификации.
Метод CHAP требует, чтобы секрет был доступен сторонам в виде открытого текста. Поэтому необратимо шифрованные базы данных с паролями (такие, как улей Windows SAM NT — администратор учетных данных NT) в данном случае не применяются.
Наибольшие усилия производителей сконцентрированы в области разработки и совершенствования методов аутентификации и, прежде всего, технологий парольного доступа. Совершенствование методов авторизации и аудита происходит значительно медленнее.
Аутентификация MS-CHAP
MS-CHAP представляет собой версию CHAP, предлагаемую фирмой Microsoft. Это расширение CHAP, описанное в документе RFC 1994. Использование MS-CHAP позволяет осуществить аутентификацию РРР между системой под управлением Microsoft Windows 95, 98, NT или 2000 и сервером сетевого доступа. Аутентификация РРР, использующая MS-CHAP, может выполняться как вместе с сервисом защиты ААА, так и без него.
MS-CHAP отличается от стандартного метода CHAP.
MS-CHAP активизируется после установки соединения во время переговоров удаленного клиента и сервера сетевого доступа о параметрах РРР.
Пакет ответов MS-CHAP выдержан в формате, соответствующем Microsoft Windows NT 3.5, 3.51 и 4.0, а также сетевым продуктам Windows 95.
MS-CHAP позволяет серверу сетевой защиты (аутентифицирующей стороне) контролировать попытки и механизмы изменения пароля. MS-CHAP дает возможность удаленному клиенту менять пароль MS-CHAP.
MS-CHAP определяет набор кодов причин неудач, возвращаемых удаленному клиенту сервером сетевого доступа.
В маршрутизаторах Cisco для поддержки MS-CHAP предусмотрена команда ррр authentication ms-chap (реализованная в программном обеспечении Cisco IOS Release 11.3 и более поздних версий).
Маршрутизаторы Cisco поддерживают также двойную аутентификацию для РРР (Cisco IOS Release 11.3 и более поздние версии). При двойной аутентификации сначала идентифицируется удаленный хост с помощью РАР или CHAP, а затем пользователь, как правило, с помощью одноразовых паролей идентификационных карт, не поддерживаемых в рамках CHAP. Для получения дополнительной информации о методах двойной аутентификации обратитесь к разделу “Enabling Double Authentication” руководства Cisco IOS Security Configuration Guide, Release 12.0.
Методы авторизации
Авторизация AAA позволяет контролировать доступ пользователей к сетевым сервисам, помогая ограничить доступ к внутренним сетям. С помощью средств авторизации можно указать, к каким из команд Cisco IOS каждому пользователю разрешен доступ. Кроме того, авторизация дает возможность мобильным пользователям соединяться с сетью по ближайшей доступной линии связи и иметь те же привилегии доступа, что и при подключении к своей локальной сети.
Можно задать такую конфигурацию сервера сетевого доступа, при которой после аутентификации пользователю будет позволено выполнять в сети только определенные действия. Как и в случае аутентификации, средства авторизации могут использовать либо локальную базу данных защиты на сервере сетевого доступа, либо удаленную базу данных, как показано на рис. 4.9. На этом рисунке показана схема аутентификации, предполагающей контроль доступа к сетевым службам, командам Cisco IOS и определенным сетям. Для прошедшего аутентификацию пользователя удаленная база данных защиты может потребовать использования списков доступа, хранимых сервером сетевого доступа.
Средства авторизации требуют определить множество атрибутов, описывающих права пользователя для выполнения определенных действий. Значения атрибутов сохраняются либо в локальной базе данных защиты на сервере сетевого доступа, либо в удаленной базе данных на сервере защиты. Когда пользователь пытается получить удаленный доступ к системе, сервер сетевого доступа определяет права пользователя и ограничивает его возможности, включая возможности получения от базы данных информации об аутентификации.
Авторизация может выполняться при запросе любого сетевого сервиса, включая IP, IPX, SLIP, РРР, Telnet, и ARAP. Кроме того, можно определять, разрешается ли пользователю выполнять команды ЕХЕС на сервере сетевого доступа, а также указать разрешенные команды и назначить уровни привилегий EXEC. С помощью средств авторизации можно контролировать и ограничивать доступ к хостам сети, используя динамические списки доступа.
Сервер сетевого доступа выполняет авторизацию:Сервер сетевого доступа выполняет авторизацию:"Пользователь john"Пользователь johnможет использоватьможет использоватьПользовательjohnПользовательjohnСервер сетевого доступаСервер сетевого доступаСервер защиты тоже может выполнять авторизацию: • "Пользователь john имеет привилегии ЕХЕС при доступе к маршрутизатору Ь"• "Пользовательjohn имеет право доступа только к сети 10.1.1.0"Сервер защиты тоже может выполнять авторизацию: • "Пользователь john имеет привилегии ЕХЕС при доступе к маршрутизатору Ь"• "Пользовательjohn имеет право доступа только к сети 10.1.1.0"Маршрутизатор ВМаршрутизатор В
Сервер сетевого доступа выполняет авторизацию:
Сервер сетевого доступа выполняет авторизацию:
"Пользователь john
"Пользователь john
может использовать
может использовать
Пользовательjohn
Пользовательjohn
Сервер сетевого доступа
Сервер сетевого доступа
Сервер защиты тоже может выполнять авторизацию: • "Пользователь john имеет привилегии ЕХЕС при доступе к маршрутизатору Ь"
• "Пользовательjohn имеет право доступа только к сети 10.1.1.0"
Сервер защиты тоже может выполнять авторизацию: • "Пользователь john имеет привилегии ЕХЕС при доступе к маршрутизатору Ь"
• "Пользовательjohn имеет право доступа только к сети 10.1.1.0"
Маршрутизатор В
Маршрутизатор В
Рис. 4.9. Авторизация означает контроль доступа пользователя к сети и сетевым сервисам
Средства авторизации в серверах сетевого доступа Cisco настраиваются с помощью команд ааа authorization, которые будут обсуждаться в главах 5 и 6. Сервер CiscoSecure тоже может быть настроен на выполнение задач авторизации. Конфигурация средств авторизации определяется политикой защиты для групп и индивидуальных пользователей.
Методы аудита
Средства аудита ААА позволяют следить за числом пользователей сетевых ресурсов и собирать статистику их доступа к различным службам. Например, системным администраторам может потребоваться информация о времени использования ресурсов сети отдельными потребителями или подразделениями предприятия (например, информация о суммарном времени связи). Аудит означает сбор информации такого рода. Средства аудита помогают выявить подозрительные попытки подключения к сети.
Когда средства аудита ААА активизированы, сервер сетевого доступа создает контрольные записи действий пользователей. Записи аудита сохраняются на сервере сетевого доступа или могут посылаться удаленной базе данных защиты, как показано на рис. 4.10. Записи аудита, которые подобны записям системного журнала (syslog), можно затем импортировать в электронную таблицу или аудиторскую программу, чтобы проанализировать их с точки зрения сетевого управления, учета и контроля.
Запись аудита состоит из пар атрибут/значение, обычно содержащих имя пользователя, сетевой адрес пользователя, имя сервиса, к которому осуществлялся доступ, время начала и окончания доступа, объем переданных данных, имя сервера сетевого доступа, к которому был получен доступ, и источник соответствующей записи. Протоколы RADIUS и TACACS+ удаленной базы данных защиты предлагают специальные средства создания и пересылки записей аудита.
Серверы сетевого доступа Cisco с помощью команд ааа accounting могут быть настроены таким образом, чтобы учитывалась и отображалась информация об использовании команд ЕХЕС, сетевых служб типа SLIP, PPP и ARA, а также информация о событиях системного уровня, не связываемых с пользователями (см. главы 5 и 6).
Сервер сетевого доступа выполняет аудитСервер сетевого доступа выполняет аудитПользователь johnПользователь johnСервер сетевого доступаСервер сетевого доступаМаршрутизатор ВМаршрутизатор ВМаршрутизатор может генерировать записи системного журнала и посылать их серверуМаршрутизатор может генерировать записи системного журнала и посылать их серверуСервер защиты тоже может выполнять аудит
Сервер сетевого доступа выполняет аудит
Сервер сетевого доступа выполняет аудит
Пользователь john
Пользователь john
Сервер сетевого доступа
Сервер сетевого доступа
Маршрутизатор В
Маршрутизатор В
Маршрутизатор может генерировать записи системного журнала и посылать их серверу
Маршрутизатор может генерировать записи системного журнала и посылать их серверу
системы
Рис. 4.10. Сервер сетевого доступа, маршрутизатор и удаленная база данных генерируют и обрабатывают информацию аудита
Серверы защиты ААА
Средства ААА в продуктах Cisco поддерживают контроль доступа либо с помощью локальной базы данных на сервере сетевого доступа, либо с помощью удаленной базы данных зашиты, использующей протокол защиты ААА. Оба подхода имеют свои плюсы и минусы. В этом разделе мы рассмотрим применение средств ААА с локальной и удаленной базами данных зашиты, а также стандарты удаленной базы данных защиты, поддерживаемые средствами ААА Cisco.
ААА и локальная база данных защиты
Если требуется обеспечить доступ к сети небольшому числу удаленных пользователей через один-два сервера сетевого доступа, можно хранить информацию об их именах и паролях на сервере сетевого доступа. Такой подход называют локальной аутентификацией, или аутентификацией с помощью локальной базы данных защиты. Ниже указаны особенности использования средств ААА с локальной базой данных защиты.
Локальная аутентификация подходит для малых сетей с небольшим числом удаленных пользователей и серверов сетевого доступа.
Имена пользователей, пароли и параметры авторизации хранятся в локальной базе данных защиты на сервере сетевого доступа.
Удаленные пользователи проходят аутентификацию и авторизацию с помощью локальной базы данных защиты.
Авторизация и аудит при использовании локальной базы данных зашиты имеют ограниченную поддержку.
Контроль доступа с помощью локальной базы данных защиты позволяет сэкономить на установке и поддержке удаленной базы данных защиты.
Аутентификация с использованием локальной базы данных зашиты обычно выполняется так, как показано на рис. 4.11. Сначала с помощью команд ААА необходимо в локальной базе данных зашиты каждого сервера сетевого доступа указать соответствующие параметры для каждого из возможных пользователей. Процесс ААА состоит из следующих шагов.
Удаленный пользователь устанавливает соединение РРР с сервером сетевого доступа.
Сервер сетевого доступа запрашивает у пользователя имя и пароль.
Сервер сетевого доступа выполняет аутентификацию имени и пароля с помощью локальной базы данных.
Сервер сетевого доступа выполняет процедуру авторизации, в результате чего пользователь получает право доступа к сетевым сервисам и другим ресурсам в соответствии со значениями, заданными в локальной базе данных.
Сервер сетевого доступа следит за трафиком пользователя и создает записи аудита в соответствии со значениями, заданными в локальной базе данных.
Удаленный пользовательУдаленный пользовательРис. 4.11. Локальная база данных защиты, выполняющая задачи АААРис. 4.11. Локальная база данных защиты, выполняющая задачи АААСервер сетевого доступаСервер сетевого доступа3. Аутентификация4. Авторизация5. Создание записей аудита3. Аутентификация4. Авторизация5. Создание записей аудита2. Приглашение2. Приглашение
Удаленный пользователь
Удаленный пользователь
Рис. 4.11. Локальная база данных защиты, выполняющая задачи ААА
Рис. 4.11. Локальная база данных защиты, выполняющая задачи ААА
Сервер сетевого доступа
Сервер сетевого доступа
3. Аутентификация
4. Авторизация
5. Создание записей аудита
3. Аутентификация
4. Авторизация
5. Создание записей аудита
2. Приглашение
2. Приглашение
ААА и удаленная база данных защиты
По мере роста сети все более остро встает вопрос о необходимости использования удаленной базы данных зашиты, которая обеспечивала бы информацию об именах пользователей и паролях всем серверам сетевого доступа и маршрутизаторам сети. Удаленная база данных зашиты размешается на сервере зашиты.
Удаленную базу данных защиты удобно использовать тогда, когда имеется большое число серверов сетевого доступа, контролирующих доступ к сети. Такая база данных позволяет централизованно управлять файлами профилей (т.е. параметрами доступа) удаленных пользователей, что избавляет от необходимости менять файлы профилей каждого удаленного пользователя на всех серверах сетевого доступа. Удаленная база данных защиты помогает создать и реализовать согласованную политику защиты удаленного доступа для всех подразделений корпорации.
Рассмотрим особенности использования средств ААА с удаленной базой данных зашиты.
Аутентификация с помощью удаленной базы данных зашиты оптимальна для средних и больших сетей с большим числом удаленных пользователей и множеством серверов сетевого доступа, когда затраты на содержание сервера зашиты могут быть оправданы.
Имена пользователей, пароли и параметры авторизации централизованно хранятся в удаленной базе данных защиты на сервере зашиты.
Удаленные пользователи проходят процедуры аутентификации и авторизации с помощью удаленной базы данных защиты.
Авторизация и аудит поддерживаются сервером сетевого доступа с использованием удаленной базы данных защиты.
Удаленная база данных защиты может использоваться для контроля доступа к серверу сетевого доступа или к сети через сервер сетевого доступа. Некоторые протоколы удаленной базы данных защиты поддерживают контроль доступа к маршрутизаторам, коммутаторам Ethernet и брандмауэрам. Удаленная база данных защиты применяется для контроля доступа к сетевому оборудованию, поддерживающему стандартные протоколы удаленного доступа.
Централизованный контроль посредством удаленной базы данных защиты позволяет сэкономить средства, избавляя от необходимости управлять каждым сервером сетевого доступа в отдельности. Для зашиты базы данных необходимо, чтобы содержащий ее хост был защищен с максимальной степенью надежности. Некоторые рекомендации относительно усиления защиты узлов сети содержатся в главе 1.
Аутентификация с использованием удаленной базы данных защиты обычно выполняется так, как показано на рис. 4.12. Сначала необходимо заполнить локальную базу данных защиты каждого сервера сетевого доступа, описав соответствующие параметры для каждого из возможных пользователей. Кроме того, необходимо настроить сервер сетевого доступа (и другое сетевое оборудование) на взаимодействие с удаленной базой данных защиты при выполнении операций ААА. Процесс ААА в данном случае состоит из следующих шагов.
Пользователь устанавливает соединение РРР с сервером сетевого доступа.
Сервер сетевого доступа запрашивает у пользователя имя и пароль, и пользователь предъявляет соответствующие данные.
Сервер сетевого доступа передает имя пользователя и пароль серверу защиты.
Удаленная база данных защиты выполняет процедуру аутентификации и авторизации для данного пользователя и предоставляет ему соответствующие права доступа в сети. База данных на самом деле изменяет конфигурацию сервера сетевого доступа в соответствии с параметрами аутентификации, загружая необходимые команды в сервер сетевого доступа и активизируя соответствующие списки доступа.
Сервер сетевого доступа создает записи аудита в соответствии с параметрами удаленной базы данных защиты и посылает эти записи серверу защиты. Сервер защиты тоже может создавать записи аудита.
Основным преимуществом использования удаленной базы данных защиты является то, что вследствие централизованного управления упрощается администрирование и обеспечивается согласованная реализация политики защиты в отношении удаленного доступа, доступа по телефонным линиям связи и управления маршрутизаторами.
Стандарты базы данных защиты, поддерживаемые Cisco
Существует несколько стандартов удаленной базы данных защиты, призванных обеспечить унифицированный подход к управлению доступом к сети. Эти стандарты поддержи-
ваются многими приложениями, среди которых есть как условно-бесплатные, так и коммерческие продукты.
Сервер сетевогоУдаленная база
доступаданных защиты
3. Передача имени пользователя и пароля базе данных
Рис. 4.12. Удаленная база данных защиты позволяет централизованно управлять использованием средств ААА
Сетевое оборудование Cisco поддерживает три протокола сервера защиты — TACACS+, RADIUS и Kerberos. TACACS+ и RADIUS являются главными протоколами сервера защиты, используемыми для решения задач ААА с серверами сетевого доступа, маршрутизаторами и брандмауэрами. Эти протоколы применяются при обмене информацией об управлении доступом между сервером защиты и сетевым оборудованием. Cisco также предлагает поддержку протоколов TACACS+ и RADIUS для CiscoSecure ACS.
Семейство серверов сетевого доступа и маршрутизаторов Cisco, пользовательский интерфейс Cisco IOS и PIX Firewall поддерживают взаимодействие с серверами защиты, использующими TACACS+ и RADIUS.
Серверы защиты TACACS+ или RADIUS взаимодействуют с сетевым оборудованием так, как будто они являются серверами сетевого доступа. На рис. 4.13 сервер сетевого доступа выступает в роли клиента TACACS+ или RADIUS по отношению к серверу защиты TACACS+ или RADIUS. Для обмена информацией о событиях ААА между клиентом и сервером используется протокол TACACS+ или RADIUS.
В следующих разделах TACACS+, RADIUS, Kerberos и CiscoSecure ACS будут рассмотрены подробнее.
TACACS+
TACACS+ представляет собой приложение сервера защиты, позволяющее на основе соответствующего протокола реализовать централизованное управление доступом пользователей к серверу сетевого доступа, маршрутизатору или другому сетевому оборудованию, поддерживающему TACACS+. Информация о сервисах TACACS+ и пользователях хранится в базе данных, обычно размещаемой на компьютере под управлением UNIX или Windows NT. TACACS+ позволяет с помощью одного сервера управления приложениями (демона TACACS+) реализовать независимую поддержку сервисов ААА.
Удаленный пользовательУдаленный пользовательPSTN/ISDNPSTN/ISDNСервер сетевого доступаСервер сетевого доступаКлиент TACACS+/RADIUSКлиент TACACS+/RADIUSСервер защиты TACACS+/RADIUSСервер защиты TACACS+/RADIUSTACACS+/RADIUSTACACS+/RADIUS
Удаленный пользователь
Удаленный пользователь
PSTN/ISDN
PSTN/ISDN
Сервер сетевого доступа
Сервер сетевого доступа
Клиент TACACS+/RADIUS
Клиент TACACS+/RADIUS
Сервер защиты TACACS+/RADIUS
Сервер защиты TACACS+/RADIUS
TACACS+/RADIUS
TACACS+/RADIUS
Протокол TACACS+/RADIUS
Рис. 4.13. Поддержка TACACS+ или RADIUS сервером сетевого доступа, маршрутизатором и удаленной базой данных зашиты
Версии TACACS
Имеется три версии приложений сервера защиты TACACS.
TACACS (Terminal Access Controller Access Control System — система управления доступом к контроллеру терминального доступа). Описанный в документе RFC 1492 промышленный стандарт протокола, предполагающий передачу имени пользователя и пароля централизованному серверу. Централизованный сервер может представлять собой либо базу данных TACACS, либо базу данных типа файла паролей UNIX с поддержкой протокола TACACS. Например, сервер UNIX с поддержкой TACACS может передавать запросы базе данных UNIX и возвращать сообщения подтверждения или отказа серверу доступа.
XTACACS. Определяет расширения, добавленные Cisco к протоколу TACACS для поддержки новых и расширенных возможностей. Стандарт XTACACS является многопротокольным; он поддерживает авторизацию соединений, использующих SLIP, режим enable, PPP (IP или IPX), ARA, EXEC и Telnet. XTACACS поддерживает отправку информации аудита хосту UNIX от множества серверов TACACS и syslog, соединяет пользователя с “оболочкой” сервера доступа в соответствии с результатами аутентификации, а также может инициализировать соединения Telnet, SLIP, PPP или ARA после начальной аутентификации. XTACACS был вытеснен TACACS+.
TACACS+. Улучшенная и постоянно совершенствуемая версия TACACS позволяет серверу TACACS+ обеспечивать независимое использование сервисов ААА. Поддержка ААА является модульной, так что каждая из возможностей по существу является отдельным сервером. Каждый сервис может связываться со своей базой данных либо использовать другие сервисы сервера или сети. Поддержка TACACS+ появилась в Cisco IOS Release 10.3. TACACS+ представляет собой совершенно новую версию протокола TACACS, ссылающуюся на документ RFC 1492 и разрабатываемую Cisco. Он несовместим с XTACACS. TACACS+ был представлен па рассмотрение IETF (Internet Engineering Task Force — проблемная группа проектирования Internet) в качестве проекта стандарта.
TACACS и XTACACS в программном обеспечении Cisco IOS официально представлены как протоколы, дальнейшее сопровождение и совершенствование которых компания Cisco прекращает. Кроме того, сопровождение бесплатно предлагаемого Cisco программного кода сервера TACACS и XTACACS тоже официально прекращено. Дальнейшее совершенствование и сопровождение этих продуктов компанией Cisco не планируется. Однако активное независимое сообщество пользователей уже предлагает некоторые усовершенствования этих протоколов.
Свойства TACACS+
TACACS+ поддерживает следующие возможности сервера защиты.
Пакеты TCP для надежной передачи данных. Использование TCP в качестве протокола связи для соединений TACACS+ между сервером сетевого доступа и сервером защиты. Для TACACS+ резервируется ТСР-порт 49.
Архитектура ААА. Каждый сервис предоставляется отдельно и имеет собственную базу данных, но, тем не менее, они работают вместе, как один сервер защиты.
Канальное шифрование. Часть TCP-пакета, содержащая данные протокола TACACS+, шифруется с целью защиты трафика между сервером сетевого доступа и сервером защиты.
Каждый пакет TACACS+ имеет 12-байтовый заголовок, пересылаемый в виде открытого текста, и тело переменной длины, содержащее параметры TACACS+. Тело пакета шифруется с помощью алгоритма, использующего псевдослучайный заполнитель, получаемый посредством MD5. Пакеты TACACS+ передаются по сети и хранятся сервером TACACS+ в шифрованном виде. Когда это необходимо, пакет дешифруется сервером сетевого доступа или приложением TACACS+ путем обращения алгоритма шифрования.
Аутентификация РАР и CHAP. Обеспечивает полный контроль аутентификации с помощью средств вызова/ответа РАР и CHAP, а также посредством использования диалоговых окон ввода пароля доступа и поддержки сообщений интерактивной процедуры начала сеанса.
Защита локальных и глобальных сетей. Поддержка средств ААА удаленного и локального сетевого доступа для серверов сетевого доступа, маршрутизаторов и другого сетевого оборудования, поддерживающего TACACS+. Дает возможность осуществлять централизованное управление сетевым оборудованием.
Протоколы инкапсуляции для удаленного доступа. Поддерживают использование SLIP, PPP и ARAP, а также адресацию TN3270 и Х.121 в рамках Х.25.
Поддержка автокоманд. Автокоманды автоматически выполняются для пользователя, если они внесены в конфигурацию базы данных TACACS+ и поддерживаются сервером сетевого доступа.
Функция обратного вызова. Данная функция возвращает телефонные вызовы, заставляя сервер сетевого доступа звонить соответствующему пользователю, что может дать дополнительные гарантии защиты пользователям, использующим доступ по телефонным линиям.
Индивидуальные списки доступа пользователей. База данных TACACS+ может дать указание серверу сетевого доступа контролировать доступ данного пользователя к сетевым службам и ресурсам в течение фазы авторизации на основе списка доступа, созданного в ходе предыдущего сеанса связи.
Процесс аутентификации TACACS+
Заголовок пакета TACACS+ содержит поле типа, являющееся признаком того, что пакет представляет собой часть процесса ААА. Аутентификация TACACS+ различает три типа пакетов: START (начало), CONTINUE (продолжение) и REPLY (ответ). Рассмотрим процесс аутентификации TACACS+, в котором сервер сетевого доступа обменивается пакетами аутентификации с сервером TACACS+ (рис. 4.14).
Сервер сетевого доступа посылает пакет START серверу защиты TACACS+, чтобы начать процесс аутентификации.
Процесс аутентификации на сервере защиты TACACS+ обычно возвращает серверу сетевого доступа пакет GETUSER, содержащий запрос имени пользователя.
Сервер сетевого доступа запрашивает имя пользователя и посылает введенное имя серверу защиты TACACS4- в пакете CONTINUE.
Сервер защиты TACACS+ посылает серверу сетевого доступа пакет GETPASS, содержащий запрос пароля. Сервер сетевого доступа выдает запрос пароля пользователю.
Сервер сетевого доступа посылает серверу защиты TACACS+ пакет CONTINUE, содержащий пароль, введенный пользователем.
Сервер защиты TACACS4- проверяет пароль, используя для этого информацию из файла конфигурации TACACS+, и решает, успешно ли завершен процесс аутентификации данного пользователя. В результате серверу сетевого доступа возвращается либо пакет PASS (успех), либо пакет FAIL (неудача), указывающий результат аутентификации.
Сервер сетевого доступаСервер сетевого доступаСервер защиты TACACS+Сервер защиты TACACS+Рис. 4.14. Процесс аутентификации TACACS+Рис. 4.14. Процесс аутентификации TACACS+
Сервер сетевого доступа
Сервер сетевого доступа
Сервер защиты TACACS+
Сервер защиты TACACS+
Рис. 4.14. Процесс аутентификации TACACS+
Рис. 4.14. Процесс аутентификации TACACS+
Процесс авторизации TACACS+
В процессе авторизации TACACS+ используется два типа пакетов: REQUEST (запрос) и RESPONSE (ответ). Данный процесс авторизации пользователя контролируется посредством обмена парами “атрибут/значение” между сервером защиты TACACS+ и сервером сетевого доступа. Рассмотрим процесс авторизации TACACS+, в котором сервер сетевого доступа обменивается пакетами авторизации с сервером TACACS+ (рис. 4.15).
Сервер сетевого доступа посылает пакет REQUEST серверу защиты TACACS+. Данный пакет содержит фиксированный набор полей, идентифицирующих пользователя или процесс, а также переменный набор аргументов, описывающих сервисы и параметры, необходимые для авторизации.
Сервер защиты TACACS+ возвращает серверу сетевого доступа пакет RESPONSE, содержащий переменный набор аргументов ответа (пары “атрибут/значение”). Эти пары строятся на основе ранее заданных разрешений для данного пользователя, хранимых в файле конфигурации TACACS+. Вот несколько примеров таких пар.
service = ppp — исходно доступный сервис
protocol = ip — протокол, доступный для использования с указанным сервисом
addr = 172.16.10.1 — авторизованный сетевой адрес
timeout = 12 — абсолютный таймер, ограничивающий длительность соединения в минутах
Сервер сетевого доступа использует пары “атрибут/значение” для того, чтобы запретить, разрешить или модифицировать возможности использования команд и сервисов, запрашиваемых пользователем.
Сервер сетевого доступаСервер сетевого доступа3. Сервер сетевого доступа запрещает или разрешает3. Сервер сетевого доступа запрещает или разрешаетРис. 4.15. Процесс авторизации TACACS+Рис. 4.15. Процесс авторизации TACACS+СерверСерверзащиты TACACS+защиты TACACS+
Сервер сетевого доступа
Сервер сетевого доступа
3. Сервер сетевого доступа запрещает или разрешает
3. Сервер сетевого доступа запрещает или разрешает
Рис. 4.15. Процесс авторизации TACACS+
Рис. 4.15. Процесс авторизации TACACS+
Сервер
Сервер
защиты TACACS+
защиты TACACS+
Процесс аудита TACACS+
В процессе аудита TACACS+ используется два типа пакетов — REQUEST (запрос) и RESPONSE (ответ). Данный процесс во многом подобен процессу авторизации. В процессе аудита создаются записи с информацией об активности пользователя в отношении заданных сервисов. Записи, регистрирующие выполненные сетевым оборудованием действия, могут сохраняться в некотором стандартном формате, например в файле .csv (comma-separated value — разделенные запятыми значения), на сервере защиты с целью дальнейшего анализа.
В рамках TACACS+ аудит ААА не является средством надежной защиты и обычно используется только для учета или управления. Однако с помощью аудита ААА можно
контролировать действия пользователя, чтобы, например, вовремя заметить его необычное поведение при работе с сетевым оборудованием.
Рассмотрим процесс аудита TACACS+, в котором сервер сетевого доступа обменивается пакетами аудита с сервером TACACS+ (рис. 4.16).
Сервер сетевого доступа посылает серверу защиты TACACS+ пакет REQUEST аудита, содержащий фиксированный набор полей, идентифицирующих пользователя или процесс. Этот пакет содержит запись, состоящую из переменного набора полей (пар “атрибут/значение”), описывающих сервисы, для которых должны создаваться записи аудита в зависимости от определенных событий и методов аудита. Пары “атрибут/значение” аналогичны тем, которые используются для авторизации, но дополнительно применяются пары, характеризующие время начала и окончания записи аудита, а также общее время, затраченное на ее создание.
Сервер защиты TACACS+ посылает серверу доступа пакет RESPONSE и подтверждает получение контрольной записи. Этот пакет указывает, что функция аудита на сервере защиты TACACS+ выполнена и что запись создана и сохранена.
Сервер сетевого доступаСервер сетевого доступаРис. 4.16. Процесс аудита TACACS+Рис. 4.16. Процесс аудита TACACS+Сервер защиты TACACS+Сервер защиты TACACS+
Сервер сетевого доступа
Сервер сетевого доступа
Рис. 4.16. Процесс аудита TACACS+
Рис. 4.16. Процесс аудита TACACS+
Сервер защиты TACACS+
Сервер защиты TACACS+
RADIUS
RADIUS (Remote Access Dial-In User Service — сервис идентификации удаленных абонентов) представляет собой распределенный протокол, используемый в рамках технологии клиент/сервер и обеспечивающий защиту сети от несанкционированного доступа. Cisco поддерживает RADIUS как одну из составляющих системы защиты ААА. Рассматриваемый протокол скорее объединяет аутентификацию и авторизацию, чем трактует их отдельно, как это делается в отношении аудита. Протокол RADIUS может использоваться с другими протоколами защиты ААА, например с TACACS+, Kerberos и локальными базами данных защиты. Данный протокол был разработан компанией Livingston Enterprises (теперь находящейся в составе Lucent Technologies). Протокол RADIUS описывается в документе RFC 2865, а аудит RADIUS — в RFC 2866.
Протокол RADIUS реализован во многих сетевых средах, требующих высокого уровня зашиты при условии поддержки сетевого доступа для удаленных пользователей. Он представляет собой полностью открытый протокол, поставляемый в формате исходного текста, который можно изменить для того, чтобы он мог работать с любой доступной в настоящий момент системой защиты. Широкую популярность RADIUS обеспечивает возможность добавлять новые пары “атрибут/значение” в дополнение к тем, которые описаны в документе RFC 2865. Протокол RADIUS имеет атрибут поставщика (атрибут 26), позволяющий поставщику осуществлять поддержку своих собственных расширенных наборов атрибутов, включающих нестандартные атрибуты. Вследствие использования пар “атрибут/значение” конкретных поставщиков могут возникать трудности при интеграции серверных продуктов защиты RADIUS в другие системы защиты. Серверы защиты RADIUS и соответствующие клиенты должны иг-
норировать нестандартные пары “атрибут/значение”, созданные конкретными поставщиками.
Cisco осуществляет поддержку клиентов RADIUS посредством набора серверов сетевого доступа, маршрутизаторов, коммутаторов Ethernet, брандмауэров PIX, концентраторов VPN 3000 и CiscoSecure ACS.
Версии RADIUS
Существует множество версий RADIUS, основными из которых являются следующие.
Реализация IETF. Разработанная компанией Livingston Enterprises, теперь входящей в состав Lucent Technologies, реализация IETF протокола RADIUS описывается в документе RFC 2865, а аудит RADIUS — в документе RFC 2866. Поддерживает примерно 63 атрибута.
Реализация Cisco. Начиная с Cisco IOS Release 11.2, с каждой новой версией Cisco IOS и CiscoSecure ACS число поддерживаемых этой реализацией атрибутов растет, а ее функциональные возможности постоянно расширяются. В настоящее время поддерживается примерно 58 атрибутов.
Реализация Ascend. Компания Ascend постоянно добавляет атрибуты поставщика, обеспечивающие, например, поддержку кэширования маркеров доступа и изменения пароля. Программный интерфейс приложения (API) дает возможность быстрой разработки новых расширений, в результате чего другим поставщикам трудно конкурировать с этой компанией в области предложения новинок. Хотя протокол RADIUS был изначально разработан компанией Livingston Enterprises, последняя уступила лидерство Ascend. Эта реализация поддерживает более 254 атрибутов.
Реализации других поставщиков. Доступны реализации RADIUS и других поставщиков.
Merit представляет собой версию для UNIX и LINUX. Дополнительная информация доступна по адресу: www.merit.net/radius/.
е Internet Authentication Service (сервис аутентификации Internet) для Microsoft Windows 2000 также предполагает поддержку RADIUS (см. www.microsoft.com/ windows2000/Ubrary/howitworks/communications/remoteaccess/ias.asp).
Funk Steel-Belted RADIUS компании Funk Software (cm. www.funk.com/ Default.htm).
Возможности RADIUS
RADIUS поддерживает следующие возможности сервера защиты.
Пакеты UDP. Для связи RADIUS между сервером сетевого доступа и сервером защиты используется протокол UDP и UDP-порт 1812, официально назначенный для этого. Некоторые реализации RADIUS используют UDP-порт 1645. Использование UDP упрощает реализацию клиента и сервера RADIUS.
Объединение аутентификации и авторизации и выделение аудита. Сервер RADIUS получает запросы пользователя, выполняет аутентификацию и обеспечивает клиенту информацию о конфигурации. Аудит выполняется сервером аудита RADIUS.
Шифрование паролей пользователей. Пароли, содержащиеся в пакетах RADIUS (а это только пользовательские пароли), шифруются посредством хэширования MD5.
Аутентификация PAP и СПАР. Обеспечивает управление аутентификацией с помощью средств вызова/ответа РАР и CHAP, а также посредством диалога начала сеанса и ввода пароля наподобие входа в систему UNIX.
Защита глобальной сети. Обеспечивает поддержку средств ААА удаленного доступа для серверов сетевого доступа многих поставщиков, поддерживающих клиентов RADIUS. Дает возможность централизовать управление удаленным доступом.
Протоколы группы SLIP, PPP и ARAP. Поддерживаются также Telnet, rlogin и LAT (Local Area Transport — протокол доступа к терминалу в сетях DECnet).
. • Автокоманды. Пользователь может автоматически выполнить команду, если она указана в базе данных RADIUS и поддерживается сервером сетевого доступа.
Функция обратного вызова. Данная функция возвращает телефонные вызовы, заставляя сервер сетевого доступа звонить соответствующему пользователю, что может дать дополнительные гарантии защиты пользователям, использующим доступ по телефонным линиям.
Расширяемость. Все транзакции предполагают использование пар “атрибут/значение” переменной длины. Новые атрибуты могут быть добавлены в существующие реализации протокола. Протокол разрешает производителям добавлять новые атрибуты с помощью атрибута поставщика.
Гарантированная сетевая защита. Аутентификация транзакций между клиентом и сервером защиты RADIUS предполагает использование общего секретного значения.
Процесс аутентификации и авторизации RADIUS
Клиент RADIUS и сервер защиты RADIUS обмениваются пакетами Access-Request (доступ-запрос), Access-Accept (доступ-подтверждение), Access-Reject (доступ-отказ) и Access-Challenge (доступ-вызов). Как показано на рис. 4.17, при попытке подключиться к серверу сетевого доступа, имеющему конфигурацию клиента RADIUS, выполняются следующие шаги.
Пользователь инициализирует запрос аутентификации РРР к серверу сетевого доступа.
У пользователя запрашивается имя и пароль, и он вводит их.
Сервер сетевого доступа посылает серверу защиты RADIUS пакет Acces-Request, содержащий имя пользователя, шифрованный пароль и другие атрибуты.
Сервер защиты RADIUS идентифицирует посылающего клиента, выполняет аутентификацию пользователя, проверяет параметры авторизации пользователя и возвращает один из следующих ответов.
Access-Accept — пользователь аутентифицирован.
Access-Reject — пользователь не аутентифицирован, и сервер сетевого доступа либо предлагает ввести имя пользователя и пароль снова, либо запрещает доступ.
Access-Challenge — вызов является дополнительной возможностью сервера защиты RADIUS, позволяющей получить дополнительные данные о пользователе, чтобы послать их серверу защиты RADIUS.
Сервер сетевого доступа обращается к параметрам аутентификации, разрешающим использование конкретных служб.
Ответ Access-Accept или Access-Reject связывается с дополнительными данными (парами “атрибуг/значение”), используемыми для сеансов ЕХЕС и авторизации. Процесс аутентификации RADIUS должен быть завершен до начала процесса авторизации. Дополнительные данные в пакетах Accept или Reject состоят из пар “атрибуг/значение” для следующих объектов:
сервисы, к которым разрешается доступ пользователю, включая Telnet, rlogin, а также соединения LAT и РРР;
сервисы ЕХЕС и SLIP;
параметры соединения, включая IP-адреса клиента и хоста, список доступа и ограничения времени.
Сервер защиты RADIUS может периодически посылать пакеты Access-Challenge серверу сетевого доступа, чтобы потребовать повторного введения имени и пароля пользователем, информировать о состоянии сервера сетевого доступа или выполнить какие-то другие действия, предусмотренные разработчиками сервера RADIUS. Клиент RADIUS не может посылать пакеты Access-Challenge.
1.2.
3. Тип пакета = Access-Request
Access-Accept/Access-RejectAccess-Accept/Access-RejectСервер защиты RADIUSСервер защиты RADIUSСервер4.
Access-Accept/Access-Reject
Access-Accept/Access-Reject
Сервер защиты RADIUS
Сервер защиты RADIUS
Рис. 4.17. Процесс аутентификации и авторизации RADIUSРис. 4.17. Процесс аутентификации и авторизации RADIUSсетевого доступа6
Рис. 4.17. Процесс аутентификации и авторизации RADIUS
Рис. 4.17. Процесс аутентификации и авторизации RADIUS
Процесс аудита RADIUS
Протокол RADIUS был усовершенствован с тем, чтобы обеспечить доставку информации аудита от клиента RADIUS серверу аудита RADIUS через UDP-порт 1813. Клиент RADIUS отвечает за отправку информации аудита пользователя соответствующему серверу аудита RADIUS, для чего используется пакет типа AccountingRequest (аудит-запрос) с соответствующим набором пар “атрибуг/значение”.
Сервер аудита RADIUS должен принять запрос аудита и вернуть ответ, подтверждающий успешное получение запроса. Для этого используется пакет типа Accounting-Response (аудит-ответ).
Как видно из рис. 4.18, при попытке подключиться к серверу сетевого доступа, имеющему конфигурацию клиента RADIUS, выполняются следующие шаги.
После исходной аутентификации сервер сетевого доступа посылает серверу защиты RADIUS старт-пакет Accounting-Request.
Сервер защиты RADIUS подтверждает получение старт-пакета, возвращая пакет Accounting- Response.
По окончании использования сервиса сервер сетевого доступа посылает стоп- пакет Accounting-Request; в этом пакете указываются тип предоставленного сервиса и дополнительные статистические данные.
Сервер защиты RADIUS подтверждает получение стоп-пакета, возвращая пакет Accounting- Response.
1. Accounting-Request (старт)1. Accounting-Request (старт)Сервер сетевого доступаСервер сетевого доступаСервер защиты RADIUSСервер защиты RADIUSРис. 4.18. Процесс аудита RADIUSРис. 4.18. Процесс аудита RADIUS
1. Accounting-Request (старт)
1. Accounting-Request (старт)
Сервер сетевого доступа
Сервер сетевого доступа
Сервер защиты RADIUS
Сервер защиты RADIUS
Рис. 4.18. Процесс аудита RADIUS
Рис. 4.18. Процесс аудита RADIUS
Атрибуты RADIUS
Данные атрибуты содержат конкретные параметры аутентификации и авторизации, а также другую необходимую информацию. Атрибуты присоединяются к концу пакета RADIUS. Можно присоединить один или несколько атрибутов сразу. Конец списка атрибутов определяется общей длиной пакета RADIUS.
Формат атрибута показан на рис. 4.19; поля передаются слева направо.
Октет О 12
Тип
Длина
Значение
Рис. 4.19. Формат атрибута RADIUS, вклю-чающий поля типа, длины и значения
Атрибуты RADIUS состоят из полей типа, длины и значения.
Тип. Имеет длину, равную одному октету. Указывает общий тип атрибута RADIUS. Одним из возможных значений этого поля является 1 (User-Name); это говорит о том, что поле значения содержит имя пользователя. Тип 26 (Vendor-Specific) указывает поставщика RADIUS или пользователя и определяет поля длины и значения.
Длина. Имеет длину, равную одному октету. Указывает длину атрибута, включая поля типа, длины и значения.
Значение. Поле нулевой или большей длины, равной целому числу октетов. Содержит конкретную информацию, предоставляемую данным атрибутом. Формат и длина поля значения определяются полями типа и длины.
Сравнение TACACS+ и RADIUS
Хотя TACACS+ и RADIUS очень похожи по своим функциональным возможностям, они имеют несколько важных отличий, указанных в табл. 4.4.
[Таблица 4.4. СравнениеТАСАС8+ й RADIUS^
Функциональные возможности
TACACS+
RADIUS
Поддержка ААА
Разделение трех сервисов ААА
Аутентификация и авторизация объединяются, а аудит отделяется
Транспортный протокол
TCP
UDP
Вызов/ответ
Двунаправленный
Однонаправленный
Поддержка протоколов
Полная поддержка
Отсутствует поддержка NetBEUI
Целостность данных
Шифруется весь пакет TACACS+
Шифруются только пароли пользователей
Функциональные возможности. TACACS+ разделяет функции ААА в соответствии с архитектурой ААА, тем самым обеспечивая модульность реализации сервера защиты. RADIUS объединяет аутентификацию и авторизацию, а аудит рассматривается отдельно, что означает меньшую гибкость реализации.
Транспортный протокол. Использование протокола UDP для RADIUS (вместо TCP, как в TACACS+) было выбрано с целью упрощения реализации клиента и сервера. Но это делает протокол RADIUS менее устойчивым и требует дополнительных мер надежности от сервера (ретрансмиссии пакетов и использования ограничений по времени, вместо того .чтобы полагаться на протокол 4-го уровня (транспортный уровень в модели OSI)).
Вызов/ответ. TACACS+ поддерживает двунаправленный поток вызовов/ответов между серверами сетевого доступа подобно тому, как это сделано в CHAP. RADIUS поддерживает однонаправленный вызов/ответ от сервера защиты RADIUS к клиенту RADIUS.
Поддержка протоколов. TACACS+ обеспечивает более полную поддержку протоколов удаленного и межсетевого доступа.
Целостность данных. TACACS+ предполагает шифрование содержимого пакетов. RADIUS предусматривает шифрование только атрибутов пароля в пакете Access-Request. Это означает лучшую защищенность TACACS+.
Кроме того, сравнивая TACACS+ и RADIUS, можно отметить следующее.
Возможности настройки. Гибкость протокола TACACS+ обеспечивает возможность настройки множества параметров в соответствии с требованиями отдельных пользователей (например, настройка запроса имени пользователя и пароля). Из-за недостаточной гибкости RADIUS многие возможности, доступные в рамках TACACS+, при использовании RADIUS недоступны (например, каталоги сообщений). С другой стороны, RADIUS поддерживает возможность изменения наборов пар “атрибут/значение”.
Процесс авторизации. При использовании TACACS+ сервер принимает или отвергает запрос аутентификации на основании данных пользовательского профиля. Клиенту (серверу сетевого доступа) содержимое пользовательского профиля остается неизвестным. В системе RADIUS все посылаемые с ответом атрибуты пользовательского профиля передаются серверу сетевого доступа. Сервер сетевого доступа принимает или отвергает запрос аутентификации на основании полученных им значений атрибутов.
Аудит. Аудит TACACS+ предполагает использование ограниченного числа информационных полей. Аудит RADIUS может предоставить больше информации, чем можно получить из записей аудита TACACS+, что является главным преимуществом RADIUS в сравнении с TACACS+.
Kerberos
Kerberos — это протокол аутентификации, задачей которого является ратификация запросов к сетевым службам и ресурсам в открытой незащищенной сети. Kerberos был создан в Массачусетсском технологическом институте (МТИ) с целью контроля доступа к сетевым службам со стороны хостов университетской сети, которые не подвергались административному контролю. Система Kerberos использует алгоритм шифрования DES (см. главу 13).
Для защищенной верификации пользователей и сервисов система Kerberos полагается на надежное приложение третьей стороны, называемое центром распределения ключей (Key Distribution Center — КОС); это во многом подобно тому, как компания, занимающаяся вопросами собственности, предоставляет услуги условного депонирования при сделках с недвижимостью. Kerberos предполагает хранение базы данных своих клиентов в системе КОС.
Главной задачей применения Kerberos является гарантия того, что пользователи, получающие доступ к сетевым службам, действительно являются теми, за кого себя выдают. Чтобы выполнить верификацию, система KDC Kerberos выдает пользователям мандаты, которые имеют ограниченный срок действия. Они сохраняются в кэше мандатов пользователя и могут использоваться вместо стандартного механизма аутентификации, предполагающего применение имен пользователей и паролей.
Kerberos реализует принцип однократной идентификации. Аутентификация пользователя выполняется только один раз, с последующей защищенной аутентификацией (без шифрования другого пароля) при предъявлении пользовательского мандата другим сетевым службам.
Программные компоненты Kerberos свободно распространяются МТИ в виде исходного кода С при условиях, указанных в соответствующем лицензионном соглашении. Последней из выпущенных МТИ версий является Kerberos 5. Доступны и коммерческие версии Kerberos многих поставщиков, например CyberSafe Corporation и WRQ Incorporated. Microsoft Windows 2000 имеет встроенный сервер Kerberos.
Программное обеспечение Cisco IOS Software, начиная с версии 11.2 (рекомендуются версии 11.2(6) и более поздние) поддерживает протокол Kerberos версии 5, описываемый в документе RFC 1510, “The Kerberos Network Authentication Service (V5)”.
Свойства Kerberos
Вот основные характеристики Kerberos.
Использование протокола аутентификации секретных ключей.
Аутентификация пользователей и запрашиваемых ими сетевых услуг.
Применение 40- или 56-битового варианта DES для шифрования и аутентификации.
Распределение ключей надежной третьей стороной (центром распределения ключей).
Однократная идентификация.
Трудоемкость администрирования.
Компоненты Kerberos
Kerberos состоит из множества программных компонентов. На рис. 4.20 показаны основные компоненты Kerberos в сети, использующей маршрутизаторы Cisco и серверы сетевого доступа.
Система KDC содержит базу данных пользователей.
Программное обеспечение сервера Kerberos осуществляет поддержку серверной стороны Kerberos.
Клиент Kerberos и соответствующие программные утилиты обеспечивают поддержку возможностей удаленного клиента.
Поддерживающие Kerberos продукты Cisco состоят из клиента, сервера и утилит.
Пользователь АПользователь АСервер сетевого доступаСервер сетевого доступаKerberosKerberosЦентр распределения ключей (КОС)Центр распределения ключей (КОС)Сервер KerberosБаза данных KerberosСервер KerberosБаза данных KerberosКлиент/сервер KerberosКлиент/сервер KerberosХост ВХост ВПользователь ВПользователь ВМаршрутизатор АМаршрутизатор АКлиент KerberosУтилиты KerberosКлиент KerberosУтилиты KerberosПользователь СПользователь С
Пользователь А
Пользователь А
Сервер сетевого доступа
Сервер сетевого доступа
Kerberos
Kerberos
Центр распределения ключей (КОС)
Центр распределения ключей (КОС)
Сервер Kerberos
База данных Kerberos
Сервер Kerberos
База данных Kerberos
Клиент/сервер Kerberos
Клиент/сервер Kerberos
Хост В
Хост В
Пользователь В
Пользователь В
Маршрутизатор А
Маршрутизатор А
Клиент Kerberos
Утилиты Kerberos
Клиент Kerberos
Утилиты Kerberos
Пользователь С
Пользователь С
ПротоколKerberos
Рис. 4.20. Главные компоненты Kerberos в среде Cisco
Терминология Kerberos
В системе Kerberos применяется специальная терминология. Приведенный ниже список представляет термины, которые будут использоваться в следующем разделе.
Мандат (credential). Это мандат аутентификации, например мандат ТОТ или мандат на получение сервиса.
KDC (Key Distribution Center). Центр распределения ключей. Сервер Kerberos и программа базы данных, выполняемые в системе одного из хостов сети.
Область Kerberos. Домен, состоящий из пользователей, хостов и сетевых сервисов, регистрируемых данным сервером Kerberos.
KINIT. Программное обеспечение клиента Kerberos, выполняющего аутентификацию пользователя для KDC.
Мандат на получение сервиса. Мандат, разрешающий использование сервиса. Выдается системой KDC в шифрованном виде; шифруется с помощью пароля, используемого совместно соответствующим сетевым сервисом и KDC, а также с помощью мандата ТОТ пользователя.
Мандат TGT (Ticket Granting Ticket). Мандат на получение мандата. Мандат, который выдается системой KDC прошедшим аутентификацию пользователям. Дает пользователям возможность идентифицировать себя при обращении к сервису внутри области Kerberos, представляемой данной системой KDC.
Применение Kerberos
В этом разделе дается краткое описание сложного процесса аутентификации и администрирования Kerberos. Чтобы понять принципы работы Kerberos, рассмотрим действие компонентов Kerberos вне их связи с продуктами Cisco. Kerberos можно использовать для аутентификации сеансов РРР, когда KDC выполняет функции удаленной базы данных защиты, поэтому мы рассмотрим применение Kerberos для аутентификации РРР при обращении к серверу сетевого доступа. Kerberos можно использовать для аутентификации обращений к маршрутизатору Cisco или серверу сетевого доступа, когда функции удаленной базы данных зашиты выполняет система KDC, поэтому мы рассмотрим использование Kerberos для аутентификации входа в систему при обращении к серверу сетевого доступа. Наконец, мы рассмотрим приложения входа в систему, которые в программном обеспечении Cisco IOS допускают поддержку Kerberos. Иллюстрацией для следующих примеров является рис. 4.20.
Стандартная аутентификация Kerberos. Чтобы понять, как осуществляется аутентификация Kerberos, рассмотрим основные транзакции, которые выполняются в соответствии с протоколом Kerberos. В этом примере пользователю С требуется подключиться с помощью Telnet к системе хоста В. Пользователь С, хост В и KDC настроены на выполнение аутентификации Kerberos. Процесс аутентификации состоит из следующих шагов.
Пользователь С обращается к KDC и проходит процедуру аутентификации. Пользователь С использует в качестве клиента Kerberos программу KIN IT.
KDC выдает шифрованный мандат TGT системе пользователя С. Система пользователя С аутентифицирует полученный мандат.
Пользователь С пытается подключиться к хосту В через Telnet. Система пользователя С подает мандат TGT на рассмотрение KDC и запрашивает мандат на получение сервиса для авторизации доступа к хосту В.
KDC выдает мандат на получение сервиса, разрешающий доступ Telnet к хосту В.
Система пользователя С предъявляет мандат на получение сервиса хосту В и получает доступ Telnet.
Система пользователя С предъявляет мандат на получение сервиса при последующем доступе к другим системам или сервисам в ходе того же сеанса связи.
Использование Kerberos для аутентификации AAA. Программное обеспечение Cisco IOS поддерживает использование Kerberos в качестве метода аутентификации доступа РРР к серверу сетевого доступа. Удаленному пользователю при этом не требуется запускать программу KINIT, поскольку сервер сетевого доступа рассматривается системой KDC как клиент Kerberos, уполномоченный выполнить аутентификацию для удаленного пользователя. Например, пользователь А может использовать программу удаленного доступа Microsoft Windows 95, чтобы связаться с сервером сетевого доступа по телекоммуникационным каналам с целью получения доступа к территориальной сети предприятия. Процесс аутентификации состоит в следующем.
Пользователь устанавливает удаленное соединение РРР с сервером сетевого доступа.
Сервер сетевого доступа запрашивает у пользователя имя и пароль, и пользователь вводит их. Конфигурация сервера сетевого доступа должна предполагать использование системы Kerberos для аутентификации сеансов РРР .
Сервер сетевого доступа, выступая в качестве клиента Kerberos, предъявляет этот запрос системе KDC с целью получения от нее мандата ТОТ, необходимого для аутентификации доступа.
KDC посылает серверу сетевого доступа шифрованный мандат ТОТ, включающий идентификатор пользователя.
Сервер сетевого доступа пытается дешифровать мандат ТОТ с помощью пароля, введенного пользователем. Если дешифровать мандат удается, аутентификация удаленного пользователя для сервера сетевого доступа считается успешной. Сервер сетевого доступа убеждается, что KDC легален, и компьютер удаленного пользователя становится частью сети. Для получения доступа к сетевым сервисам удаленный пользователь теперь должен обращаться непосредственно к KDC.
Замечание
При удаленном доступе по асинхронным линиям или линиям ISDN интерфейс командной строки Cisco IOS не используется. Вместо этого, как только соединение создается, применяется сетевой протокол (например, РРР).
Чтобы назначить Kerberos в качестве метода аутентификации пользователя для РРР, используйте команду ааа authentication ppp с ключевым словом krb5.
Использование аутентификации Kerberos в процедурах входа в систему (login) допускается только при аутентификации РАР протокола РРР,
Использование аутентификации Kerberos для входа в систему. Программное обеспечение Cisco IOS поддерживает использование Kerberos в качестве метода аутентификации в процедурах доступа к серверу сетевого доступа; это во многом подобно использованию TACACS+ или RADIUS. Точно так же, как и при аутентификации РРР, удаленному пользователю не требуется запускать программу KINIT, поскольку система KDC рассматривает сервер сетевого доступа в качестве клиента Kerberos, уполномоченного выполнить аутентификацию для удаленного пользователя. В нашем примере пользователь В пытается получить доступ к маршрутизатору А. Сам процесс аутентификации состоит в следующем.
Пользователь В пытается получить доступ к маршрутизатору А через Telnet.
Маршрутизатор А настроен так, чтобы при входе в систему выполнялась аутентификация Kerberos, поэтому он запрашивает у пользователя имя, а тот вводит его.
Маршрутизатор А, выступая в качестве клиента Kerberos, предъявляет этот запрос системе KDC с целью получения мандата TGT, необходимого для аутентификации доступа.
KDC посылает маршрутизатору А шифрованный мандат TGT, включающий идентификатор пользователя. Маршрутизатор А запрашивает у пользователя пароль, а тот вводит его.
Маршрутизатор А пытается дешифровать мандат TGT с помощью пароля, введенного пользователем. Если дешифровать мандат удается, маршрутизатор А считает, что KDC является истинным.
Маршрутизатор А посылает мандат TGT с запросом мандата на получение сервиса для доступа Telnet.
KDC предъявляет маршрутизатору А мандат на получение сервиса для доступа Telnet, а маршрутизатор А сохраняет мандат TGT и мандат на получение сервиса. Пользователь В получает доступ к маршрутизатору и приглашение маршрутизатора. Пользователь В теперь может запросить доступ к иным службам на других использующих Kerberos узлах без повторной аутентификации.
Замечание
Удаленному пользователю не нужно выполнять программу KINIT для получения мандата TGT, разрешающего доступ к использующему Kerberos маршрутизатору Cisco, поскольку в реализации Kerberos, предлагаемой Cisco IOS, программа KINIT интегрирована в процедуру входа в систему.
Чтобы активизировать аутентификацию Kerberos в процедурах входа в систему, воспользуйтесь командой ааа authentication login с ключевым словом krb5. Например, чтобы использовать Kerberos в качестве метода аутентификации пользователя при входе в систему, введите ааа authentication login default krb5 (при условии, что никаких других списков методов не определено).
Возможность передачи мандатов позволяет использовать мандаты TGT при доступе к разным поддерживающим Kerberos хостам без повторного ввода имени пользователя и пароля, которые в этом случае требуется ввести только один раз при входе в систему.
Поддержка Kerberos приложениями Cisco IOS
Cisco IOS Release 12.0 включает поддержку Kerberos 5, что дает возможность организации, уже применяющей эту версию, использовать имеющиеся в сети KDC с их маршрутизаторами и серверами сетевого доступа. В программном обеспечении Cisco IOS поддержку Kerberos предполагают следующие сетевые службы.
Telnet. Клиент Telnet (обеспечивающий поток данных от маршрутизатора к хостам) и сервер Telnet (обеспечивающий поток данных от хостов к маршрутизатору) поддерживают использование Kerberos.
rlogin. Подключает пользователя к удаленному хосту UNIX для интерактивного сеанса связи, подобного Telnet.
rsh. Подключает пользователя к удаленному хосту UNIX и разрешает выполнение команды UNIX.
гср. Подключает пользователя к удаленному хосту UNIX и разрешает копирование файлов этого хоста.
Замечание
Для подключения к хосту, поддерживающему Telnet или rlogin, можно применить команду EXEC connect с ключевым словом /telnet или /rlogin. Для установки шифрованного соединения между маршрутизатором и удаленным хостом Kerberos используйте опцию /encrypt kerberos. Можно также воспользоваться командой ЕХЕС telnet с опцией /encrypt kerberos, чтобы создать шифрованный сеанс связи Telnet.
Для инициализации сеансов rlogin и rsh можно использовать команды EXEC rlogin и rsh.
Для получения файлов конфигурации и образов с сервера RCP используется команда сору гср.
Поддержка Kerberos программным обеспечением Cisco IOS подробно описывается в документах, упоминаемых в разделе ссылок в конце этой главы.
CiscoSecure ACS
Специалисты Cisco разработали семейство масштабируемых продуктов CiscoSecure ACS (Access Control Server — сервер управления доступом), обеспечивающих поддержку удаленной базы защиты для малых и средних предприятий и поставщиков сетевых услуг. CiscoSecure ACS поддерживает являющиеся промышленными стандартами протоколы TACACS+ и RADIUS.
Компания Cisco предлагает версии CiscoSecure ACS, работающие под управлением либо Solaris, либо Windows NT Server. CiscoSecure использует центральную базу данных, которая хранит пользовательские и групповые профили с информацией аутентификации и авторизации, а также записи аудита. CiscoSecure ACS допускает удаленное управление с помощью стандартного обозревателя Web, что обеспечивает простоту изменения, перемещения или удаления имен пользователей, паролей и сетевых устройств.
CiscoSecure ACS является всеобъемлющим и гибким средством контроля доступа к сети. Как показано на рис. 4.21, CiscoSecure контролирует сетевой доступ по следующим направлениям:
удаленный доступ через серверы сетевого доступа и маршрутизаторы Cisco;
доступ к консоли маршрутизаторов и коммутаторов Ethernet и порту vty с целью осуществления централизованного управления;
контроль доступа через брандмауэр PIX.
CiscoSecure ACS взаимодействует с сервером сетевого доступа, маршрутизатором и брандмауэром PIX Firewall при реализации всеобъемлющей политики защиты в рамках архитектуры ААА. Имеется также возможность использования идентификационных карт и серверов, поставляемых лидерами этой отрасли. CiscoSecure ACS может применяться для контроля доступа к оборудованию других производителей, если это оборудование поддерживает протоколы TACACS+ и RADIUS. Семейство продуктов CiscoSecure ACS включает следующее:
CiscoSecure ACS для Windows NT;
CiscoSecure ACS для UNIX;
CiscoSecure GRS (Global Roaming Server — сервер глобального роуминга).
Все эти продукты обсуждаются в следующих разделах.
Рис. 4.21. Удаленная база данных защиты Cisco Secure ACS осуществляет управление средствами ААА сетевого оборудования
CiscoSecure ACS для Windows NT
Этот продукт представляет собой удаленную базу данных защиты для предприятий и рабочих групп, которым требуется масштабируемость политики защиты в рамках инфраструктуры Windows NT. CiscoSecure ACS для Windows NT имеет следующие особенности.
Это база данных защиты с широкими возможностями удаленного управления для Windows NT Server.
Поддерживаются протоколы TACACS+ и RADIUS одновременно.
Поддерживаются средства ААА для множества серверов сетевого доступа, брандмауэров, маршрутизаторов и коммутаторов Ethernet.
Поддерживается аутентификация с использованием серверов идентификационных карт ведущих производителей.
Поддерживается аутентификация с использованием базы данных пользователей Windows NT посредством MS-CHAP или базы данных CiscoSecure ACS.
Основанный на использовании Web-броузера интерфейс упрощает задачу настройки пользовательских и групповых профилей, а также параметров самого сервера CiscoSecure ACS для Windows NT.
Сохранение статистической и аудиторской информации в формате с разделителями-запятыми, позволяет упростить процесс импортирования этих данных в программы их обработки для дальнейшего анализа.
Поддержка Windows NT Performance Monitor для визуализации статистических данных в реальном масштабе времени.
CiscoSecure ACS для Windows NT удовлетворяет требованиям предприятий с достаточно большими сетями Windows NT, рабочих групп и малых организаций, задачи
защиты доступа которых выходят за рамки возможностей локальной базы данных защиты. Данный продукт можно использовать при решении следующих задач.
Предоставление предприятиям широкого спектра современных услуг внешними поставщиками.
Осуществление централизованного контроля доступа и аудита для серверов общего доступа, поддерживающих TACACS+ и RADIUS в рамках организации поставщика услуг.
Осуществление централизованного управления серверами сетевого доступа, брандмауэрами, маршрутизаторами и коммутаторами Ethernet предприятия.
Управление доступом к сетям предприятий, которым требуется поддержка более одного сервера сетевого доступа.
CiscoSecure ACS для UNIX
Рассматриваемый продукт представляет собой мощный сервер управления доступом, удовлетворяющий требования поставщиков услуг, а также средних и больших корпораций. CiscoSecure ACS для UNIX предлагает средства, расширяющие возможности поставщиков услуг, которые они могут предоставить предприятию. Сервер обеспечивает такую степень надежности и защиты с помощью ААА, которая требуется большим корпорациям для защиты их сетей и информационных активов. CiscoSecure ACS для Windows NT имеет следующие особенности.
Это база данных защиты с широкими возможностями удаленного управления для Solaris компании Sun.
Поддерживаются протоколы TACACS+ и RADIUS одновременно.
Поддерживаются возможности ААА для множества серверов сетевого доступа, брандмауэров, маршрутизаторов и коммутаторов Ethernet.
Поддерживается аутентификация с применением серверов идентификационных карт ведущих производителей.
Поддерживаются внешние базы данных Oracle и Sybase, масштабируемые для удовлетворения требований больших корпораций. Продукт включает SQL Anywhere.
Предлагаются утилиты импортирования баз данных RADIUS.
Реализована поддержка коммутируемых сетей VPN (Virtual Private Network — виртуальная частная сеть) на уровне канала передачи данных.
Основанный на использовании Web-броузера интерфейс упрощает задачу настройки пользовательских и групповых профилей, а также параметров самого сервера CiscoSecure ACS для UNIX.
Распределенная архитектура CiscoSecure ACS для UNIX предоставляет широкие возможности для масштабирования; это не влияет на возможности репликации распределенной базы данных.
Специалисты Cisco разработали CiscoSecure ACS для UNIX с целью удовлетворения высоких требований поставщиков сетевых услуг, а также средних и больших корпораций. Этот продукт имеет средства, расширяющие возможности поставщиков услуг, которые они могут предложить своим клиентам. Сервер обеспечивает такую степень надежности и защиты с помощью ААА, которая требуется большим корпорациям для за-
щиты их сетей и информационных активов. CiscoSecure ACS для UNIX делает возможным решение следующих задач.
Предоставление предприятиям широкого спектра современных услуг в области управления активами внешними поставщиками услуг.
Осуществление централизованного управления доступом к службам коллективного доступа и сетевым устройствам, поддерживающим TACACS+ и RADIUS в рамках организации поставщика.
Поддержка предприятий, использующих Oracle или Sybase в качестве основной базы данных, а также предприятий, которым требуются функциональные возможности масштабируемой реляционной базы данных для хранения данных ACS.
CiscoSecure GRS
Программное обеспечение CiscoSecure GRS (Global Roaming Server — сервер глобального роуминга) выступает в качестве агента-посредника (proxy), транслирующего и передающего пакеты между серверами сетевого доступа и системами CiscoSecure ACS. Мобильные удаленные пользователи VPN и Internet могут получить доступ к сети глобального роуминга, предлагаемой региональными поставщиками услуг, используя существующие серверы защиты TACACS+ или RADIUS и серверы сетевого доступа. Глобальный роуминг снижает стоимость удаленного доступа мобильных пользователей к корпоративным сетям и Internet.
CiscoSecure GRS дает возможность региональному поставщику услуг предлагать дополнительные POP-узлы (Point of Presence — точка присутствия) своим клиентам, например поставщикам услуг Internet. Поставщики услуг Internet могут использовать точки присутствия регионального поставщика услуг для расширения области действия своих услуг (покрытия). Кроме того, поставщики услуг могут предлагать услуги глобального роуминга вместе с другими поставщиками услуг, тем самым расширяя спектр своих услуг и распространяя их за пределы своих локальных зон обслуживания. Услуги глобального роуминга могут предлагаться предприятиям, которым необходимо обеспечить локальную связность глобально доступными средствами. Они могут также расширить зону действия своих услуг с помощью возможностей других региональных поставщиков услуг без покупки дополнительного оборудования.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Методы аутентификации могут не предполагать проверку имен пользователей, они могут применять проверку как статических, так и зависящих от времени имен пользователей и паролей, а также использовать систему одноразовых паролей S/Key. Самым надежным средством аутентификации является применение одноразовых паролей идентификационных карт, проверяемых соответствующими серверами.
Аутентификация CHAP предполагает выполнение процедуры трехходового квитирования.
Авторизация контролирует доступ к сетевым сервисам и оборудованию.
Аудит обеспечивает контроль трафика пользователя при доступе к серверу сетевого доступа или серверу защиты.
Локальная аутентификация ААА выполняется сервером сетевого доступа с помощью локальной базы данных защиты, хранящейся на этом сервере.
Аутентификация ААА с применением удаленной базы данных выполняется сервером защиты, что позволяет централизовать управление множеством серверов сетевого доступа.
TACACS+ разделяет аутентификацию, авторизацию и аудит.
Аудит RADIUS оказывается более гибким, поскольку допускает использование дополнительных пар “атрибут/значение”, определенных поставщиком.
Система Kerberos использует центр распределения ключей. Для поддержки услуг Kerberos требуется соответствующая модификация серверов.
Cisco предлагает три продукта, представляющие собой удаленные базы данных защиты — это CiscoSecure ACS для Windows NT, CiscoSecure ACS для UNIX и CiscoSecure GRS.
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Какие режимы сетевого доступа защищаются с помощью средств ААА?
На основании каких критериев и стандартов должен выбираться метод аутентификации?
Как выполняется процедура трехходового квитирования CHAP?
Для решения каких задач сетевые администраторы используют авторизацию?
Когда следует использовать локальную базу данных защиты?
Какие протоколы сервера защиты поддерживает программное обеспечение Cisco IOS Software?
Каковы основные характеристики TACACS+?
В чем преимущество RADIUS по сравнению с TACACS+?
Какие сервисы в рамках Cisco IOS Software обеспечивают поддержку Kerberos?
Когда следует использовать CiscoSecure ACS для Windows NT?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, и поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Серверы идентификационных карт
Информация о сервере идентификационных карт Axent Technologies в составе CiscoSecure ACS для Windows NT 2.4 доступна по адресу: www.axent.com.
Информацию о серверах идентификационных карт CRYPTOCard можно найти по адресу: www.cryptocard.com.
Информацию об идентификационных картах SafeWord и соответствующих серверах можно найти по адресу: www.securecomputing.com.
Информация о SecurlD ACE/Server компании RSA Security доступна по адресу: www.rsasecurity.com.
S/Key
RFC 1760, N. Haller. “The S/Key One-time Password System", февраль, 1995.
RFC 2289, N. Haller, C. Metz, P. Nesser and M. Straw. “A One-Time Password System”, февраль, 1998.
За дополнительной информацией о системе S/Key обращайтесь к узлу с адресом URL: medg.lcs.mit.edu/people/wwinston/skey-overview.html.
Дополнительную информацию о системе S/Key можно также найти в разделах “S/Key Authentication” и “Working with S/Key Authentication” руководства CiscoSecure ACS for UNIX User's Guide.
PPP
RFC 1661, W. Simpson, ed. “The Point-to-Point Protocol (PPP)”, июль, 1994.
CHAP
RFC 1994, W. Simpson. “PPP Challenge Handshake Authentication Protocol (CHAP)”, август, 1996.
MDS
RFC 1321, R. Rivest. “The MDS Message-Digest Algorithm”, апрель, 1992.
TACACS+
Файл draft-grant-tacacs-02.txt, D. Carrel and L. Grant. “The TACACS+ Protocol”, январь, 1997. Этот черновой вариант стандарта Internet для TACACS+, предложенный на рассмотрение IETF компанией Cisco Systems, Inc., можно найти по адресу: search, ietf. org/internet-drafts/draft-grant-tacacs- 02. txt.
RFC 1492, C. Finseth. “An Access Control Protocol, Sometimes Called TACACS”, июль, 1993.
RADIUS
RFC 21Д8, C. Rigney, A. Rubens, W. Simpson and S. Willens. “Remote Authentication Dial in User Service (RADIUS)", апрель, 1997.
RFC 2139, C. Rigney. “RADIUS Accounting", апрель, 1997.
Kerberos
“How to Kerberize Your Site” (как настроить узел для поддержки Kerberos). Web- страницу, которую поддерживает Джим Роум (Jim Rome), можно найти по адресу: www.ornl.gov/~jar/HowToKerb.html.
“The Kerberos Network Authentication Service” (служба сетевой аутентификации Kerberos). Web-страница, поддерживаемая группой GOST USC/ISF, содержит информацию о Kerberos и множество соответствующих ссылок (gost.isi.edu/info/kerberos).
“Kerberos: The Network Authentication Protocol” (протокол сетевой аутентификации Kerberos). Web-страница, поддерживаемая МТИ, размещается по адресу: web.mit. edu/kerberos/www.
RFC 1510, C. Neuman, “The Kerberos Network Authentication Service (V5)”, сентябрь, 1993.
Технический отчет USC/ISI No. ISI/RS-94.399, B. Neuman and T. Ts'o. “Kerberos: An Authentication Service for Computer Networks”, сентябрь, 1994. Этот документ может быть найден по адресу: nii.isi.edu/publications/kerberos-neuman-tso.html.
Сервер защиты CiscoSecure ACS и программное обеспечение Cisco IOS
Руководство Cisco IOS Software Security Configuration Guide, Cisco IOS Release 12.0, октябрь, 1998.
Изучив материал этой главы, вы сможете выполнить следующиезадачи.,. /к.
Описать типы портов сервера сетевого доступа и методы управления доступом?
Объяснить, кг^ настроить сервер сетевого доступа для локального использова ния процессов ААА в условиях политики защиты для предлагаемого практиче ского пЬймерМ• с:
Указать, как можно выполнить тестирование конфигурациисредств АДА серве ра. сетевого доступа с гВмощью под&дящих команд отладки и тестирования.
ГлаваГлава55Настройка средств АААНастройка средств АААвера сетевого доступавера сетевого доступа^* ^.Теперь./ Cis%aTaжете научиться^* ^.Теперь./ Cis%aTaжете научитьсяРР
Глава
Глава
5
5
Настройка средств ААА
Настройка средств ААА
вера сетевого доступа
вера сетевого доступа
^* ^.Теперь.
/ Cis%aTa
жете научиться
^* ^.Теперь.
/ Cis%aTa
жете научиться
Р
Р
^вашей компании скорее всего будут осуществлять доступ к сети компа-
сетевого доступа, например, типа Cisco ACS5300 или Cisco 2500. Для ики защиты компании необходимо разработать методы аутентифи- ющим образом настроить средства ААА сервера сетевого доступа.
понимаете суть методов аутентификации, авторизации и аудита вляете себе общую политику защиты вашей компании, вы мо- тывать методы аутентификации, объединяющие политику за-
щиты со средствам
Даннаяя?лава начинается с общего обзора процесса настройки средств ААА сервера сетевого доступа. Вы сможете защитить сервер сетевого доступа и настроить его на применение средств ААА, а также научитесь использовать команды, с помощью которых активизируется; применение этих средств. Основные этапы процесса настройки иллюстрируются соответствующими примерами. Обсуждаются также команды, упрощающие отладку конфигурации сервера сетевого доступа.
с^атем мы выполним настройку сервера сетевого доступа для каждой из имеющихся в системе функций ААА.'Для контроля результатов предлагается полный листинг со- отв®ствуфщего файла конфигурации. Этот листинг был получен на реальном тесто- во5ррудованиия содержит комментарии, в которых объясняется связь соответстВующих команд конфигурации с элементами политики защиты.
.Ai
Проблема защиты удаленного доступа wee решение
^м.У|1нфраструктура территориальной сети предприятия (кампуса) обычно включает ^"средства коммутируемого доступа, что позволяет удаленным пользователям получить доступ к ресурсам корпоративной локальной сети. Это решает проблему корпоративного доступа для' пользователей компании, но открывает возможности для атак удаленного доступа со стороны нарушителей, если не определена и не реализуется соот- ветсгвующаяполитика защиты. Нарушители могут попытаться получить доступ самыми различными способами, включая следующие.
Выявление и получение доступа к консоли, если она не защищена.
Угадывание комбинаций имени пользователя и пароля для устройств удаленного доступа.
Интерпретация отсутствия явных уведомлений о политике защиты как разрешение доступа любыми возможными средствами.
На рис. 5.1 показана схема инфраструктуры территориальной сети компании XYZ, рассматриваемой в этой главе. Доступ удаленных клиентов к корпоративной локальной сети осуществляется через сервер сетевого доступа. Поэтому для сетевого администратора, желающего построить первую линию защиты удаленного доступа, настройка средств защиты сервера сетевого доступа оказывается очень важной задачей.
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кацииWeb- Обозре- Сервер сервер ватель сертифи- Internet Web кацииБастионныйБастионныйный CS IDSный CS IDSхост хостхост хостБрандмауэр PIXБрандмауэр PIXБастионный хостБастионный хостЗащищеннаяДМ3ЗащищеннаяДМ3Клиент СерверКлиент СерверБастионный хостБастионный хостСервер NT: сервер CiscoSecure, Web, FTP, TFTP, SyslogСервер NT: сервер CiscoSecure, Web, FTP, TFTP, SyslogПротокол удаленный доступTACACS+ или RADIUSПротокол удаленный доступTACACS+ или RADIUS„ Сервер нг^^т сетевого Windows NT доступа„ Сервер нг^^т сетевого Windows NT доступаСканерСканерСервер Сервер Управляющий SMTP DNS узелCS IDSСервер Сервер Управляющий SMTP DNS узелCS IDSРис. 5.1. Инфраструктура территориальной сети компании XYZРис. 5.1. Инфраструктура территориальной сети компании XYZСбытСбытМаршрутизаторМаршрутизатор
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
Бастионный
Бастионный
ный CS IDS
ный CS IDS
хост хост
хост хост
Брандмауэр PIX
Брандмауэр PIX
Бастионный хост
Бастионный хост
Защищенная
ДМ3
Защищенная
ДМ3
Клиент Сервер
Клиент Сервер
Бастионный хост
Бастионный хост
Сервер NT: сервер CiscoSecure, Web, FTP, TFTP, Syslog
Сервер NT: сервер CiscoSecure, Web, FTP, TFTP, Syslog
Протокол удаленный доступ
TACACS+ или RADIUS
Протокол удаленный доступ
TACACS+ или RADIUS
„ Сервер нг^^т сетевого Windows NT доступа
„ Сервер нг^^т сетевого Windows NT доступа
Сканер
Сканер
Сервер Сервер Управляющий SMTP DNS узел
CS IDS
Сервер Сервер Управляющий SMTP DNS узел
CS IDS
Рис. 5.1. Инфраструктура территориальной сети компании XYZ
Рис. 5.1. Инфраструктура территориальной сети компании XYZ
Сбыт
Сбыт
Маршрутизатор
Маршрутизатор
Решение проблемы защиты удаленного доступа заключается в правильной конфигурации средств защиты удаленного доступа в соответствии с требованиями общей политики защиты сети, учитывающей известные угрозы. При этом используются следующие методы.
Блокирование точек доступа. Использование паролей доступа для оборудования, размещенного в точках подключения к серверу сетевого доступа.
Управление удаленным доступом. Применение средств аутентификации паролей удаленного доступа с помощью локальной базы данных сервера сетевого доступа.
Конфигурация средств ААА сервера сетевого доступа
Как уже обсуждалось в главе 4, управление доступом заключается в осуществлении контроля прав пользователей в отношении доступа к сетевому серверу и в отношении сервисов, которые им разрешается использовать после получения доступа. Службы ААА обеспечивают общий каркас сетевой защиты, поддерживающий управление доступом на вашем сервере сетевого доступа.
После того как вы поймете общие принципы соответствующего процесса выбора конфигурации, настройка средств ААА окажется относительно простым делом. Для этого необходимо рассмотреть режимы доступа, типы портов и некоторые другие предварительные сведения. После этого можно перейти к пошаговому рассмотрению процесса настройки средств ААА сервера сетевого доступа.
Защита доступа к серверу сетевого доступа осуществляется с помощью команд ААА в текстовом или пакетном режиме. Режимы доступа к серверу сетевого доступа, типы портов и элементы команд ААА представлены в табл. 5.1.
Таблица 5.1. Режимы доступа, типы портов и элементы команд ААА
Режим
Порты сервера сетевого доступа
Элементы команд ААА
Символьный (линейный режим)
tty, vty, aux и cty
Login, exec, NASI (NetWare Asynchronous Support Interface — интерфейс асинхронной поддержки NetWare), ARAP (AppleTalk Remote Access Protocol — протокол удаленного доступа AppleTalk) и enable
Пакетный
async (асинхронный), group-async
PPP (Point-to-Point Protocol - протокол ne-
(интерфейсный режим)
(групповой асинхронный), BRI (Basic Rate Interface - интерфейс базового уровня) и serial (последовательный, Primary Rate Interface (PRI) — интерфейс основного уровня)
редачи от точки к точке, протокол двухточечного соединения), network (сеть) и ARAP
На рис. 5.2 показаны типы портов сервера сетевого доступа и режимы доступа к ним.
Чтобы настроить защиту сервера сетевого доступа, использующего средства ААА, придерживайтесь следующих общих рекомендаций.
Шаг 1. Защитите доступ к привилегированному режиму ЕХЕС и режиму конфигурации (enable и enable secret) портов vty, async, aux и tty.
Шаг 2. Активизируйте ААА глобально в сервере сетевого доступа с помощью команды ааа new-model.
Шаг 3. Установите необходимую конфигурацию профилей аутентификации ААА. Не забудьте обеспечить себе метод аварийного доступа, пока не убедитесь, что ваш сервер защиты настроен и функционирует должным образом.
Telnet
Рис. 5.2. Типы портов и режимы доступа сервера сетевого доступа
Шаг 4. Установите необходимую конфигурацию средств авторизации ААА, используемых после аутентификации пользователя.
Шаг 5. Установите необходимую конфигурацию средств аудита ААА в отношении формы записей аудита и их содержимого.
Шаг 6. Выполните отладку конфигурации.
Следующие разделы описывают перечисленные шаги подробно.
Шаг 1. Защита привилегированного режима
ЕХЕС и режима конфигурации
Первым шагом в обеспечении надежной защиты является защита доступа к привилегированному режиму ЕХЕС (режиму enable). Режим enable открывает доступ к режиму конфигурации, в котором допускается изменение конфигурации сервера доступа.
Пароль enable должен выбираться в соответствии со следующими требованиями.
Он может содержать до 25 буквенно-цифровых символов верхнего и нижнего регистров.
Не должен начинаться с цифры.
Может начинаться с пробелов, но они будут игнорироваться. Однако внутренние и завершающие пробелы пароля не игнорируются.
Консоль является единственным портом, допускающим доступ к привилегированному режиму ЕХЕС без пароля enable, поэтому удаленное администрирование в отношении сервера сетевого доступа без пароля оказывается невозможным.
Специалисты Cisco советуют по возможности использовать команду enable secret как дополнительную защиту, обеспечиваемую ее функцией хэширования MD5. Запретить отображение паролей в открытом виде можно с помощью команды service password-encryption.
Для защиты привилегированного режима ЕХЕС используются команды enable и service. Синтаксис этих команд следующий.
enable password [level уровень] {пароль | {тип-шифрования] шифроваиный-пароль} service password-encryption
Команда service password-encryption не имеет аргументов и ключевых слов. Однако она обеспечивает дополнительную защиту для привилегированного режима ЕХЕС. Для шифрования паролей вместе с командой service password-encryption используется команда enable password. Чтобы отменить действие, используются формы по этих команд. Аргументы команды enable password и их значения объясняются в следующей таблице.
Аргумент команды
Описание
level уровень
(необязательный) Определяет уровень привилегий, для которого устанавливается пароль. Можно указать до 16 уровней привилегий, используя номера от 0 до 15. Уровень 1 соответствует уровню привилегий обычного пользователя режима ЕХЕС. Если этот параметр в данной команде (или в команде с префиксом по) не определен, то для уровня привилегий по умолчанию устанавливается значение 15 (традиционно соответствующий разрешению привилегий)
пароль
тип-шифрования
Задает пароль, требуемый от пользователя для входа в режим enable
(необязательный) Указывает используемый в устройствах Cisco алгоритм, с помощью которого выполняется шифрование пароля. В настоящее время единственным допустимым значением для этой команды является 7. Если этот параметр указан, то следующий параметр должен задавать шифрованный пароль (пароль, шифрованный маршрутизатором Cisco)
шифрованиый-пароль
Определяет вводимый пользователем шифрованный пароль, копируемый из другой области конфигурации маршрутизатора
Внимание!
Утерянный или забытый шифрованный пароль восстановить невозможно. Единственным решением при этом является выполнение соответствующей процедуры обновления пароля и установка нового пароля enable. Небрежное выполнение процедуры обновления пароля может повредить файл конфигурации.
При этом политика защиты должна учитывать уязвимость шифрования пароля с помощью команды service password-encryption, поскольку имеется вероятность взлома пароля хакерскими средствами.
В примере 5.1 показаны команды, используемые для защиты сервера сетевого доступа.
= П ример 5.1. Защита доступа к серверу сетевого доступа . / • , 'У'
Router(config)#enable password changeme
Router(config(tenable secret supersecret
Router (config)# service password-encryption
Шаг 2. Глобальная активизация ААА в сервере сетевого доступа
После обеспечения защиты сервера сетевого доступа необходимо создать раздел ААА в файле конфигурации. Для этого необходимо сделать следующее.
Настроить сервер сетевого доступа на выполнение аутентификации пользователей, пытающихся получить доступ к командам привилегированного уровня.
Создать строку символов, содержащую список методов аутентификации, активизируемых при входе пользователя в систему, и базу данных имен пользователей, используемую для аутентификации (таких баз данных может быть несколько).
Указать один или несколько методов аутентификации ААА для использования с последовательным интерфейсом по протоколу PPP (Point-to-Point Protocol — протокол двухточечного соединения).
В примере 5.2 показаны команды, с помощью которых выполняется глобальная активизация средств ААА на сервере сетевого доступа.
Пример 5.2. Глобальная актиПример 5.2. Глобальная актигага ^^^^^етевогогага ^^^^^етевого
Пример 5.2. Глобальная акти
Пример 5.2. Глобальная акти
гага ^^^^^етевого
гага ^^^^^етевого
NASx(config)|aaa new-model
NASx(config)iaaa authentication login default enable
Первая команда, aaa new-model, создает новую конфигурацию AAA. Вторая, aaa authentication login default enable, обеспечивает постоянную защиту доступа по всем линиям (кроме РРР). Теперь можно продолжить изменение и тестирование конфигурации с помощью команд ААА и соответствующих приложений.
Внимание! •
Только при первом использовании команды aaa new-model создается новая конфигурация. Последующее применение команды по умолчанию предполагает использование операторов ААА, уже введенных ранее.
Если вы намереваетесь выполнять аутентификацию пользователей с помощью сервера защиты, будьте предельно внимательны, чтобы в результате использования команды aaa new-model не закрыть себе доступ к портам сервера доступа. Например, войдите в режим конфигурации линии и введите команду глобальной конфигурации aaa authentication login default tacacs+ enable. Эта команда позволит вам, если сервер TACACS+ (или RADIUS) не функционирует должным образом, ввести свой пароль enable и войти в сервер доступа.
Шаг 3. Настройка профилей аутентификации ААА
Используйте команду глобальной конфигурации aaa authentication для установки параметров идентификации пользователя и проверки этой информации.
После глобальной активизации ААА на сервере доступа необходимо определить списки методов аутентификации, а затем связать их с линиями и интерфейсами. Спи-
ски методов аутентификации представляют собой профили защиты, указыаающис сервис (PPP, ARAP или NASI) или метод входа в систему и аутентификации (local, TACACS+, RADIUS, login, enable, line или none).
Чтобы определить список методов аутентификации с помощью команды ааа authentication, необходимо выполнить следующее.
Указать сервис (PPP, ARAP или NASI) или аутентификацию входа в систему (login).
Определить имя списка или имя по умолчанию. Именем списка может быть любая буквенно-цифровая строка. Имя по умолчанию указывает метод, применяемый ко всем строкам и интерфейсам, для которых явно не указано иное. В каждом списке можно указать только один входной протокол, но можно создать множество списков методов аутентификации. Каждому списку необходимо дать уникальное имя.
Указать метод аутентификации. Можно указать до четырех методов. Если для некоторого метода регистрируется ошибка (что выявляется с помощью команды debug ааа authentication), система пытается использовать следующий метод.
После определения списки методов аутентификации применяются к одному из следующих объектов.
Линии. Линии tty, vty, консоли, aux и async или консольный порт для входа в систему и асинхронные линии (в большинстве случаев) для ARA.
Интерфейсы. Синхронный, асинхронный и виртуальный интерфейсы для РРР, SLIP, NASI или ARAP.
Для активизации процесса аутентификации ААА используется команда ааа authentication в режиме глобальной конфигурации. Синтаксис команды ааа authentication следующий.
ааа authentication (arap | enable | login | nasi | ppp) (default | имя-списка^ метод! [мегод2] [метод.3] [мегод4]
Аргументы команды enable authentication и их значения объясняются в следующей таблице.
Аргумент команды
Описание
агар метод
Активизирует метод аутентификации ААА для ARA (AppleTalk Remote Access — удаленный доступ AppleTalk) с использованием RADIUS или TACACS+. Аргумент метод допускает следующие параметры.
guest - разрешает гостевой вход в систему. Этот метод должен быть первым в списке, но за ним могут следовать другие методы на случай, если метод не сработает
autho-guest — разрешает гостевой вход в систему при условии, что пользователь уже получил доступ к режиму ЕХЕС. Этот метод должен быть первым в списке, но за ним могут следовать другие методы на случай, если этот метод не сработает
line — использование пароля линии
local — использование локальной базы данных имен пользователей
tacacs+ - использование аутентификации TACACS+
radius - использование аутентификации RADIUS
Аргумент команды
Описание
enable метод
Создает набор методов аутентификации для выяснения возможности получения доступа к командам привилегированного уровня. Аргумент метод задает методы, которые алгоритм аутентификации пытается применить в указанном порядке:
enable — использование пароля enable
line — использование пароля линии
попе — отказ от аутентификации
tacacs+ — использование аутентификации TACACS+
radius — использование аутентификации RADIUS
login метод
Использование аутентификации ААА в начале сеанса. Аргумент метод задает список методов, которые алгоритм аутентификации пытается применить в указанном порядке:
enable - использование пароля enable
krb5 — использование аутентификации Kerberos 5
line — использование пароля линии
local — использование пароля линии
попе — отказ от аутентификации
radius — использование аутентификации RADIUS
tacacs+ — использование аутентификации TACACS+
krb5-telnet - использование протокола аутентификации Kerberos 5 Telnet при осуществлении доступа Telnet к маршрутизатору
nasi
Использование аутентификации ААА для клиентов NASI, подключающихся через сервер доступа. Аргумент метод задает список методов, которые алгоритм аутентификации пытается применить в указанном порядке:
enable - использование пароля enable
line — использование пароля линии
local — использование линейного пароля
попе — отказ от аутентификации
tacacs+ — использование аутентификации TACACS+
ppp метод
Указывает один или несколько методов аутентификации ААА для последовательного интерфейса, использующего РРР и TACACS+. Аргумент метод задает список методов, которые алгоритм аутентификации пытается применить в указанном порядке:
if-needed - не использовать аутентификацию, если пользователь уже аутентифицирован на линии tty
krb5 — использование аутентификации Kerberos 5 (может использоваться только для аутентификации РАР)
local — использование пароля линии
попе - отказ от аутентификации
radius — использование аутентификации RADIUS
tacacs+ — использование аутентификации TACACS+
default
Использование следующих за данным аргументом методов по умолчанию при входе пользователя в систему
имя-списка
Указывает имя списка методов аутентификации, применяемых при входе пользователя в систему
В табл. 5.2 представлены команды настройки параметров аутентификации ААА.
Е.., .,-,... ., ,.,....,-...„,, , jp^y^^.^™^^^ .
Таблица 5.2. Команды аутентификации ААА . •', «.
КомандаОписание
ааа authentication login tech-pubs local Определяет профиль аутентификации при входе в систему (tech-pubs), использующий для аутентификации локальную базу данных
ааа authentication ppp mktg if-needed local Определяет профиль аутентификации PPP (mktg), не требующий аутентификации, если пользователь уже аутентифицирован. Иначе для аутентификации РРР используется локальная база данных
В примере 5.3 показаны команды аутентификации, применяемые к линиям и интерфейсам.
Пример 5.3. Команды аутентификации, применяемые к линиям’
(config)#line console О
(config-line)#login authentication tech-pubs (config)#interface serial 3/0
(con-fig-line)#ppp authentication chap mktg
Команда line console 0 открывает режим конфигурации консольной линии. Команда login authentication tech-pubs задает использование профиля tech-pubs для аутентификации входа в систему при доступе через консольный порт 0. Команда interface serial 3/0 указывает порт 0 сегмента 3 последовательного интерфейса. Команда ppp authentication chap mktg задает использование профиля mktg для аутентификации CHAP РРР в рамках интерфейса, описанного предыдущей командой. Для “аварийного варианта” аутентификации ААА используется список по умолчанию.
Шаг 4. Настройка средств авторизации ААА
Средства авторизации ААА позволяют ограничить доступ к сервисам. Когда средства авторизации ААА активизированы, сервер сетевого доступа настраивает параметры сеанса связи в соответствии с профилем пользователя, хранящимся либо в локальной базе данных, либо на сервере защиты. Пользователю предоставляется доступ к соответствующему сервису, если это допускается параметрами профиля.
Для установки параметров, определяющих права пользователя, используется команда глобальной конфигурации ааа authorization. Сервер доступа необходимо настроить так, чтобы после успешной аутентификации пользователю предоставлялось право доступа только к определенным функциям. Синтаксис команды ааа authorization следующий, ааа authorization (network | exec | commands уровень | reverse-access}
(default | имя-списка^ (if-authenticated | local | none | radius | tacacs+ | krb5-instance}
Аргументы команды и их значения объясняются в следующей таблице.
Аргумент команды
Описание
network
Для сетевых сервисов (PPP, SUP, ARAP)
exec
Для запуска exec (shell)
commands
Для команд exec (shell)
уровень
Указывает уровень команды, требующей авторизации. Допустимы значения 0-15
reverse-access
Выполнение авторизации для соединений обратного доступа, например обратного доступа Telnet
default
Использование методов из указанного после этого аргумента списка в качестве методов авторизации по умолчанию
имя-списка
Символьная строка, задающая имя списка методов авторизации
if-authenticated
Разрешает использовать запрошенную функцию, если пользователь аутентифицирован
local
Использование для авторизации локальной базы данных (с паролями пользователя)
none
Отказ от авторизации
radius
Использование авторизации RADIUS
tacacst
Использование авторизации TACACS+
krb5-instance
Использование экземпляра, определяемого командой таблицы экземпляров Kerberos
Имеется возможность указать профиль авторизации после указания сервиса. Точно так же, как и в команде ааа authentication, в данном случае можно указать до четырех различных методов.
Именованные списки авторизации позволяют определить различные методы авторизации и аудита с тем, чтобы применить их к конкретным интерфейсам и каналам связи.
В табл. 5.3 приводится список команд авторизации ААА, которые должны использоваться в режиме глобальной конфигурации.
рТа бл и ца
5.3.Командь
гавтф|$из<
Жт ’Ж'ОЖ
Команда
Описание
ааа authorization commands 1 Orion local
Применение локальной базы данных имен пользователей для авторизации использования всех команд уровня 1
ааа authorization commands 15 Andromeda
То же для авторизации использования всех команд
local
уровня 15
aaa authorization network Pisces local none
Применение локальной базы данных для всех сетевых сервисов типа SLIP (Serial Une Internet Protocol - межсетевой протокол для последовательного канала), РРР и ARAP. Если локальный сервер недоступен, авторизация не выполняется и пользователь может использовать все сетевые услуги
aaa authorization exec Virgo
Дает аутентифицированному пользователю право вы-
if-authenticated
полнить процесс ЕХЕС
Шаг 5. Настройка параметров аудита ААА
Возможности аудита ААА позволяют контролировать доступ к сервисам, а также объемы потребляемых пользователями сетевых ресурсов.
Для установки параметров записи действий пользователя используется команда глобальной конфигурации ааа accounting. Синтаксис команды ааа accounting следующий, ааа accounting {system | network | exec | connection | commands уровень}
{default | имя-списка} {start-stop | wait-start | stop-only | none}
[метод! [мегод2]]
Аргументы команды и их значения объясняются в следующей таблице.
Аргумент команды
Описание
system
Аудит всех событий системного уровня (типа перезагрузки)
network
Аудит запросов сетевого сервиса (SLIP, PPP и ARAP)
exec
Аудит процессов ЕХЕС
connection
Аудит всех исходящих соединений типа Telnet или rlogin
commands уровень
Аудит всех команд указанного уровня привилегий
default
Использование методов авторизации из списка, указанного после этого аргумента, в качестве методов авторизации по умолчанию
имя-списка
Символьная строка, определяющая имя списка методов аудита
start-stop
Отправка уведомлений о начале и окончании аудита. Запись начала аудита посылается в фоновом режиме. Запрошенный пользователем процесс начинается, даже если уведомление о начале аудита не будет получено сервером
wait-start
Как и для аргумента start-stop, серверу аудита посылаются уведомления о начале и окончании аудита. Однако при использовании wait-start запрошенный пользователем сервис не предоставляется до тех пор, пока не будет получено подтверждение получения уведомления о начале аудита
stop-only
Отправка уведомления об окончании аудита по завершении запрошенного пользователем процесса
none
Отменяет аудит для данной линии или интерфейса
метод1, метод2
Активизирует аудит TACACS+ или RADIUS с помощью ключевых слов tacacs+ или radius.
В табл. 5.4 приводятся команды аудита ААА, используемые в режиме глобальной конфигурации.
Команда
Описание
ааа accounting system wait-start local Аудит системных событий с использованием метода wait-start
ааа accounting network stop-only local Отправка уведомлений о прекращении записи по завершении работы сервиса
ааа accounting exec start-stop localОтправка уведомлений о начале записи в начале процесса
ЕХЕС и о прекращении записи в конце этого процесса
Окончание табл. 5.4
Команда
Описание
ааа accounting commands 15 wait-start local
Отправка уведомления о начале записи и ожидание подтверждения, перед тем как начать выполнение любой команды уровня 15. Отправка уведомления о прекращении записи по завершении выполнения команды
Шаг 6. Отладка конфигурации
Команды debug ааа предназначены для того, чтобы выяснить, какие методы аутентификации и авторизации используются, для отображения результатов использования этих методов и отображения событий аудита по мере их возникновения.
В табл. 5.5 представлены команды debug, используемые в сервере сетевого доступа для мониторинга событий аутентификации, авторизации и аудита.
^Таблица
Д5. Команду!
этпадки ААА
Команда
Описание
debug ааа
authentication
Отображает информацию аутентификации АААДАСАС8+. Для отказа от вывода данных отладки используйте эту команду в форме по
debug ааа
authorization
Отображает информацию авторизации AAA/TACACS+. Для отказа от вывода данных отладки используйте эту команду в форме по
debug ааа
accounting
Отображает информацию аудита АААДАСАС5+. Для отказа от вывода данных отладки используйте эту команду в форме по
Каждая из команд debug имеет свои форматы вывода. Одни генерируют по одной строке в пакете, тогда как другие — множество строк. Какие-то команды генерируют большие объемы выводимых данных, в то время как другие генерируют вывод только иногда. Одни команды генерируют строки текста, а другие — информацию в виде набора полей.
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Процесс настройки средств ААА сервера сетевого доступа состоит из следующих шести шагов:
защита доступа к привилегированному режиму ЕХЕС и режиму изменения конфигурации (режимы enable и enable secret) для портов vty, async, aux и tty;
глобальная активизация ААА на сервере сетевого доступа с помощью команды ааа new-model;
настройка профилей аутентификации ААА (необходимо иметь метод “аварийного доступа” к серверу вплоть до завершения процесса настройки, когда сервер защиты будет функционировать должным образом);
настройка средств авторизации ААА, используемых после аутентификации пользователя;
настройка параметров аудита ААА для записи контрольных данных в нужном виде;
отладка конфигурации, если это оказывается необходимым.
При использовании средств ААА локального сервера, сервис ААА выполняется локальным сервером сетевого доступа.
С помощью средств ААА можно обеспечить защиту символьного и пакетного режимов.
Настройка средств ААА сервера сетевого доступа должна выполняться в определенной последовательности.
Для настройки параметров аутентификации и выбора соответствующих методов используется команда ааа authentication.
Для селективного поиска проблем конфигурации ААА применяются команды ааа debug.
Для удаления команд ААА из текущей конфигурации используется команда по ааа new-model.
Практическое занятие. Конфигурация средств ААА сервера сетевого доступа
Это практическое занятие призвано продемонстрировать возможности конфигурации средств ААА сервера сетевого доступа в сети гипотетической компании XYZ. Предлагается сначала рассмотреть план практического занятия, изучить соответствующую топологию и политику защиты, а потом проанализировать пример конфигурации, чтобы увидеть, как элементы политики зашиты реализуются с помощью команд настройки маршрутизаторов Cisco.
План практического занятия
Компания XYZ намеревается обеспечить своим сотрудникам удаленный доступ к сети. Планируется настроить сервер сетевого доступа на применение средств ААА, использующих локальную базу данных зашиты, чтобы впоследствии подготовить сервер для работы с CiscoSecure ACS для NT (CSNT) в качестве сервера ААА.
Топология
На рис. 5.3 показана схема части сети XYZ, конфигурация которой будет рассмотрена в ходе этого практического занятия. Основными объектами внимания здесь оказываются элементы сети, связанные с сервером сетевого доступа.
Политика сетевой защиты
Политика сетевой зашиты, которую планирует реализовать компания XYZ, является следующей.
Сетевое оборудование должно предполагать использование паролей доступа в точках доступа к серверу сетевого доступа.
RADIUS
Рис. 5.3. Сервер сетевого доступа корпоративной сети компании XYZ
Удаленный доступ должен строго контролироваться путем применения паролей и средств аутентификации с помощью локальной базы данных.
Компания XYZ в перспективе планирует перейти к использованию удаленной базы данных защиты, реализующей политику аутентификации по протоколу TACACS+.
Пример конфигурации сервера сетевого доступа
Рассмотрим набор команд конфигурации для устройства NAS1 компании XYZ, предлагаемых в примере 5.4. Этот пример реализует элементы политики сетевой защиты, связанные с защитой сервера сетевого доступа. Одна из возможных настроек сервера сетевого доступа, соответствующих представленной политике защиты, может выглядеть так, как указано ниже. Можно сконфигурировать сервер иначе, обеспечив выполнение тех же требований политики защиты. Обратите внимание на комментарии, объясняющие связь команд конфигурации с конкретными требованиями политики защиты. Команды, не имеющие отношения к рассматриваемому вопросу, были из листинга удалены.
Пример 5.4. Пример конфигурации устррйства^НАЗ!/ ,^ \,
version 12.0 1 ! Установка точного времени для использования в сообщениях service timestamps debug datetime msec service timestamps log uptime no service password-encryption hostname NASI 1 ! Создание нового раздела AAA и защита пиний ааа new-model ааа authentication login default enable aaa authentication login console-in local
aaa authentication login vty-in local
aaa authentication login tty-in line
aaa authentication ppp dial-in if-needed local
enable secret 5 $l$a8hM$8S2.ZmgUyGL2Ask4TVRSQ. enable password 7 0300540C5E0B2E4B
i
username admin password 0 back door
username isgroup password 0 other door
username remotes password 0 billySbong
clock timezone PST -8
ip subnet-zero
ip host modem 2097 10.1.1.1 i
!
!
interface BRI0/0
no ip address
no ip directed-broadcast shutdown
!
interface EthernetO/O
ip address 10.1.1.1 255.255.255.0
no ip directed-broadcast !
interface EthernetO/1 no ip address
no ip directed-broadcast
shutdown
!
interface Serial3/0
physical-layer async
ip address 10.1.2.1 255.255.255.0
no ip directed-broadcast
encapsulation ppp
ip tcp header-compression passive
async mode dedicated
peer default ip address pool classpool
no fair-queue
no cdp enable
ppp authentication chap dial-in
J
interface SerialS/1
no ip address
no ip directed-broadcast
shutdown
J
interface Serial3/2
no ip address
no ip directed-broadcast shutdown
interface Serial3/3 no ip address no ip directed-broadcast shutdown i
router rip network 10.0.0.0
i
ip local pool classpool 10.1.2.2 10.1.2.10 ip classless
ip route 0.0.0.0 0.0.0.0 10.1.1.3 no ip http server 1
1
line console 0 exec-timeout 0 0 password 7 110F0B0A19064B080B2539 logging synchronous login authentication console-in transport input none
line 65 70 line 97
no exec
password 7 0825454F0554100417191F login authentication tty-in modem InOut
modem autoconfigure type usr_sportster transport input all stopbits 1 speed 115200 flowcontrol hardware
line aux 0
password 7 094D4A04100B5A16020D08
line vty 0 4
password 7 121C061F1D52 login authentication is-in i
end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Для чего используется команда service password-encryption в процессе подготовки к настройке средств ААА?
Каким двум режимам сервера сетевого доступа можно обеспечить защиту с помощью команд ААА?
Для чего в команде ааа authentication ppp sales if-needed local используется параметр local?
Какие команды ААА применяются для глобальной активизации ААА с одновременной защитой всех линий доступа?
Что делает команда ааа authorization network Pisces local none?
Какая команда EXEC может использоваться для мониторинга событий аудита по мере их выявления?
Какие действия необходимо выполнить для определения списка методов?
Какую команду можно использовать в начале сеанса debug ааа authentication, чтобы обеспечить точное время для ссылок в сообщениях?
Что делает команда ааа accounting exec start-stop local?
Какое число методов аутентификации может быть указано при использовании команды ааа authentication для определения списка методов аутентификации?
Ссылки
В этой главе описывается процесс выбора конфигурации, реализующей политику защиты на сервере сетевого доступа. Следующие ссылки помогут пополнить ваши знания о средствах ААА и вариантах политики защиты вообще.
Политика защиты
Институт SANS (System Administration, Networking, and Security Institute — Институт системного администрирования, сетей и защиты), страница которого размещена по адресу: www.sans.org, представляет собой кооперативное исследовательское и учебное заведение для системных администраторов, профессионалов сетевой защиты и сетевых администраторов.
Model Security Policies — Compiled by Michele Crabb-Guel. Коллекция шаблонов и обзоров, автором которой является Мишель Грабб-Гуэль, призвана помочь при создании политики защиты. Содержит также информацию из курса SANS “Building an Effective Security Infrastructure”. Размещается по адресу: www.sans.org/newlook/resources/policies/policies.htm.
RFC 2196, “The Site Security Procedures Handbook”. Предлагает обзорную информацию о политиках защиты и процедурах аутентификации. Размещается по адресу: ds. intemic. net/rfc/rfc2196. txt.
Конфигурация AAA
Security Command Reference, Cisco IOS Release 12.0, October, 1998.
Security Configuration Guide, Cisco IOS Release 12.0, October, 1998.
Изучив материал этой главы,вы сможете выполнить следующие задачи. . 1\
Описать возможности и архитектуру CiscoSecure ACS 2.4 для Windows NT. «
Настроить CiscoSecure ACS для Windows NT на выполнение функций AAA.
Описать возможности и архитектуру CiscoSecure ACS 2.3 для UNIX.
Настроить сервер сстсвЬго доступа таким образом, чтобы процессы ААА могли использовать удаленную базу данных защиты TACACS+. %
ГлаваГлава66
Глава
Глава
6
6
Настройка CiscoSecure ACS и TACACS+/RADIUS
". В этой главе рассматриваются возможности программного обеспечения сервера управления доступом CiscoSecure ACS. С помощью программного обеспечения CiscoSecure ACS можно обеспечить защиту сети и контролировать действия пользователей, подключающихся к ней. Для этого в CiscoSecure ACS используется либо система TACACS+ (Terminal Access Controller Access Control System — система управления терминальным доступом), либо RADIUS (Remote Authentication Dial-In User Service — ссрвис идентификацйи удаленных абонентов). Сетевая защита реализуется с помощью : средства ААА — аутентификации, авторизации и аудита.
. . Кроме того, здесь описывается конфигурация средств ААА в сервере сетевого дос- ТТупа^ Для Проверки полученных вами знаний предлагается полный листинг соответствующего файла конфигурации. Этот листинг был получен на реальном тестовом обо- :^Й*руловании и содержит комментарии, в которых объясняется связь соответствующих команд конфигурации с элементами политики защиты.
CiscoSecure ACS для Windows NT mUNIX
,./r|||W-"’Программное обеспечение CiscoSecure ACS доступно как для операционных систем NT, так и UNIX; Общим для этих двух пакетов является интерфейс Web-броузера, предлагающий следующие возможности.
; Централизованная поддержка ААА для доступа через серверы сетевого доступа, маршрутизаторы, коммутаторы и брандмауэры.
Управление доступом Telnet к маршрутизаторам и коммутаторам.
' •' Поддержка неограниченного числа серверов сетевого доступа Cisco.
%• Поддержка идентификационных карт и их серверов.
Управление поддерживающими TACACS+ и RADIUS клиентами сервера сете- ^ врго доступа.
Управление поддерживающими TACACS+ и RADIUS серверами CiscoSecure ACS.
Установка и контроль удаленных соединений с удаленными сетями VPDN йй (Virtual Private Dial-up Network — виртуальная частная коммутируемая сеть).
Поддержка профиля по умолчанию, разрешающего гостевой доступ пользователей и регистрацию входа пользователей через клиентов сервера сетевого доступа, авторизованных другой системой контроля доступа к сети.
Установка привилегий административных групп промежуточного уровня.
Поддержка кэша маркеров доступа для всех пользователей, входящих в сеть через сервер идентификационных карт.
Установка абсолютных атрибутов группового уровня.
Поддержка пользователей идентификационных карт Administer Secure Computing.
Кроме того, серверы управления доступом поддерживают протоколы TACACS+ и RADIUS, репликацию баз данных, интерфейс командной строки и кэширование данных профилей с целью ускорения процесса аутентификации.
Программное обеспечение CiscoSecure ACS поддерживает серверы сетевого доступа Cisco (Cisco NAS), а также устройства сторонних производителей, предлагающие поддержку протоколов TACACS+ и/или RADIUS. CiscoSecure ACS использует протоколы TACACS+ и RADIUS в сервисах ААА, обеспечивающих защиту сетевой среды.
Сервер сетевого доступа настраивается так, чтобы все запросы доступа пользователей направлялись серверу CiscoSecure ACS для аутентификации и авторизации. С помощью протокола TACACS+ или RADIUS сервер сетевого доступа посылает серверу CiscoSecure ACS запросы аутентификации для проверки имени и пароля пользователя на основе соответствующей базы данных. CiscoSecure ACS возвращает серверу сетевого доступа подтверждение или отказ, тем самым разрешая или запрещая доступ пользователю.
Вместе с подтверждением аутентификации пользователя сервер сетевого доступа может получить набор атрибутов сеанса, обеспечивающих дополнительные возможности защиты и управления привилегиями. Эти атрибуты могут включать пул IP-адресов, список управления доступом и тип соединения (например, IP, IPX или Telnet).
Поддержка TACACS+
Программное обеспечение CiscoSecure ACS совместимо с протоколом TACACS+, определенным Cisco Systems в проекте стандарта 1.77 (см. документацию по программному обеспечению Cisco IOS или обратитесь к странице Cisco Systems по адресу: www.cZsco.com).
Поддержка RADIUS
Программное обеспечение CiscoSecure ACS также совместимо с протоколом RADIUS, определенным в проекте стандарта (апрель, 1997 год) и следующих документах RFC: RFC 2138 (“Remote Authentication Dial In User Service”), RFC 2139 (“RADIUS Accounting”), draft-ietf-radius-tunnel-auth-07.txt и draft-ietf-radius-tunnel-acct-03.txt.
CiscoSecure ACS для Windows NT
CiscoSecure ACS для NT (CSNT) действует как сервис Windows NT, управляющий средствами AAA доступа пользователей к сети. Каждая из составляющих ААА способствует усилению защиты сети.
Аутентификация позволяет идентифицировать пользователей и выяснить, имеют ли они право доступа к сети.
Авторизация определяет уровень сетевых сервисов, доступных для аутентифицированных пользователей после установки соответствующих соединений.
Аудит дает возможность контролировать действия пользователей в сети.
Средства АДА в рамках архитектуры клиент/сервер (когда ответственность за проведение транзакции разделяется на две части: клиента [интерфейсная часть] и сервера [прикладная часть]) позволяют хранить всю информацию защиты в одной централизованной базе данных, вместо распределения ее по сети во множество различных устройств.
CSNT работает с Windows NT Server 4.0, с установленным Service Pack 4 (или более поздним). CSNT поддерживает централизацию управления доступом и аудита для удаленного доступа, доступа к территориальной сети и Internet. Централизация касается доступа к серверам удаленного доступа и брандмауэрам, а также управления доступом к маршрутизаторам и коммутаторам. Системный администратор получает возможность управлять учетными записями и глобально менять уровни сервисов, предлагаемых группам пользователей. Это расширяет возможности системного администратора по управлению удаленным доступом и сетевыми сервисами всей корпоративной сети со своего рабочего места. Ввиду тесной интеграции CSNT с операционной системой Windows NT, компании могут использовать практические знания и средства, уже инвестированные в построение сети Windows NT.
CSNT поддерживает брандмауэр Cisco FIX Firewall и различные серверы сетевого доступа Cisco, например Cisco 1600, 2500, 2600, 3600, AS5200, AS5300 и AS5800. CSNT также поддерживает аутентификацию и авторизацию серверов сетевого доступа сторонних поставщиков, применяющих IETF, Ascend RADIUS или TACACS+.
Административный интерфейс CSNT отображается с помощью предлагаемого Web-броузера, что делает администрирование исключительно простым. Интерфейс CiscoSecure ACS для Windows NT показан на рис. 6.1.
1*1*MM. ;Ж^®1MM. ;Ж^®1CiscoSecure ACS V2.4for Windows NTCiscoSecure ACS V2.4for Windows NTfe=K't tMwfew"i'„i UJR«fcfW*»Mfe=K't tMwfew"i'„i UJR«fcfW*»MSelect "Sample Configurations" to list the steps for configuring CiscoSecure for your specific requirements.Select "Log Off' to cod the administration sessionSelect "Sample Configurations" to list the steps for configuring CiscoSecure for your specific requirements.Select "Log Off' to cod the administration sessionCiscoSecure ACS v2.4 for Windows NT offers support for I multiple network access servers and advanced TACACS+ I and RADIUS features, ft also supports several methods of I authorization, authentication, and accounting (AAA) I including several one-time-password cards. For more I information on CiscoSecure products and upgrades, please »...visit htioV/www.dsc<>ACom.D$yngh!CH®CwoDS$<ief«.lncSS3K 1CiscoSecure ACS v2.4 for Windows NT offers support for I multiple network access servers and advanced TACACS+ I and RADIUS features, ft also supports several methods of I authorization, authentication, and accounting (AAA) I including several one-time-password cards. For more I information on CiscoSecure products and upgrades, please »...visit htioV/www.dsc<>ACom.D$yngh!CH®CwoDS$<ief«.lncSS3K 1яЗесие ACS ,24 for Window. NTяЗесие ACS ,24 for Window. NTРис. 6.1. Web-интерфейс CiscoSecure ACS для NTРис. 6.1. Web-интерфейс CiscoSecure ACS для NT
1*
1*
MM. ;
Ж^®1
MM. ;
Ж^®1
CiscoSecure ACS V2.4
for Windows NT
CiscoSecure ACS V2.4
for Windows NT
fe=K't tMwfew"i'„i UJR«fcfW*»M
fe=K't tMwfew"i'„i UJR«fcfW*»M
Select "Sample Configurations" to list the steps for configuring CiscoSecure for your specific requirements.
Select "Log Off' to cod the administration session
Select "Sample Configurations" to list the steps for configuring CiscoSecure for your specific requirements.
Select "Log Off' to cod the administration session
CiscoSecure ACS v2.4 for Windows NT offers support for I multiple network access servers and advanced TACACS+ I and RADIUS features, ft also supports several methods of I authorization, authentication, and accounting (AAA) I including several one-time-password cards. For more I information on CiscoSecure products and upgrades, please »
...visit htioV/www.dsc<>ACom.
D$yngh!CH®CwoDS$<ief«.lncSS3K 1
CiscoSecure ACS v2.4 for Windows NT offers support for I multiple network access servers and advanced TACACS+ I and RADIUS features, ft also supports several methods of I authorization, authentication, and accounting (AAA) I including several one-time-password cards. For more I information on CiscoSecure products and upgrades, please »
...visit htioV/www.dsc<>ACom.
D$yngh!CH®CwoDS$<ief«.lncSS3K 1
яЗесие ACS ,24 for Window. NT
яЗесие ACS ,24 for Window. NT
Рис. 6.1. Web-интерфейс CiscoSecure ACS для NT
Рис. 6.1. Web-интерфейс CiscoSecure ACS для NT
CSNT выполняет аутентификацию имен и паролей пользователей с помощью базы данных Windows NT User Database (база данных пользователей Windows NT), CSNT ACS User Database (база данных пользователей сервера управления доступом) или базы данных сервера идентификационных карт.
Для разных целей могут использоваться различные уровни защиты CiscoSecure ACS. Базовый уровень защиты “пользователь-сеть” обеспечивается протоколом РАР (Password Authentication Protocol — протокол аутентификации пароля). Хотя этот протокол и не обеспечивает наивысший уровень защиты, он предлагает простоту и удобство работы с клиентом. РАР позволяет выполнить аутентификацию с помощью базы данных Windows NT. В такой конфигурации пользователям необходимо пройти процедуру входа в систему только один раз. Протокол CHAP (Challenge Handshake Authentication Protocol — протокол аутентификации с предварительным согласованием вызова) обеспечивает более высокую степень защиты шифрованных паролей при обращении клиента к серверу сетевого доступа. Протокол CHAP можно использовать с базой данных Cisco Secure ACS User Database.
Сравнение PAP, CHAP и ARAP
PAP, CHAP и ARAP являются протоколами аутентификации, используемыми для шифрования паролей. Эти протоколы обеспечивают разные степени защиты.
РАР. Использует пароли в открытом виде и является самым простым из протоколов аутентификации. Если аутентификация выполняется с помощью базы данных Windows NT User Database, то необходимо применять шифрование паролей РАР.
CHAP. Использует механизм вызова-ответа с односторонним шифрованием ответа. CHAP позволяет CiscoSecure ACS договориться о приемлемом механизме шифрования, спускаясь вниз от наиболее надежного из них, что дает возможность защитить пароли, пересылаемые в ходе данного процесса. Пароли CHAP предполагают многократное использование. Если аутентификация выполняется с помощью базы данных CiscoSecure ACS User Database, то можно применять как РАР, так и CHAP.
MS-CHAP (Microsoft Challenge Handshake Authentication Protocol — протокол Microsoft CHAP). CiscoSecure ACS поддерживает аутентификацию MS-CHAP. Отличия между MS-CHAP и стандартным протоколом CHAP заключаются в следующем.
Пакет ответа MS-CHAP имеет формат, совместимый с Microsoft Windows NT, Windows 95/98 и LAN Manager 2.x. Формат MS-CHAP не требует, чтобы аутентификатор содержал пароль в открытом или обратимо шифрованном виде.
MS-CHAP предлагает механизм повторной аутентификации под контролем аутентификатора.
MS-CHAP предлагает дополнительные коды ошибок в соответствующем поле пакета сообщения об ошибке.
В рамках протокола MS-CHAP для аутентификации можно использовать базу данных NT User Database.
ARAP (AppleTalk Remote Access Protocol — протокол удаленного доступа AppleTalk). Использует двухсторонний механизм вызова-ответа. Сервер сетевого доступа для аутентификации вызывает удаленного клиента, а удаленный клиент для аутентификации вызывает сервер сетевого доступа.
Возможности CSNT
Рассмотрим основные возможности CSNT.
Одновременная поддержка TACACS+ и RADIUS. Для связи между CiscoSecure ACS и сервером сетевого доступа можно использовать TACACS+ или RADIUS.
Аутентификация с помощью базы данных Windows NT User Database или базы данных CiscoSecure ACS User Database. Поддержка базы данных Windows NT User Database включает следующее:
применение имен пользователей и паролей Windows NT и консолидация управления ими;
использование одной процедуры входа в систему для доступа к сети и домену Windows NT;
работу в конфигурации с отдельным контроллером PDC (Primary Domain Controller — главный контроллер домена) и контроллером BDC (Backup Domain Controller — резервный контроллер домена) сервера Windows NT.
Поддержка всех главных протоколов аутентификации, включая CHAP, PAP, MS-CHAP, ARAP, а также внешних серверов идентификационных карт и базы данных Windows NT User Database и Novell NDS (Novell Directory Services — служба каталогов Novell).
Поддержка возможности обратного вызова сервера сетевого доступа с целью усиления защиты.
Отключение учетной записи после определенного числа аварийно завершившихся попыток входа в систему.
Возможности AAA CSNT
CSNT поддерживает следующие возможности ААА.
Поддержка TACACS+ для списков доступа (именованных или нумерованных), ограничение доступа по времени или дням недели, поддержка уровней привилегий, аутентификации для сервера LDAP (Lightweght Directory Access Protocol — облегченный протокол службы каталогов) и одноразовых паролей enable.
Поддержка IETF RADIUS, пар “атрибут/значение” Cisco RADIUS, фирменных расширений RADIUS и атрибутов туннельной связи RADIUS.
Единая база данных TACACS+/RADIUS для совместного использования этими протоколами.
Поддержка сетей VPN (Virtual Private Network — виртуальная частная сеть) и VPDN (Virtual Private Dial-up Network — виртуальная частная коммутируемая сеть) в точках начала и окончания туннелей VPN на уровне L2F (Layer 2 Forwarding — продвижение данных уровня канала передачи данных).
Использование ограничений пользователя, основанных на идентификации CLID удаленного адреса (Caller Line Identification — идентификация линии вызывающего абонента).
Отключение учетной записи в указанное время или после определенного числа аварийно завершившихся попыток получения доступа.
CiscoSecure ACS Release 2.4, по сравнению с более ранними версиями, предлагает следующие дополнительные возможности.
Усовершенствованное шифрование. Более “стойкое” шифрование для базы данных CiscoSecure ACS.
Расширенные возможности репликации базы данных. Более совершенные возможности репликации баз данных.
Аутентификация сервиса каталогов. Аутентификация любой из поддерживаемых версий службы каталогов LDAP.
Опции enable внешней базы данных пользователей. Возможность для внешних пользователей пройти аутентификацию с помощью пароля enable.
Группы сетевых устройств группового уровня (Network Device Group — NDG). Возможность связать группы пользователей с группами сетевых устройств.
Групповые таблицы базы данных NDS. Возможность отображения групп NDS (Novell Directory Services — служба каталогов Novell).
Расширенные возможности синхронизации системы управления реляционной базой данных (СУРБД). Возможность синхронизации элементов таблицы, соответствующих серверу сетевого доступа, ААА, группам сетевых устройств и устройствам-посредникам (proxy).
Возможность работы с сетями VPDN при использовании базы данных CiscoSecure ACS User Database с атрибутами RADIUS туннельной связи. Поддержка атрибутов IETF RADIUS туннельной связи, позволяющих указать множество туннелей с помощью одного пакета RADIUS.
Аудит VoIP. Регистрация данных аудита VoIP (Voice over IP) в обычном для RADIUS файле значений CSV (Comma-Separated Value — разделенные точкой с запятой значения) и файле ODBC (Open DataBase Connectivity — открытый интерфейс доступа к базам данных), в дополнительном CSV- или ODBC-файле данных VoIP либо и то, и другое одновременно.
Контроль формата даты. Возможность использовать либо формат ме- сяц/день/год, либо день/месяц/год.
Обратный вызов Microsoft. Поддержка возможности обратного вызова Microsoft.
Файлы контрольных записей CSV и ODBC. Поддержка как CSV-, так и ODBC-совместимых записей аудита и администрирования.
Возможности администрирования
CSNT предлагает множество дружественных по отношению к пользователю возможностей администрирования.
Поддерживающий HTML/JAVA графический пользовательский интерфейс дает возможность контролировать средства защиты с помощью Web-броузера по локальной сети или при удаленном доступе. Это упрощает процесс настройки и позволяет распределить в сети параметры конфигурации сервера управления доступом, профилей пользователей и групповых профилей:
для помощи в решении проблем предлагаются файлы справки и документация, доступная с помощью Web-броузера (но не SSL-броузера, он использует CSAdmin);
с целью максимальной гибкости при реализации и изменении политики защиты поддерживается возможность группового администрирования пользователей;
для разрешения или запрета удаленного администрирования необходимо ввести уникальное имя и пароль администрирования;
удаленный сеанс администрирования имеет ограничения по времени;
можно просмотреть список подключившихся пользователей, чтобы выяснить, кто имеет активные соединения в данный момент.
Поддержка монитора производительности Windows NT (Windows NT Performance Monitor) для просмотра в реальном масштабе времени статистических параметров, например, характеризующих число транзакций в секунду.
Создание отдельных файлов TACACS+ и RADIUS в формате таблицы CSV для упрощения импортирования их в электронные таблицы и приложения баз данных.
Наличие утилиты импортирования для быстрого добавления данных для большого числа пользователей.
Поддержка одноуровневой индексированной базы данных для ускорения обработки транзакций (CSNT User Database).
Возможности распределенной системы
CSNT может использоваться в распределенной системе. Можно разместить множество серверов CSNT и ААА, которые взаимодействуют как ведущие, клиенты или равноправные узлы. CSNT распознает ограничения сетевого доступа других серверов CSNT в распределенной сети. CSNT предлагает следующие возможности.
Передача аутентификации. CSNT может автоматически ретранслировать запрос аутентификации от сервера сетевого доступа другому серверу CSNT. После аутентификации к серверу сетевого доступа будут применяться привилегии авторизации, соответствующие результатам аутентификации данного пользователя.
Нейтрализация аварийно завершенных соединений. Можно определить порядок, в каком клиент CSNT будет проверять удаленные серверы CSNT, если попытка установить сетевое соединение с главным сервером CSNT завершится неудачей. Если запрос аутентификации невозможно послать первому из перечисленных серверов, будет проверен следующий сервер из списка, пока запрос аутентификации не будет обработан каким-либо из серверов. Если клиент CSNT не сможет соединиться ни с одним сервером из списка, аутентификация считается неудачной.
Удаленная н централизованная регистрация событий. CSNT можно настроить на применение централизованного сервера CSNT в качестве сервера регистрации системных событий. Централизованный сервер CSNT будет иметь все возможности обычного сервера CSNT, но, кроме того, будет центральным хранилищем для всех высылаемых ему протоколов с контрольными записями.
Поддержка внешних баз данных
CSNT может выполнять аутентификацию пользователей, определенных в базах данных защиты или службах каталогов сетевой операционной системы (таких, как Novell NDS или база данных аудита Windows NT), и поддерживает передачу аутентификации серверам LDAP. Поддержка ODBC позволяет ускорить процесс импортирования данных для большого числа пользователей.
Возможности управления базами данных
Возможности синхронизации СУРБД и репликации баз данных для CSNT призваны помочь автоматизировать процесс управления базой данных CSNT и конфигурацией сети. Утилита CSUtil.exe обеспечивает возможности резервного копирования и восстановления базы данных.
Репликация баз данных
Репликация баз данных оказывается мощным методом, который позволяет обеспечить устойчивый к отказам среды сервис ААА на основе CiscoSecure ACS 2.4 для Windows NT. Главная задача репликации баз данных — это копирование частей конфигурации главного сервера CSNT в одну или несколько систем клиента CSNT, что позволяет администратору автоматизировать процесс создания зеркальных систем. Зеркальные системы могут использоваться для того, чтобы обеспечить избыточность сервера путем создания резервных или вторичных серверов, обеспечивающих устойчивое функционирование сети в случае отказа ее главных или первичных элементов.
Не путайте репликацию баз данных с резервным копированием базы данных или системы. Репликация баз данных представляет собой неполную замену резервного копирования. Чтобы гарантировать целостность данных, вам все равно необходимо разработать надежную стратегию резервного копирования.
Синхронизация СУРБД
Синхронизация СУРБД представляет собой интеграционную возможность, призванную упростить процесс совместного использования CiscoSecure ACS 2.4 для Windows NT с приложениями СУРБД сторонних производителей. Средства синхронизации СУРБД предлагают следующее.
Спецификации источника данных ODBC для синхронизации при использовании CSNT с другими приложениями СУРБД и контроля обновлений CSNT для внешних приложений.
Управление процессом импортирования/синхронизации, включая создание соответствующих расписаний.
Выбор систем, которые должны быть синхронизированы.
Возможность синхронизации СУРБД состоит из следующего: сервиса CSDBSync и таблицы хранения данных ODBC. CSDBSync является специальным сервисом Windows NT, автоматизирующим аудит пользователей и групп для CSNT. Таблица хранения данных ODBC описывает формат записи. Каждая запись содержит информацию о пользователе или группе, соответствующую данным из базы данных CSNT. Запись содержит и другие поля, в частности код действия. Записи в таблицу могут делать любые приложения. CSDBSyn читает данные таблицы и для каждой записи выполняет действие (например, добавление или удаление пользователя и т.п.), соответствующее указанному в записи коду действия.
Доступ к данным ODBC
CSNT поддерживает импортирование данных из баз данных ODBC, например баз данных Microsoft Access или Oracle. При импортировании информация о пользователях и группах, размещенная в одной таблице, переносится на несколько серверов ACS. Сервис CSAccupdate обрабатывает таблицу и обновляет данные локальных и удаленных систем ACS в соответствии с заданной конфигурацией.
Системные требования CSNT
Перед установкой CSNT необходимо убедиться, что система отвечает следующим минимальным требованиям (чтобы ускорить работу сервисов, необходимо иметь оперативную память, рабочую частоту процессора, дисковое пространство и скорость работы жесткого диска, соответствующие условиям сетевой среды).
IBM-совместимый компьютер с процессором Pentium 200 МГц или более.
Минимум 64 Мбайт оперативной памяти (рекомендуется 128 Мбайт).
Поддержка CD-ROM.
По крайней мере 150 Мбайт свободного дискового пространства. Типичная установка может потребовать вдвое больше этого объема.
Windows NT Server 4.0 (с установленным SP5 или SP6).
Минимальное разрешение монитора 800x600 при использовании 256 цветов.
В компьютере, на котором размещается CSNT, и в удаленных системах администрирования должен быть установлен один из следующих броузеров: Microsoft Internet Explorer 4.x или 5.x, Netscape Navigator 4.0.x или Netscape Communicator 4.x. Поддержка Java и JavaScript должна быть включена.
Программное обеспечение Cisco IOS Software Release 11.1 или более поздней версии на сервере сетевого доступа. Для поддержки RADIUS требуется IOS 11.1.
PIX Firewall версии 4.24 или более поздней.
Архитектура CSNT
CSNT обеспечивает возможность использования сервисов ААА для множества серверов сетевого доступа. Сюда входит сервис администрирования и модули сервиса, описываемые ниже.
Сервис администрирования (CSAdmin). Сервис внутреннего Web-сервера. CSNT предлагает свой собственный внутренний сервер. После установки CSNT необходимо выбрать подходящую конфигурацию этого сервера с помощью интерфейса HTML/Java, который требует постоянной доступности сервиса CSAdmin.
Модуль CSAuth. Главной задачей CSNT является аутентификация и авторизация запросов сетевых устройств на разрешение или запрет доступа к ним. CSAuth представляет собой сервис, ответственный за принятие решения о разрешении или запрете доступа и за определение уровня привилегий, связываемых с каждым пользователем. CSAuth является диспетчером базы данных.
Модули CSTacacs и CSRadius. Эти службы связываются с модулем CSAuth и запрашиваемым устройством, для которого требуется аутентификация и авторизация. CSTacacs используется для работы с устройствами TACACS+, а CSRadius — для работы с устройствами RADIUS. Эти два сервиса могут работать одновременно, но если используемый протокол защиты этого не допускает, должен применяться только один соответствующий сервис.
Модуль CSLog. Сервис, используемый для регистрации событий и обработки соответствующей информации. CSLog использует данные пакетов TACACS+ и RADIUS, а также данные CSAuth и обрабатывает эти данные, чтобы поместить
их в файлы CSV. Такие файлы создаются ежедневно, начиная с полуночи. По умолчанию они сохраняются в каталоге \Program Files\CSNT v2.4\Logs\.
Модуль CSDBSynch. Используется сервисами автоматизированного управления средствами аудита пользователей и групп для CiscoSecure ACS.
Модуль CSMonitor. Осуществляет мониторинг CiscoSecure ACS и решает выявленные проблемы.
В отдельности каждый из этих модулей может быть активизирован или остановлен с помощью панели управления сервисами (Microsoft Service Control Panel), а в составе группы — с помощью интерфейса броузера CSNT. Их можно также контролировать с помощью диспетчера задач Windows NT (Windows NT Task Manager).
Использование базы данных сервера управления доступом
С помощью протокола RADIUS или TACACS+ сервер сетевого доступа направляет все запросы доступа удаленного пользователя в адрес CSNT, где службы аутентификации и авторизации проверяют имя и пароль пользователя. CSNT возвращает серверу сетевого доступа ответ с подтверждением или отказом, на основании чего пользователю разрешается или запрещается доступ. После аутентификации пользователя система CSNT посылает серверу сетевого доступа набор атрибутов авторизации, и начинают выполняться функции аудита.
При использовании базы данных CSNT User Database взаимодействуют следующие службы и базы данных.
Система TACACS+ или RADIUS запрашивает сервисы аутентификации и авторизации NT у сервера CSNT, где выполняется аутентификация запроса с помощью базы данных CSNT User Database и определяются соответствующие параметры авторизации, а выполняемые при этом действия регистрируются службой регистрации событий CSNT.
База данных Windows NT User Database не выполняет аутентификацию пользователей при удаленном доступе. Пользователь должен входить в систему Windows NT после завершения процедур ААА удаленного доступа.
CSNT использует встроенную базу данных пользователей, представляющую собой плоский файл с индексом, содержащим хэшированные значения. Для такого файла поиск ведется не с начала файла, что обычно предполагают, когда говорят о плоском файле, а используется индекс, как для базы данных. Для этого плоского файла создается индекс, состоящий из хэшированных значений, и соответствующая древовидная структура, чтобы оптимизировать процесс поиска и дать возможность базе данных CSNT User Database быстрее выполнять аутентификацию пользователей.
При использовании базы данных CSNT User Database требуется вводить имена пользователей вручную. Но после ввода имени в базу данных CSNT User Database, процесс администрирования оказывается проще, чем при использовании базы данных Windows NT User Database. База данных CSNT User Database поддерживает аутентификацию PAP и CHAP.
На рис. 6.2 показана схема взаимодействия сервера сетевого доступа с базой данных сервера управления доступом в рамках CSNT.
Процесс аутентификации состоит из следующих шагов.
Запросы и ответы (имя пользователя и пароль, подтверждения аутентификации и данные авторизации) передаются серверу CSNT.
Сервис TACACS+ или RADIUS NT направляет запросы соответствующей службе администрирования.
Рис. 6.2. Взаимодействие сервера сетевого доступа с базой данных сервера управления доступом
Выполняется аутентификация запроса с помощью базы данных сервера управления доступом, определяются соответствующие параметры авторизации, а соответствующие события регистрируется сервисом аудита.
База данных NT User Database не выполняет аутентификацию пользователей при удаленном доступе. Пользователь должен входить в Windows NT после завершения процедур ААА удаленного доступа.
Использование базы данных NT
Когда CSNT использует для сервиса ААА базу данных Windows NT User Database, система TACACS+ или RADIUS направляет запрос сервисам аутентификации и авторизации CSNT, которые предъявляют имя и пароль пользователя базе данных Windows NT User Database для аутентификации.
Преимущество базы данных Windows NT User Database состоит в том, что имя пользователя и пароль, используемые для аутентификации, совпадают с теми, что применяются для входа в систему. Поэтому достаточно потребовать от пользователя ввести его учетное имя и пароль только один раз, что, очевидно, удобно пользователю.
На рис. 6.3 показана схема взаимодействия сервера сетевого доступа и NT Security Accounts Manager (администратора учетных данных в системе защиты).
Процесс аутентификации состоит из следующих шагов.
Запросы и ответы (имя и пароль пользователя, подтверждения аутентификации и данные авторизации) передаются серверу CSNT.
Сервис TACACS+ или RADIUS NT направляет запрос соответствующей службе администрирования.
Имя пользователя и пароль предъявляются базе данных NT User Database для аутентификации. Если они подтверждаются, серверу сетевого доступа высылается подтверждение и соответствующие данные авторизации, определенные сервером управления доступом. Соответствующие события регистрируются сервисом аудита.
ооУдаленный Сервер ©Удаленный Сервер ©клиент сетевогоклиент сетевогодоступадоступаЗапросы и ответыЗапросы и ответыРис. 6.3. Взаимодействие сервера сетевого доступа и администратора учетных данных в системе защиты Windows NTРис. 6.3. Взаимодействие сервера сетевого доступа и администратора учетных данных в системе защиты Windows NT
о
о
Удаленный Сервер ©
Удаленный Сервер ©
клиент сетевого
клиент сетевого
доступа
доступа
Запросы и ответы
Запросы и ответы
Рис. 6.3. Взаимодействие сервера сетевого доступа и администратора учетных данных в системе защиты Windows NT
Рис. 6.3. Взаимодействие сервера сетевого доступа и администратора учетных данных в системе защиты Windows NT
Имя пользователя и пароль предъявляются системе NT, и удаленный пользователь получает права локального. Ответ направляется серверу управления доступом, а пользователю предоставляются права, соответствующие данным авторизации. Это позволяет использовать одну процедуру и для удаленного доступа, и для входа в сеть.
Ответы возвращаются серверу сетевого доступа.
Поддержка идентификационных карт
CSNT включает программное обеспечение сервера идентификационных карт CryptoCard и поддерживает аутентификацию с помощью идентификационных карт SDI (Security Dynamics, Inc.), SafeWord и Axent. CSNT может выполнять аутентификацию любых идентификационных карт, удовлетворяющих спецификациям Х.909 (например, DES Gold Card). По отношению к серверу идентификационных карт, CSNT настраивается как клиент. При использовании базы данных CSNT User Database (как и при использовании базы данных Windows NT User Database) модуль CSAuth связывается с сервером идентификационных карт, чтобы сравнить соответствие имени пользователя и пароля идентификационной карты. Сервер идентификационных карт возвращает ответ, подтверждающий или отрицающий соответствие. Если соответствие подтверждается, модуль CSAuth считает, что аутентификация пользователем завершена успешно.
При использовании сервера идентификационных карт, CSNT применяет протокол TACACS+ или RADIUS для связи с устройствами, к которым клиент запрашивает сетевой доступ. Хотя серверы идентификационных карт тоже могут предложить некоторую поддержку TACACS+ и RADIUS, эта функция не используется, поскольку связь управляется средствами CSNT. Поэтому поддержка TACACS+ и RADIUS сервером идентификационных карт должна быть отключена.
CSNT поддерживает кэширование данных идентификационных карт для терминальных адаптеров ISDN. Когда кэширование данных активизировано, пользователи ISDN могут подключить второй канал В в режиме полосы по требованию (многозвенного соединения), используя пароль, который был введен для первоначальной аутентификации (соответствующий маркер доступа помещается в кэш и ока-
зывается доступным в течение определенного времени). Риск захвата второго канала В противником минимизируется путем применения средств CHAP для кэшированного пароля второго канала и ограничения времени, в течение которого второй канал В может использовать кэшированный маркер доступа.
На рис. 6.4 показана схема поддержки идентификационных карт сервером сетевого доступа, CSNT и сервером идентификационных карт.
CiscoSecureCiscoSecureСервер идентификационных картСервер идентификационных картРис. 6.4. Поддержка идентификационных картРис. 6.4. Поддержка идентификационных карт
CiscoSecure
CiscoSecure
Сервер идентификационных карт
Сервер идентификационных карт
Рис. 6.4. Поддержка идентификационных карт
Рис. 6.4. Поддержка идентификационных карт
Установка CSNT
Установить CSNT и выбрать подходящую конфигурацию достаточно просто. В этом разделе представлен краткий обзор основных шагов процесса установки. Предполагается, что удаленный пользователь использует связь РРР и аутентифицируется сервером CSNT по протоколу TACACS+ с помощью базы данных Windows NT User Database.
При установке CSNT выполняется следующая последовательность шагов.
Шаг 1. Настройка Windows NT Server для работы с CSNT.
Шаг 2. Проверка связи между Windows NT и ПК клиента, сервером сетевого доступа или брандмауэром PIX Firewall с помощью ping и Telnet.
Шаг 3. Установка CSNT в системе Windows NT Server. Программа установки CSNT использует InstallShield.
Шаг 4. Выбор исходной конфигурации CSNT с помощью интерфейса Web-броузера.
Шаг 5. Настройка сервера сетевого доступа, брандмауэра PIX Firewall и ПК клиента для использования средств ААА.
В следующих разделах эти шаги описываются подробнее. По завершении установки CSNT вы можете проверить работоспособность системы, используя информацию из раздела “Администрирование CSNT и исправление ошибок конфигурации”.
Шаг 1. Настройка Windows NT Server
Чтобы настроить Windows NT для использования CSNT, необходимо сделать следующее.
Определить тип Windows NT Server на основе информации об архитектуре Windows NT Server, используемой в сети предприятия.
Сконфигурировать Windows NT User Manager (Диспетчер пользователей).
Использовать сервисы Windows NT для управления сервером ACS (сервер управления доступом).
При использовании CSNT в системе PDC/BDC (Primary Domain Controller — главный контроллер домена; Backup Domain Controller — резервный контроллер домена) и при наличии множества доменов имеется возможность междоменной аутентификации, если в соответствующем домене пользователю разрешается локальный вход в систему, система разрешения удаленного доступа не пересекает границу доверия CSNT и пользователь успешно проходит аутентификацию в домене 1 CSNT.
Шаг 2. Проверка соединений
Необходимо проверить, могут ли удаленный клиент, сервер сетевого доступа и брандмауэр PIX Firewall обратиться к системе Windows NT Server, играющей роль хоста для CSNT. Такая проверка упрощает установку и исключает возможность возникновения проблем в процессе настройки сервера CSNT и взаимодействующих с ним устройств.
Шаг 3. Установка CSNT в системе Windows NT Server
Проще всего установить CSNT, используя CD-ROM. Соответствующий процесс ничем не отличается от установки любого другого приложения Windows, использующей InstallShield. Прежде чем начать установку, выясните необходимую информацию о сервере сетевого доступа, включая имя хоста, IP-адрес и ключ TACACS+.
Следуйте инструкциям InstallShield.
Выберите и сконфигурируйте базу данных.
Сконфигурируйте CSNT для сервера сетевого доступа, используя окно Web-броузера.
Сконфигурируйте сервер сетевого доступа и брандмауэр PIX Firewall для CSNT.
Сконфигурируйте CSNT, используя окно Web-броузера.
Шаг 4. Настройка CSNT с помощью Web-броузера
После успешной установки CSNT, на рабочем столе NT появится пиктограмма ACSNT Admin. Вам необходимо будет продолжить настройку CSNT с помощью Web-броузера. CSNT предполагает использование HTML, поэтому настроить CSNT можно лишь с помощью Web-броузера. Можно запустить броузер, указав адрес http://127.0.0.1:2002, http://<ip-adpec>:2002 или Ипр://<имя хоста>:2002.
Шаг 5. Настройка других устройств для использования средств АДА
Необходимо выполнить настройку сервера сетевого доступа, брандмауэра PIX Firewall, маршрутизаторов и коммутаторов для работы с CSNT. Процесс выбора конфигурации этих устройств будет описан в следующих главах.
Кроме того, может понадобиться выполнить настройку сервера идентификационных карт для совместной работы с CSNT при использовании средств АДА. Ниже приводятся некоторые варианты конфигурации, предполагающие применение CSNT для выполнения задач ААА. Все используемые устройства должны быть настроены на работу с CSNT.
Удаленный доступ с помощью базы данных Windows NT User Database и TACACS+.
Удаленный доступ с помощью базы данных CSNT User Database и TACACS+.
Удаленный доступ с помощью сервера идентификационных карт и TACACS+.
Удаленный доступ с помощью базы данных CSNT User Database и RADIUS (Cisco).
Удаленный доступ для клиента ARAP с помощью базы данных CSNT User Database и TACACS+.
Управление маршрутизатором с помощью базы данных CSNT User Database и TACACS+.
Аутентификация/авторизация PIX Firewall с помощью базы данных Windows NT User Database и TACACS+.
Сеть VPDN (Virtual Private Dial-up Network — виртуальная частная коммутируемая сеть), использующая базу данных CSNT User Database и TACACS+.
Администрирование CSNT и исправление ошибок конфигурации'
Интерфейс Web-броузера является основой администрирования и настройки CSNT. Этот интерфейс позволяет управлять всеми возможностями сервера из любой точки, где он оказывается доступным. Доступ к отчетам активности CSNT через окно Web-броузера открывает возможности для тестирования конфигурации и исправления ошибок. Задачи администрирования и тестирования вместе с основными командами отладки описываются в следующем разделе. ■
Администрирование CSNT
Интерфейс Web-броузера CSNT упрощает процесс администрирования средств ААА. Каждая из девяти кнопок навигационной панели представляет конкретную область или функцию, настройки которой можно изменить. В зависимости от конфигурации, может не потребоваться менять настройки всех областей. Для изменения настроек выберите одну из следующих кнопок.
User Setup (установка пользователя). Добавление, редактирование и удаление учетных записей пользователей и списков пользователей в базах данных.
Group Setup (установка группы). Создание, редактирование и изменение имен групп и списков пользователей в группе. Изменение параметров авторизации для разных пользователей и групп в зависимости от уровней сервиса.
Network Configuration (конфигурация сети). Создание конфигурации, изменение параметров серверов сетевого доступа, добавление (и удаление) серверов сетевого доступа и параметров распределения серверов ААА.
System Configuration (конфигурация системы). Активизация и остановка сервисов CSNT, выбор параметров процедуры входа в систему, управление репликацией баз данных и синхронизацией СУРБД.
Interface Configuration (конфигурация интерфейса). Определение пользовательских полей в записях протоколов аудита, опций TACACS+ и RADIUS и параметров отображения опций в рамках интерфейса пользователя.
Administration Control (управление администрированием). Управление возможностями администрирования CSNT с рабочих станций сети.
External User Databases (базы данных внешних пользователей). Выбор политики и параметров авторизации для неизвестных пользователей, а также определение типов внешних баз данных.
Reports and Activity (отчеты и события). Поиск следующей информации, которую можно импортировать в электронные таблицы и большинство приложений баз данных.
RADIUS Accounting Reports (отчеты аудита RADIUS). Содержат время начала, прекращения и длительности сеансов, сообщения сервера сетевого доступа с именами пользователей и информацию аутентификации пользовательского канала .
Failed Attempts Report (отчет неудачных попыток). Содержит информацию об аварийно завершившихся попытках аутентификации с указанием причин.
List Logged in Users (список зарегистрированных пользователей). Список всех пользователей, которые в настоящий момент получают сервис конкретного сервера сетевого доступа или всех серверов, имеющих доступ к CSNT.
List Disabled Accounts (список отключенных учетных записей). Список всех учетных записей пользователей, которые в настоящий момент отключены.
Admin Accounting Reports (отчеты аудита Admin). Списки команд конфигурации, введенных на сервере сетевого доступа TACACS+ (Cisco).
TACACS+ Accounting Reports (отчеты аудита TACACS+). Содержат время начала, остановки и длительности сеансов, сообщения сервера сетевого доступа с именами пользователей и информацию аутентификации пользовательского канала.
Online Documentation (оперативно-доступная документация). Более детальная информация о конфигурации, возможностях и принципах действия CSNT.
Порядок пунктов этого списка соответствует принятому по умолчанию порядку следования кнопок навигационной панели. Порядок построения нужной конфигурации зависит от ваших предпочтений.
Исправление ошибок конфигурации CSNT
Если необходимо выявить связанные с CSNT проблемы ААА, начните с анализа аварийно завершенных попыток доступа из раздела Reports and Activity графического интерфейса CSNT. Там указан целый ряд типов отказа.
Для диагностики CSNT оказываются полезными команды debug Cisco IOS. В табл. 6.1 представлена часть этих команд с описанием их использования.
Таблица 6.1. Команды debug CSNT
Ш№Шз&!&£^,&1<£н&уда&жш^м§м^&&218@ж^^
Команда
Описание
debug ааа authentication
Отображает информацию аутентификации при взаимодействии клиента и сервера, использующих TACACS+ или RADIUS
debug ааа authorization
Отображает информацию авторизации при взаимодействии клиента и сервера, использующих TACACS+
debug tacace
Отображает информацию о взаимодействии клиента I0S и сервера ААА, использующих TACACS+
debug radius
Отображает информацию о взаимодействии клиента I0S и сервера ААА, использующих RADIUS
В табл. 6.2 предоставлена дополнительная информация о диагностике CSNT в форме типичных проблем и их решений.
^Ц1ица 6.2. Типичные проблемы CSNT и их решения
ПроблемаРешение
Неудача аутентификации.
Предполагается связь CSNT с сервером сетевого доступа и аутентификация с помощью базы данных Windows NT User Database
Проверьте следующее.
Правильно ли введены имя пользователя и пароль? (В пароле различаются символы верхнего и нижнего регистров.)
Имеются ли имя пользователя и пароль в базе данных Windows NT User Database? (Проверьте с помощью диспетчера пользователей.)
Установлен ли в Windows NT флажок “User must change password at next login”? (Снимите отметку, если флажок установлен.)
Имеет ли соответствующий пользователь право локального подключения в окне Windows NT Server (Trust Relationship/Domain)?
Настроен ли сервер CSNT на аутентификацию с использованием Windows NT User Database?
Допускает ли конфигурация CSNT использовать команду grant dial-in permission to user?
Если аутентификация данного пользователя выполнялась раньше, но не выполняется сейчас, не отключена ли соответствующая учетная запись в Windows NT или CSNT?
Не истек ли срок действия пароля в Windows NT?
Не содержит ли имя пользователя недопустимый символ?
Неудача авторизации.
Удаленный пользователь проходит аутентификацию, но авторизация завершается аварийно
Проверьте следующее.
Отмечены ли соответствующие сетевые сервисы в разделе Group Settings?
Если указан протокол IP, то как удаленный пользователь получает IP-адрес?
Сконфигурирован ли соответствующий пул IP-адресов на сервере сетевого доступа?
Указано ли имя пула IP в разделе Group Settings? (Оставьте соответствующее поле пустым, если используется пул IP, назначаемый по умолчанию.)
Проблема
Решение
Если выполняется авторизация для команды, то внесен ли в конфигурацию Cisco IOS соответствующий оператор авторизации АМ для этой команды?
Выбрана ли кнопка Permitted соответствующей команды?
Выбрана ли кнопка Permitted соответствующего параметра команды?
Нет записей в отчете о неудачных попытках.
Если аутентификация или авторизация завершается аварийно, а в отчете неудачных попыток записей нет, то имеются ошибки установки взаимодействия между CSNT и сервером сетевого доступа
Проверьте следующее.
Может ли сервер сетевого доступа получить доступ ping к серверу Windows NT?
Может ли Windows NT Server получить доступ ping к серверу сетевого доступа?
Правильно ли указан IP-адрес хоста TACACS+ в конфигурации сервера сетевого доступа?
Одинаковы ли ключи хоста TACACS+, указанные в системах сервера сетевого доступа и CSNT?
Указано ли использование аудита TACACS+ в конфигурации сервера сетевого доступа?
Проблемы доступа удаленных клиентов.
Удаленный пользователь использует Windows 95 и соответствующие средства удаленного доступа
Проверьте следующее.
Указано ли требование шифрования пароля в разделе Server Туре (тип сервера) окна свойств соединения?
Указано ли в конфигурации использование соответствующего протокола для соединения?
Имеет ли выбранный сервер удаленного доступа тип PPP: Windows 95, Windows NT 3.5, Internet?
Разрешен ли пользователю доступ к соответствующим командам?
Проблемы удаленного администрирования
Проверьте следующее.
Правильно ли сконфигурирован Web-броузер? Достаточен ли кэш и активизирована ли поддержка Java?
Позволяет ли конфигурация средств удаленного администрирования использовать удаленный доступ с помощью Web-броузера (IP- адрес, имя пользователя и пароль)?
CiscoSecure ACS для UNIX
CiscoSecure ACS 2.3 для UNIX (CSUNIX) прекрасно интегрируется в сеть предприятия. CiscoSecure ACS используется для аутентификации пользователей и принятия решения о том, к каким внутренним сетям и сервисам им разрешен доступ. С помощью аутентификации на основе базы данных профилей пользователей и групп система CSUNIX эффективно защищает сеть и сетевые службы предприятия от несанкционированного доступа.
CSUNIX предлагает новые, многопользовательские (основанные на использовании Java и Web) средства настройки конфигурации и управления системой, упрощающие администрирование сервера и позволяющие нескольким системным администраторам
одновременно управлять сервисами защиты из разных точек сети. Графический пользовательский интерфейс поддерживает Web-броузеры Microsoft и Netscape, обеспечивая межплатформенную совместимость и предлагая защищенное администрирование на основе промышленного стандарта SSL (Secure Sockets Layer — протокол защищенных сокетов).
CSUNIX включает программное обеспечение сервера идентификационных карт CryptoCard и поддержку серверов идентификационных карт Secure Computing Corporation и Security Dynamics Technologies. Идентификационные карты на сегодня являются наиболее надежным средством аутентификации удаленных пользователей, позволяющим запретить доступ к частной информации неавторизованным пользователям.
CSUNIX теперь поддерживает технологии лидеров индустрии реляционных баз данных — Sybase и Oracle, что позволяет забыть о нераспределенной архитектуре и прежних ограничениях на масштабируемость и избыточность, а также о сложностях при настройке профилей пользователей и групп и управлении ими.
Возможности CSUNIX
При распространении локальных и глобальных сетей защита играет все более важную роль. Необходимо обеспечить простой доступ к информации в сети и в то же время запретить доступ к ней несанкционированному персоналу. Сервер CSUNIX помогает обеспечить защиту сети и контролировать действия пользователей, подключающихся к ней.
Чтобы обеспечить такую защиту и контроль, CSUNIX использует протокол TACACS+. Для защиты доступа к сети и предоставления возможности централизованного управления доступом к сети TACACS+ использует средства ААА.
CSUNIX использует интерфейс броузера и позволяет выполнить следующие задачи.
Управление клиентами сервера сетевого доступа, поддерживающими TACACS+ и RADIUS.
Управление поддерживающими TACACS+ и RADIUS серверами CiscoSecure ACS.
Создание удаленных соединений с сетями VPDN (Virtual Private Dial-up Network — виртуальная частная коммутируемая сеть) и управление ими.
Настройка профиля, используемого по умолчанию для гостевых пользователей и пользователей, подключающихся с помощью сервера сетевого доступа и авторизованных другой системой управления доступом.
Установка привилегий администрирования промежуточного уровня.
Настройка кэша маркеров доступа для пользователей, входящих в сеть через сервер идентификационных карт.
Установка абсолютных атрибутов группового уровня..
Поддержка пользователей идентификационных карт Administer Secure Computing.
Дополнительные возможности включают следующее.
Управление сеансом связи. Если вы, имея лицензию на использование модуля DSM (CiscoSecure Distributed Session Manager — диспетчер распределенных сеансов CiscoSecure), установили и настроили его, то с помощью CiscoSecure ACS можно ограничить число сеансов, которые допускается открыть конкретному пользователю, группе или VPDN. Если CiscoSecure ACS устанавливается без модуля DSM, CiscoSecure ACS 2.3 для UNIX допускает частичную поддержку
ограничения числа сеансов, позволяя задать соответствующий предел для индивидуальных пользователей и для групп пользователей.
Поддержка интерфейса командной строки UNIX.
Кэширование данных профилей для ускорения процедуры аутентификации.
Поддержка репликации баз данных Oracle или Sybase, содержащих данные профилей для множества серверов CiscoSecure ACS.
При использовании CSUNIX изменения в базу данных, которая управляет защитой сети, приходится вносить всего на нескольких серверах защиты, вместо того чтобы изменять конфигурацию каждого сервера сетевого доступа в сети.
С помощью CSUNIX можно добавлять в сеть новых пользователей и расширять число сервисов, не создавая системным администраторам дополнительных проблем защиты. При добавлении новых пользователей системные администраторы должны вносить незначительные изменения в нескольких точках сети, не опасаясь нарушения надежности сетевой защиты.
CSUNIX можно использовать с протоколом TACACS+ или RADIUS либо и с тем, и другим. При этом некоторые возможности поддерживаются обоими протоколами, но некоторые — только одним.
Системные требования CSUNIX
Перед установкой CSUNIX убедитесь, что соответствующая система отвечает следующим минимальным требованиям (чтобы ускорить работу сервисов, необходимо иметь оперативную память, рабочую частоту процессора, дисковое пространство и скорость работы жесткого диска, соответствующие условиям сетевой среды).
UltraSPARC 1 или совместимая система (без установки модуля DSM).
UltraSPARC 10 или совместимая система (с установкой DSM и Oracle или Sybase).
128 Мбайт RAM; 256 Мбайт RAM для Oracle или Sybase.
256 Мбайт (SQL Anywhere) или 512 Мбайт (Oracle, Sybase) дискового пространства для свопинга.
По крайней мере 256 Мбайт свободного дискового пространства (SQL Anywhere).
По крайней мере 2 Гбайт свободного дискового пространства (Oracle или Sybase).
Дисковод CD-ROM.
Solaris 2.6 или Solaris 2.5.1 с обновлениями.
Настройка TACACS+ для CiscoSecure ACS
Для того чтобы выбрать подходящую конфигурацию TACACS+ на маршрутизаторе Cisco или сервере сетевого доступа, необходимо выполнить следующие шаги.
С использованием команды глобальной конфигурации ааа new-model активизируйте средства ААА (если вы планируете использовать TACACS+, поддержка
средств AAA должна быть активизирована). С помощью команды tacacs-server host задайте IP-адрес одного или нескольких демонов TACACS+. Используйте команду tacacs-server key, чтобы указать ключ шифрования, посредством которого будут шифроваться все сообщения обмена между сервером сетевого доступа и демоном TACACS+. Тот же ключ должен быть указан в демоне TACACS+.
С помощью команды глобальной конфигурации ааа authentication определите списки методов аутентификации TACACS+.
С помощью команд конфигурации линий и интерфейсов активизируйте использование списков методов для соответствующих интерфейсов.
Если необходимо, примените команду глобальной конфигурации ааа authorization, чтобы настроить средства авторизации для сервера сетевого доступа. В отличие от аутентификации, параметры которой могут быть указаны для каждой линии или интерфейса в отдельности, параметры авторизации выбираются глобально для всего сервера сетевого доступа.
Активизация и настройка ААА
Чтобы выбрать конфигурацию TACACS+ для CiscoSecure ACS, используется команда tacacs-server с опциями host и key. Синтаксис этой команды следующий:
tacacs-server host имя-хоста [single-connection] [port число]
[timeout секунды] [key строка]
tacacs-server key ключ
Аргументы команды и их значения объясняются в следующей таблице.
Аргумент команды
Описание
имя-хоста
Имя или IP-адрес хоста
single-connection
(необязательный) Поддержка маршрутизатором одного открытого соединения для получения подтверждения от сервера AAA/TACACS+ (CiscoSecure Release 1.0.1 и более поздние версии). Эта команда не предполагает автоматической проверки и приводит к ошибке, если в системе указанного хоста демон CiscoSecure не выполняется
port число
(необязательный) Указывает номер порта сервера. Этот параметр меняет значение порта по умолчанию, которым является порт 49. Допустимыми являются номера в диапазоне от 1 до 65535
timeout секунды
(необязательный) Указывает предельное время в секундах. Этот параметр меняет глобальное значение предельного времени (установленное с помощью команды tacacs-server timeout) только для данного сервера
key строка
(необязательный) Указывает ключ аутентификации и шифрования (этот ключ должен соответствовать ключу демона TACACS+). Меняет ключ, заданный командой глобальной конфигурации tacacs-server key, только для данного сервера
КЛЮЧ
Ключ, используемый для аутентификации и шифрования (этот ключ должен соответствовать ключу демона TACACS+)
Чтобы начать процедуру глобальной конфигурации, используйте показанные в примере 6.1 команды с подходящими IP-адресами серверов CiscoSecure ACS и вашим собственным ключом шифрования.
Пример 6.1. Активизация Т ACACS+'
Router(config)#ааа new-model
Router(config)#tacacs-server host 10 1.1.4
Router(config)itacacs-server key 2bor!2b@?
В примере 6.1 значение 2bor!2b@? является ключом шифрования, используемым совместно сервером сетевого доступа и сервером CiscoSecure ACS. Ключ шифрования, который вы выберете для вашей сетевой среды, должен храниться в тайне, чтобы обеспечить защиту паролей, пересылаемых в процессе аутентификации от сервера сетевого доступа к серверу CiscoSecure ACS. Сервер сетевого доступа автоматически шифрует этот ключ при пересылке его по сети, но хранит его в нешифрованном виде.
При выборе ключа TACACS+ для нескольких серверов TACACS+ помните о том, что ключ должен быть одним и тем же для всех серверов TACACS+, связанных с данным сервером сетевого доступа.
Повторяя команды tacacs-server host, можно указать несколько серверов CiscoSecure ACS.
Команды конфигурации ААА
После глобальной активизации ААА на сервере доступа определяются списки методов аутентификации с последующим их применением к линиям и интерфейсам. Списки методов аутентификации определяют профили защиты, в которых указываются сервисы (PPP, ARAP или NASI) или метод входа в систему и аутентификации (local, TACACS+, RADIUS, login или enable).
Чтобы задать список методов аутентификации, используют команду ааа authentication. При этом необходимо сделать следующее.
Указать сервис (PPP, ARAP или NASI) или аутентификацию входа в систему (login).
Определить имя списка или список, используемый по умолчанию. Именем списка может быть любая буквенно-цифровая строка. В каждом списке можно указать только один входной протокол, но можно создать множество списков методов аутентификации. Каждому списку должно быть присвоено уникальное имя.
Указать метод аутентификации. Можно указать до четырех методов.
После определения списков методов аутентификации примените их к одному из следующих объектов.
Линии. Это линии tty, vty, консоли, aux и async или консольный порт для входа в систему и асинхронные линии (в большинстве случаев) для ARA.
Интерфейсы. Синхронный, асинхронный и виртуальный интерфейсы для РРР, SLIP, NASI или ARAP.
Пример конфигурации средств AAA/TACACS+ сервера сетевого доступа
В примере 6.2 предлагается вариант конфигурации сервера сетевого доступа, допускающей применение TACACS+. Листинг был отредактирован и содержит только команды, относящиеся к средствам ААА.
ааа new model
ааа authentication login default tacacet ааа authentication login no_tacacB enable aaa authentication ppp default tacace+ aaa authorization exec tacace+ aaa authorization network tacacet aaa accounting exec start stop tacacs+ aaa accounting network start-stop tacacs+ enable secret 5 $l$xlEE$33AXd2VTVvhbWL0A37tQ3. enable password 7 15141905172924 !
username admin password 7 094E4F0A1201181D19 i
interface Serial2 ppp authentication pap !
tacacs server host 10 1 1 4 tacacs server key ciscosecure !
line con 0
login authentication no_tacacs
В табл. 6.3 приведены описания команд, используемых в примере 6.2.
Таблица 6.3. Команды конфигурации ААА сервера сетевого доступа при использовании TACACS+ . .*.
Команда
Описание
ааа new-model
Активизирует модель управления доступом ААА. Для отмены действия этой команды используется ее форма по. Впоследствии можно восстановить действие ранее заданных команд ААА с помощью повторного ввода этой команды
ааа authentication login default tacacst enable
Указывает, что в случае отсутствия ответе сервера TACACS+ можно получить доступ к серверу доступа с помощью пароля enable. Если пароль enable для маршрутизатора не установлен, вы не сможете получить доступ, пока не начнет выполняться демон TACACS+ UNIX или соответствующий процесс Windows NT Server, использующий имена пользователей и пароли. Пароль enable в данном случае является “аварийным” методом аутентификации. В качестве “аварийного” метода можно указать попе (это значит, что если все попытки применить указанные методы будут неудачными, аутентификацию можно не выполнять)
aaa authentication login default tacacst
Определяет аутентификацию ААА начала сеанса с использованием списка по умолчанию и базы данных TACACS+
aaa authentication login no_tacacs enable
Определяет аутентификацию ААА с помощью пароля enable при входе в систему
Команда
Описание
ааа authentication ppp default tacacs+
Определяет аутентификацию AM с помощью списка по умолчанию и базы данных TACACS+ для соединений РРР
aaa authorization exec tacacs+
Определяет авторизацию АМ с помощью базы данных TACACS+ для проверки права доступа пользователя к командному процессору ЕХЕС на сервере сетевого доступа
aaa authorization network tacacs+
Определяет авторизацию АМ с помощью базы данных TACACS+ для всех связанных с сетевыми сервисами запросов (включая SLIP, РРР, PPP NCP и ARAP). База данных TACACS+ и сервер сетевого доступа должны быть сконфигурированы с указанием авторизации сервисов
aaa accounting exec start-stop tacacs+
Определяет аудит АМ с использованием базы данных TACACS+ для процессов ЕХЕС на сервере сетевого доступа с записью времени начала и завершения сеанса
aaa accounting network startstop tacacs+
Определяет аудит АМ с использованием базы данных TACACS+ для всех связанных с сетевыми сервисами запросов (включая SLIP, РРР, РРР NCP и ARAP) с записью времени начала и завершения сеанса
username admin password 7 094E4F0A1201181D19
Устанавливает имя пользователя и пароль в локальной базе данных защиты для использования с командой aaa authentication local-override
interface Serial2 ppp authentication pap
Определяет аутентификацию PAP для соединения РРР. Можно также указать CHAP или РАР и CHAP одновременно
ppp authentication if-needed
Указание серверу сетевого доступа не выполнять аутентификацию РАР или CHAP, если пользователь уже прошел аутентификацию. Этот параметр доступен только для асинхронного интерфейса
tacacs-server key
Определяет использование общего ключа в качестве ключа по умолчанию, если ключ хоста не установлен. Предпочтительнее определить свой ключ для каждого хоста. Можно не определять общие ключи ни в системе клиента (сервер сетевого доступа), ни в сервере защиты (CiscoSecure), чтобы связь не шифровалась. Это может оказаться полезным в экспериментальных или учебных условиях, но настоятельно не рекомендуется в условиях реального предприятия
line con 0 login authentication no_tacacs
Указывает, что для аутентификации АМ по линии консоли должен использоваться список no_tacacs
Тестирование TACACS+ и исправление ошибок конфигурации
Для трассировки пакетов TACACS+ используются команды debug. В табл. 6.4 представлен список некоторых важных команд отладки TACACS+.
Команда debug дает более подробную информацию, если сконфигурировать маршрутизатор с помощью следующих команд.
service timestamps тип [uptime] service timestamps тип datetime [msec] [localtime] [show-timezone]
ица 6.4. Команды debug для тестирования TACACS+
Команды и аргументы
Описание
debug tacacs
debug tacacs events
debug aaa authentication
Отображает сообщения отладки для пакетов TACACS+
Отображает информацию процесса справки TACACS+
С помощью этой команды можно увидеть, какие методы аутентификации используются и каковы результаты их использования
Значение аргументов команды объясняется в следующей таблице.
Аргумент командыОписание
ТИП
Указывает тип сообщения, для которого требуется штамп времени: отладочное или контрольное
uptime
(необязательный) Использование времени, прошедшего с момента перезагрузки системы
datetime
Использование штампа времени, содержащего дату и время
msec
(необязательный) Включение в штамп времени значений миллисекунд
localtime
(необязательный) Использование в штампе времени локального зонного времени
show-timezone
(необязательный) Включение в штамп времени идентификатора зоны времени.
В листинге примера 6.3 представлен вариант вывода команды debug tacace events,
где имеется информация об открытии и завершении соединения TCP с сервером TACACS+, данные операций чтения и записи соответствующего соединения, а также информация о состоянии этого ТСР-соединения.
|пр||§|^^events
routerfdebug tacacs events
4LINK-3-UPDOWN: Interface Async2, changed state to up
00:03:16: TAC+: Opening TCP/IP to 10.1.1.4/49 timeout=15
00:03:16: TAC+: Opened TCP/IP handle 0x48a87C to 10.1.1.4/49
00:03:16: TAC+: periodic timer started
00:03:16: TAC+: 10.1.1.4 req=3BD868 id=-1242409656 ver=193 handle=0x48A87C (ESTAB)
expire=14 AUTHEN/START/SENDAUTH/CHAP queued
00:03:17: TAC+: 10.1.1.4 ESTAB 3BD868 wrote 46 of 46 bytes
00:03:22: TAC+: 10.1.1.4 CLOSEWAIT read=12 wanted=12 alloc=12 got=12
00:03:22: TAC+: 10.1.1.4 CLOSEWAIT read=61 wanted=61 alloc=61 got=49
00:03:22: TAC+: 10.1.1.4 received 61 byte reply for 3BD868
00:03:22: TAC+: req=3BD868 id=-1242409656 ver=193 handle=0x48A87C (CLOSEWAIT)
expire=9 AUTHEN/START/SENDAUTH/CHAP processed
00:03:22: TAC+: periodic timer stopped (queue empty)
00:03:22: TAC+: Closing TCP/IP 0x48a87C connection to 10.1.1.4/49
00:03:22: TAC+: Opening TCP/IP to 10.1.1.4/49 timeout=15
00:03:22: TAC+: Opened TCP/IP handle 0X489F08 to 10.1.1.4/49
00:03:22: TAC+: periodic timer started
00:03:22: ТАС+: 10.1.1.4 req=3BD868 id=299214410 ver=192 handle=0x489F08 (ESTAB) expire=14 AUTHEN/START/SENDPaSS/cHAP queued
00:03:23: TAC+: 10.1.1.4 ESTAB 3BD868 wrote 41 of 41 bytes
00:03:23: TAC+: 10.1.1.4 CLOSEWAIT read=12 wanted=12 alloc=12 got=12
00:03:23: TAC+: 10.1.1.4 CLOSEWAIT read=21 wanted=21 alloc=21 got=9
00:03:23: TAC+: 10.1.1.4 received 21 byte reply for 3BD868
00:03:23: TAC+: req=3BD868 id=299214410 ver=192 handle=0x489F08 (GLOSEWAIT)
expire=13 AUTHEN/START/SENDPASS/CHAP processed
00:03:23: TAC+: periodic timer stopped (queue empty)
Большинство сообщений TACACS являются либо вполне понятными, либо предназначены для использования только специалистами. Мы приведем здесь объяснения нескольких таких сообщений. В примере 6.4 показан запрос установки соединения с ТСР-портом 49 хоста 10.1.1.4, которое должно быть аннулировано через 15 секунд, если не будет получен ответ.
Пример 6.4. Пример вывода команды debug tacacs events: запрос
4открытия соединения TCP
00:03:16: ТАС+: Opening TCP/IP to 10.1.1.4/49 timeout=15
ПриПриВ примере 6.5 показано сообщение, подтверждающее успешное завершение операции открытия и содержащее адрес внутреннего дескриптора TCP для данного соединения.
При
При
вывода команды debug tacacs events: успешное вы-
00:03:16: ТАС+: Opened TCP/IP handle 0х48а87с to 10.1.1.4/49
В примере 6.6 показаны сообщения команды debug ааа authentication, соответствующие успешной попытке входа в систему с использованием TACACS+. Видно, что при этом для аутентификации использовался метод TACACS+. Обратите внимание и на то, что успешное завершение процесса аутентификации характеризуется соответствующим состоянием AAA/AUTHEN.
I Пример 6.6. Вывод, соответствующий успешному входу в систему
Нг с использованием TACACS+
14:01:17: AAA/AUTHEN (567936829): Method=TACACS+
14:01:17: ТАС+: send AUTHEN/CONT packet
14:01:17: TAC+ (567936829): received authen response status = PASS
14:01:17: AAA/AUTHEN (567936829) : status = PASS
Сеанс AAA может возвратить одно из следующих состояний: pass (успех), fail (неудача) и error (ошибка).
В примере 6.7 показаны сообщения команды debug ааа authentication, соответствующие неудачной попытке.
Пример 6.7. Сеанс debug, указывающий на неудачное завершение процесса
13:53:35: ТАС+: Opening TCP/IP connection to 10.1.1.4/49
13:53:35: ТАС+: Sending TCP/IP packet number 416942312-1 to 10.1.1.4/49
(AUTHEN/START)
13:53:35: TAC+: Receiving TCP/IP packet number 416942312-2 from 10.1.1.4/49
13:53:35: TAC+ (416942312): received authen response status = GETUSER
13:53:37: TAC+: send AUTHEN/CONT packet
13:53:37: TAC+: Sending TCP/IP packet number 416942312-3 to 10.1.1.4/49 (AUTHEN/CONT)
13:53:37: TAC+: Receiving TCP/IP packet number 416942312-4 from 10.1.1.4/49
13:53:37: TAC+ (416942312): received authen response status = GETPASS
13:53:38: TAC+: send AUTHEN/CONT packet
13:53:38: TAC+: Sending TCP/IP packet number 416942312-5 to 10.1.1.4/49 (ATHEN/CONT)
13:53:38: TAC+: Receiving TCP/IP packet number 416942312-6 from 10.1.1.4/49
13:53:38: TAC+ (416942312): received authen response status = FAIL
13:53:40: TAC+: Closing TCP/IP connection to 10.1.1.4/49
В примере 6.8 показаны сообщения команды debug ааа authentication, соответствующие успешной попытке.
на успешное завершение процесса
14:00:09: ТАС+: Opening TCP/IP connection to 10.1.1.4/49
14:00:09: TAC+: Sending TCP/IP packet number 383258052-1 to 10.1.1.4/49 (AUTHEN/START)
14:00:09: TAC+: Receiving TCP/IP packet number 383258052-2 from 10.1.1.4/49
14:00:09: TAC+ (383258052): received authen response status = GETUSER
14:00:10: TAC+: send AUTHEN/CONT packet
14:00:10: TAC+: Sending TCP/IP packet number 383258052-3 to 10.1.1.4/49 (AUTHEN/CONT)
14:00:10: TAC+: Receiving TCP/IP packet number 383258052 4 from 10.1.1.4/49
14:00:10: TAC+ (383258052): received authen response status = GETPASS
14:00:14: TAC+: send AUTHEN/CONT packet
14:00:14: TAC+: Sending TCP/IP packet number 383258052-5 to 10.1.1.4/49
(AUTHEN/CONT)
14:00:14: TAC+: Receiving TCP/IP packet number 383258052-6 from 10.1.1.4/49
14:00:14: TAC+ (383258052): received authen response status = PASS
14:00:14: TAC+: Closing TCP/IP connection to 10.1.1.4/49
Для получения более подробной информации обратитесь к руководству Debug Command Reference Cisco (руководство по использованию команд отладки).
Настройка RADIUS для CiscoSecure ACS
Процесс настройки сервера RADIUS подобен настройке сервера TACACS+, описанной в этой главе выше. RADIUS является одной из опций, предлагаемых командами ААА. Чтобы сконфигурировать RADIUS на маршрутизаторе Cisco или сервере доступа, выполните следующие шаги.
С помощью команды глобальной конфигурации ааа new-model активизируйте средства ААА (если вы планируете использовать RADIUS, поддержка средств ААА должна быть активизирована).
Посредством команды глобальной конфигурации ааа authentication определите списки методов аутентификации RADIUS.
С помощью команд конфигурации линий и интерфейсов активизируйте использование списков методов для соответствующих интерфейсов.
Если необходимо, примените глобальную команду ааа authorization для авторизации конкретных функций пользователя. Если необходимо, примените команду ааа accounting для активизации средств аудита для соединений RADIUS.
Активизация и настройка ААА
Чтобы выбрать конфигурацию RADIUS для CiscoSecure ACS, воспользуйтесь командой radius-server с опциями host и key. Синтаксис этой команды следующий, radius-server host ^имя-хоста | ip-адрес} [auth-port иомер-порта1 [acct-port иомер-порта} radius-server key строка
Значение аргументов команды объясняется в следующей таблице.
Аргумент команды
Описание
имя-хоста
Имя DNS хоста сервера RADIUS
ip-адрес
IP-адрес хоста сервера RADIUS
auth-port
(необязательный) Указывает UDP-порт назначения для запросов аутентификации
иомер-порта
(необязательный) Номер порта для запросов аутентификации. Если указано значение, равное 0, хост для аутентификации не используется
acct-port
(необязательный) Указывает UDP-порт назначения для запросов аудита
иомер-порта
(необязательный) Номер порта для запросов аудита. Если указано значение, равное 0, хост для аудита не используется
строка
Ключ аутентификации и шифрования (этот ключ должен соответствовать ключу шифрования, используемому демоном RADIUS)
Команда radius-server host задает IP-адрес или имя хоста удаленного сервера RADIUS. Команда radius-server key определяет ключ, используемый маршрутизатором и сервером RADIUS для шифрования паролей и ответных сообщений.
Эти две команды для RADIUS обязательны, в то время как другие команды (например, radius-server directed-request и radius-server retransmit) определяют необязательные функции и дополнительные параметры. В примере 6.9 показаны команды активизации средств AAA/RADIUS на сервере сетевого доступа.
(Пример 6.9. Активизация и настройка средств ААА для использования
IgiiiiiiiOius^^
Router(config)#aaa new-model
Router(config)#radlus-server host 10.1.1.4
Router(config)#radius-server key 2bor!2b8?
В данном примере ключ 2bor!2b0? является ключом шифрования, используемым совместно сервером сетевого доступа и сервером CiscoSecure ACS. Ключ шифрования, который вы выбираете для вашей сетевой среды, должен храниться в тайне, чтобы обеспечить защиту паролей, пересылаемых в процессе аутентификации от сервера сетевого доступа к серверу CiscoSecure ACS. Сервер сетевого доступа автоматически шифрует этот ключ при пересылке, но не хранит его в шифрованном виде.
Команды конфигурации ААА
После глобальной активизации средств ААА на сервере доступа определяются списки методов аутентификации с последующим их применением к линиям и интерфейсам. Списки методов аутентификации определяют профили защиты, в которых указываются сервисы (PPP, ARAP или NASI) или метод входа в систему и аутентификации (local, TACACS+, RADIUS, login или enable).
Чтобы задать список методов аутентификации, воспользуйтесь командой аутентификации ааа authentication. При этом необходимо сделать следующее.
Указать сервис (PPP, ARAP или NASI) или аутентификацию входа в систему (login).
Определить имя списка или список, используемый по умолчанию. Именем списка может быть любая буквенно-цифровая строка. В каждом списке можно указать только один входной протокол, но можно создать множество списков методов аутентификации. Каждому списку должно быть присвоено уникальное имя.
Указать метод аутентификации. Можно указать до четырех методов.
После определения списков методов аутентификации, примените их к одному из следующих объектов.
Линии. Это линии tty, vty, консоли, aux и async или консольный порт для входа в систему и асинхронные линии (в большинстве случаев) для ARA.
Интерфейсы. Синхронный, асинхронный и виртуальный интерфейсы для РРР, SLIP, NASI или ARAP.
Пример конфигурации средств AAA/RADIUS сервера сетевого доступа
В примере 6.10 поставщик услуг Internet (ISP) предлагает своим потребителям только сервис РРР. Команда ааа authentication ppp dialins radius local определяет
использование аутентификации RADIUS для линий, автоматически распознающих входящие пакеты РРР.
radius-server host 123.45.1,2 radius server key myRaDIUSpassWoRd username root password ALongPassword aaa authentication ppp dialins radius local aaa authorization network radius local aaa authentication login admins local aaa authorization exec local if authenticated aaa accounting network start-stop radius line 1 16 autoselect ppp login authentication admins modem ri-is-cd interface group-async 1 encapsulation ppp ppp authentication pap dialins
В табл. 6.5 представлены параметры команд, используемых для настройки RADIUS в примере 6.10.
КомандаОписание
ppp authentication pap dialinsaaa authorization network radius localaaa accounting network start-stop radiusaaa authentication login admins localppp authentication pap dialinsaaa authorization network radius localaaa accounting network start-stop radiusaaa authentication login admins localОпределяет использование PAP для удаленной аутентификацииПриписывает адрес и другие параметры пользователю RADIUSОпределяет параметры наблюдения за использованием RADIUSОпределяет доступ администратора к внутренней базе данных имен пользователей и паролей. Предназначена для применения сетевыми администраторами в процессе отладкиОпределяет использование PAP для удаленной аутентификацииПриписывает адрес и другие параметры пользователю RADIUSОпределяет параметры наблюдения за использованием RADIUSОпределяет доступ администратора к внутренней базе данных имен пользователей и паролей. Предназначена для применения сетевыми администраторами в процессе отладки
ppp authentication pap dialins
aaa authorization network radius local
aaa accounting network start-stop radius
aaa authentication login admins local
ppp authentication pap dialins
aaa authorization network radius local
aaa accounting network start-stop radius
aaa authentication login admins local
Определяет использование PAP для удаленной аутентификации
Приписывает адрес и другие параметры пользователю RADIUS
Определяет параметры наблюдения за использованием RADIUS
Определяет доступ администратора к внутренней базе данных имен пользователей и паролей. Предназначена для применения сетевыми администраторами в процессе отладки
Определяет использование PAP для удаленной аутентификации
Приписывает адрес и другие параметры пользователю RADIUS
Определяет параметры наблюдения за использованием RADIUS
Определяет доступ администратора к внутренней базе данных имен пользователей и паролей. Предназначена для применения сетевыми администраторами в процессе отладки
Тестирование RADIUS и исправление ошибок конфигурации
Отладка конфигурации средств аутентификации и аудита RADIUS, а также других сервисов выполняется с помощью команд debug и show. В табл. 6.6 представлены некоторые из наиболее часто используемых команд debug и show.
В примере 6.11 представлена часть данных вывода команды debug radius, соответствующая успешной попытке входа в систему, на что указывает сообщение Access- Accept (разрешение доступа).
стаолй1|а,б.о./;4артр,лспользуемыо,оманды шюудЖгб|ю№- ®«з
КомандаКомандаОписание
Команда
Команда
debug ааа authentication
Отладка аутентификации AAA
debug aaa authorization
Отладка авторизации AAA
debug aaa accounting
Отладка аудита ААА
show accounting
Относится не только к командам RADIUS; отображает информацию о событиях аудита
Пример 6.11. Вывод команды debug, указывающий на успешное получение ।
O^W^WwM^fftiiiBM
&^.1Х*^ЖЫ2ЫЖм£<1-зЖги£1»™гг^жт^™в£зг™ы™жа1м«ь>якае2^Я8№
Routeridebug radius
13:59:02: Radius: IPC Send 0,0.0.0:1645, Access-Request, id OxB, len 56
02:Attribute46 AC150E5A
13:59:02:Attribute56 0000000A
13:59:02:Attribute16 62696C6C
13:59:02:Attribute218 0531FEA3
13:59:04: Radius: Received from 171.69.1.152:1645, Access-Accept, id 0x8, len 26
04:Attribute66 00000001
Чтобы отсортировать информацию отладки, воспользуйтесь словарем атрибутов/ значений RADIUS, например тем, который предлагается в документации CSUNIX.
Вывод команды отладки RADIUS в примере 6.12 содержит последовательность сообщений, указывающих на несоответствие секретного ключа ключу сервера RADIUS. Там показано аварийное завершение попытки начала сеанса по причине несоответствия ключей (проблема конфигурации).
j Пример 6.12. Вывод команды debug, указывающий на несоответствие }1 ключейШЖ'Ш^^^
Routeridebug radius
22:15:45:
RADIUS: IPC Send 0.0.0.0:1645, Access-Request, id OxB, len 52
22:15:45:
22:15:45:
22:15:45:
22:15:45:
22:15:45:
22:15:45:
Attribute 4 6 AC150E5A
Attribute 5 6 0000000E
Attribute 1 2 0212D2C3
Attribute 2 18 D2C36202
RADIUS: Received from 171.69.1.152:1645, Access-Reject, id OxB, len 20
RADIUS: Reply for 11 fails decrypt
В примере 6.13 активизированы debug ааа authentication и debug radius. Вывод отражает попытку входа в систему, завершившуюся аварийно из-за ввода неправильного пароля.
Routeridebug ааа authentication
22:13:34 AAA/AUTHEN: create_user user=" "user=" port='ttyl4'
rem_addr='172.21.14.90‘ authen_type=l service=l priv=l
22:13:34 AAA/AUTHEN/START (0):~local override set: GETUSER
Username: mar
Password
22:13:37: AAA/AUTHEN/CONT (0): continuelogin
22:13:37: AAA/AUTHEN (0): Status = GETUSER
22:13:37: AAA/AUTHEN/CONT (0): local_override. Call start_login again
22:13:37: AAA/AUTHEN/START (0): port='ttyl4' list='boo' action=LOGIN
service LOGIN
22:13:37: AAA/AUTHEN/START (5295640): found list
22:13:37: AAA/AUTHEN/START (591331466): Method=RADIUS
22:13:37: AAA/AUTHEN (591331466): Status = GETPASS
22:13:37: AAA/AUTHEN (591331466): METHOD=radius
22:13:37: RADIUS: IPC SEND 0.0.0.0 :1645, ACCESS-REQUEST, ID 0X9, LEN 55
22:13:37:ATTRIBUTE46AC150E5A
22:13:37:ATTRIBUTE560000000E
22:13:37:ATTRIBUTE566D617202
22:13:37:ATTRIBUTE218AC150E5A
22:13:37: RADIUS: received from 171.69.1.152:1645 Access-Reject, id 0x9, len 20
22:1:41: AAA/AUTHEN (5913331466) : Status = FAIL
# Authentication failed.
Username:
В примере 6.14 показан вариант вывода команды show accounting.
Router#show accounting
Active Accounted actions on ttyO, User chard Priv 1
Task ID 4425, EXEC Accounting record, 0:04:53 Elapsed
task_id=4425 service=exec port=0
Task ID 3759, Connection Accounting record, 0:01:06 Elapsed
task_id=3759 service=exec port=0 protocol=telnet address=171.19.3.78
cmd=grill
Active Accounted actions on ttylO, User chard Priv 1
Task ID 5115, EXEC Accounting record, 0:04:07 Elapsed
task_id=5115 service=exec port=10
Task ID 2593, Connection Accounting record, 0:00:56 Elapsed
task_id=2593 service=exec port=10 protocol=tn3270 address=172.21.14.90
cmd=tn snap
Active Accounted actions on ttyll, User mary Priv 1
Task ID 7390, EXEC Accounting record, 0:00:25 Elapsed
task_id=7390 service=exec port=ll
Task ID 931, Connection Accounting record, 0:00:20 Elapsed
task_id=931 service=exec port=ll protocol=telnet address=171.19.6.129 cmd=coal
Информация, отображаемая командой debug aaa accounting, не зависит от протокола, используемого для пересылки данных аудита серверу. Относящиеся к конкретным прого-
колам команды debug tacacs и debug radius используются тогда, когда необходимо получить более подробную информацию о событиях на уровне соответствующих протоколов.
В примере 6.15 показан вариант вывода команды debug ааа accounting. ,- - debug ааа accounting
routertdebug ааа accounting
ААА Accounting debugging is on
16:49:21: AAA/ACCT: EXEC acct start, line 10
16:49:32: AAA/ACCT: Connect start, line 10, glare
16:49:47: AAA/ACCT: Connection acct stop:
task_id=70 service=exec port=10 protocol=telnet address=171.69.3.78 cmd=glare bytes_in=308 bytes_out=76 paks_in=45 paks_out=54 elapsed_time=14
Двойная аутентификация
Двойная аутентификация предусматривает дополнительную аутентификацию для сеансов РРР. Ранее аутентификация сеансов РРР ограничивалась аутентификацией РАР или CHAP. При двойной аутентификации требуется, чтобы удаленные пользователи перед получением доступа к сети прошли вторую стадию аутентификации (после аутентификации CHAP или РАР).
Проблемы использования только аутентификации РАР или CHAP
Удаленный пользователь, пытающийся получить доступ РРР к локальному хосту (серверу сетевого доступа или маршрутизатору), может быть аутентифицирован с помощью РАР или CHAP. Однако РАР и CHAP полагаются на секретный пароль, который должен храниться и в системе удаленного пользователя, и в системе локального хоста. Если нарушитель получит доступ к любому из этих хостов, секретный пароль будет скомпрометирован.
Например, Боб часто использует портативный компьютер для входа в сеть своего предприятия, где для аутентификации применяется только протокол CHAP. Если этот портативный компьютер попадет в руки нарушителя, нарушитель получит пароль CHAP этого компьютера. Затем этот пароль (вместе с портативным компьютером Боба или без него) может использоваться для доступа к сети компании.
Кроме того, аутентификация РАР и CHAP не позволяет присвоить различные уровни привилегий сетевого доступа разным удаленным пользователям, .использующим один и тот же удаленный компьютер. Поскольку конкретному хосту присваивается один набор привилегий, каждый, кто использует этот хост, получает один и тот же набор привилегий.
Решение, предлагаемое двойной аутентификацией
Если конфигурация локального хоста (сервера сетевого доступа или маршрутизатора) предполагает применение двойной аутентификации, удаленный пользователь для получения доступа к сети должен пройти вторую стадию аутентификации. При этом
необходимо ввести пароль, который известен пользователю, но не хранится в системе удаленного хоста. Таким образом, вторая аутентификация связана с конкретным пользователем, а не с хостом. Это обеспечивает дополнительную степень защиты, которая будет эффективна даже в случае похищения удаленного компьютера.
Кроме того, это позволяет выбрать индивидуальные привилегии для каждого пользователя. При повторной аутентификации могут также использоваться одноразовые пароли (например, пароли идентификационных карт), которые не поддерживаются протоколом CHAP. Похищенный одноразовый пароль пользователя оказывается для нарушителя бесполезным.
Двойная аутентификация имеет две стадии аутентификации/авторизации, которые начинаются после подключения удаленного пользователя и инициализации сеанса связи РРР. На первой стадии выполняется аутентификация РАР (или CHAP) удаленного хоста, а затем в рамках РРР ведутся переговоры относительно авторизации ААА удаленного хоста (при этом определяются привилегии доступа к сети). По завершении этой стадии удаленный пользователь получает ограниченный сетевой доступ, позволяющий только доступ Telnet к локальному хосту.
На второй стадии удаленный пользователь должен с помощью Telnet подключиться к локальному хосту (серверу сетевого доступа) для прохождения аутентификации на уровне пользователя. При подключении удаленный пользователь проходит аутентификацию ААА входа в систему. Затем пользователь должен ввести команду accessprofile, чтобы пройти повторную авторизацию ААА. По завершении авторизации пользователь оказывается аутентифицированным дважды, и теперь он может получить доступ к сети в соответствии с назначенными ему привилегиями.
То, какие сетевые привилегии получают удаленные пользователи после каждой стадии аутентификации, определяет системный администратор посредством выбора соответствующих параметров конфигурации сервера ААА. При этом указывается два множества параметров ААА одно — для стадии аутентификации/авторизации CHAP (или РАР), а второе — для стадии аутентификации/авторизации пользователя. Для определения этих параметров используются подходящие пары “атрибут-значение” на сервере ААА
Требования двойной аутентификации
Требования, выдвигаемые к сети и администратору, являются следующими.
Наличие локального устройства (сервера сетевого доступа или маршрутизатора) и сервера ААА, доступного локальному устройству. Локальное устройство и сервер ААА должны быть соответствующим образом сконфигурированы для связи друг с другом.
Понимание основ ААА, РРР и CHAP (или РАР) и умение настроить сервер ААА
Можно указать несколько серверов CiscoSecure ACS, используя команды tacacs- server host повторно.
Кроме того, можно применить несколько команд tacacs-server host для описания дополнительных хостов. Программное обеспечение Cisco IOS Software производит поиск хостов в том порядке, в каком вы их укажете. Применяйте параметры single-connection, port, timeout и key только тогда, когда используется сервер AAA/TACACS+.
Поскольку некоторые параметры команды tacacs-server host меняют глобальные установки (заданные командами tacacs-server timeout и tacacs-server key), вы можете использовать эту команду с целью усиления защиты вашей сети посредством выбора индивидуальных параметров конфигурации для каждого маршрутизатора.
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Сервер CiscoSecure ACS доступен для систем как на базе NT, так и UNIX. Сервер использует интерфейс Web-броузера, упрощающий администрирование.
CSNT может использоваться в распределенной системе, поддерживая ретрансляцию запроса аутентификации, нейтрализацию аварийно завершившихся соединений и централизованную регистрацию событий.
Установка CSNT предполагает настройку соответствующих средств поддержки Windows NT, проверку сетевых связей между компонентами CSNT, установку программного обеспечения CSNT в системе Windows NT, начальную настройку конфигурации с помощью интерфейса Web-броузера и настройку средств ААА для всех компонентов CSNT.
CSUNIX включает многопользовательские, Web-ориентированные средства конфигурации и управления (использующие Java), упрощающие администрирование сервера и позволяющие управление сервисами защиты из множества точек сети.
CiscoSecure ACS для обеспечения сетевой защиты использует аутентификацию, авторизацию и аудит (средства ААА).
Программное обеспечение CiscoSecure ACS для сетевой защиты и контроля использует либо TACACS+ (Terminal Access Controller Access Control System — система управления доступом к контроллеру терминального доступа), либо RADIUS (Remote Authentication Dial-In User Service — сервис идентификации удаленных абонентов).
Процесс настройки TACACS+ включает активизацию TACACS+, определение списка серверов CiscoSecure ACS, обеспечивающих сервис ААА, и определение ключей шифрования сообщений между сервером сетевого доступа и серверами CiscoSecure ACS.
Процесс настройки RADIUS включает настройку связи между маршрутизатором и сервером RADIUS, использование команд глобальной конфигурации ААА для определения списков методов, использующих RADIUS, и применение команд line и interface для активизации методов аутентификации и авторизации.
Двойная аутентификация даст возможность реализовать политику защиты, требующую надежной аутентификации всего внешнего доступа.
Команды show и debug можно использовать для отображения данных конфигурации, контроля выполнения операций и исправления ошибок настройки TACACS+ и RADIUS.
Практическое занятие.
Настройка CSNT
Это практическое занятие призвано продемонстрировать возможности конфигурации сервера CSNT для предоставления сервисов ААА в сети гипотетической компании XYZ. Рассмотрите план практического занятия, изучите топологию соответствующей части сети
и политику защиты, а затем проанализируйте пример конфигурации, чтобы увидеть, как элементы политики защиты реализуются в терминах команд конфигурации.
План практического занятия
Компания XYZ решила усилить защиту сети с помощью использования программного обеспечения сервера управления доступом (ACS) на своих серверах NT. Требуется установить и настроить CiscoSecure ACS на сервере с целью использования аутентификации, авторизации и аудита RADIUS и TACACS+.
Топология
На рис. 6.5 показана топология сети XYZ, а на рис. 6.6 — часть сети компании XYZ, настройка которой будет рассматриваться в ходе этого практического занятия. Обратите внимание на то, что здесь в фокусе внимания оказываются элементы, связанные с сервером сетевого доступа и CSNT.
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кацииWeb- Обозре- Сервер сервер ватель сертифи- Internet Web кацииный ный CS IDSный ный CS IDSхост хостхост хост“Грязная"ДМ3“Грязная"ДМ3Брандмауэр PIXБрандмауэр PIXЗащищеннаяДМ3ЗащищеннаяДМ3Бастион- БастионБастион- Бастионный ныйный ныйСервер NT: сервер CiscoSecure,Сервер NT: сервер CiscoSecure,Web, FTP, TFTP, SyslogWeb, FTP, TFTP, Syslogхост хостхост хостСервер Сервер ДиректорSMTP DNS CS IDSСервер Сервер ДиректорSMTP DNS CS IDS
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
ный ный CS IDS
ный ный CS IDS
хост хост
хост хост
“Грязная"
ДМ3
“Грязная"
ДМ3
Брандмауэр PIX
Брандмауэр PIX
Защищенная
ДМ3
Защищенная
ДМ3
Бастион- Бастион
Бастион- Бастион
ный ный
ный ный
Сервер NT: сервер CiscoSecure,
Сервер NT: сервер CiscoSecure,
Web, FTP, TFTP, Syslog
Web, FTP, TFTP, Syslog
хост хост
хост хост
Сервер Сервер Директор
SMTP DNS CS IDS
Сервер Сервер Директор
SMTP DNS CS IDS
Puc. 6.5. Топология сети XYZ
172.16.2.1/30172.16.2.1/30172.16.1.1/30172.16.1.1/30Сервер NT:FTP, HTTP, служба сертификации 192.168.255.2/24Сервер NT:FTP, HTTP, служба сертификации 192.168.255.2/24Линия сЛиния сретрансляциейретрансляциейкадровкадровInternetInternet192.168.1.0/24192.168.1.0/24Маршрутизатор периметраМаршрутизатор периметраВнешний .1Внешний .1.1 ДМ3.1 ДМ3"Грязная' ДМ3"Грязная' ДМ3■3 I■3 IБастионный хост: сервер Web .3 । сервер FTP192,168.11.0/241Бастионный хост: сервер Web .3 । сервер FTP192,168.11.0/241Внутренний .3Внутренний .310.1.2.1/2410.1.2.1/24PSTNPSTN10011001Система Windows NTСистема Windows NTСервер сетевого доступаСервер сетевого доступаУдаленный доступ сети сбытаУдаленный доступ сети сбыта10.1.2.21О10.1.2.10/2410.1.2.21О10.1.2.10/2410.1.1.0/2410.1.1.0/24ИСИССервер NT:CiscoSecure NT,информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, сервер Syslog,сервер TFTPСервер NT:CiscoSecure NT,информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, сервер Syslog,сервер TFTP
172.16.2.1/30
172.16.2.1/30
172.16.1.1/30
172.16.1.1/30
Сервер NT:
FTP, HTTP, служба сертификации 192.168.255.2/24
Сервер NT:
FTP, HTTP, служба сертификации 192.168.255.2/24
Линия с
Линия с
ретрансляцией
ретрансляцией
кадров
кадров
Internet
Internet
192.168.1.0/24
192.168.1.0/24
Маршрутизатор периметра
Маршрутизатор периметра
Внешний .1
Внешний .1
.1 ДМ3
.1 ДМ3
"Грязная' ДМ3
"Грязная' ДМ3
■3 I
■3 I
Бастионный хост: сервер Web .3 । сервер FTP
192,168.11.0/241
Бастионный хост: сервер Web .3 । сервер FTP
192,168.11.0/241
Внутренний .3
Внутренний .3
10.1.2.1/24
10.1.2.1/24
PSTN
PSTN
1001
1001
Система Windows NT
Система Windows NT
Сервер сетевого доступа
Сервер сетевого доступа
Удаленный доступ сети сбыта
Удаленный доступ сети сбыта
10.1.2.21О
10.1.2.10/24
10.1.2.21О
10.1.2.10/24
10.1.1.0/24
10.1.1.0/24
ИС
ИС
Сервер NT:CiscoSecure NT,информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, сервер Syslog,сервер TFTP
Сервер NT:CiscoSecure NT,информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, сервер Syslog,сервер TFTP
Рис. 6.6. Сервер CSNT в корпоративной сети XYZ
Политика сетевой защиты
Политика сетевой защиты, которую собирается реализовать компания XYZ, является следующей.
Использование CiscoSecure ACS с протоколом TACACS+ для аутентификации и авторизации.
Использование для управления удаленным доступом аутентификации с применением паролей, имеющих ограничения по времени.
Использование аутентификации РАР или CHAP для работающих на дому сотрудников.
Пример конфигурации CSNT
Рассмотрим вариант конфигурации сервера сетевого доступа компании XYZ, показанный в примере 6.16. В этом примере реализуются элементы политики защиты, связанные с защитой доступа и касающиеся сервера сетевого доступа и CSNT. В примере предлагается одна из возможных конфигураций сервера сетевого доступа, но можно выбрать и другую конфигурацию, реализующую те же требования политики защиты. Команды, не имеющие отношения к рассматриваемому вопросу, были из листинга удалены.
Пример 6.16. Конфигурация сервера сетевого доступа, реализующая политику защиты компании XYZ
version 12.0
service timestamps debug datetime msec localtime service timestamps log uptime no service password-encryption
i
hostname NASx i aaa new-model aaa authentication login default tacacst aaa authentication login is-in tacacst local aaa authentication enable default tacacs+ aaa authentication ppp dial-in tacacs+
enable secret 5 $!$QZUR$r5/03JrSetB2viWswKom./ enable password 7 050F09087948410E 1
username admin password 0 back door
username isgroup password 0 other door clock timezone PST -8 i i
interface BRI0/0 no ip address no ip directed-broadcast shutdown
1
interface Ethernet0/0
ip address 10.1.1.1 255.255.255.0
no ip diteoted-broadcast !
interface EthernetO/1
no ip address
no ip directed-broadcast shutdown
i
interface Serial3/0 physical-layer async ip address 10.1.2.1 255.255.255.0 no ip directed-broadcast encapsulation ppp ip tcp header-compression passive async mode dedicated peer default ip address pool classpool no fair-queue no cdp enable ppp authentication pap ms-chap dial-in
interface Serial3/1 no ip address no ip directed-broadcast shutdown
i interface Serial3/2 no ip address no ip directed-broadcast shutdown
I interface Serial3/3 no ip address no ip directed-broadcast shutdown
i router rip network 10.0.0.0
i
ip local pool classpool 10.1.2.2 10.1.2.10 ip classless
ip route 0.0.0.0 0.0.0.0 10.1.1.3 i
ip access-list extended testblock deny ip 10.1.2.0 0.0.0.255 172.19.16.0 0.0.0.255 permit ip any any
tacacs server host 10.1.1.4 key ciscosecure
tacacs-server key default
privilege exec
level 5 reload
privilege exec
level 5 show startup-config
privilege exec
level 5 show
privilege exec
level 5 clear line
privilege exec
level 5 clear
!
line con 0
exec-timeout 0 0
password front door
logging synchronous
login authentication is-in
transport input none
line 65 70
line 97
no exec
password 7 00001A0708161E150A335F modem InOut
modem autoconfigure type usr_sportster transport input all
stopbits 1
speed 115200
flowcontrol hardware
line aux 0 no exec line vty 0 4
password 7 02030753045F
login authentication is-in I end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Укажите все “за и против” использования базы данных Windows NT User Database по сравнению с базой данных CSNT.
Что необходимо для того, чтобы настроить CSNT с помощью Windows NT User Manager (диспетчер пользователей Windows NT) .
Что следует настраивать с помощью Web-интерфейса CiscoSecure ACS?
Как можно получить информацию аудита ААА в CiscoSecure ACS?
С чего нужно начинать при решении проблем конфигурации CiscoSecure ACS?
Укажите и опишите возможности CiscoSecure ACS для NT, которые важны в распределенной системе защиты.
Какие три типа серверов идентификационных карт поддерживает CiscoSecure ACS для NT?
С какой целью используется команда tacacs-server key строка-ключ?
Назовите три основных шага процесса настройки сервера сетевого доступа для работы с сервером защиты RADIUS.
Назовите стадии аутентификации/авторизации процесса двойной аутентификации?
Ссылки
В этой главе рассмотрен процесс создания конфигурации, реализующей политику защиты на основе использования CiscoSecure ACS для NT (CSNT). Точный синтаксис команд, зависящих от версии IOS, можно найти в документации соответствующей версии Cisco IOS. В частности, просмотрите документы Security Configuration Guide и Security Command Reference вашей версии Cisco IOS.
Следующие ссылки помогут расширить ваши знания, касающиеся CSNT и CiscoSecure ACS для UNIX (CSUNIX) и политики защиты вообще.
Политика защиты
Институт SANS (System Administration, Networking, and Security Institute — Институт системного администрирования, сетей и защиты), страница которого размещена по адресу: www.sans.org, представляет собой кооперативное исследовательское и учеб-
ное заведение для системных администраторов, профессионалов сетевой защиты и сетевых администраторов.
Model Security Policies — Compiled by Michele Crabb-Guel. Коллекция шаблонов и обзоров, автором которой является Мишель Грабб-Руэль, призванная помочь при создании политики защиты. Содержит также информацию из курса SANS “Building ап Effective Security Infrastructure”. Размещается по адресу: www.sans.org/newlook/resources/policies/policies.htm.
RFC 1661, “The Point-to-Point Protocol (PPP)”. Обеспечивает конкретную информацию о PPP. Размещается по адресу: ds.internic.net/ifc/ifcl661.txt.
RFC 1994, “PPP Challenge Handshake Authentication Protocol (CHAP)”. Обеспечивает конкретную информацию о CHAP. Размещается по адресу: ds.internic.net/ifc/ifcl994.txt.
RFC 2196, “The Site Security Procedures Handbook”. Предлагает обзорную информацию о политиках защиты и процедурах аутентификации. Размещается по адресу: ds.intemic.net/ifc/ifc2196.txt.
Конфигурация TACACS+/RADIUS
Security Command Reference, Cisco IOS Release 12.0. October, 1998.
Security Configuration Guide, Cisco IOS Release 12.0. October, 1998.
CiscoSecure ACS
CiscoSecure ACS 2.4 for Windows NT User Guide, 1999.
CiscoSecure ACS 2.3 for UNIX User Guide, 1998.
CiscoSecure ACS 2.3 for UNIX Reference Guide, 1998.
Часть
III
Защита межсетевых соединений
Глава 7: Настройка маршрутизатора периметра Cisco
Глава 8.Настройка Cisco IOS Firewall
ети, обесп
i перим
ости дациты перим
|Ить*маршрутизЯ>р Cisco hi
-v ение задач мар утизатора перимет- ютупа^ Internet.
щие безопасность
331
Определить цели Идентифициро связи с Inte Описать^вб'5 обеспечу
ра£обеспвяив тем cai
емые программным
сети, предл
Изучив материал этой главы
^сможете выполнить след>чощис задачи
Глава
Настройка маршрутизатора периметра Cisco
В этой главе обсуждается создание системы защиты периметра сети на основе использования возможностей маршрутизатора Cisco. Сначала предлагается краткий обзор компонентов защиты периметра и средств программного обеспечения Cisco IOS, используемых для защиты периметра сети. Затем соответствующие возможности будут , - рассмотрены подробно, чтобы вы научились правильно их использовать. Завершается к глава практическим.-занятием, демонстрирующим на примере сети компании XYZ 1 один инвариантов использования маршрутизатора Cisco для защиты периметра сети.
Системы защиты периметра сети Cisco
Защита периметра сети представляет собой сложный комплекс технологических решений по защите границы сети от вторжений. Задачей защиты периметра обычно явлйется безопасность связи корпоративной сети с Internet, но те же методы и технологические решения могут использоваться и для того, чтобы обеспечить защиту соединений между частямиодной и той же сети.
^^ТЙ^обно каменной стене и глубокому рву вокруг средневековой крепости, которые ₽:бьип| предназначены для защиты от вторжений извне, защита периметра сети должна играть роль стены вокруг вашей сети и обеспечивать защиту от вторжения сетевых нарушителей. Отсутствие или слабость защиты периметра открывает бреши в защите, которые могутббыть использованы нарушителями.
Цщита периметра обеспечивается с помощью маршрутизатора периметра, отде- ляю||егЗ защищенную часть сети от незащищенной. Например, маршрутизатор пе- дфимётра может использоваться для создания границы между незащищенной Internet и Частично защищенной “демилитаризованной зоной” (ДМ3), представленной как “грязная” ДМ3 на рис. 7.1. Маршрутизатор периметра является маршрутизатором общего назначения, выполняющим роль первой линии защиты. Этот маршрутизатор часто имеет последовательный интерфейс доступа к Internet во внешнем домене и интерфейс внутренней локальной сети во внутреннем. Наше внимание в этой - • главе будет сфокусировано на использовании маршрутизатора Cisco для защиты периметра сети по схеме, показанной на рис. 7.1.
Web- Обозре- Сервер сервер ватель сертифи- Internet Web нацииWeb- Обозре- Сервер сервер ватель сертифи- Internet Web нацииБастион- Шлюз ный ДМ3 хост прикладного ДМ3 уровняБастион- Шлюз ный ДМ3 хост прикладного ДМ3 уровня"Грязная" ДМ3"Грязная" ДМ3Сервер NT: сервер CiscoSecure, Web, ПР, ТПР, SyslogСервер NT: сервер CiscoSecure, Web, ПР, ТПР, SyslogРис. 7.1. Система защиты периметра сетиРис. 7.1. Система защиты периметра сетиСервер SMTPСервер SMTP
Web- Обозре- Сервер сервер ватель сертифи- Internet Web нации
Web- Обозре- Сервер сервер ватель сертифи- Internet Web нации
Бастион- Шлюз ный ДМ3 хост прикладного ДМ3 уровня
Бастион- Шлюз ный ДМ3 хост прикладного ДМ3 уровня
"Грязная" ДМ3
"Грязная" ДМ3
Сервер NT: сервер CiscoSecure, Web, ПР, ТПР, Syslog
Сервер NT: сервер CiscoSecure, Web, ПР, ТПР, Syslog
Рис. 7.1. Система защиты периметра сети
Рис. 7.1. Система защиты периметра сети
Сервер SMTP
Сервер SMTP
Важной задачей системы защиты периметра является разделение сети на внутреннюю и внешнюю области. На рис. 7.1 внутренней областью сети оказывается часть корпоративной сети, размещенная ниже брандмауэра FIX Firewall, а внешней — сеть Internet. Внешней может быть и линия связи с деловым партнером или поставщиком.
Устройства защиты периметра используются для реализации политики сетевой защиты в той ее части, которая касается взаимодействия внутренней и внешней частей сети.
Защиту периметра можно реализовать самыми разными способами, в зависимости от особенностей политики защиты, от того, что именно должно быть защищено, от уровня требуемой безопасности, бюджета и множества других факторов. Защита периметра обеспечивается с помощью самых обычных сетевых устройств. Для защиты внутренней сети эти устройства могут комбинироваться самыми разными способами. Например, защиту периметра может обеспечить любой маршрутизатор Cisco. В этой главе рассматривается вариант построения системы защиты периметра сети, обычно называемый архитектурой экранированной подсети, когда первая линия защиты создается с помощью маршрутизатора периметра (экранирующий маршрутизатор), а вторая
строится на основе брандмауэра. В следующих разделах будут подробно рассмотрены функции каждого из устройств, используемых в системе защиты периметра.
Маршрутизаторы периметра Cisco
В качестве маршрутизатора периметра чаще всего используют обычный маршрутизатор типа Cisco 1720, обеспечивающий последовательное соединение с Internet и Ethernet-соединение с ДМ3. Маршрутизаторы Cisco имеют гибкие средства защиты периметра, позволяющие защитить связь с Internet. Маршрутизатор Cisco предлагает следующие возможности.
Создание первой линии защиты, которая определяет ДМ3 (или “грязную” ДМ3, как показано на рис. 7.1), обеспечивает защиту бастионных узлов ДМ3 и брандмауэра FIX Firewall от направленных атак и выполняет роль системы оповещения при выявлении попыток взломать маршрутизатор периметра или бастионный хост.
' • Гибкий набор настраиваемых возможностей, которые можно адаптировать к постоянно возникающим новым угрозам защиты и новым Internet- приложениям.
Существенную экономию в сравнении с использованием специализированных брандмауэров.
Использование встроенных возможностей программного обеспечения Cisco IOS, включая специальные возможности брандмауэра и средства зашиты периметра.
Чтобы ограничить доступ к службам и приложениям TCP/IP, маршрутизатор периметра использует в основном правила фильтрации пакетов. Для реализации таких правил, вытекающих из требований политики сетевой защиты, применяются списки доступа. Маршрутизатор периметра создает “грязную” ДМ3 или экранированную подсеть. С помощью брандмауэра PIX Firewall можно создать “защищенную” ДМ3, разместив бастионные узлы на третьем интерфейсе брандмауэра (рис. 7.1).
Возможности маршрутизаторов Cisco
Инженеры Cisco предусмотрели ряд возможностей защиты периметра в рамках ядра программного обеспечения Cisco IOS, что позволяет клиентам Cisco использовать маршрутизаторы в качестве первичного средства контроля сетевого доступа к внутренним сетям. Возможности защиты включают аутентификацию пользователей, авторизацию доступа, ограничение связи с узлами, имеющими неизвестные или нежелательные адреса, маскировку внутренних IP-адресов для внешних наблюдателей, контроль потока данных, проходящих через маршрутизатор, а также применение специальных средств администрирования, позволяющих реализовать требования политики защиты в системе периметра сети.
В табл. 7.1 приводится список этих возможностей защиты вместе с описаниями и списками соответствующих угроз, против которых они должны обеспечить защиту. Более подробная информация о сетевых угрозах представлена в главе 1.
Возможности Cisco IOS Firewall
Cisco предлагает недорогое решение в виде брандмауэра на основе возможностей программного комплекса Cisco IOS Firewall (называемого также CiscoSecure Integrated Software), доступного в рамках программного обеспечения Cisco IOS Software в мар-
шрутизаторах Cisco. Cisco IOS Firewall добавляет современные возможности к основным возможностям зашиты маршрутизаторов Cisco, а также предлагает несколько усовершенствований уже существующих сервисов защиты Cisco IOS. Наиболее важной из этих возможностей является система СВАС (Context-Based Access Control — управление доступом на основе контекста), которая позволяет, в частности, запретить выполнение аплетов Java, обнаружить и предотвратить проведение атак блокирования сервиса, а также использовать контрольные журналы.
Таблица 7.1. Возможное защиту пр<
Возможность
™ маршрутизатора пер.
Угроза
Описание
Контроль сервиса TCP/IP
Разведка, блокирование сервиса, несанкционированный доступ
Защита с помощью команд общего назначения и команд, зависящих от интерфейса
Контроль объявления маршрута
Подтасовка данных
Использование статических маршрутов, контроль объявления маршрутов и аутентификация маршрутизаторов взаимодействующих сторон для защиты от атак, связанных с изменением маршрутизации
Фильтрация пакетов
Подтасовка данных, несанкционированный доступ, блокирование сервиса
Использование стандартных и расширенных списков доступа IP для фильтрации входящего и исходящего трафиков
Ограничение частоты обращений
Блокирование сервиса
Контроль лавинных атак SYN и ICMP
Перехват TCP
Блокирование сервиса
Контроль лавинных атак SYN
Шифрование на сетевом уровне
Подтасовка данных, разведка
Использование протоколов СЕТ и IPSec, обеспечивающее целостность данных и конфиденциальность при взаимодействии устройств периметра
Трансляция сетевых адресов
Подтасовка данных
Маскировка внутренних схем адресации и упрощение переадресации
Трансляция адресов портов
Подтасовка данных
Маскировка внутренних схем адресации и расширение возможностей использования ограниченного числа зарегистрированных IP-адресов
Списки доступа с защитой типа замка (динамические)
Несанкционированный доступ
Дополнительная защита доступа пользователей
Возможности брандмауэра
Несанкционированный доступ
Широкий набор дополнительных возможностей брандмауэра в маршрутизаторах Cisco
Протоколирование событий
Подтасовка данных
Контроль потока данных с целью выявления и анализа различных типов атак
Брандмауэр Cisco IOS Firewall более подробно будет рассматриваться в главе 8.
Основные характеристики этого брандмауэра приведены в табл. 7.2.
ВозможностьУгроза
Описание
СВАСПодтасовка данных,
удаленный доступ
Обеспечивает защиту и контроль доступа к приложениям для всего трафика IP, пересекающего периметр (например, трафика между частной сетью предприятия и Internet). Правила инспекции СВАС могут предполагать генерирование сигналов опасности и контрольных записей журнала прикладным протоколом
Блокирование аплетов JavaПодтасовка данных
Выявление и предотвра-Блокирование сервиса
щение атак блокирования сервиса
Обеспечивает защиту от вредоносных аплетов Java
Обеспечивает защиту ресурсов маршрутизатора от атак полуоткрытых соединений TCP и UDP. Предполагает проверку заголовков пакетов и запрет обработки подозрительных пакетов на основе указанных в конфигурации пороговых величин. Несовместима с возможностью перехвата TCP
Контрольные журналыПодтасовка данных
Обеспечивает возможность детального описания соединений. Включает штамп времени, адреса хостов источника и получателя, номера портов и общее количество переданных байтов. Помогает обнаружить скрытую активность пользователей
Предупреждение об опас- Подтасовка данных ности в реальном масштабе времени
Система обнаруженияВсе
вторжений (IDS)
Генерирование сообщений о выявленных атаках блокирования сервиса и других подозрительных состояниях
Действует как сенсор вторжений. Отслеживает поток проходящих через маршрутизатор пакетов и сеансов связи, проверяя их на наличие сигнатур IDS. Подозрительная активность должна выявляться как можно раньше, чтобы не допустить взлом защиты сети; соответствующие события регистрируются средствами системного журнала Cisco IOS. Работает совместно с CiscoSecure ICS Director
Опосредованная (proxy) ay- Несанкционированный тентификациядоступ
Позволяет реализовать политику защиты с учетом различия прав пользователей. Выполняет аутентификацию пользователей и авторизацию доступа посредством HTTP-связи с внешней базой данных защиты
Поддержка ConfigMaker-
Мастер изменения конфигурации для
Windows 95/Windows NT, предлагающий пошаговые инструкции с последовательным анализом структуры сети, параметров адресации и возможностей брандмауэра
Демилитаризованные зоны (ДМ3)
ДМ3, или изолированная локальная сеть, является буфером между корпоративной сетью и внешним миром. ДМ3 имеет уникальный сетевой номер, который отличается от номера корпоративной сети. Вообще говоря, сеть ДМ3 — это единственная часть сети корпорации, видимая извне.
ДМ3 создается устройствами защиты периметра, формирующими систему брандмауэра, которая состоит из маршрутизатора периметра, бастионного хоста и самого брандмауэра.
На рис. 7.1 маршрутизатор периметра создает “грязную” ДМ3, которая представляет собой частично защищенное окружение бастионного хоста, обеспечивающего обслуживание внешних и внутренних пользователей, например, корпоративного Web- узла или шлюза прикладного уровня, предоставляющего сервис TCP/IP типа ретрансляции сообщений электронной почты.
Бастионный хост
Бастионный хост является защищенным сервером (обычно на базе UNIX, Windows NT или Linux), который размещается в ДМ3. Он обеспечивает внешним пользователям следующие важные услуги.
Сервис анонимного сервера FTP.
Сервис сервера World Wide Web.
Сервис DNS (Domain Name Service — служба имен доменов).
Сервис SMTP для входящих сообщений электронной почты, обеспечивающий доставку электронной почты внутренним пользователям.
Сервис посредника (proxy) при доступе в Internet для внутренних хостов.
Бастионный хост должен быть защищен исключительно надежно: он уязвим, поскольку открыт для Internet и обычно является главной точкой контакта с корпоративной сетью из Internet. Бастионный хост может также быть доступен для внутренних пользователей.
Иногда бастионный хост обеспечивает сервис посредника, используя для этого специальное приложение или серверные программы. Сервис посредника предполагает прием запросов пользователей на предоставление Internet-услуг (типа отправки электронной почты, FTP или Telnet) и последующую передачу запросов предоставляющим эти услуги сервисам на основе используемой политики сетевой защиты.
Если бастионный хост обеспечивает сервис посредника, он должен быть осведомлен о приложениях, в отношении которых осуществляется такое посредничество. Поэтому бастионный хост выполняет мониторинг портов TCP и UDP в целях обнаружения сервисов, для которых требуется посредник: это Telnet, FTP (File Transfer Protocol — протокол передачи файлов), HTTP (Hypertext Transfer Protocol — протокол передачи гипертекстовых файлов), gopher, WAIS (Wide Area Information Server — глобальный информационный сервер), NTP (Network Time Protocol — синхронизирующий сетевой протокол), NNTP (Network News Transfer Protocol — сетевой протокол передачи новостей) и SMTP (Simple Mail Transfer Protocol — простой протокол электронной почты).
Бастионный хост также может быть сконфигурирован как двухканальный хост, т.е. имеющий два сетевых интерфейса: один — для внутренней сети, а другой — для внешней. В такой конфигурации бастионный хост может обеспечивать услуги брандмауэра. Необходимо осуществлять тщательный мониторинг состояния бастионного хоста, чтобы попытки его скомпрометировать вовремя пресекались, так как в конфигурации двухканального хоста сеть оказывается исключительно уязвимой. В сравнении с двухканальным хостом, существенно более надежную защиту обеспечивает брандмауэр PIX Firewall, поэтому использование последнего является предпочтительным при построении системы брандмауэра.
Брандмауэр
Брандмауэр — это специализированное сетевое устройство, предназначенное для защиты внутренней сети от внешних воздействий. Брандмауэр имеет следующие особенности.
Трафик имеет узкое место — весь поток данных изнутри сети наружу и снаружи во внутреннюю часть сети должен пройти через брандмауэр.
Пропускается только трафик, прошедший авторизацию в соответствии с локальной политикой защиты.
Брандмауэр настраивается так, чтобы его защиту нельзя было преодолеть.
Брандмауэр делает внутреннюю сеть невидимой снаружи.
Брандмауэры могут быть реализованы несколькими способами.
Пакетный фильтр. Брандмауэр этого типа проверяет каждый пакет на наличие заданных пользователем параметров (адресов IP или портов TCP и UDP), но не осуществляет контроль сеансов. На выполнение функций пакетного фильтра в рамках возможностей Cisco IOS Firewall могут быть настроены маршрутизаторы общего назначения, например маршрутизаторы Cisco 7500.
Шлюз прикладного уровня. Брандмауэр этого типа проверяет данные прикладного уровня во всех пакетах, проходящих через него до установки соединения. Через брандмауэр позволяется движение только разрешенных данных. Например, шлюз FTP прикладного уровня проверяет FTP-пакеты на прикладном уровне и открывает только разрешенный FTP-доступ.
Шлюз канального уровня. Брандмауэр этого типа проверяет легальность сеансов TCP и UDP перед открытием соединения (канала), проходящего через брандмауэр. Такой шлюз рассматривает данные сеансов TCP и UDP, чтобы гарантировать прохождение через брандмауэр только разрешенных пакетов. В начале сеанса брандмауэр создает таблицу допустимых соединений данного сеанса и разрешает прохождение данных только при условии соответствия параметров сеанса некоторой записи этой таблицы. По завершении сеанса соответствующая запись таблицы уничтожается, а канал закрывается.
Прокси-сервер (сервер-посредник). Брандмауэр такого типа защищает внутреннюю (защищенную) сеть посредством замены IP-адреса хоста внутренней сети собственным IP-адресом для всего потока проходящих через брандмауэр данных. Большинство предлагаемых сегодня шлюзов прикладного и канального уровней имеют встроенные возможности прокси-сервера, чтобы обеспечить дополнительную защиту. Производители брандмауэров часто называют такие продукты прокси-серверами прикладного уровня или прокси-серверами канального уровня. Брандмауэр PIX Firewall тоже предлагает возможность опосредованной установки соединений, гарантирующую защиту и высокую производительность.
Рынок брандмауэров развивается очень быстро. Многие производители и ассоциации защиты разработали свои брандмауэры. В контексте нашей книги мы рассмотрим только следующие два.
Cisco IOS Firewall. Мощный набор возможностей брандмауэра, доступный для маршрутизаторов Cisco.
Cisco PIX Firewall. Специализированное оборудование и программное обеспечение брандмауэра с защищенной операционной системой. Этот брандмауэр будет рассмотрен в последующих главах.
Управление сервисами TCP/IP
Программное обеспечение Cisco IOS Software включает специальные команды управления сервисами TCP/IP маршрутизаторов, что дает возможность уменьшить риск подслушивания, проведения атак блокирования сервиса и атак несанкционированного доступа (табл. 7.3). Эти команды следует вводить только в том случае, если соответствующий сервис действительно необходим. По умолчанию активизируется довольно большой набор сервисов TCP/IP, поэтому их придется отключать вручную с помощью команд, указанных в табл. 7.3. Эти команды используются для управления сервисами TCP/IP в режиме глобальной конфигурации. Здесь приведены команды, которые предлагаются в конфигурации маршрутизатора по умолчанию.
гшца.^3.^омаоды управления сервисами TCP/IP, предлагаемымимаршрутизаторами '5-
SSiiiiSsaSSMMiiafcefailiSiiiMsaS»
КомандаОписание
ПО
service tcp-small-servers
Запрещает доступ к ряду сервисов TCP, позволяющих хостам сети за-
прашивать Echo, Discard, Chargen и Daytime портов.
По умолчанию серверы TCP в части сервисов Echo, Discard, Chargen и Daytime активизированы. Если их отключить, то в ответ на соответствующий запрос порта программное обеспечение Cisco IOS пошлет отправителю TCP-пакет RESET и отвергнет поступивший пакет
по
service udp-small-servers
Запрещает доступ к ряду сервисов UDP, позволяющих хостам сети запрашивать Echo, Discard, Chargen и Daytime портов.
По умолчанию серверы UDP в части сервисов Echo, Discard, Chargen и Daytime активизированы. Если их отключить, то в ответ на соответствующий запрос порта программное обеспечение Cisco IOS пошлет отправителю пакет “ICMP port unreachable” (порт недоступен) и отвергнет поступивший пакет
по
service finger
Запрещает запросы по протоколу finger (определенному в RFC 742) путем блокирования удаленных запросов пользователей
по
ip domain-lookup
Отключает трансляцию имен DNS в IP-адреса в маршрутизаторе периметра
по
ip source-ronte
Отключает IP-маршрутизацию от источника
по
ip tep selective-ack
Отключает селективное подтверждение TCP (описано в RFC 2018).
Снижает производительность системы, но повышает надежность защиты от атак, связанных с блокированием сервиса
по
ip bootp server
Отключает сервис BOOTP (Bootstrap Protocol - протокол начальной самозагрузки) хоста
по
шор enabled
Отключает действие протокола MOP (Maintenance Operation Protocol — протокол операций сопровождения); может также применяться в отношении конкретного интерфейса
по
cdp run
Отключает действие протокола Cisco Discovery Protocol
по
ip rsh-enable
Устанавливает конфигурацию маршрутизатора, при которой удаленным пользователям запрещается выполнять команды rsh на нем
по
ip remd rep-enable
Устанавливает конфигурацию маршрутизатора, при которой удаленным пользователям запрещается копировать файлы в маршрутизатор и с него, используя команды гер
по
ip identd
Отключает поддержку идентификации, что блокирует возврат информации, идентифицирующей ТСР-порт
Команды, приведенные в табл. 7.4, используются для управления сервисами TCP/IP в режиме конфигурации интерфейса.
&46лица 7.4. Команды сервисов ТФЯР в режиме конфигурации ■ .
КомандаОписание
ПО
ip proxy-arp
Отключает прокси-сервис ARP (Address Resolution Protocol — протокол разрешения адресов) в рамках указанного интерфейса
по
ip redirects
Отключает отправку сообщений перенаправления, когда средства Cisco IOS Software пересылают пакет в рамках интерфейса, по которому этот пакет получен. Ограничивает информацию, посылаемую маршрутизатором в случае сканирования порта
по
ip top path-mtu-discovery
Отключает возможность Path MTU Discovery для всех новых соединений TCP от маршрутизатора по данному интерфейсу. Отсутствие такого запрета увеличивает угрозу атак, связанных с блокированием сервиса
по
ip unreachable
Отключает генерирование сообщений ICMP Unreachable для данного интерфейса
по
ip route-cache
Отключает кэширование данных автономной коммутации и/или быстрой коммутации для маршрутизации IP
по
ip mroute-cache
(Используется по умолчанию.) Отключает групповую быструю коммутацию IP, посылая пакеты на уровне процесса. Требуется для записи сообщений отладки и обработки списков доступа
по
cdp enable
Отключает CDP (Cisco Discovery Protocol) для данного интерфейса
по
ip directed-broadcast
(Используется по умолчанию.) Отключает управляемую групповую рассылку IP, что обеспечивает невозможность применения маршрутизатора в качестве широковещательного усилителя в распределенных атаках блокирования сервиса
В примере 7.1 показан фрагмент вывода команды show running-config, иллюстрирующий запрет доступа SNMP извне. Список доступа применяется к входной части интерфейса, связанного с незащищенной частью сети.
Пример 7.1. Управление сервисом SNMP TCP/IP путем запрета доступа
interface serial О
access-group 101 in
access-list 101 deny udp any any eq snmp
Защита от несанкционированных изменений маршрутов
Маршрутизаторы периметра особенно уязвимы в отношении перехвата сообщений маршрутизации, раскрывающих структуру ДМ3 и внутренней сети. Можно назначить статические маршруты, по которым должны направляться входящий и исходящий
трафики маршрутизатора периметра, а также указать следующий транзитный маршрутизатор, которым обычно является маршрутизатор в сети поставщика услуг Internet. Если для связи с другими маршрутизаторами периметра необходимо использовать протокол маршрутизации (например, для связи с сетью внешнего партнера или с узлами удаленного подразделения компании), можно управлять возможностями объявления маршрута с помощью команд distribute-list и стандартных списков доступа, а также посредством аутентификации связывающихся маршрутизаторов. Это обеспечит защиту трафика маршрутизации и исключит возможность фальсификации параметров маршрутизации. В этом разделе мы поговорим о том, как обеспечить защиту функций маршрутизации для маршрутизатора периметра.
Связь между маршрутизаторами можно защитить следующими способами.
Статические маршруты
В маршрутизаторе периметра статические маршруты обычно применяются для того, чтобы направить весь связанный с Internet трафик по адресу маршрутизатора поставщика услуг Internet. (Статические маршруты, используемые для направления всего трафика по определенному адресу, называют также маршрутами по умолчанию.) Ответственность за дальнейшую пересылку пакетов соответствующим адресатам перекладывается на маршрутизатор поставщика услуг Internet, поэтому у маршрутизатора периметра не возникает необходимости динамического обмена информацией о маршрутизации, в условиях которого противник мог бы получить информацию о топологии внутренней сети. Статические маршруты имеют свои недостатки, например невозможно отследить, когда разрывается соответствующий канал связи или изменяется топология сети.
Статические маршруты назначаются с помощью команды ip route в режиме глобальной конфигурации. Адресом, куда маршрутизатор будет отсылать пакеты, может быть IP- адрес транзитного маршрутизатора поставщика услуг Internet (предпочтительный вариант), сетевой адрес маршрута в таблице маршрутизации, с помощью которой обрабатываются пакеты (эго удобно при наличии нескольких вариантов пути к поставщику услуг Internet), или конкретный IP-адрес следующего маршрутизатора (но этот вариант использовать не рекомендуется, поскольку IP-адреса должны выбираться на уровне интерфейса канала связи). В примере 7.2 показан статический маршрут, по которому все пакеты переправляются маршрутизатору поставщика услуг Internet с адресом 172.16.100.2.
$ Пример 7.2. Передача всех пакетов маршрутизатору поставщика услуг
LInternet с адресом 172.16.100.2
ip route 0.0.0.0 0.0.0.0 172.16.100.2
Контроль объявления маршрутов
Протокол маршрутизации можно использовать для связи между маршрутизатором периметра и маршрутизатором поставщика услуг Internet или другим маршрутизатором периметра в удаленном подразделении компании. Фильтры маршрутов можно установить для любого интерфейса, чтобы не допустить несанкционированное распространение информации о маршрутах. Некоторые протоколы маршрутизации (например, Enhanced IGRP — усовершенствованный протокол IGRP) позволяют применять фильтр, запрещающий объявление некоторых частей маршрутов в сети. Протоколы маршрутизации по-
зволяют фильтровать и входящие маршруты, чтобы маршрутизатор признавал только те маршруты, которые исходят от надежных сетей.
Если маршрутизаторами периметра являются маршрутизаторы Cisco, то для связи между ними лучше всего использовать протокол Enhanced IGRP, поскольку он доступен только на маршрутизаторах Cisco. Это снижает риск случайного или преднамеренного изменения параметров маршрутизации хостами сети.
Более подробная информация относительно контроля объявления маршрутов представлена в главе 3.
Аутентификация маршрутов
Если для связи между маршрутизаторами периметра используется протокол маршрутизации, можно использовать аутентификацию маршрутов. Механизмы аутентификации зависят от протокола и, вообще говоря, являются слабыми. Тем не менее отказываться от преимуществ готового решения нерационально. Аутентификация может повысить надежность сети в результате предотвращения несанкционированного вмешательства других маршрутизаторов и хостов в процессе маршрутизации, независимо от того, случайным или преднамеренным является такое вмешательство. За более подробной информацией относительно аутентификации взаимодействующих маршрутизаторов обратитесь к главе 3.
Управление доступом
Маршрутизатор периметра обычно размешается на границе сети, между внутренней сетью организации и внешней, например Internet. Маршрутизатор может быть мощным средством управления доступом пользователей к сетям и данным при межсетевом взаимодействии. Основным средством управления доступом являются списки доступа. Программное обеспечение Cisco IOS Software поддерживает использование стандартных и расширенных списков доступа. За подробностями относительно структуры списков доступа обратитесь к приложению В, “Настройка стандартных и расширенных списков доступа”. Списки доступа поддерживают фильтрацию входящих и исходящих пакетов.
Управление доступом означает фильтрацию входного и выходного трафиков, контроль административного доступа к маршрутизатору периметра, использование защиты типа замка, а также опосредованную аутентификацию пользователей (прокси-аутентификация).
Входной пакетный фильтр
Пакетный фильтр со списками доступа можно использовать для контроля входного трафика маршрутизатора периметра. Типичные правила политики контроля входного потока данных, пересекающих периметр сети, могут включать следующее.
Фильтрация пакетов, в которых в качестве источника указаны внутренние адреса, с целью защиты от атак фальсификации IP-адресов.
Фильтрация пакетов, в которых в качестве источника указаны зарезервированные RFC-адреса, с целью защиты от атак фальсификации IP-адресов.
Фильтрация поступающих пакетов bootp, TFTP, SNMP и traceroute с целью защиты от атак удаленного доступа и разведки.
Разрешение TCP-соединений, устанавливаемых из внутренних сетей, с целью защиты от атак фальсификации IP-адресов.
Запрет прямого сканирования (ping) интерфейса с внешней стороны брандмауэра с целью защиты от атак разведки.
Разрешение входящих соединений только с серверами ДМ3 с целью защиты от атак удаленного доступа.
В табл. 7.5 приведены типичные IP-адреса, которые вы захотите отфильтровать во входном потоке пакетов.
Таблица7.5.1Р-адреса. подлежащие фильтрации во входном потоке
IP-адрес и биты маскиИспользование IP-адреса
0.0.0.0/8
Историческое широковещание
10.0.0.0/8
Частная сеть RFC 1918
127.0.0.0/8
Локальная обратная связь
169.254.0.0/16
Связь локальных сетей
172.16.0.0/12
Частная сеть RFC 1918
192.0.2.0/24
TEST-NET
192.168.0.0/16
Частная сеть RFC 1918
224.0.0.0/4
Класс D (групповой рассылки)
240.0.0.0/5
Класс Е (резервируемый)
248.0.0.0/5
Не распределен
255.255.255.255/32
Широковещание
В примере 7.3 представлена фильтрация входного потока с адресами источника, определяемыми документом RFC 1918.
interface serial О
ip access-group 101 in
access-list 101 deny ip 10.0.0.00.255.255.255 any
access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any
Выходной пакетный фильтр
Пакетный фильтр со списками доступа можно использовать для контроля выходного трафика маршрутизатора периметра. Обычно требуется, чтобы маршрутизаторы периметра и брандмауэры пересылали только IP-пакеты с допустимыми IP-адресами источника, чтобы не допустить использования сетевых устройств в распределенных атаках блокирования сервиса, направленных против других сетей. Допустимыми IP-адресами источника в данном случае являются сетевые IP-адреса, присвоенные узлам данной сети.
Типичная политика защиты для трафика, исходящего от периметра сети, может включать следующие правила.
Пропускать только те пакеты, которые направляются в Internet и в качестве адреса источника имеют соответствующие адреса (или транслированные адреса) узлов внутренней сети.
Пропускать только те пакеты, которые направляются в Internet и в качестве адреса источника имеют адрес бастионного узла.
Фильтровать все IP-адреса, не разрешенные используемой политикой защиты.
Защита типа замка
Хорошим решением защиты является защита типа замка, которую можно реализовать с помощью списков расширенного доступа. Стандартные, расширенные и статические списки доступа предполагают “жесткую” связь с соответствующим интерфейсом. Если список доступа связывается с интерфейсом статически, он действует в соответствии со своей конфигурацией независимо от того, какие узлы будут связаны с данным интерфейсом сети. Такой список доступа не учитывает существования узлов, которым может потребоваться информация за брандмауэром, и не может выполнять аутентификацию узлов.
Усовершенствованным вариантом защиты, реализованной в Cisco IOS Release 11.1 и программном обеспечении более поздних версий, является защита типа замка. Для нее используются динамические списки доступа, допускающие предоставление доступа заданных источников к заданным узлам с применением аутентификации пользователей. Это позволяет реализовать динамический доступ пользователей через брандмауэр без нарушения ограничений защиты.
Защита типа замка активизируется после аутентификации пользователя в маршрутизаторе или сервере сетевой защиты типа сервера TACACS+, что позволяет контролировать изменения списка доступа входного интерфейса и предоставление соответствующих привилегий пользователю. Принцип действия защиты типа замка показан на рис. 7.2.
Рис. 7.2. Действие защиты типа замка
В типичной среде при защите типа замка используется список доступа, фильтрующий весь трафик до тех пор, пока удаленный пользователь не будет аутентифицирован с помощью соответствующего механизма защиты. Успешное завершение аутентификации позволяет удаленному хосту использовать сеанс Telnet, чтобы открыть
брандмауэр корпоративной сети. До того, как это произойдет, брандмауэр отвергает весь трафик, кроме трафика Telnet.
В этом случае не существует списков доступа ни для каких портов, кроме списка доступа Telnet. До тех пор, пока удаленный пользователь не аутентифицирован, доступ к порту запрещен. После аутентификации применяется соответствующий список доступа (только для этого порта), разрешающий аутентифицированный доступ.
Настройка защиты типа замка
Чтобы настроить параметры защиты типа замка, выполните следующие действия в режиме глобальной конфигурации.
С помощью команд access-list номер-списка-доступа [dynamic дииамическое-имя [timeout минуты]] {deny | permit} telnet источник групповой-символ-источника адресат групповой-символ-адресата [precedence приоритет] [tos тип-сервиса] [established] [log] настройте динамический список доступа, который будет выполнять роль шаблона для временных строк доступа. Параметр timeout минуты задает значение предела времени существования для динамического списка доступа.
С помощью команды interface тип номер войдите в режим конфигурации интерфейса, к которому вы собираетесь применить список доступа.
Примените список доступа к выбранному интерфейсу с помощью команды ip access-group номер-списка-доступа в режиме конфигурации интерфейса.
Определите один или несколько виртуальных терминальных портов (vty), которым будет назначена защита типа замка, используя для этого команду line vty номер-лииии [ номер-последней-линии] в режиме глобальной конфигурации. Если указано несколько портов vty, они должны быть сконфигурированы одинаково, поскольку программное обеспечение выполняет поиск доступных портов vty циклически. Если вы не хотите назначать защиту типа замка всем портам vty, можно указать группу портов vty для защиты.
Поручите аутентификацию пользователя внешнему серверу аутентификации или внутренней базе данных с помощью команд login tacacs, username имя password секретное-значеиие, password пароль или login local.
Активизируйте создание временных строк списка доступа с помощью команды autocommand access-enable [host] [timeout минуты]. Параметр timeout минуты задает предел времени ожидания. Если аргумент host не указан, создавать временные записи списка доступа разрешается всем хостам сети. Динамический список доступа содержит сетевую маску, позволяющую установку нового сетевого соединения.
В условиях защиты типа замка внешнему событию (сеансу Telnet) позволяется открыть “проход” в маршрутизаторе периметра. Пока этот “проход” открыт, маршрутизатор уязвим в отношении атак фальсификации адреса источника.
Защита от блокирования сервиса
Маршрутизаторы периметра могут обеспечить первую линию защиты против атак блокирования сервиса. С помощью маршрутизатора периметра можно свести к минимуму вероятность использования вашей сети в распределенных атаках блокирования
сервиса против других сетей. Используя средства TCP-перехвата, можно также ограничить влияние синхронных атак (лавинных атак SYN).
Предотвращение распределенных атак блокирования сервиса
Чтобы не допустить возможности применения сетевых устройств в распределенных атаках блокирования сервиса, придерживайтесь следующих рекомендаций.
Убедитесь, что вы приняли все возможные меры для предотвращения несанкционированного доступа к бастионному узлу, чтобы не допустить размещения в нем программного обеспечения, используемого в распределенных атаках блокирования сервиса. Запретите все сервисы IP, в которых нет необходимости. Примените к интерфейсам команду no ip directed-broadcast, чтобы исключить использование маршрутизатора периметра в качестве широковещательного усилителя в ходе распределенных атак.
С помощью списков доступа фильтруйте весь входящий трафик с частными (см. RFC 1918) и зарезервированными адресами (см. RFC 2827. “Network Ingress Filtering”).
Фильтруйте весь исходящий трафик, чтобы не допустить фальсификации IP- адресов источника. За пределы периметра должны пропускаться только пакеты с адресами источника из ДМ3 и другими разрешенными адресами. Для фильтрации исходящего трафика можно применить списки доступа и команду ip verify unicast reverse-path интерфейса.
Используйте значение CAR (Committed Access Rate — согласованная скорость доступа), чтобы ограничить поток пакетов ICMP. Ограничение этого значения или подходящая политика могут применяться к входному и выходному интерфейсам или в отдельности, или одновременно. Такое ограничение можно реализовать только с помощью CAR, поэтому соответствующие сетевые устройства должны работать под управлением IOS версии ll.lcc или 12.0+. Можно, например, использовать соответствующие ограничения или политику для трафика входного интерфейса маршрутизатора периметра. Сначала с помощью списка доступа пакет классифицируется как относящийся к трафику ICMP. Затем, используя CAR, классифицированный трафик можно избирательно ограничить до определенного пропускного уровня. Если значение CAR превышено, включается действие политики и соответствующие пакеты отвергаются. Для настройки параметров CAR используется соответствующая команда конфигурации интерфейса. При этом должен быть активизирован режим CEF (Cisco Express Forwarding — скоростная передача Cisco).
В следующем примере на интерфейсе serial 0 маршрутизатора периметра список доступа 105 задает использование CAR для ICMP-трафика ECHOREPLY. Средняя скорость передачи данных равна 1544Кбит/с, пакетная скорость — 512Кбит/с, а пиковая — 786 Кбит/с. Если эти пределы превышены, пакеты отвергаются.
interface serial О
rate-limit output access-group 105 1540000 512000 786000 conform-action
transmit exceed-action drop
access-list 105 permit icmp any any echo-reply
Установите ограничения скорости для пакетов SYN. Измерьте нормальный трафик SYN с помощью команды show interfaces rate-limit, указывающей согласованную и избыточную скорость интерфейса, чтобы выяснить соответствующие параметры нормального трафика. Для ограничений скорости трафика SYN следует выбрать наименьшие из приемлемых значений. Например, конфигурация для трафика Web через маршрутизатор периметра может быть следующей, interface serial О
rate-limit output access-group 150 1540000 512008 786000 conform-action
transmit exceed-action drop
access-list 150 permit tcp any host eq www
access-list 150 permit tcp any host eq www established
Активизируйте регистрацию событий в устройствах периметра (это касается, прежде всего, маршрутизатора), чтобы вовремя обнаружить признаки проведения распределенных атак, связанных с блокированием сервиса.
Средства TCP-перехвата для защиты от синхронных атак
С использованием средств TCP-перехвата программного обеспечения Cisco IOS Software можно защитить TCP-серверы от лавинных атак SYN (одна из разновидностей атак, связанных с блокированием сервиса). Эти средства можно разместить в маршрутизаторе периметра для защиты ДМ3 и других узлов сети. Средства ТСР- перехвата обнаруживают запросы ТСР-соединений TCP-клиентов к TCP-серверам и, если необходимо, перехватывают, подтверждают или запрещают такие запросы. Тем самым средства TCP-перехвата могут предотвратить развитие лавинной атаки SYN. Система TCP-перехвата действует в двух режимах: в режиме перехвата и режиме мониторинга. На рис. 7.3 показана схема функционирования ТСР-перехвата.
Маршрутизатор БастионныйМаршрутизатор Бастионныйпериметрахостсо средствами ТСР-перехватапериметрахостсо средствами ТСР-перехвата
Маршрутизатор Бастионный
Маршрутизатор Бастионный
периметрахост
со средствами ТСР-перехвата
периметрахост
со средствами ТСР-перехвата
Перехват и проверка запроса клиентаПерехват и проверка запроса клиентаУстановка связи с хостомУстановка связи с хостомПодтверждение проверенных связей и обмен данными
Перехват и проверка запроса клиента
Перехват и проверка запроса клиента
Установка связи с хостом
Установка связи с хостом
Рис. 7.3. Защита от атак SYN с помощью ТСР-перехвата
В режиме перехвата (установленном по умолчанию) соответствующее программное обеспечение перехватывает пакеты синхронизации (SYN) от клиентов к серверам и сверяет их с расширенным списком доступа. Средства ТСР-перехвата обеспечивают прокси-сервис, генерируя ответы клиенту вместо сервера и проверяя право клиента на установку связи с сервером. Если запрос клиента правомерен, система ТСР-перехвата устанавливает соединение с сервером от имени клиента и обеспечивает нормальный
поток от источника к адресату, связав два “полусоединения” вместе. При этом средства TCP-перехвата продолжают перехватывать и переправлять пакеты в течение всего времени существования соединения.
В режиме мониторинга программное обеспечение ТСР-перехвата выполняет пассивное наблюдение за запросами на установку соединений, проходящими через маршрутизатор. Если какое-то соединение не удается установить в течение заданного конфигурацией времени, программное обеспечение вмешивается в процесс и прекращает попытку установки соединения.
Система TCP-перехвата переходит в агрессивный режим в случае признаков лавинной атаки SYN, когда число наполовину открытых соединений превышает заданное конфигурацией пороговое значение. В агрессивном режиме пороговые значения для соединений снижаются, наполовину открытые соединения, для которых эти пороговые величины превышены, сбрасываются, а уже установленные легальные соединения остаются открытыми.
Параметры TCP, которые обычно согласовываются с процедурой установки соединения (например, параметры размеров окна, указанные в RFC 1323), в данном случае не обсуждаются, поскольку программное обеспечение ТСР-перехвата не имеет информации о том, с каким сервером могут или будут вестись переговоры.
Все соединения TCP-перехвата поддерживают коммутацию на уровне быстродействующих каналов, за исключением соединений RP/SP/SSP С7000, поддерживающих только коммутацию процессов.
Средства ТСР-перехвата позволяют задерживать все запросы или только те, которые прибыли из определенных сетей или адресованы определенным серверам. Можно также установить скорость соединения и порог времени для соединений, ожидающих обработки. Для настройки параметров ТСР-перехвата требуется выполнить следующие действия.
Определите расширенный список IP-доступа с помощью команды access-list иомер- списка-доступа {deny | permit} tcp any адресат групповой-символ-адресата. Адрес получателя требуется для того, чтобы обеспечить защиту серверов назначения.
Активизируйте систему TCP-перехвата с помощью команды ip tcp intercept list иомер-списка-доступа.
Установите режим перехвата посредством команды ip tcp intercept mode (intercept | watch}.
Проверьте действие ТСР-перехвата с помощью команды show tcp intercept connections, отображающей информацию о наполовину установленных и установленных соединениях.
Проверьте статистику ТСР-перехвата с помощью команды show tcp intercept statistics.
Если необходимо, измените настройки параметров ТСР-перехвата, выполнив следующие действия с помощью соответствующих команд:
установите режим сброса ТСР-перехвата;
измените значения таймеров ТСР-перехвата;
измените пороговые значения агрессивного режима ТСР-перехвата.
Более подробные сведения по рассматриваемому здесь вопросу можно найти в главе “Configuring TCP Intercept (Preventing Denial-of-Service Attacks)” руководства Cisco IOS Security Configuration Guide, Release 12.1.
В примере 7.4 расширенный список IP-доступа с номером 101 заставляет программное обеспечение осуществлять перехват пакетов для всех TCP-серверов подсети 192.168.1.0/24.
101, блокирующий частные101, блокирующий частныеj Пример 7.4. Расширенный список IP: ^ ^j^^s*!-^. 1Р-адреса^4 *i^h 4 J' si
101, блокирующий частные
101, блокирующий частные
ip tcp intercept list 101
access-list 101 permit tcp any 192.168.1.0 0.0.0.255
Замечание
Для защиты от лавинных атак SYN можно также использовать команды ip tcp intercept, доступные в рамках системы СВАС программного обеспечения Cisco IOS Firewall. При использовании СВАС применять TCP-перехват нельзя.
Применение шифрования сетевого уровня
Шифрование сетевого уровня можно использовать в маршрутизаторе периметра для того, чтобы обеспечить защиту связи между системами периметра. Шифрование трафика на сетевом уровне применяется к потоку обмена данными между конкретными парами пользовательских приложений или подсетей, как показано на рис. 7.4.
Рис. 7.4. Шифрование на сетевом уровнеРис. 7.4. Шифрование на сетевом уровне
Рис. 7.4. Шифрование на сетевом уровне
Рис. 7.4. Шифрование на сетевом уровне
Сетевое шифрование применяется только к информации полезного груза, а заголовки сетевого уровня остаются открытыми. Поэтому информация полезного груза оказывается скрытой для промежуточных устройств сетевого уровня.
Поскольку шифрование действует на сетевом уровне, оно зависит от протокола, но не от среды или интерфейса, что делает шифрование независимым от топологии сети.
Программное обеспечение Cisco IOS Software предлагает поддержку технологии СЕТ (Cisco Encryption Technology — технология шифрования Cisco) и IPSec для шифрования потока данных между маршрутизатором периметра и другими маршрутизаторами на сетевом уровне.
Средства СЕТ шифрования сетевого уровня
Средства СЕТ представляют частную технологию защиты, используемую с Cisco IOS Release 11.2. Эта технология обеспечивает шифрование данных на пакетном уровне IP на основе стандартов DSS (Digital Signature Standard — стандарт цифровой подписи), DH (алгоритм Диффи-Хеллмана обмена открытыми ключами) и DES (Data Encryption Standard — стандарт шифрования данных).
Средства СЕТ можно использовать в маршрутизаторах периметра, чтобы обеспечить защиту связей между двумя физически разделенными защищенными сетями. Операции шифрования и дешифрования IP-пакетов выполняются только в маршрутизаторах, настроенных на использование СЕТ. Такие маршрутизаторы рассматриваются как равноправные шифрующие стороны. Промежуточные устройства в процессе шифрования/ дешифрования участия не принимают. Пакеты шифруются в рамках выходного интерфейса одного маршрутизатора и дешифруются в рамках входного интерфейса другого.
Открытый (т.е. незашифрованный) поток данных, поступающий в маршрутизатор из защищенной части сети, шифруется и передается через незащищенную часть сети. Получив шифрованный поток данных, удаленный маршрутизатор дешифрует его и только потом отправляет в защищенную часть своей (т.е. удаленной) сети. Более подробное обсуждение выбора конфигурации средств СЕТ вы найдете в части V книги “Технология шифрования Cisco”.
Средства IPSec шифрования сетевого уровня
IPSec (IP Security — набор открытых стандартов обеспечения конфиденциальности, целостности и аутентификации данных между равноправными участниками обмена данными) является базой применения открытых стандартов защиты частных коммуникаций в сетях IP. IPSec гарантирует конфиденциальность, целостность и достоверность данных при пересылке их через открытые сети IP. IPSec предоставляет необходимые компоненты для реализации гибкой политики защиты, основанной на использовании стандартов. IPSec может использоваться для защиты трафика между маршрутизаторами периметров сетей, а также для создания виртуальных частных сетей (сетей VPN) между центральным подразделением корпоративной сети и удаленными ее частями, удаленными филиалами или сетями внешних партнеров. При этом можно шифровать весь поток данных между маршрутизаторами периметра или только поток данных между отдельными узлами или частями сети, расположенными за маршрутизаторами. Корпоративные потребители получают все преимущества, доступные для частных сетей, включая защиту, качество обслуживания (QoS), управляемость и надежность. По сравнению с СЕТ, средства IPSec обеспечивают большую гибкость в отношении выбора алгоритмов шифрования и поддержку большего числа IPSec- сторон. О том, как настроить средства IPSec, будет идти речь в главах 15—18.
Средства трансляции IP-адресов
Маршрутизаторы периметра позволяют расширить пространство IP-адресов, скрыть внутренние IP-адреса и упростить администрирование путем конвертирования разрывных и нетрассируемых IP-адресов в трассируемые. Для этого маршрутизаторы периметра используют средства NAT (Network Address Translation — трансляция сетевых адресов) и PAT (Port Address Translation — трансляция адресов портов).
Использование NAT
Средства NAT предлагаются маршрутизаторами периметра и брандмауэрами с целью трансляции внутренних локальных IP-адресов во внешние глобальные адреса, которыми обычно являются IP-адреса, выданные сетевым информационным центром (Network Information Center — NIC). Средства NAT описаны в документе RFC 1631; они могут использоваться в устройствах периметра, чтобы достичь следующих целей.
Расширить относительно узкое пространство IP-адресов, выданных сетевым информационным центром.
Скрыть IP-адреса, используемые внутренней сетью и внутренними сетевыми устройствами, от внешних наблюдателей.
Обеспечить выход из внутренней сети в Internet, не заботясь об ограничениях адресации Internet, проблемах дублирования адресов, а также о том, что ваши внутренние IP-адреса не являются официально зарегистрированными.
Программное обеспечение Cisco IOS Software использует следующую терминологию.
Внутренний локальный адрес. Адрес IP, присвоенный хосту в рамках внутренней сети. Этот адрес, вероятнее всего, не является зарегистрированным IP-адресом, выданным сетевым информационным центром или поставщиком сетевых услуг.
Внутренний глобальный адрес. Зарегистрированный IP-адрес (выданный сетевым информационным центром или поставщиком сетевых услуг), представляющий внешнему миру один или несколько внутренних локальных IP-адресов.
Внешний локальный адрес. Адрес IP внешнего хоста для внутренней сети. Это не обязательно зарегистрированный адрес, он должен принадлежать пространству адресов, трассируемых для внутренней сети.
Внешний глобальный адрес. Адрес IP, присвоенный хосту владельцем хоста для представления во внешней сети. Этот адрес должен принадлежать пространству глобально трассируемых сетевых адресов.
На рис. 7.5 показан пример использования маршрутизатора для трансляции адреса источника 10.1.1.2 внутренней сети во внутренний глобальный адрес 172.16.1.100.
Внутренний локальный IP-адрес
Внутренний глобальный IP-адрес
10.1.1.2
10.1.1.3
172.16.1.100
172.16.1.101
Рис 7.5. Пример использования NAT
Средства NAT могут быть настроены на статическую или динамическую трансляцию адресов. При статической трансляции внутренние локальные адреса статически отображаются во внутренние глобальные адреса. Например, на рис. 7.5 хост с адресом 10.1.1.2 статически отображается во внутренний глобальный адрес 172.16.1.100.
При динамической трансляции с интерфейсом связывается группа внутренних глобальных адресов, и маршрутизатор динамически отображает внутренние локальные адреса в доступные глобальные адреса из этой группы. На рис. 7.5 динамическая группа адресов назначена интерфейсу sO маршрутизатора.
При использовании NAT создается таблица транслированных IP-адресов. Для внешнего мира сеть использует определенный диапазон IP-адресов. Эти адреса отображаются в реальные адреса, используемые внутри сети предприятия. Когда брандмауэр получает пакет из Internet, выполняется трансляция IP-адреса и пакет направляется соответствующему адресату. Точно так же исходящие сообщения получают “экспортные” IP-адреса, а реальные скрываются.
Технология NAT может обеспечить следующие дополнительные возможности.
Перегрузка внутренних глобальных адресов. Можно экономить адреса внутреннего пула глобальных адресов, разрешив маршрутизатору использовать один глобальный адрес для нескольких локальных. Эта возможность обеспечивается средствами PAT (Port Address Translation — трансляция адресов портов).
Трансляция перекрывающихся адресов. Средства NAT позволяют транслировать официально присвоенные IP-адреса, частные IP-адреса, соответствующие RFC 1918, и произвольные IP-адреса, используемые во внутренней сети без официальной регистрации.
Настройка динамических средств NAT
Чтобы настроить средства для динамической трансляции внутренних адресов источника, используйте следующие команды в режиме глобальной конфигурации.
С помощью команды ip nat pool имя начальный-1р-адрес конечный-1р-адрес {netmask маска-сети | prefix-length длина-префикса^ определите группу глобальных адресов, которые будут использоваться по мере необходимости.
С помощью команды access-list номер-списка-доступа permit источник [групповой-символ-источннка] определите стандартный список доступа для адресов, которые должны транслироваться.
Активизируйте динамическую трансляцию адресов источника, используя команду ip nat inside source list номер-списка-доступа pool имя с определенным на предыдущем шаге списком доступа.
Выберите внутренний интерфейс с помощью команды interface type number.
Посредством команды ip nat inside обозначьте этот интерфейс как присоединенный к внутренней части сети.
Выберите внешний интерфейс с помощью команды interface type number.
С помощью команды ip nat outside обозначьте этот интерфейс как присоединенный к внешней части сети.
Рассмотрим пример 7.5, иллюстрирующий динамическую трансляцию внутренних адресов источника в сети компании XYZ. Здесь динамически транслируются все адреса источника из списка доступа 1 (содержащего адрес из подсети 10.1.1.0/24) в адреса из набора net-182. Этот набор содержит адреса из диапазона 172.16.1.100-172.16.1.199.
V"—г—, —
[Пример7.5. Динамическая трансляция внутренних адресов источника
|^^^-Ч&г в сети компании XYZ •••»-•. ; . ••1
ip nat pool net-182 172.16.1.100 172.16.1.199 netmask 255.255.255.0 ip nat inside source list 1 pool net-182
i
interface serial 0
ipaddress 172.16.1.1 255.255.255.0
ip nat outside
!
interface ethernet 0
ipaddress 10.1.1.1 255.255.255.0
ip nat inside
!
access-list 1 permit 10.1.1.0 0.0.0.255
Использование PAT
Множество внутренних адресов можно транслировать в один внешний с помощью средств PAT (Port Address Translation — трансляция адресов портов), что иногда называют перегрузкой NAT. Технология РАТ обеспечивает возможность расширения IP-адресов (хотя и менее гибкую, чем NAT), что демонстрируют представленные ниже примеры.
При применении РАТ один IP-адрес может представлять до 64000 хостов (теоретически, а практически можно использовать до 4000 хостов). Средства РАТ позволяют экономно использовать IP-адреса и доступные физические соединения.
Средства РАТ отображают разные номера портов TCP и UDP в один 1Р-адрес.
Технология РАТ обеспечивает частичную защиту. Адреса клиентов источника скрываются с помощью использования одного IP-адреса в маршрутизаторе периметра.
Плотность адресов в пуле влияет на производительность системы.
Средства РАТ позволяют экономить IP-адреса, выданные сетевым информационным центром Internet (InterNIC). Они дают возможность использовать один зарегистрированный IP-адрес в пуле глобальных адресов для всех исходящих соединений с Internet: IP- адреса источника всех исходящих пакетов транслируются в один РАТ-адрес.
В пакетах UDP и TCP порты определяют сервис. При использовании РАТ маршрутизатор периметра назначает уникальный номер порта источника каждому исходящему соединению, тем самым обеспечивая возможность использования одного IP- адреса многими соединениями.
Стандартные и назначенные с помощью средств РАТ номера портов для трансляции не применяются. Порты TCP и UDP адресата тоже не транслируются. Разные локальные адреса отображаются в один глобальный, а необходимая уникальность адреса источника обеспечивается трансляцией портов.
Замечание
Не используйте средства РАТ, если необходим запуск приложений мультимедиа за границей брандмауэра. Приложения мультимедиа предполагают доступ к определенным портам и могут конфликтовать со средствами отображения портов, используемыми в рамках РАТ.
Настройка средств РАТ
Рассмотрим пример использования средств РАТ в сети компании XYZ (рис. 7.6). В данном случае пользователю с рабочей станции А требуется установить сеанс Telnet с хостами А и В.
Хост В
192.168.254.3
Порт протокола
Внутренний локальный 1Р-адрес:порт
Внутренний глобальный 1Р-адрес:порт
Внешний глобальный 1Р-адрес:порт
TCP/Telnet
10.1.1.1:1026
172.16.1.200:1026
192.168.254.2:23
TCP/Telnet
10.1.1.2:1027
172.16.1.200:1027
192.168.254.3:23
Рис. 7.6. Пример использования РАТ
Средства РАТ размещаются в маршрутизаторе периметра и выполняют задачу динамической трансляции адресов источника в соответствии со списком доступа 1 (содержащим адрес из подсети 10.1.1.0/24) в адреса из набора net-182. Этот набор содержит один IP-адрес 172.16.1.200.
Команда overload позволяет маршрутизатору использовать один глобальный адрес для множества локальных. В примере 7.6 показан вариант применения РАТ в сети компании XYZ.
— — __—^—_—_, Пример 7.6. Пример использования РАТ в сети компании XYZ..^ а^ч-’ 1. “
ip nat pool net-183 172.16.1.200 172.16.1.200 netmask 255.255.255.0
ip nat inside source list 2 pool net-184 overload i
interface serial 0
ip address 172.16.1.1 255.255.255.0
ip nat outside
interface ethernet 0
ip address 10.1.1.1 255.255.255.0
ip nat inside !
access-list 2 permit 10.1.1.0 0.0.0.255
Регистрация событий маршрутизатора периметра
Как правило, регистрируются все события маршрутизатора периметра, и соответствующие сообщения направляются серверу syslog. Для этого применяется команда logging trap debugging. С помощью команды service timestamps к записям журнала событий можно добавить штамп времени. Настройка параметров регистрации событий маршрутизатора периметра предполагает выполнение следующих действий.
С помощью команды logging trap уровень укажите уровень детализации контрольных сообщений, направляемых серверу syslog.
Посредством команды logging source-interface тип число укажите для пакетов syslog IP-адрес некоторого конкретного интерфейса, независимо от того, по какому интерфейсу пакет покидает маршрутизатор.
С помощью команды logging host направьте контрольные сообщения серверу syslog.
Посредством команды logging on активизируйте создание контрольных сообщений.
С помощью команды service timestamps {log | debug} datetime [msec] [localtime] [show-timezone] укажите необходимость добавления к контрольным записям меток времени.
В примере 7.7 показан вариант настройки параметров регистрации событий периметра.
service timestamps log datetime msec
service timestamps debug datetime msec
logging trap informational
logging source-interface FastEthernet 0
logging 192.168.1.10
logging on
Perimeter11 show logging
Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)
Console logging: level informational, 0 messages logged
Monitor logging: level informational, 0 messages logged
Buffer logging: disabled
Trap logging: level informational, 4583 message lines logged
Logging to 192.168.1.10, 4038 message lines logged
В этом примере сообщения о регистрации событий направляются брандмауэру PIX Firewall с глобальным адресом 192.168.1.10, который статически отображается в IP- адрес 10.1.1.4 сервера syslog внутренней сети.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Программное обеспечение Cisco IOS Software предлагает мощные средства защиты периметра и набор возможностей брандмауэра. Эти средства постоянно совершенствуются.
Cisco IOS Software содержит множество общих и интерфейсных команд, которые можно использовать при управлении сервисами TCP/IP с целью повышения сопротивляемости системы атакам разведки и удаленного доступа.
Можно использовать маршрутизатор периметра для защиты против атак блокирования сервиса, фильтруя входящий и исходящий трафики, чтобы не допустить фальсификации IP-адресов, ограничивая скорость обмена для защиты от лавинных атак ICMP и применяя средства TCP-перехвата для защиты от лавинных атак SYN.
Шифрование сетевого уровня с помощью средств СЕТ и поддержка IPSec в маршрутизаторах Cisco позволяют обеспечить защиту связи между маршрутизаторами периметра от прослушивания и хищения информации, а также от атак, связанных с манипуляцией данными.
Можно обеспечить защиту от атак изменения маршрутизации, используя маршруты по умолчанию или статические маршруты, контролируя возможности объявления параметров маршрутизации и применяя средства аутентификации маршрутов, предлагаемые протоколами маршрутизации.
Списки доступа Cisco IOS Software являются мощным и гибким средством реализации политики сетевой защиты. Списки доступа можно использовать для фильтрации пакетов и контроля входящего и исходящего трафиков.
Защита типа замка предлагает возможность динамической конфигурации списков доступа после аутентификации пользователя, тем самым обеспечивая защищенный доступ удаленных пользователей.
Средства NAT расширяют возможности использования официально зарегистрированных IP-адресов и позволяют скрыть внутренние сетевые адреса от внешних наблюдателей в Internet.
Средства РАТ расширяют возможности использования имеющихся соединений с Internet и позволяют скрыть внутренние сетевые адреса от внешних наблюдателей в Internet.
Необходимо направлять серверу syslog информацию о всех событиях маршрутизатора периметра, чтобы вовремя обнаруживать атаки против системы защиты периметра и иметь возможность анализировать их.
Практическое занятие. Настройка маршрутизатора периметра Cisco
Это практическое занятие иллюстрирует вариант настройки маршрутизатора периметра в сети гипотетической компании XYZ. Рассмотрите план практического занятия, изучите топологию соответствующей части сети и политику защиты, а затем про-
анализируйте пример конфигурации, чтобы увидеть, как элементы политики защиты реализуются в терминах команд настройки маршрутизатора периметра.
План практического занятия
Компания XYZ ставит перед вами задачу настроить маршрутизатор Cisco на выполнение функций маршрутизатора периметра и создание ДМ3. Компания XYZ для своей сети предлагает реализовать умеренно ограничивающую политику защиты.
Топология
На рис. 7.7 показана схема части сети компании XYZ, которая будет рассматриваться в ходе этого занятия. Основным элементом здесь будет маршрутизатор периметра.
Линияс ретрансляциейкадров (Internet)
172.16.2.1/30172.16.2.1/30Сервер NT: FTP, HTTP, служба сертификации 192.168.255.2/24Сервер NT: FTP, HTTP, служба сертификации 192.168.255.2/24Маршрутизатор периметра, узел 2Маршрутизатор периметра, узел 2172.16.1.1/30172.16.1.1/30192.168.1.0/24192.168.1.0/24Маршрутизатор периметраМаршрутизатор периметра."Грязная" ДМ3."Грязная" ДМ3Бастионный хост: серверWeb сервер FTPБастионный хост: серверWeb сервер FTPБастионный хост: шлюз электронной почтыБастионный хост: шлюз электронной почтыВнешний .1Внешний .1192.168.11.0/24192.168.11.0/24Внутренний .3Внутренний .3.1ДМЗ.1ДМЗЗащищенная ДМ3 .3Защищенная ДМ3 .3Система Windows NTСистема Windows NTСервер сетевого доступаСервер сетевого доступаУдаленный доступ сети сбытаУдаленный доступ сети сбыта10.1.2.1/2410.1.2.1/24ТесоТесо1001100110.1.2.210.1.2.10/2410.1.2.210.1.2.10/2410.1.1.0/2410.1.1.0/24.1.1Бастионный хост: сервер Web сервер FTP исБастионный хост: сервер Web сервер FTP ис.4.4ЖГзСервер NT:CiscoSecure NT,ЖГзСервер NT:CiscoSecure NT,информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, серверы Syslog иTFTPинформационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, серверы Syslog иTFTP
172.16.2.1/30
172.16.2.1/30
Сервер NT: FTP, HTTP, служба сертификации 192.168.255.2/24
Сервер NT: FTP, HTTP, служба сертификации 192.168.255.2/24
Маршрутизатор периметра, узел 2
Маршрутизатор периметра, узел 2
172.16.1.1/30
172.16.1.1/30
192.168.1.0/24
192.168.1.0/24
Маршрутизатор периметра
Маршрутизатор периметра
."Грязная" ДМ3
."Грязная" ДМ3
Бастионный хост: серверWeb сервер FTP
Бастионный хост: серверWeb сервер FTP
Бастионный хост: шлюз электронной почты
Бастионный хост: шлюз электронной почты
Внешний .1
Внешний .1
192.168.11.0/24
192.168.11.0/24
Внутренний .3
Внутренний .3
.1ДМЗ
.1ДМЗ
Защищенная ДМ3 .3
Защищенная ДМ3 .3
Система Windows NT
Система Windows NT
Сервер сетевого доступа
Сервер сетевого доступа
Удаленный доступ сети сбыта
Удаленный доступ сети сбыта
10.1.2.1/24
10.1.2.1/24
Тесо
Тесо
1001
1001
10.1.2.2
10.1.2.10/24
10.1.2.2
10.1.2.10/24
10.1.1.0/24
10.1.1.0/24
.1
.1
Бастионный хост: сервер Web сервер FTP ис
Бастионный хост: сервер Web сервер FTP ис
.4
.4
ЖГз
Сервер NT:CiscoSecure NT,
ЖГз
Сервер NT:CiscoSecure NT,
информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, серверы Syslog иTFTP
информационный Internet-сервер FTP и Web, диспетчерзащиты Cisco, серверы Syslog иTFTP
Рис. 7.7. Маршрутизатор периметра кампании XYZ, управляющий сетевым доступом
Политика сетевой защиты
Умеренно ограничивающая политика сетевой защиты, которую стремится реализовать компания XYZ, заключается в следующем.
Управление сервисами TCP/IP.
Защита предоставляемых сервисов с помощью команд Cisco IOS Software.
Управление доступом Admin (средства администрирования).
Разрешение доступа Telnet к маршрутизатору периметра только с сервера Windows NT внутренней сети.
Запрет доступа SNMP из Internet к сети компании XYZ.
Аутентификация сеансов Telnet с помощью учетных записей имен и паролей, хранимых в локальной базе данных защиты маршрутизатора периметра.
Регистрация в сервере syslog всех попыток доступа Admin.
Защита от фальсификации адресов источника.
Запрет входящего трафика IP с адресами источника из ДМ3 или внутренней сети.
Запрет исходящего трафика IP с адресами источника, соответствующими внутренним адресам территориальной сети.
Запрет движения пакетов с адресами источника, соответствующими локальным хостам, широковещательным или групповым адресам.
Запрет движения пакетов без адреса источника.
Контроль входящего трафика.
Разрешение входящего трафика TCP в рамках уже установленных сеансов TCP.
Разрешение трафика SMTP к шлюзу электронной почты в бастионном узле.
Разрешение трафика HTTP только к серверу Web в бастионном узле.
Разрешение трафика SHTTP только к серверу Web в бастионном узле.
Разрешение трафика FTP только к серверу FTP в бастионном узле.
Разрешение трафика FTP к портам с номерами 1024 и выше на FTP-сервере в бастионном узле.
Разрешение запросов DNS к серверу DNS в бастионном узле.
Разрешение трафика NNTP (Network News Transfer Protocol — сетевой протокол передачи новостей) и NTP (Network Time Protocol — синхронизирующий сетевой протокол) от зарегистрированных серверов к бастионному узлу.
Запрет всех остальных входящих потоков, для которых нет специального разрешения.
Регистрация информации обо всех запрещенных соединениях в сервере syslog.
Контроль доступа ping.
Запрет прямого доступа (ping и Telnet) ко внешнему интерфейсу брандмауэра PIX Firewall.
Разрешение входящих запросов ping к внешнему интерфейсу маршрутизатора периметра только от главного узла поставщика услуг Internet.
Регистрация событий маршрутизатора периметра.
Направление вывода сообщений о регистрации маршрутизатора периметра внутреннему серверу syslog на сервере NT.
Регистрация всех событий маршрутизатора периметра в сервере syslog.
Использование штампов времени для сообщений протокола и отладки.
Контроль доступа к маршрутизатору с консоли, портов aux и линий vty.
Пример конфигурации маршрутизатора периметра
Рассмотрим вариант конфигурации маршрутизатора периметра сети компании XYZ, показанный в примере 7.8. В этом примере реализуются элементы политики зашиты, связанные с системой защиты периметра. Здесь предложена одна из возможных конфигураций маршрутизатора, реализующих описанную политику защиты. Обратите внимание на то, что листинг содержит комментарии, поясняющие связь команд маршрутизатора с соответствующими требованиями политики защиты. Команды, не имеющие отношения к рассматриваемому вопросу, были из листинга удалены Данная конфигурация соответствует маршрутизатору Cisco 1720.
Current configuration: !version 12.0
l Установка штампов времени для сообщений протокола и отладки service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone no service password-encryption
l Контроль сервисов TCP/IP
no service udp-small-servers
no service top-small-servers
hostname Perimeterl ।
logging buffered 4096 debugging
no logging console !
I Аутентификация сеансов Telnet с помощью имен пользователей и паролей ! в локальной базе данных защиты маршрутизатора периметра ааа new-model
ааа authentication local-override
ааа authentication login no_tacacs enable
ааа authentication login default local i
user-name student password 0 cisco
memory-size iomem 25
clock timezone PST -8
clock summer-time zone recurring
ip subnet-zero
! Контроль сервисов TCP/IP
no ip source-route
no ip finger
ip tcp selective-ack
ip tcp path-mtu-discovery
no ip domain-lookup ।
no ip bootp server
i
interface SerialO
ip address 172.16.1.1 255.255.255.252
ip access-group 101 in
! Контроль сервисов TCP/IP
no ip redirects
no ip unreachables
no ip directed-broadcast
no ip proxy-arp
encapsulation frame-relay
no ip route-cache
no ip mroute-cache
frame-relay Imi-type Cisco ।
interface Seriall
no ip address
no ip directed-broadcast
shutdown
interface FastEthernetO
ip address 192.168.1.2 255.255.255.0
ip access-group 102 in
! Контроль сервисов TCP/IP
no ip redirects
no ip unreachables
no ip directed-broadcast
no ip proxy-arp
no ip route-cache
no ip mroute-cache ।
ip classless
! Статические маршруты к маршрутизатору провайдера
ip route 0.0.0.0 0.0.0.0 192.168.255.4
! Контроль сервисов TCP/IP
no ip http server
! Регистрация в сервере syslog всех событий маршрутизатора периметра
logging trap debugging
! Отправка записей о регистрации маршрутизатора периметра внутреннему серверу syslog
! на сервере NT. Адрес 10.1.1.4 сервера syslog статически отображается в 192.168.1.10
! брандмауэром FIX Firewall
logging source-interface FastEthernetO
logging 192.168.1.10
! Разрежение доступа Telnet к маршрутизатору периметра только с сервера Windows NT
! внутренней сети
access-list 1 permit 192.168.1.10
! Фильтрация входящего
потока с целью
выявления фальсифицированных и недопустимых адресов
access-list
101 deny
ip 127.0.0.0
0.255.255.255
any log
access-list
101 deny
ip 255.0.0.0
0.255.255.255
any log
access-list
101 deny
ip 224.0.0.0
7.255.255.255
any log
access-list
101 deny
ip host 0.0.0.0 any log
1 Запрет входящего трафика IP с адресами источника из ДМ3 и внутренней сети access-list 101 deny ip 192.168.1.0 0.0.0.255 any log access-list 101 deny ip 10.0.0.0 0.255.255.255 any log access-list 101 deny udp any any eq snmp
! Разрежение входящего трафика TCP уже установленных сеансов TCP
access-list 101 permit tcp any 192.168.1.0 0.0.0.255 established
! Разрежение трафика SMTP к жлюэу электронной почты в бастионном узле защищенной ДМ3
access-list 101 permit top any host 192.168.1.4 eq smtp
! Разрежение трафика HTTP только к серверу Web в бастионном узле
1 Порт 444 является портом HTTPS
access-list 101permittcpanyhost192.168.1.3eqww
access-list 101permittcpanyhost192.168.1.3eq443
1 Разрежение трафика FTP только к серверу FTP в бастионном узле access-list 101permittcpanyhost192.168.1.3eqftp
access-list 101permittcpanyhost192.168.1.3eqftp-data
I Разрежение трафика FTP к портам с номерами 1024 и выже на сервере FTP
1 в бастионном узле
access-list 101 permit tcp any host 192.168.1.3 gt 1023
1 Разрежение пропускать ответы на запросы отклика ICMP к хостам и сетевым устройствам XYZ access-list 101 permit icmp any 192.168.1.0 0.0.0.255 echo-reply access-list 101 permit icmp any host 172.16.1.1 echo-reply
1 Разрежение входящих запросов к внежнему интерфейсу маржрутнэатора периметра только
1 для хоста поставщика услуг Internet
access-list 101 permit icmp host 192.168.255.2 host 172.16.1.1 echo
1 Разрежение DNS-эапросов к серверу DNS в бастионном узле access-list 101 permit udp any host 192.168.1.3 eq domain ! Разрежение трафика NNTP и NTP к бастионному узлу access-list 101 permit tcp host 192.168.255.2 host 192.168.1.3 eq nntp access-list 101 permit udp host 192.168.255.2 host 192.168.1.3 eq ntp
1 Запрет прямого доступа (ping и Telnet) к внежнему интерфейсу брандмауэра PIX access-list 101 deny icmp any host 192.168.1.1 echo log access-list 101 deny tcp any host 192.168.1.1 eq telnet log
1 Запрет прямого доступа Telnet к маржрутнэатору периметра access list 101 denytop any host 172.16.1.1 eq telnet log
access-list 101 denytop any host 192.168.1.2 eq telnet log
! Запрет всех остальных входящих потоков, для которых нет специального разрежения 1 Регистрация информации о всех запрещенных соединениях в сервере syslog
access list 101 deny ip any any log
I Запрет исходящего трафика IP с адресами источника, соответствующими внутренним
1 адресам территориальной сети
access list 102 permit ip 192.168.1.0 0.0.0.255 any
access-list 102 deny ip any any log
Контроль сервисов TCP/IP
no cdp run
i
line con 0
exec-timeout 0 0
logging synchronous
login local
transport input none
line aux 0
no exec
login local
line vty 0 4
access-class 1 in
login local
end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Сформулируйте три задачи системы защиты периметра.
Укажите компоненты, из которых состоит система защиты периметра, и кратко опишите функции, которые эти компоненты должны выполнять.
Какие задачи выполняет маршрутизатор периметра Cisco?
Где и с какой целью используется команда ip route 0.0.0.0 0.0.0.0 172.16.100.2 в системе защиты периметра?
Какие команды Cisco IOS Software следует использовать для управления сервисами TCP/IP в маршрутизаторе периметра, чтобы блокировать запросы отклика и finger из Internet?
Какие команды Cisco IOS Software можно использовать для того, чтобы не допустить использования маршрутизатора периметра в качестве широковещательного усилителя в распределенных атаках блокирования сервиса?
Какие адреса следует фильтровать во входящем трафике маршрутизатора периметра, чтобы обеспечить защиту от атак фальсификации IP-адресов?
Какие списки доступа используются для защиты типа замка?
Назовите шесть команд, которые следует использовать для настройки динамических средств NAT в маршрутизаторе периметра.
Почему важно регистрировать события маршрутизатора периметра в сервере syslog?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, и поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Общие вопросы защиты периметра
Chapman and Zwicky. Building Internet Firewalls. O’Reilly Publishing, 1995. Предлагает всестороннее освещение вопросов построения системы брандмауэра для защиты периметра сети.
Rubin, Geer and Ranum. Web Security Sourcebook., John Wiley, 1997.
Simson, Garfinkel and Spaffbrd. Practical UNIX and Internet Security. Second Edition, O’Reilly & Associates, 1996.
Simson, Garfinkel and Spafibrd. Web Security and Commerce. O’Reilly & Associates, 1997.
Cisco IOS Firewall
Web-страница Cisco co списком ссылок, касающихся брандмауэров Cisco IOS Firewall, размещается по адресу: www.cisco.com/warp/public/cc/cisco/mkt/security/iosfw/prodlit/flre_ds.htm.
Сводка данных Cisco Secure Integrated Software предлагает подробный обзор возможностей Cisco IOS Firewall по адресу: www.cisco.com/warp/public/cc/pd/iosw/ioft/iofwft/ prodlit/flre_ds .htm.
Подборка фактов, касающихся маршрутизаторов Cisco 1605-R Dual Ethernet Router и брандмауэров Cisco IOS Firewall, размещается по адресу: www.cisco.com/warp/ public/cc/cisco/mkt/access/1600/index.shtml.
Защита от блокирования сервиса и фильтрация пакетов
“The Cisco IOS TCP Intercept Product Bulletin number 576”, бюллетень продуктов Cisco, описывающий возможности TCP-перехвата, размещается по адресу: www.cisco.com/ warp/public/cc/cisco/rnkt/ios/rel/prodlit/576_pp.htm.
“Improving Security on Cisco Routers”, неформальное обсуждение некоторых параметров конфигурации маршрутизаторов границы сети Cisco, которые следует использовать сетевым администраторам для усиления защиты, находится по адресу: www. cisco, com/warp/public/707/21. htm it self-flood.
RFC 2827. Ferguson P. and Senie D. Network Ingress Filtering: Defeating Denial of Service Attacks Which Employ IP Source Address Spoofing, май 2000 г.; размещается по адресу: www. ietf. org/rfc/rfc2827. txt.
“Security Technical Tips: Internetworking”, страница с практическими советами по защите межсетевого взаимодействия, которая поддерживается инженерами Центра технической помощи Cisco, чтобы помочь при разрешении проблем защиты межсетевого взаимодействия; размещается по адресу: www.cisco.com/warp/public/707/.
“Strategies to Protect Against Distributed Denial of Service (DDoS) Attacks”, Белая книга Cisco от 17 февраля 2000 г.; размещается по адресу: www.cisco.com/warp/public/ 707/newsnash.html#overview.
Средства NAT и PAT
Раздел “Configuring Network Address Translation” главы “Configuring IP Addressing” руководства Cisco IOS IP and IP Routing Configuration Guide, Release 12.1.
Почтовые списки защиты
Academic Firewalls. Отправьте запрос на подписку по адресу: majordomo@net.tamu.edu.
CERT Advisories. Отправьте запрос на подписку по адресу: cert-advisory-request@cert.org.
Firewalls Digest List. Отправьте запрос на подписку по адресу: www.gnac.net/firewalls.
Intrusion Detection Systems (IDS). Отправьте запрос на подписку по адресу: majordomo @uow. edu.au.
The RISKS Forum. Отправьте запрос на подписку по адресу: risks-request@csl.sri.com.
Глава
8
Настройка Cisco IOS Firewall
После
м
3
a
шения
и и
е р
для воз оп
к с
фрастр
уднико
жность
еле
тобы зашит
олученн
го занятия
от атак на
на осн
ВО З МО»
омо
3
о
ние д
енятьс
предуп
мен
Р
омп
едует
ной главе описываются возможности брандмауэра Cisco IOS Firewall, извест- как CiscoSecure Integrated Software (CSIS). Возможности Cisco IOS Firewall собой средства защиты, предлагаемые в рамках программного обеспече- Software; они включают в себя функциональные возможности бранд- обнаружения вторжений для периметра сети, расширяющие воз- i Cisco IOS Software.
зора соответствующего процесса настройки основные его шаги будут на примерах. Для проверки конфигурации брандмауэра Cisco IOS Aoi команды отладки, которые также представлены в этой главе.
нимание уделяется средствам СВАС (Context-Based Access Control — управле-
контекста) брандмауэра Cisco IOS Firewall. Здесь представлен й настройки СВАС и рассмотрено приложение ConfigMaker, ра настройки политики защиты Cisco IOS Firewall.
Cisco IOS Firewall вы сможете закрепить в ходе практиче- настройку средств защиты сети гипотетической компании м уровне.
ты Cisco IOS Firewall
ториальной сети, как правило, предполагает выход в Internet вающего персонала предприятия, но нарушителям это дает етевые ресурсы компании, если сетевая политика защиты не вана должным образом. Они могут пытаться получить доступ
препятствовать бизнесу посредством мобильного кода в виде аплетов Java
блокирова
сервиса.
от таких атак сегодня и не допустить их в будущем, необходимо фильтрации пакетов на прикладном уровне и использовать систе- их извещений об опасности, работающую в реальном масштабе
обходимо обеспечить более сильную защиту без дополнительных ап- в, для этого можно использовать брандмауэр Cisco IOS Firewall. Глав- том этого брандмауэра являются средства СВАС, которые в этом случае енять в маршрутизаторах периметра.
Как уже говорилось в предыдущих главах, конфигурация средств защиты и соответствующая политика должны соответствовать потенциальным угрозам. Например, для блокирования опасных аплетов необходимо соответствующим образом настроить средства СВАС, а для контроля превышения пороговых значений активности потребления сетевых ресурсов следует осуществлять мониторинг предупреждающих извещений с помощью средств Cisco IOS Firewall.
Внимание!
Средства СВАС работают с IPSec только в том случае, если они применяются в конечных маршрутизаторах, использующих IPSec, поскольку система СВАС проверяет только пакеты TCP и UDP, а номер протокола в IP-заголовке пакета IPSec не соответствует ни TCP, ни UDP.
Конфигурация Cisco IOS Firewall
Брандмауэр Cisco IOS Firewall призван обеспечить доступ к сетевым ресурсам легальным пользователям, запретить доступ к внутренней сети внешним несанкционированным объектам и защититься от сетевых атак. Средства Cisco IOS Firewall позволяют настроить маршрутизатор на выполнение функций брандмауэра Internet, брандмауэра между группами узлов внутренней сети или между сетью компании и сетями партнеров.
Средства Cisco IOS Firewall предлагают широкие возможности защиты, позволяющие обеспечить безопасность сети. В дополнение к средствам СВАС, еще одним ключевым компонентом Cisco IOS Firewall является система обнаружения вторжений. Оба компонента подробно обсуждаются в этой главе.
Возможности Cisco IOS Firewall
Средства Cisco IOS Firewall обеспечивают интегрированные функциональные возможности брандмауэра для сетей Cisco и усиливают защиту маршрутизаторов Cisco. Основные возможности Cisco IOS Firewall представлены ниже.
Система СВАС (управление доступом на основе контекста). Обеспечивает внутренним пользователям безопасность доступа к сети посредством контроля всего трафика на прикладном уровне по всему периметру (например, между частной сетью предприятия и Internet).
Система обнаружения вторжений. Обеспечивает мониторинг состояния сети в реальном масштабе времени, а также реакцию на неправильное использование ее ресурсов, применяя для этого информацию об известных типах сетевых атак и сигнатуры, характеризующие вторжение.
Опосредованная аутентификация (proxy). Динамическая аутентификация и авторизация пользователей при внутрисетевых и удаленных подключениях. Соответствующие процедуры основываются на использовании протоколов аутентификации TACACS+ и RADIUS, являющихся отраслевыми стандартами. Сетевые администраторы получают при этом возможность применять индивидуальную политику защиты в отношении каждого пользователя.
Обнаружение атак блокирования сервиса и защита от них. Защита ресурсов маршрутизатора от известных типов атак. Проверка заголовков пакетов, запрет прохождения подозрительных пакетов.
Динамическое отображение портов. Позволяет сетевым администраторам использовать поддерживающие СВАС приложения с нестандартными портами.
Блокирование аплетов Java. Защита от неопознанных и подозрительных аплетов Java.
Виртуальные частные сеги (VPN), шифрование IPSec и поддержка QoS. Использование средств шифрования Cisco IOS Software, создание туннелей и поддержка возможностей QoS (Quality of Service — качество обслуживания; показатель эффективности системы передачи данных, обеспечивающий заданное качество обслуживания приложений) для защиты сетей VPN. Обеспечивают создание масштабируемых шифрованных туннелей в маршрутизаторе с сохранением надежности зашиты периметра, а также представляют расширенные возможности управления пропускной способностью, обнаружения вторжений и контроля на уровне сервисов. Основаны на стандартах, обеспечивающих взаимодействие сетей.
Предупреждающие извещения в реальном масштабе времени. Сообщения об атаках блокирования сервиса и других предусмотренных конфигурацией событиях. Могут быть настроены для каждого приложения в отдельности на уровне его возможностей.
Записи аудита. Регистрация подробной информации о транзакциях. Соответствующие записи содержат штампы времени, адреса хостов источника и адресата, номера портов, информацию о продолжительности существования соединения и общем количестве переданных байтов. Могут быть настроены для каждого приложения в отдельности на уровне его возможностей.
Регистрация событий. Помогает обнаруживать возможные бреши в системе защиты и нестандартные действия пользователей в режиме реального времени. Администратор сети может направить сообщения о системных ошибках на консольный терминал или сервер syslog, установить степень их серьезности и другие параметры.
Управление брандмауэром. Мастер конфигурации сети, под руководством которого можно выполнить пошаговое изменение структуры сети и адресации, а также настроек Cisco IOS Firewall.
Защита конфигурации политики защиты. Доступна на маршрутизаторах Cisco 1600, 1720, 2500, 2600 и 3600. Поддерживается также конфигурация средств NAT и IPSec.
Интеграция с Cisco IOS Software. Взаимодействие со средствами Cisco IOS с целью реализации интегрированной политики защиты сети.
Базовые и расширенные средства фильтрации трафика. Стандартные и расширенные списки управления доступом. Применение средств управления доступом к определенным сегментам сети и определение трафика, которому разрешается движение через эти сегменты. Динамические списки управления доступом с возможностями защиты типа замка позволяют временный доступ через брандмауэры на основе результатов аутентификации пользователя (по имени и паролю).
Поддержка множества интерфейсов в соответствии с политикой защиты. Позволяет управлять доступом пользователей на основе контроля IP-адресов и интерфейсов в соответствии с политикой защиты.
Возможности резервирования и автоматическое исправление ошибок. Автоматическое направление трафика к резервному маршрутизатору при отказе основного.
Трансляция сетевых адресов (NAT). Скрывает структуру внутренней сети от внешних наблюдателей с целью усиления защиты.
Зависящие от времени списки доступа. Изменение политики защиты в зависимости от времени суток и дня недели.
Аутентификация соседних маршрутизаторов. Гарантирует надежность информации о маршрутизации, получаемой маршрутизатором.
Обнаружение вторжений
Система обнаружения вторжений Cisco IOS Firewall действует, как встроенный датчик выявления вторжений, осуществляя наблюдение за пакетами и другими данными сеансов связи по мере их движения через маршрутизатор. Целью является своевременное выявление известных сигнатур вторжения. Если обнаруживаются подозрительные действия, система реагирует на них до того, как будет взломана защита сети, и регистрирует соответствующее событие с помощью средств syslog. Администратор сети может настроить систему обнаружения вторжений на соответствующий ответ для каждой известной угрозы.
Система обнаружения вторжений брандмауэра Cisco IOS Firewall распознает 59 типов наиболее известных атак, используя для этого сигнатуры вторжения, т.е. характеристики особенностей сетевого трафика. Сигнатуры вторжения, применяемые системой обнаружения вторжений Cisco IOS Firewall, были выбраны на основе анализа большого числа известных сигнатур вторжения. Описания некоторых из них показаны в табл. 8.1.
Таблица 8.1. Примеры сигнатур вторжения, используемых брандмауэром
Идентификатор Короткий Описание
сигнатуры
заголовок
3045
Queso Sweep
Эта сигнатура позволяет обнаружить сообщения Fin, SynFin или Push, отправляемые с одного конкретного хоста на другой
3450
Finger Bomb
Данная сигнатура позволяет обнаружить атаки блокирования сервера finger, в ходе которых ему направляются запросы, содержащие множество символов @ (при поддержке ретрансляции запросов поток символов @ заставляет сервер рекурсивно вызвать себя и напрасно расходовать системные ресурсы)
4053
Back Orifice
Создает люк в Windows 95/98, позволяющий удаленному нарушителю контролировать компьютер через соединение TCP/IP с помощью простого консольного приложения или графического интерфейса
4600
IOS UDP Bomb
Некоторые системы Cisco IOS не способны обработать UDP-пакеты, связанные с портом 514 и не содержащие данных (получив такой пакет, маршрутизатор зависает или перезагружается)
Система обнаружения вторжений брандмауэра Cisco IOS Firewall доступна не на всех маршрутизаторах. Ее поддерживают маршрутизаторы серий 2600, 3600, 7100 и 7200.
Список и полное описание всех сигнатур вторжений Cisco IOS Firewall можно найти в документации Cisco IOS Firewall; самый последний вариант представлен на Web-странице Cisco, размещенной по адресу: www.cisco.com.
Подготовка Cisco IOS Firewall
Чтобы добиться максимальной отдачи от средств защиты Cisco IOS Firewall, необходимо сделать следующее.
Выбрать подходящий сервер защиты. Система Cisco IOS Firewall может выступать в качестве клиента сервера защиты TACACS +, RADIUS или Kerberos.
Определить, какие типы списков доступа и где следует использовать. Система Cisco IOS Firewall допускает работу со стандартными, динамическими, расширенными, статическими и рефлексивными списками доступа.
Решить, использовать ли СВАС. Средства СВАС доступны только в рамках Cisco IOS Firewall. При использовании СВАС не применяйте рефлексивные списки доступа, средства WebSense и ТСР-перехват.
Решить, использовать ли NAT. Возможности Cisco IOS Firewall допускают применение NAT (трансляция сетевых адресов). Средства NAT не работают с протоколами прикладного уровня RPC, VDOLive и SQL*Net Redirected (но работают с SQL*Net Bequeathed).
Решить, использовать ли ТСР-перехват. Если вы решите применить ТСР- перехват (программное средство защиты от синхронных атак с помощью перехвата и проверки запросов установки TCP-соединений), не используйте его одновременно с СВАС.
Решить, использовать ли шифрование. Система Cisco IOS Firewall допускает применение средств шифрования СЕТ (Cisco Encryption Technology — технология шифрования Cisco) и IPSec.
Функционирование СВАС
Средства СВАС позволяют создавать временные “проходы” в списках доступа интерфейсов брандмауэра для определенных потоков, покидающих внутреннюю сеть через брандмауэр. Такие проходы используются затем для принятия возвращенных данных (которые обычно не пропускаются брандмауэром) и создания соответствующих дополнительных каналов для связи с внутренней сетью через брандмауэр. Средства СВАС разрешают создание таких каналов только в рамках уже существующего сеанса, открытого по запросу исходного трафика, инициировавшего СВАС при выходе из сети через брандмауэр.
На рис. 8.1 показана схема функционирования СВАС. При этом выполняются следующие действия.
Пользователь инициирует начало сеанса Telnet.
Система СВАС разрешает обратный поток данных, возвращаемых пользователем в рамках установленного сеанса Telnet.
Система СВАС блокирует любые другие попытки установить внешний трафик Telnet.
На рис. 8.1 показан сеанс Telnet, но система СВАС может контролировать и одноканальный режим или (что происходит чаще всего) протоколы TCP и UDP.
Система СВАС может проверять следующие протоколы прикладного уровня:
CU-SeeMe (только в версии White Pine);
FTP;
Н.323 (например, NetMeeting и ProShare);
HTTP (блокирование Java);
_использующий СВАСВнешние сеансы_использующий СВАСВнешние сеансыСеанс Telnet пользователя 1Сеанс Telnet пользователя 1Telnet блокируютсяTelnet блокируются
_использующий СВАС
Внешние сеансы
_использующий СВАС
Внешние сеансы
Сеанс Telnet пользователя 1
Сеанс Telnet пользователя 1
Telnet блокируются
Telnet блокируются
Пользователь 1Пользователь 1Ответ пользователя 1 в рамкахсозданного сеанса Telnet
Пользователь 1
Пользователь 1
Рис. 8.1. Система СВАС в действии
Java;
Microsoft NetShow;
команды г UNIX (например, rlogin, гехес и rsh)
RealAudio;
RPC (Sun RPC, но не DCE RPC);
Microsoft RPC;
SMTP
SQL*Net;
StreamWorks;
TFTP;
VDOLive.
При проверке протокола система СВАС инспектирует все пакеты в рамках этого протокола и генерирует информацию о соответствующем состоянии. Обратно через брандмауэр принимаются только пакеты, пересылаемые в рамках уже установленного сеанса.
Ограничения СВАС
Для совместимости с другими технологиями система СВАС предполагает следующие ограничения.
Средства СВАС доступны только для трафика IP. Проверяются только пакеты TCP и UDP. Другие потоки данных IP (например, ICMP) средствами СВАС не проверяются и должны фильтроваться списками доступа.
Изменяя конфигурацию списков доступа при настройке СВАС, не забывайте о том, что если списки доступа блокируют трафик ТЕТР в рамках некоторого интерфейса, то вы не сможете выполнить сетевую перезагрузку по этому интерфейсу (это не ограничение СВАС, а функциональная особенность списков доступа).
Пакеты, адресом источника или назначения которых является хост СВАС, не проверяются с помощью средств СВАС и списков доступа.
Система СВАС игнорирует ICMP-сообщения Unreachable (недоступен).
Система СВАС не позволяет трехстороннюю передачу FTP (подключение третьей стороны в рамках FTP).
При проверке трафика FTP средствами СВАС разрешается создавать только каналы с номерами портов назначения 1024-65535.
Система СВАС не откроет канал, если аутентификация клиента/сервера FTP завершится аварийно.
Совместимость СЕТ и СВАС предполагает следующее:
если обмен данными между двумя маршрутизаторами осуществляется через брандмауэр, использующий СВАС, и трафик между маршрутизаторами шифруется, то система СВАС не сможет правильно обработать шифрованные данные пакетов;
если в брандмауэре одновременно применяется шифрование СЕТ и СВАС, используйте СВАС только для протоколов TCP и UDP, CU-SeeMe или StreamWorks.
Совместимость IPSec и СВАС предполагает следующее:
при одновременном использовании в маршрутизаторе средств СВАС и IPSec, если брандмауэр маршрутизатора является конечной точкой трафика IPSec, средства IPSec оказываются совместимыми с СВАС (т.е. система СВАС способна правильно выполнить проверку потока данных);
если маршрутизатор не является конечной точкой IPSec, система СВАС не будет проверять пакеты IPSec, поскольку номер протокола в IP-заголовке пакета IPSec не соответствует TCP или UDP (система СВАС проверяет только пакеты TCP и UDP).
Таким образом, средства IPSec и СВАС могут сосуществовать в маршрутизаторе периметра, если проверка пакетов выполняется в рамках внутреннего интерфейса, а шифрование осуществляется внешним интерфейсом, поскольку в этом случае проверка выполняется для незашифрованного трафика.
Память и производительность СВАС
Требования системы СВАС к памяти и ее производительность зависят от следующих параметров.
СВАС использует по 600 байт памяти на каждое соединение.
СВАС потребляет часть ресурсов процессора для проверки пакетов.
СВАС потребляет незначительную часть ресурсов процессора для проверки списков доступа ввиду эффективной схемы хранения списков доступа (предполагающей их хэширование и оценку хэшированных значений).
Настройка СВАС
В этом разделе описан процесс настройки СВАС. Система СВАС предлагает достаточно широкие возможности проверки трафика и может стать неотъемлемой частью брандмауэра сети. Примеры конфигурации, предлагаемые в этой главе, соответствуют структуре сети, представленной в разделе практического занятия.
В процессе настройки средств СВАС в маршрутизаторах Cisco выполняются следующие шаги.
Шаг 1. Выбор интерфейса. Можно разместить средства СВАС на внутреннем или внешнем интерфейсе брандмауэра. Система СВАС блокирует попытки установить сеансы связи извне. Если в том же маршрутизаторе периметра применяется шифрование, то конечной точкой шифрования должен быть внешний интерфейс, а средства СВАС должны проверять трафик на внутреннем интерфейсе.
Шаг 2. Настройка списков доступа IP для интерфейса. Необходимо использовать расширенный список доступа. Убедитесь в том, что список доступа допускает трафик, который должен проверяться средствами СВАС. Если сервис брандмауэра имеет только два соединения — внутреннее и внешнее — используйте входные списки доступа, чтобы остановить пакеты до того, как они получат возможность воздействовать на систему маршрутизатора. Список доступа для исходящего трафика (предназначенного для отправки в Internet) должен допускать трафик, проверенный с помощью СВАС.
Шаг 3. Установка глобальных пороговых значений. Глобальные ограничения времени и другие пороговые значения задают предельную длительность сопровождения сеанса, а также условия его прекращения, если процесс установки сеанса остается незавершенным. Применяются глобально ко всем сеансам.
Шаг 4. Выбор правила проверки. Правило проверки определяет, какие данные IP (т.е. какие протоколы прикладного уровня) будут проверяться средствами СВАС. Это правило указывает все протоколы прикладного уровня, которые необходимо будет проверить, а также стандартные TCP и UDP.
Шаг 5. Применение правила проверки к интерфейсу. Для внешнего интерфейса используйте правила исходящего трафика, а для внутреннего — входящего.
Шаг 6. Тестирование и контроль СВАС. Используйте show, debug и другие связанные с ■ ними команды для тестирования и контроля СВАС, а также для поиска и устранения неисправностей.
Шаг 1. Выбор интерфейса для СВАС
Необходимо решить, где разместить средства СВАС — на внутреннем или внешнем интерфейсе брандмауэра. Внутренним интерфейсом называется сторона, откуда должны устанавливаться сеансы, трафик которых пропускает или задерживает брандмауэр. Внешним интерфесом называется сторона, откуда сеансы устанавливаться не могут (попытки внешней стороны установить сеанс блокируются). Один порт (откуда устанавливаются сеансы) обозначим как внутренний, а другой — как внешний.
Чтобы система СВАС работала корректно, для соответствующего интерфейса нужно правильно настроить списки доступа IP. Для того чтобы список доступа допускал создание временных проходов, он должен быть расширенным. Для применения списков доступа к возвращенному трафику тоже требуются расширенные списки доступа. Не забывайте о том, что списки доступа для трафика, покидающего защищенную сеть, должны разрешать только поток данных, проверенных с помощью СВАС.
Если средства СВАС предполагается использовать в обоих направлениях, необходимо настроить СВАС сначала в одном направлении, используя для интерфейса соответствующие обозначения — “внутренний” или “внешний”. При настройке СВАС в другом направлении обозначения интерфейса соответственно меняются. (Система СВАС редко настраивается для применения в двух направлениях. Обычно это требуется, когда брандмауэр размещается между двумя сетями, нуждающимися в защите одна от другой, например между сетями бизнес- партнеров.)
Шаг 2. Настройка списков доступа IP для интерфейса
Для настройки средств СВАС на внешнем интерфейсе потребуется следующее.
Выходной список доступа IP на внешнем интерфейсе может быть стандартным или расширенным. Такой список доступа должен разрешать трафик, который вы собираетесь проверять с помощью СВАС. Если этот трафик запретить, он будет отвергнут независимо от СВАС.
Входной список доступа IP на внешнем интерфейсе должен быть расширенным. Такой список доступа должен запрещать трафик, который проверяется с помощью СВАС (средства СВАС создают временные проходы во входящем списке доступа, позволяющие только возвратный поток данных в рамках уже установленного сеанса).
На рис. 8.2 показана схема конфигурации внешнего интерфейса.
Возвратный трафик установленного изнутри сеанса разрешенВнешнийВозвратный трафик установленного изнутри сеанса разрешенВнешний
Возвратный трафик установленного изнутри сеанса разрешен
Внешний
Возвратный трафик установленного изнутри сеанса разрешен
Внешний
Рис. 8.2. Конфигурация внешнего интерфейса
При настройке средств СВАС на внутреннем интерфейсе необходимо учитывать следующее.
Входной список доступа IP на внутреннем интерфейсе и выходной список доступа на внешнем могут быть стандартными или расширенными. Они должны разрешать трафик, который вы собираетесь проверять с помощью средств СВАС. Если этот трафик запретить, он будет отвергнут независимо от СВАС.
Выходной список доступа IP на внутреннем интерфейсе и входной список доступа IP на внешнем должны быть расширенными. Выходные списки доступа должны запрещать трафик, который проверяется с помощью СВАС (средства СВАС создают временные проходы во входном списке доступа, позволяющие только возвратный поток данных в рамках уже установленного сеанса). Не обязательно сразу иметь расширенные списки доступа для выходного внутреннего интерфейса и входного внешнего интерфейса, но, по крайней мере, один такой список доступа необходим для ограничения трафика, идущего через брандмауэр во внутреннюю защищенную сеть.
На рис. 8.3 показана схема конфигурации внутреннего интерфейса.
Входящий трафикИсходящий трафикВходящий трафикИсходящий трафикРис. 8.3. Конфигурация внутреннего интерфейсаРис. 8.3. Конфигурация внутреннего интерфейса
Входящий трафик
Исходящий трафик
Входящий трафик
Исходящий трафик
Рис. 8.3. Конфигурация внутреннего интерфейса
Рис. 8.3. Конфигурация внутреннего интерфейса
Шаг 3. Установка глобальных пороговых значений
Система СВАС использует пороговые значения, чтобы знать, как долго нужно следить за состоянием сеанса и когда прекратить сеанс, если процесс его установки остается незавершенным. Эти параметры применяются глобально ко всем сеансам.
На рис. 8.4 схематически показан поток информации о состоянии сеанса, контролируемого системой СВАС.
Рис. 8.4. Поток информации о состоянии сеанса, контролируемого средствами СВАСРис. 8.4. Поток информации о состоянии сеанса, контролируемого средствами СВАСSYN.ACK, (Да) (этот порт остается открытым)SYN.ACK, (Да) (этот порт остается открытым)
Рис. 8.4. Поток информации о состоянии сеанса, контролируемого средствами СВАС
Рис. 8.4. Поток информации о состоянии сеанса, контролируемого средствами СВАС
SYN.ACK
, (Да) (этот порт остается открытым)
SYN.ACK
, (Да) (этот порт остается открытым)
В табл. 8.2 описываются общие команды управления состоянием сеансов и связанные с ними значения или диапазоны значений, принятые по умолчанию.
! Таблица 8.2. Команды управления состоянием сеансов z
Команда
Описание
Значение, принятое по умолчанию
ip inspect tcp synwait- time секунды
ip inspect name имя- иабора rpc programnumber число [wait-time минуты] [timeout секунды]
Интервал времени, по истечении которого про- 30 с граммное обеспечение закроет сеанс TCP, если он не успеет завершить процесс установки и перейти в установленное состояние
Номер программы RPC, которая должна разрешить трафик, связанный с этим номером.
Глобальные параметры ожидания TCP и UDP для конкретного сеанса протокола прикладного уровня могут быть изменены. Соответствующие объяснения можно найти в главе “Context-Based Access Control Commands” руководства Security Command Reference (в разделе, посвященном описанию команды ip inspect name режима глобальной конфигурации).
Параметр wait-time задает время, в течение которого сохраняется проход в брандмауэре для повторных соединений с тем же адресом источника и теми же адресом и портом назначения
Время ожидания (wait-time) по умол чанию равно 0 мин
ip inspect tcp finwait- time секунды
ip inspect tcp idle
time секунды
ip inspect udp idle
time секунды
ip inspect dns-timeout
секунды
ip inspect maxincomplete high число
ip inspect maxincomplete low число
ip inspect one-minute
high число
ip inspect one-minute low число
Интервал времени, в течение которого допускается существование сеанса TCP после того, как брандмауэр зарегистрирует получение пакета FIN
Интервал времени, в течение которого допускается существование неактивного сеанса TCP (предельное время существования неактивного сеанса TCP)
Интервал времени, в течение которого допускается существование неактивного сеанса UDP (предельное время существования неактивного сеанса UDP)
Интервал времени, в течение которого допускается существование неактивного сеанса поиска имени DNS (более подробная информация содержится в следующем разделе)
Число одновременно существующих полуоткрытых сеансов, по достижении которого программное обеспечение начинает их удаление (более подробная информация содержится в следующем разделе)
Число одновременно существующих полуоткрытых сеансов, по достижении которого программное обеспечение прекращает их удаление
Частота появления полуоткрытых сеансов, по достижении которой программное обеспечение начинает их удаление
Частота появления полуоткрытых сеансов, по достижении которой программное обеспечение прекращает их удаление
5с
3600 с (1 час)
30 с
5с
500 одновременно существующих полуоткрытых сеансов
400 полуоткрытых сеансов
500 полуоткрытых сеансов в минуту
400 полуоткрытых сеансов в минуту
Команда
ОписаниеЗначение, принятое
по умолчанию
ip inspect tcp maxincomplete host число block-time секунда
Число одновременно существующих полуоткрытых 50 полуоткрытых сеан- сеансов TCP с одним и тем же адресом хоста на- сов TCP; 0 с; диапазон значения, по достижении которого программное 0-250 обеспечение начинает их удаление.
Когда пороговое значение max-incomplete host превышено, система СВАС может закрывать полуоткрытые сеансы по-разному, в зависимости от значения block-time. Если оно равно 0, то при появлении нового запроса соединения с хостом система СВАС удалит самое старое из существующих полуоткрытых соединений и разрешит прием нового пакета SYN. Если значение blocktime больше 0, то СВАС удалит все полуоткрытые сеансы для данного хоста и будет блокировать все новые запросы в течение времени, заданного параметром block-time
Полуоткрытые сеансы
Большое число полуоткрытых сеансов (т.е. запросов соединения, оставшихся без ответов) может означать либо атаку блокирования сервиса, либо опрос портов внешним наблюдателем. Система СВАС контролирует как общее число полуоткрытых сеансов, так и частоту попыток установить сеанс связи. Подсчитывается общее число полуоткрытых сеансов TCP и UDP (число сеансов UDP аппроксимируется) и измеряется частота их появления в минуту. Когда число полуоткрытых сеансов превысит значение, заданное параметром max-incomplete high, система СВАС начинает их удаление, чтобы иметь возможность принимать новые запросы соединений. Программное обеспечение удаляет полуоткрытые запросы до тех пор, пока число полуоткрытых сеансов не станет меньше значения, заданного параметром max-incomplete low.
Если частота попыток создания новых соединений превысит значение, заданное параметром one-minute high, программное обеспечение начинает удаление полуоткрытых сеансов, чтобы иметь возможность принимать новые запросы соединений. Удаление полуоткрытых сеансов продолжается до тех пор, пока указанная частота не будет соответствовать значению, заданному параметром one-minute low. Частота равна числу запросов новых соединений, подученных за последнюю минуту. Маршрутизатор определяет эту частоту чаще, чем раз в минуту, и не продолжает удаление полуоткрытых сеансов в течение минуты после прекращения атаки блокирования сервиса, а останавливает удаление сразу же после того, как очередная проверка покажет, что частота создания запросов ниже соответствующей пороговой величины.
Шаг 4. Выбор правила проверки
После настройки глобальных пороговых значений следующим шагом является выбор правила проверки, которое должно применяться в системе СВАС. Это правило определяет типы трафика IP (т.е. протоколы прикладного уровня), которые должны
проверяться системой СВАС в рамках данного интерфейса. Правило проверки должно определять все протоколы прикладного уровня, которые требуется проверить (а также, если требуется, стандартные TCP и UDP). Данное правило представляет собой набор операторов с указанием протокола, связанных одним и тем же именем правила.
Чтобы определить правила проверки, необходимо сделать следующее.
Настроить параметры проверки протокола прикладного уровня.
Настроить параметры проверки Java.
Настроить параметры проверки TCP и UDP.
Правило проверки является обязательным компонентом СВАС. Если протокол (или Java) не имеет соответствующего правила проверки для СВАС, средства СВАС игнорируют его. При этом процесс настройки Java состоит из двух шагов, с помощью которых, кроме правила проверки, настраивается еще список доступа Java. Сами правила имеют дополнительные компоненты, которые могут использоваться при необходимости.
Настройка параметров проверки протокола прикладного уровня.
Если для протокола прикладного уровня предусмотрена проверка, то пакетам этого протокола разрешается выходить за пределы брандмауэра, но проходить вовнутрь через брандмауэр им позволяется только в рамках уже существующего сеанса. Каждый пакет соответствующего протокола проверяется, чтобы получить информацию о состоянии сеанса и выяснить, принадлежит ли пакет открытому сеансу.
При настройке параметров проверки протокола прикладного уровня придерживайтесь следующих рекомендаций.
Используйте команды глобальной конфигурации.
Настройте параметры проверки СВАС для протокола прикладного уровня (кроме RPC и Java).
Если необходимо, то с помощью опции timeout укажите значения времени ожидания, которые должны использоваться вместо соответствующих величин TCP и UDP.
Чтобы настроить параметры проверки СВАС для протокола прикладного уровня, используйте следующие команды в режиме глобальной конфигурации.
ip inspect name имя-набора протокол [timeout секунды]
ip inspect name имя-набора rpc program-number число [wait-time минуты] [timeout секунды]
С помощью команды ip inspect name имя-набора протокол [timeout секунды] настраиваются параметры проверки СВАС для протокола прикладного уровня (за исключением RPC и Java). Для параметра протокол используйте одно из ключевых слов, приведенных в табл. 8.3. Примените эту команду в соответствующей форме для каждого из протоколов. Чтобы при этом создать одно правило проверки, во всех командах используйте одно и то же имя-набора.•
Посредством второй команды ip inspect name имя-набора rpc program-number число [wait-time минуты] [timeout секунды] активизируется проверка СВАС для протокола RPC. Чтобы задать параметры для нескольких программ RPC, используйте эту коман-
ду несколько раз с разными номерами программ. Чтобы при этом создать одно правило проверки, во всех командах используйте одно и то же имя-набора.
[таблица 8.3. Ключевые слова протоколов для команды ip inspect name У ।
Протокол
Ключевое слово
Протоколы транспортного уровня:
TCP
tcp
UDP
udp
Протоколы прикладного уровня:
CU-SeeMe
cuseeme
Команды и ответы FTP
ftp-end
Маркеры FTP (позволяют отслеживать и анализировать маркеры FTP)
ftp-tokens
Н.323
h323
HTTP (аплеты Java)
http
Microsoft NetShow
netshow
Команды г UNIX (rlogin, rexec, rsh)
rend
RealAudio
realaudio
RPC.
rpc
SMTP
smtp
SQL‘Net
sqlnet
StreamWorks
streamworks
TFTP
tftp
VDOLive
vdolive
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя-набора
Задает имя набора правил проверки. Если необходимо добавить протокол к уже существующему набору правил, используйте значение параметра имя-набора, соответствующее имени этого набора
протокол
timeout секунды
Определяет протокол с помощью одного из ключевых слов, указанных в табл. 8.3 (необязательный) Определяет новые пороговые значения времени для TCP или UDP, отменяя соответствующие пороговые значения, принятые по умолчанию
java-list список- доступа
(необязательный) Указывает список доступа (имя или его номер), определяющий “дружественные” узлы. Используется только с протоколом HTTP для блокирования аплетов Java и работает только со стандартными списками доступа
rpc programnumber число
Указывает номер программы. Применяется только с протоколом RPC
wait-time минуты
(необязательный) Задает время в минутах, в течение которого брандмауэр позволяет повторно устанавливать соединения из того же источника к тому же адресату и порту назначения. По умолчанию значение wait-time равно 0. Используется только с протоколом RPC
Замечание
Чтобы проверка СВАС работала с трафиком NetMeeting 2.x (прикладной протокол Н.323), настройте параметры проверки для TCP так, как предлагается ниже в разделе “Настройка параметров проверки для TCP и UDP”. Это необходимо, поскольку NetMeeting 2.x использует дополнительный TCP-канал, не определенный спецификациями Н.323.
Настройка параметров проверки Java
Проверка Java имеет свои особенности. При использовании Java необходимо гарантировать защиту от случайной загрузки в сеть разрушительных аплетов пользователями. Можно использовать средства СВАС для фильтрации аплетов Java в брандмауэре, что позволит пользователям загружать только аплеты из брандмауэра или только из надежных внешних источников.
Проверка Java означает фильтрацию аплетов в брандмауэре. При фильтрации различаются надежные и ненадежные аплеты в соответствии со списком, в котором вы должны указать “дружественные” узлы. Если аплет прибывает с дружественного узла, брандмауэр пропускает его, в противном случае он отвергает его. Как вариант, можно пропускать все аплеты, кроме тех, которые прибыли с узлов, обозначенных как “враждебные”.
Внимание!
Система СВАС не может обнаружить и блокировать инкапсулированные аплеты Java. Поэтому аплеты, вложенные в файлы типа .zip или .jar, в брандмауэре не задерживаются.
Точно так же средства СВАС не обнаруживают аплеты, загружаемые в рамках FTP, gopher или HTTP с нестандартными портами и другими нестандартными конфигурациями.
Для того чтобы блокировать все аплеты Java (кроме тех, которые прибывают с дружественных узлов), выполните следующие действия.
Шаг 1. Создайте стандартный список доступа (который разрешает только трафик с дружественных узлов), применив следующие команды.
ip access-list standard имя
permit...
deny... (используйте подходящие операторы)
или
access-list номер-спнска-доступа (deny | permit) источник [групповон-адрес- нсточннка]
Вот пример стандартного списка доступа, разрешающего доступ только узлам трех указанных сетей.
access-list 1 permit 192.5.34.0 0.0.0.255
access-list 1 permit 128.88.0.0 0.0.255.255
access-list 1 permit 36.0.0.0 0.255.255.255
! (Комментарий: все другие соединения неявно запрещены)
Биты группового адреса применяются к частям сетевого адреса хоста. Любой источник, адрес которого не соответствует списку доступа, будет отвергнут.
Чтобы все внутренние пользователи могли загружать дружественные аплеты, используйте для адресата ключевое слово any, но будьте внимательны, чтобы случайно не открыть путь для всех аплетов.
Шаг 2. Блокируйте все аплеты Java, кроме тех, которые прибывают с дружественных узлов, определенных в списке доступа. Для этого используйте следующую команду, ip inspect name имя-иабора [http java-list список-доступа] [timeout секунды] Средства блокирования Java работают только со стандартными списками доступа. Используйте то же значение параметра имя-иабора с другими протоколами, чтобы в результате создать одно правило проверки.
Настройка параметров проверки TCP и UDP
Параметры проверки TCP и UDP можно настроить так, чтобы пакеты TCP и UDP входили во внутреннюю сеть через брандмауэр, даже если протокол прикладного уровня не настроен на их проверку. При проверке TCP и UDP не распознаются специальные команды приложений и если номера портов в пакетах будут различаться, то приложение получит не все возвращающиеся пакеты.
Любой протокол прикладного уровня при проверке имеет более высокий приоритет, чем пакеты TCP или UDP. Например, в условиях проверки FTP вся информация канала управления записывается в таблицу состояния. Весь трафик FTP через брандмауэр пропускается назад, если информация канала управления соответствует состоянию данного сеанса FTP. При этом настройка средств проверки TCP никак не влияет на информацию о состоянии FTP.
При проверке TCP и UDP параметры входящих в сеть пакетов должны точно соответствовать параметрам пакетов, ранее отправленных из сети. Входящие пакеты должны иметь адреса и номера портов источника/адресата, обратные по отношению к исходящим, иначе система СВАС блокирует их. СВАС отвергает также все пакеты TCP, порядковые номера которых выходят за рамки определенного окна.
При проверке UDP ответы пропускаются назад через брандмауэр только в течение указанного конфигурацией времени (после отправки последнего запроса). Соответствующее значение задается командой ip inspect name udp idle-timeout.
Команды настройки параметров проверки СВАС для пакетов TCP и UDP имеют следующий синтаксис.
ip inspect name имя-иабора tcp [timeout секунды]
ip inspect name имя-иабора udp [timeout секунды]
Чтобы в результате создать одно правило проверки, используйте одно и то же значение параметра имя-иабора со всеми протоколами.
Шаг 5. Применение правила проверки к интерфейсу
При настройке параметров СВАС на внешнем интерфейсе примените правило проверки к исходящему трафику, указав ключевое слово out. При настройке параметров СВАС на внутреннем интерфейсе примените правило проверки к входящему трафику, указав ключевое слово in. Параметр имя-иабора задает имя набора правил проверки, который следует применить. Это позволяет администратору создать любое число уникальных правил проверки для каждого интерфейса и легко распознавать их в файле конфигурации.
Чтобы применить правило проверки к интерфейсу, используйте следующую команду конфигурации интерфейса.
ip inspect имя-иабора {in | out}
В примере 8.1 набор правил проверки, именуемый outboundrules, применяется к исходящему трафику внешнего интерфейса. При этом входящий трафик IP будет разрешен только в рамках уже установленных сеансов, а весь остальной входящий трафик IP будет запрещен.
, Пример 8.1. Применение набора правил проверки к исходящему трафику внешнего интерфейса
Penmeterx(config)# ip inspect outboundrules out
Perimeterx(config if)# interface serialO ip inspect outboundrules out
Первой представлена команда глобальной конфигурации, определяющая использование указанного правила проверки. Вторая команда применяет указанное правило к интерфейсу.
Шаг 6. Тестирование и контроль СВАС
Команды ip inspect audit trail и debug предлагают средства мониторинга и тестирования конфигурации СВАС. В этом разделе представлены команды, отображающие информацию о чаще всего встречающихся проблемах.
Мониторинг СВАС
Чтобы упростить процесс отладки СВАС, можно включить режим создания сообщений аудита, которые будут отображаться на экране консоли по завершении каждого сеанса СВАС. В примере 8.2 показана команда глобальной конфигурации, активизирующая создание сообщений аудита.
Г7ГТ7 '" ;PW"
аудита
Perimeterx(config)# ip inspect audit trail
Параметры информации аудита можно настроить для каждого приложения в отдельности с помощью правил проверки СВАС.
Отладка СВАС
Для отображения информации о событиях СВАС используется команда debug ip inspect режима EXEC. При использовании этой команды с префиксом по вывод отладочных данных отменяется. Для отладки СВАС используют три категории команд debug: общие, команды транспортного уровня и команды прикладного протокола. Синтаксис команды debug ip inspect следующий.
debug ip inspect {function-trace | object-creation | object-deletion | events | timers | протокол | detail}
debug ip inspect detail
Описания параметров команды debug представлены в следующей таблице.
С помощью соответствующей команды с префиксом по можно выключить отображение информации отладки для каждой из команд, рассмотренных в данном разделе. Чтобы отключить все сообщения отладки, используйте команду привилегированного режима EXEC no debug all или undebug all.
Параметр команды
Описание
function-trace
Отображает сообщения о программных функциях, вызываемых системой СВАС
object-creation
Отображает сообщения о программных объектах, создаваемых системой СВАС. Создание объекта соответствует началу сеанса проверки СВАС
object-deletion
Отображает сообщения о программных объектах, удаляемых системой СВАС. Удаление объекта соответствует завершению сеанса проверки СВАС
events
Отображает сообщения о программных событиях СВАС, включая информацию, касающуюся обработки пакетов
timers
Отображает сообщения о событиях таймера СВАС (например, о том, что достигнуто пороговое значение времени ожидания)
протокол
Отображает сообщения о событиях протокола, проверяемого системой СВАС, включая информацию о пакетах протокола. Ключевые слова для параметра протокол описаны в табл. 8.3
detail
Активизирует подробный вывод, который может использоваться в комбинации с другими параметрами для получения дополнительной информации
Управление Cisco IOS Firewall
Существует два метода администрирования Cisco IOS Firewall: через интерфейс командной строки (CLI) и с помощью ConfigMaker.
Управление с командной строки
Возможность управления сетевыми продуктами Cisco с командной строки существовала с момента их появления. Давайте рассмотрим преимущества такого метода управления.
Этот метод предоставляет администратору очень широкие возможности.
В соответствующую версию IOS включены команды для управления всеми параметрами устройства.
Переменные конфигурации позволяют настроить таймеры и счетчики с учетом всех особенностей сети предприятия.
Недостатки использования командной строки заключаются в следующем.
Ввиду сложности и большого числа команд их трудно запомнить.
Число команд растет с появлением каждой новой версии программного обеспечения IOS.
Применение интерфейса командной строки приемлемо для предприятий, имеющих достаточно квалифицированный и опытный персонал, способный эффективно использовать все возможности и преимущества такого способа управления.
Возможности ConfigMaker
В последние годы в связи с увеличением ассортимента сетевых продуктов и ростом их популярности среди предприятий малого и среднего бизнеса специалисты Cisco осознали необходимость создания средств настройки параметров конфигурации для
сетей таких предприятий. На рис. 8.5 показан интерфейс предложенной ими программы ConfigMaker, с помощью которой администратор сети может в результате пошагового процесса создать нужную конфигурацию.
ConfigMaker имеет следующие преимущества.
Графический пользовательский интерфейс.
Знакомая оконная среда с диалоговыми окнами поддержки.
Набор программ-мастеров, руководящих процессом создания конфигурации.
Недостатки ConfigMaker состоят в следующем.
Ограниченные возможности управления устройством.
Ограниченный набор параметров конфигурации.
ConfigMaker соответствует запросам предприятий малого и среднего бизнеса, поскольку минимизирует усилия, необходимые для администрирования. В последние версии продукта добавлены поддержка NAT, DHCP и CSU/DSU, а также ряд хорошо интегрированных мастеров.
Рис. 8.5. Интерфейс ConfigMaker
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Cisco IOS Firewall дает возможность обнаружить атаки нарушителей и защититься от них посредством фильтрации на уровне приложений и генерирования информирующих сообщений в реальном масштабе времени.
Одним из главных средств защиты Cisco IOS Firewall является система СВАС, которая может обеспечить контроль доступа на уровне приложений для всего трафика периметра между частной сетью предприятия и Internet.
Еще одним важным средством защиты Cisco IOS Firewall является система обнаружения вторжений, которая может в реальном масштабе времени осуществлять мониторинг сети, чтобы посредством имеющейся информации о типичных сетевых атаках и сигнатурах вторжений вовремя обнаружить и пресечь попытки злоупотребления сетевыми ресурсами.
. • Подготовка к настройке Cisco IOS Firewall включает выбор подходящего сервера защиты, определение типа и места применения списков доступа, принятие решения об использовании СВАС, NAT, TCP-перехвата, а также шифрования.
В процессе настройки СВАС следует выбрать интерфейс, в рамках которого будут использоваться средства СВАС, применить к этому интерфейсу списки доступа IP, определить глобальные пороговые значения, выбрать правила проверки и применить их к интерфейсу, а также выполнить тестирование средств СВАС, чтобы убедиться в правильности их работы.
Для отображения информации о событиях СВАС, тестирования и контроля конфигурации можно использовать разнообразные варианты команды ip inspect debug.
Чтобы упростить процесс отладки СВАС, рекомендуется активизировать вывод сообщений аудита, которые будут отображаться на экране консоли по завершении каждого сеанса СВАС.
Cisco предлагает два мощных средства управления брандмауэром Cisco IOS Firewall: интерфейс командной строки и программу ConfigMaker.
Практическое занятие. Настройка Cisco IOS Firewall
Задачей этого практического занятия является демонстрация возможностей настройки брандмауэра Cisco IOS Firewall. Прочитайте план практического занятия, изучите схему топологии сети и рассмотрите предложенную политику защиты. Затем проанализируйте пример конфигурации, чтобы понять, как элементы политики защиты реализуются в брандмауэре Cisco IOS Firewall.
План практического занятия
Компания XYZ реализовала все стандартные возможности защиты программного обеспечения IOS. Однако ее сеть стала объектом внешних атак с применением мобильного кода в виде аплета Java и атак блокирования сервиса. Чтобы не допустить таких атак в будущем, необходимо настроить фильтр прикладного уровня и систему предупреждения об опасности, работающую в реальном масштабе времени. Компания предпочитает обеспечить более сильную защиту без дополнительных аппаратных средств, поэтому было принято решение использовать брандмауэр Cisco IOS Firewall. Главным средством защиты этого брандмауэра является система СВАС. Компания XYZ собирается установить средства СВАС в маршрутизаторах периметра.
На рис. 8.6 представлена инфраструктура территориальной сети компании XYZ, которая обсуждается в данной главе.
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кацииWeb- Обозре- Сервер сервер ватель сертифи- Internet Web кацииБрандмауэр PIXБрандмауэр PIXСервер NT: сервер CiscoSecure,Сервер NT: сервер CiscoSecure,Web, FTP, TFTP, SyslogWeb, FTP, TFTP, SyslogРис. 8.6. Cisco IOS Firewall в инфраструктуре сети предприятияРис. 8.6. Cisco IOS Firewall в инфраструктуре сети предприятияИСИСДиректор CS IDSДиректор CS IDSCSCS
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
Web- Обозре- Сервер сервер ватель сертифи- Internet Web кации
Брандмауэр PIX
Брандмауэр PIX
Сервер NT: сервер CiscoSecure,
Сервер NT: сервер CiscoSecure,
Web, FTP, TFTP, Syslog
Web, FTP, TFTP, Syslog
Рис. 8.6. Cisco IOS Firewall в инфраструктуре сети предприятия
Рис. 8.6. Cisco IOS Firewall в инфраструктуре сети предприятия
ИС
ИС
Директор CS IDS
Директор CS IDS
CS
CS
Компания желает настроить средства СВАС в маршрутизаторах периметра, чтобы обеспечить лучшую защиту. Эти маршрутизаторы являются конечными точками шифрования IPSec, и это оказывается важным ввиду того, что средства СВАС не могут работать с IPSec в маршрутизаторах, не являющихся конечными точками IPSec.
Топология
На рис. 8.7 показана часть сети компании XYZ, конфигурация которой будет рассмотрена в ходе практического занятия.
Политика сетевой защиты
Политика сетевой защиты, которую намерена реализовать компания XYZ, заключается в следующем.
Выход в Internet может свободно использоваться служащими компании XYZ в целях, соответствующих задачам компании. Удаленные пользователи тоже могут получать выход в Internet.
сертификации192.168.255.2/24сертификации192.168.255.2/24172.16.1.1/30172.16.1.1/30Маршрутизатор периметраМаршрутизатор периметра192.168.1.0/24 -Грязная- "ДМ3192.168.1.0/24 -Грязная- "ДМ3Внешний .1Внешний .1Бастионный хост: сервер Web сервер FTPБастионный хост: сервер Web сервер FTP"Защищенная" ДМ3"Защищенная" ДМ3Брандмауэр PIXБрандмауэр PIX.3.192.168.11.0/24' .1ДМЗ.3.192.168.11.0/24' .1ДМЗВнутренний.3Внутренний.3Internet-сервер FTP и Web, диспетчер защиты Cisco, серверыInternet-сервер FTP и Web, диспетчер защиты Cisco, серверыSyslog и TFTPSyslog и TFTP
сертификации
192.168.255.2/24
сертификации
192.168.255.2/24
172.16.1.1/30
172.16.1.1/30
Маршрутизатор периметра
Маршрутизатор периметра
192.168.1.0/24 -Грязная- "ДМ3
192.168.1.0/24 -Грязная- "ДМ3
Внешний .1
Внешний .1
Бастионный хост: сервер Web сервер FTP
Бастионный хост: сервер Web сервер FTP
"Защищенная" ДМ3
"Защищенная" ДМ3
Брандмауэр PIX
Брандмауэр PIX
.3
.192.168.11.0/24
' .1ДМЗ
.3
.192.168.11.0/24
' .1ДМЗ
Внутренний.3
Внутренний.3
Internet-сервер FTP и Web, диспетчер защиты Cisco, серверы
Internet-сервер FTP и Web, диспетчер защиты Cisco, серверы
Syslog и TFTP
Syslog и TFTP
Рис. 8.7. Брандмауэр Cisco IOS Firewall в сети компании XYZ
Система брандмауэра, состоящая, как минимум, из маршрутизатора периметра и бастионного узла, должна использоваться для того, чтобы запретить несанкционированный доступ из Internet к узлам территориальной сети и удаленным подразделениям.
Доступ из Internet к узлам территориальной сети и удаленным подразделениям должен быть строго ограничен, если для пересылки данных через Internet не используется шифрование сетевого уровня. Кроме того, должен быть ограничен также входящий трафик к бастионному узлу (электронная почта, HTTP и FTP).
Пример конфигурации Cisco IOS Firewall
В примере 8.3 представлены команды конфигурации, с помощью которых маршрутизатор периметра настраивается на выполнение функций брандмауэра Cisco IOS Firewall.
Пример 8.3. Конфигураций маршрутизатора для выполнения функций 'Cisco IOS Firewall
Current configuration: ।
version 12.0
service timestamps debug datetime msec localtime show timezone service timestamps log datetime msec localtime show timezone no service password encryption
hostname Perimeterl
!
logging buffered 4096 debugging no logging console i
username student password 0 cisco memory-size iomem 25 clock timezone PST -8 clock summer-time zone recurring ip subnet-zero no ip source-route no ip finger ip top selective-ack ip top path-mtu-discovery no ip domain lookup !
no ip bootp server
ip inspect audit-trail
ip inspect max-incomplete low 800
ip inspect max-incomplete high 1000
ip inspect one-minute high 600
ip inspect top synwait-time 20
ip inspect top max-incomplete host 50 block-time 1
ip inspect name mens rpc program-number 100003 wait-time 2 timeout 5
ip inspect name mens remd timeout 10
ip inspect name mens cuseeme timeout 10
ip inspect name mens smtp timeout 45
ip inspect name mens tftp timeout 10
ip inspect name mens http java-list 16 timeout 60
ip inspect name mens tep
ip inspect name mens udp
interface SerialO
ip address 172.16.1.1 255.255.255.252
ip access group 101 in
no ip redirects
no ip unreachables
no ip directed-broadcast encapsulation frame-relay
no ip route-cache
no ip mroute-cache
frame-relay Imi-type cisco i
interface Seriall
no ip address
logging trap debugginglogging trap debugginglogging source-interface FastEthernetOlogging source-interface FastEthernetOlogging 192.168.1.10logging 192.168.1.10access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-listaccess-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list
logging trap debugging
logging trap debugging
logging source-interface FastEthernetO
logging source-interface FastEthernetO
logging 192.168.1.10
logging 192.168.1.10
access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list
access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list access-list
no ip directed-broadcast shutdown
interface FastEthernetO
ip address 192.168.1.2 255.255.255.0
ip access-group 102 in
no ip redirects
no ip unreachables
no ip directed broadcast
no ip proxy-arp
ip inspect mens in
no ip route-cache
no ip mroute-cache !
ip classless
ip route 0.0.0.0 0.0.0.0 172.16.1.2
no ip http server
1 permit 192.168.1.10
16 permit 192.168.255.2
16 deny any log
101 denyip127.0.0.00.255.255.255anylog
101 denyip255.0.0.00.255.255.255anylog
101 denyip224.0.0.07.255.255.255anylog
101 denyiphost 0.0.0.0 any log
101 deny ip 192.168.1.0 0.0.0.255 any log
101 deny ip 10.0.0.0 0.255.255.255 any log
101 deny udp any any eq snmp
101permittepanyhost192.168.1.4eqsmtp
101permittepanyhost192.168.1.3eqwww
101permittepanyhost192.168.1.3eq443
101permittepanyhost192.168.1.3eqftp
101permittopanyhost192.168.1.3gt1023
101 permit iemp any 192.168.1.0 0.0.0.255 echo-reply
101 permit iemp any host 172.16.1.1 echo-reply
101 permit iemp host 192.168.255.2 host 172.16.1.1 echo
101 permit udp any host 192.168.1.3 eq domain
101 permit tep host 192.168.255.2 host 192.168.1.3 eq nntp
101 permit udp host 192.168.255.2 host 192.168.1.3 eq ntp
101 deny iemp any host 192.168.1.1 echo log
101 deny tep any host 192.168.1.1 eq telnet log
101 deny top any host 172.16.1.1 eq telnet log
101 deny top any host 192.168.1.2 eq telnet log
101 deny ip any any log
102 permit ip 192.168.1.0 0.0.0.255 any
access-list 102 deny ip any any log no cdp run !
line console 0 exec-timeout 0 0 logging synchronous login local transport input none
line aux 0
no exec login local line vty 0 4 access-class 1 in login local
!
end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых моментов и понятий, рассмотренных в этой главе.
Какие четыре возможности защиты предлагает система СВАС?
Из каких шагов состоит процесс настройки СВАС?
Какую команду следует применить для проверки пакетов протокола прикладного уровня?
Может ли система СВАС проверять IP-трафик протоколов TCP, UDP и ICMP?
Какая команда активизирует отображение сообщений аудита на экране консоли по завершении каждого сеанса СВАС?
Могут ли средства СВАС блокировать опасные аплеты Java в файлах формата jar?
Являются ли правила проверки обязательным компонентом СВАС?
С помощью какой команды задается число (например, 250) полуоткрытых сеансов, по достижении которого система СВАС должна начать их удаление?
Какие три категории команд debug применяют для отладки СВАС?
Если средства СВАС используются в брандмауэре, размещенном между двумя маршрутизаторами, то сможет ли система СВАС проверять пакеты IPSec?
Ссылки
В этой главе описывается процесс выбора конфигурации, реализующей политику защиты с помощью средств Cisco IOS Firewall. Чтобы уточнить синтаксис соответствующих команд, обратитесь к документации той версии Cisco IOS, которую вы используете. В частности, ознакомьтесь с руководствами Security Configuration Guide и Security Command Reference соответствующей версии Cisco IOS.
Следующие ссылки помогут пополнить ваши знания о брандмауэрах Cisco IOS Firewall и о политике защиты вообще.
Настройка брандмауэров
Домашняя страница группы CERT (www.cert.org) содержит практические примеры, иллюстрирующие возможности реализации защиты. Там же, среди прочей полезной информации, публикуются предупреждения об опасности и предлагаются файлы, решающие проблемы защиты от известных типов атак.
На Web-странице FAQS Organization (www.faqs.org/faqs/firewalls-faq) предлагается брандмауэр и соответствующие списки часто задаваемых вопросов с ответами.
Белая книга Cisco “Building a Perimeter Security Solution” (построение системы защиты периметра сети) содержит подробный технический обзор конкретных возможностей, предлагаемых брандмауэром Cisco IOS Firewall (ранее именуемым CiscoSecure Integrated Software). Там же имеются и примеры конфигурации. Размещается по адресу: www. cisco. com/warp/public/cc/pd/iosw/ioft/iofwft/tech/firew_wp.htm.
RFC 2196. “The Site Security Procedures Handbook” (справочник по процедурам защиты) предлагает информацию о политиках защиты и процедурах аутентификации. Доступен по адресу: ds.intemic.net/rfc/rfc2196.txt.
Настройка Cisco IOS Firewall
Security Command Reference, Cisco IOS Release 12.0, October 1998.
Security Configuration Guide, Cisco IOS Release 12.0, October 1998.
Более подробная информация о возможностях Cisco IOS Firewall и ConfigMaker (с комментариями и руководством пользователя) содержится в документации соответствующих продуктов на компакт-диске Cisco Product Documentation CD-ROM и на Web-узле www.cisco.com.
Часть
IV
И. НаИ. НаГГ
И. На
И. На
Г
Г
> Настройка CiscoSecure FIX Firewall
Глава 9. Возможности PIX Firewall
-йка доступа через PIX Firewall
интерфейсов и средств AAA PIX Firewall
спользование дополнительных возможностей PIX Firewall
Изучив материал этой главы, вы сможею выпо шить следующие задачи.
выполне!
рас
>рандма}
ва PI з internet.
Щювер -корректн юзможности управл!
равильн
Описать возмо
Настроить 5
Настрои прия
Проверит
ОСНОВНЫ1
аботы с ма|
Firewall, обесга
, предлагаемые
компоненты splXjFirewall.
>утизатором С®6.
гвающие защигЕдоступа к сети пред-
Гных функций ИХ Firewall.
ipa, используя щетмо специальные Ьгпаммным^^печевдем PIX.
Глава
9
Возможности FIX Firewall
' * В этой главе представлены основные функциональные возможности и возможности настройки брандмауэра CiscoSecure PIX Firewall (FIX Firewall), а также обсуждаются особенности архитектуры и задачи конфигурации, связанные с подготовкой средств PIX Firewall, используемых в сети.
Здесь же описаны подходящие стратегии реализации различных возможностей защиты, а таюке/указывается, каким образом они усиливают защиту сети. Ваше пони- Лмание принщипе» работы FIX Firewall станет более ясным после того, как вы прочтете следующие главы' посвященные этому вопросу.
Вданной главе^обсуждается широкий спектр вопросов, включая принципы защиты, синтаксискоманд иорекомендации по созданию конфигурации. В ходе практического занятия вы ознакомитесь с реальным сценарием настройки FIX Firewall, в результате применения которого брандмауэр начинает функционировать с базовым набором команд.
Что такое FIX Firewall
FIX Firewall (Private Internet Exchange Firewall — брандмауэр для закрытого обмена данными в Internet) — этб брандмауэр, обеспечивающий надежную защиту корпора- тийных сетей, посредством контроля состояния соединений и демонстрирующий высокую производительность. Он предлагает широкие возможности защиты, полностью скрывая архитектуру/внутренней сети от внешнего наблюдателя. Брандмауэр FIX «Firewall действует как “пограничник” между корпоративной сетью и Internet, выполняя функции контроля.^’
Охрана корпоративной сети от вторжений должна осуществляться непрерывно. “Храрител и’’^корпоративной сети должны использовать средства, гарантирующие безопасность сетевых*соединений с Internet. Это вполне по силам брандмауэру FIX Firewall.. Некоторые , сетевые инженеры вместо специализированных устройств- брандмауэров применяют в своих сетях решения, основанные на использовании соот- ^ветствующих функциональных возможностей маршрутизаторов. После обновления программного обеспечения (а иногда и аппаратных элементов) маршрутизаторы действительно могут выполнять функции брандмауэра. Такое решение оправдывают тем, что специализированные брандмауэры слишком дороги и их сложно устанавливать. Но маршрутизаторы предназначены для обработки информации о маршрутах пакетов, а*не"для выполнения функций брандмауэра, контролирующего соединения. Поэтому возможностей маршрутизатора для построения системы обнаружения вторжений, работающей в реальном масштабе времени, часто оказывается недостаточно.
Достаточно сложные маршрутизаторы могут выполнять некоторые функции брандмауэра с помощью списков доступа, фильтров и “хитроумных” настроек конфигурации. На первых порах это может оказаться достаточно эффективным, но такое решение требует больших усилий с точки зрения управления и имеет ограниченные возможности масштабирования.
Компании, применяющие средства защиты на основе маршрутизаторов, отмечают их эффективность против “случайных хакеров”, но по мере развития технологий хакеры стали более искушенными, начали читать техническую литературу и быстро распространять новую информацию через электронную почту, Web-узлы и “комнаты общения” (chat room). Для многих экспертов сетевой защиты стало правилом регулярно посещать Web-узлы известных групп хакеров, чтобы быть в курсе самых последних событий в области развития средств сетевых вторжений.
Недавно международное сообщество хакеров продемонстрировало способность организовывать распределенные атаки блокирования сервиса с помощью сотен ничего не подозревающих соучастников. После выбора цели эти распределенные атаки могут проводиться 24 часа в сутки в автоматическом режиме с сотен совершенно разных машин.
Ознакомившись с тем, на что способны современные хакеры, вы поймете, что брандмауэр является совершенно необходимым элементом любой сети. Брандмауэр PIX Firewall имеет следующие особенности.
PIX Firewall применяет фильтр, учитывающий подробную информацию о пакетах данных, представленную в виде таблицы. Чтобы сеанс был разрешен, информация о соединении должна соответствовать информации, хранящейся в таблице.
Техника “захвата сеанса” IP известна со средины 80-х годов. По сути, для фальсификации IP-адреса требуется “угадать” порядковый номер TCP-пакета. В большинстве реализаций TCP/IP используется простой аддитивный алгоритм приращения порядковых номеров, поэтому для нарушителя не составляет труда угадать следующий номер пакета в рамках соединения (даже имея всего один перехваченный пакет), чтобы с этого момента захватить связь. Брандмауэры Cisco серии PIX Firewall, если не исключают, то сильно затрудняют возможность угадывания порядковых номеров TCP, генерируя их с помощью специального алгоритма рандомизации.
PIX Firewall работает под управлением встроенной защищенной операционной системы реального времени, не зависящей от проблем защиты UNIX или Windows NT. Операционная система PIX Firewall специально была усилена с точки зрения защиты от сетевых атак. Она и разрабатывалась с целью защиты.
Алгоритм ASA (Adaptive Security Algorithm — адаптивный алгоритм защиты) брандмауэра PIX Firewall и сервис сквозного посредничества (cut-through proxy) дают брандмауэру возможность демонстрировать прекрасную производительность, допуская более 256000 одновременно открытых соединений (для PIX 520 с 128 Мбайт RAM). Такие возможности не предлагает ни один из брандмауэров на базе UNIX или Windows NT.
PIX Firewall использует процессор Pentium производства Intel, что обеспечивает низкую стоимость брандмауэра.
Брандмауэр PIX Firewall предлагает следующие возможности защиты.
Входящие соединения (т.е. соединения через Internet) запрещаются, если они не аутентифицированы с помощью специальной процедуры или специально не разрешены. (Методы доступа и аутентификации обсуждаются в следующем разделе.)
Модель защиты PIX Firewall является двухъярусной (когда это возможно); она использует маршрутизатор периметра, ДМ3 для общедоступных серверов, брандмауэр PIX Firewall и маршрутизатор внутренней сети.
PIX Firewall использует защищенные каналы для входящих/исходящих статических трансляций.
Исходящие соединения (соединения, устанавливаемые изнутри защищенной сети) при наличии списков глобальных адресов разрешаются, если только они не запрещены специально.
Возможности и функционирование PIX Firewall
PIX Firewall предлагает огромные возможности защиты, что делает его одним из лучших средств сетевой защиты, доступных на рынке сегодня. При использовании с маршрутизатором периметра, брандмауэр PIX Firewall создает практически неприступный барьер между частной сетью и внешним миром.
При разработке плана защиты сети вначале нужно выяснить, в какой защите нуждается сеть. После того как в результате тщательного анализа вы определите, что именно необходимо получить от брандмауэра, можно приступить к выбору модели FIX Firewall, которая лучше всего будет отвечать вашим потребностям. Рекомендуемая конфигурация предполагает использование маршрутизатора Cisco в качестве первой линии защиты, за которой располагается брандмауэр PIX Firewall. Прохождение первой линии защиты означает, что нарушителю удалось обмануть списки доступа и правила аутентификации маршрутов, определенные сетевым администратором. И если нарушитель окажется достаточно опытным, для того чтобы обойти эти средства защиты, ему придется еще состязаться с брандмауэром PIX Firewall.
Движение через FIX Firewall извне
Рассмотрим “абсолютно надежный” брандмауэр, не позволяющий движение через него вообще — ни изнутри, ни снаружи. Не слишком подходящее решение, не так ли? Чтобы брандмауэр оказался полезным, он должен предлагать защищенный и удобный способ управления трафиком пользователя.
Брандмауэр PIX Firewall имеет высокий потенциал управления трафиком. Разрешение входящего доступа через PIX Firewall — это не просто создание в нем прохода, допускающего свободное движение пакетов внутрь и наружу. Необходимо предпринять шаги, гарантирующие движение между общедоступными и частными сегментами сети только для авторизованного потока данных.
При разработке PIX Firewall ставилась задача разрешить только следующие три варианта прохождения трафика через брандмауэр.
С помощью алгоритма ASA анализируется весь трафик через FIX Firewall и поддерживается база данных, содержащая информацию о состоянии каждого соединения. Пакеты, не соответствующие записям базы данных состояний ASA, немедленно отвергаются.
Сетевой администратор может установить статический туннель или канал, направляющий трафик в обход ASA, чтобы обеспечить портал доступа вне PIX Firewall.
Сквозная опосредованная аутентификация позволяет идентифицировать пользователей с помощью средств RADIUS или TACACS+, чтобы они могли иметь доступ к Internet и другим внешним сетям.
В следующих разделах эти возможности обсуждаются подробнее.
Адаптивный алгоритм защиты (ASA)
Алгоритм ASA (адаптивный алгоритм защиты) является основой функционирования брандмауэра FIX Firewall. ASA записывает характеристики соединений, сохраняя эту информацию в таблице и используя ее для проверки исходящих и входящих пакетов, чтобы убедиться, что “состояние сеанса” остается точно таким же, как и при открытии соединения. Пока изменений не обнаруживается, трафик пропускается без задержки. При обнаружении какого-то несоответствия пересылка данных прекращается.
После запроса соединения алгоритм ASA записывает IP-адреса источника и адресата, порты источника и порядковые номера TCP, связанные с интерфейсом, по которому приходит запрос. На основе этих данных создается шифрованная подпись, которая используется брандмауэром PIX Firewall для того, чтобы распознать соответствующий хост в дальнейшем. Подпись действительна только в течение времени существования данного соединения. После закрытия соединения подпись становится недействительной. При каждом новом запросе соединения для хоста создается новая подпись.
Нарушителям, чтобы пройти через PIX Firewall и получить доступ к узлу внутренней сети, необходимо имитировать работу ASA и в реальном масштабе времени генерировать полноценные пакеты (со “случайными” порядковыми номерами TCP, подходящими IP-адресами и номерами портов) в соответствии с записями базы данных соединений ASA. Это должно оказаться непосильной задачей, чтобы хакер сразу же отказался от дальнейших попыток проникнуть в вашу сеть и предпочел поискать другие, более доступные цели.
Чтобы понять принципы работы ASA, представьте себе, что вы покупаете новый монитор в специализированном магазине. При оформлении покупки продавец фотографирует вас и заполняет специальный бланк, в котором указывается, когда и где сделана покупка. Магазин сохраняет эти данные для дальнейшего использования. Если вы решите возвратить монитор, служащие отдела возврата извлекут бланк, сравнят вашу подпись и фотографию и убедятся в том, что покупку сделали именно вы. Если расхождений не обнаружится, вам вернут деньги.
Преимущества алгоритма ASA
Брандмауэр FIX Firewall имеет много преимуществ по сравнению с другими брандмауэрами, предлагаемыми сегодня. Главным аргументом в пользу FIX Firewall является то, что алгоритм ASA обеспечивает полноценную защиту соединений при сохранении высокой производительности.
Кроме того, ASA имеет следующие преимущества.
Ни один из пакетов, в которых информация о соединении и состоянии не соответствует данным таблицы ASA, не сможет пройти через брандмауэр PIX Firewall.
Разрешаются все исходящие соединения и состояния, кроме тех, которые специально запрещены выходными списками доступа. Исходящим называется соединение или состояние, в котором инициатор или клиент имеет интерфейс с более высоким уровнем безопасности, чем адресат или сервер. Внутренний интерфейс всегда имеет наивысший уровень безопасности, а внешний — самый
низкий. Для дополнительных интерфейсов (типа ДМ3) могут определяться уровни безопасности между уровнями внутреннего и внешнего интерфейсов.
Входящие соединения и состояния запрещаются, если только они специально не разрешены каналами. Входящим называется соединение или состояние, в котором инициатор или клиент имеет интерфейс с более низким уровнем безопасности, чем адресат или сервер. Каждая трансляция адресов допускает множество исключений, что позволяет разрешить доступ с любой машины, из любой сети или с любого хоста в Internet к хосту, заданному трансляцией.
Все попытки обойти указанные правила отвергаются, и серверу syslog посылается соответствующее сообщение.
Отвергаются все пакеты ICMP, кроме тех, которые специально разрешены командой conduit permit icmp.
Действие ASA
Рассмотрим пример, когда брандмауэр PIX Firewall имеет два интерфейса — внутренний (со стороны защищенной сети) с высшим уровнем безопасности и внешний (со стороны Internet) с низшим уровнем.
В данном случае брандмауэр PIX Firewall будет также выполнять динамическую трансляцию сетевых адресов (NAT), отображая частные (внутренние) адреса в зарегистрированные (внешние). Внешний адрес должен обеспечиваться пулом доступных адресов, о котором мы поговорим позже.
Соответствующий процесс состоит из следующих шагов.
Подлежащий отправке пакет прибывает к внутреннему (более защищенному) интерфейсу брандмауэра FIX Firewall. (Правила защиты по умолчанию требуют, чтобы соединение создавалось только тогда, когда источник имеет более высокий уровень безопасности, чем адресат. Исключения допускаются только в случаях, специально описанных командами conduit.)
FIX Firewall проверяет адрес получателя и выясняет, не соответствует ли он хосту вне защищенной сети..
Относительно уровня безопасности запрашивающего интерфейса выясняется, является он ниже или выше уровня безопасности запрашиваемого интерфейса.
Запрашивающий интерфейс имеет более высокий уровень безопасности и обращается к внешнему интерфейсу, который имеет более низкий уровень.
На основе сравнения уровней безопасности брандмауэр PIX Firewall заключает, что соединение разрешено.
PIX Firewall проверяет, не следует ли выполнить команды трансляции. Трансляция может быть статической или динамической. При этом выясняется, не указаны ли специальные маршруты, которых должен придерживаться трафик.
PIX Firewall проверяет, не было ли ранее пакетов, пришедших с хоста, запрашивающего данное соединение. Если нет, то PIX Firewall записывает информацию о состоянии сеанса, вычисляет шифрованную подпись, соответствующую исключительно данному хосту, и создает сегмент динамической трансляции, с помощью которого запрашивающей стороне разрешается доступ к внешнему миру.
Пакет освобождается от исходного IP-адреса, и ему назначается произвольно выбранный адрес из пула глобальных адресов, поддерживаемых брандмауэром. Это делается
для того, чтобы брандмауэр мог направлять ответы хосту, отправившему запрос, и для маскировки структуры внутренней сети. Затем брандмауэр PIX заменяет динамически присвоенный IP-адрес адресом, зарезервированным для данной организации, и передает пакет во внешнюю сеть для дальнейшей обработки.
После получения транслированного пакета Web-узлом или другим адресатом Internet и по прибытии его назад к внешнему интерфейсу брандмауэра PIX, пакет обрабатывается средствами ASA, которые проверяют его допустимость путем сравнения с данными таблицы состояний сеансов и проверки подписи. (Устанавливается соответствие адреса источника допустимому внутреннему адресу, данным таблицы сеанса и т.д.)
Если все параметры защиты соответствуют информации, записанной брандмауэром PIX Firewall при выходе пакета из сети, пакет переправляется хосту внутренней сети, который должен завершить обработку транзакции.
Особенность процесса заключается в том, что он выполняется очень быстро и незаметно для пользователя. Благодаря быстродействию ASA, пользователи не подозревают о том, какие сложные преобразования выполняются за кулисами.
Использование каналов и статических карт для входящего доступа
Создание каналов и статических карт для входящего доступа через PIX Firewall может потребоваться тогда, когда ресурсы защищенной сети необходимы пользователям внешней сети. Например, рассмотрим использование концентратора VPN во внутренней защищенной сети. Концентратор VPN является конечной точкой туннелей IPSec, создаваемых программным обеспечением клиента VPN, установленным на ноутбуках мобильных пользователей.
Конфигурация брандмауэра PIX Firewall должна специально разрешить трафик IPSec от внешней сети к внутренней, поскольку политика защиты брандмауэра по умолчанию запрещает весь входящий трафик. Для разрешения движения данных IPSec через брандмауэр создаются статические карты и каналы. Статическая карта отображает IP-адрес открытого интерфейса концентратора VPN во внешний глобальный IP-адрес. Канал действует подобно списку доступа в маршрутизаторе Cisco, фильтруя трафик, разрешенный статической трансляцией (в данном случае это трафик IPSec).
Избирательное разрешение движения данных VPN через брандмауэр PIX Firewall с помощью канала позволяет концентратору VPN обрабатывать трафик VPN независимо от брандмауэра.
Вы можете спросить, зачем использовать концентратор VPN в защищенной части сети, если его можно разместить за брандмауэром PIX Firewall, обеспечив точно такое же завершение туннелей VPN? Ответ прост. При размещении в открытой части сети концентратор VPN открыт для атак, которые в данном случае явно нежелательны.
Размещение концентратора VPN в защищенной сети (его можно разместить в рамках интерфейса ДМ3 брандмауэра, например интерфейса Ethernet?) позволит защитить его, а его администрирование (в частности, изменение и резервное копирование параметров конфигурации) станет значительно проще и безопаснее.
Разрешая указанным образом трафик через брандмауэр PIX Firewall, мы допускаем потенциальный риск захвата входящего соединения противником. Но грамотная реализация этой идеи позволяет свести риск к минимуму. При этом средства ASA бранд-
мауэра PIX Firewall обеспечивают полноценную защиту трафика VPN, движущегося по соответствующему каналу.
Преимущества каналов и статических карт
Статические карты и каналы можно использовать для разрешения специальных ситуаций, когда требуется прямой доступ извне к ресурсам защищенной сети.
Перед тем как углубиться в обсуждение вопросов входящего доступа, важно понять, что такое статические карты и каналы. Статическая трансляция, как правило, используется тогда, когда ресурсу защищенной сети назначается постоянный IP- адрес, чтобы этот ресурс был всегда достижим извне.
Каналы позволяют доступ через брандмауэр PIX Firewall при выполнении определенных условий. Типичная команда conduit разрешает доступ при условии совпадения адреса источника, адреса порта и типа протокола с заданными. Команда conduit “обманывает” средства защиты ASA брандмауэра PIX Firewall, поэтому при использовании этой команды будьте предельно внимательны.
В обычных условиях брандмауэру PIX Firewall разрешается управлять входящими соединениями автоматически, но иногда может потребоваться направить трафик по определенному руслу с целью изменения его структуры, контроля или с какой-то иной административной целью.
Процесс настройки каналов и статических карт
Брандмауэр PIX Firewall по умолчанию не позволяет внешним хостам связываться с хостами и серверами внутри частной сети. Команда static, при использовании с командой conduit, разрешает входящему трафику пройти через брандмауэр PIX Firewall и достичь защищенных ресурсов. Здесь эти команды описаны кратко; более подробное их обсуждение содержится в главе 10.
Важно помнить, что перед тем как разрешить входящий доступ, интерфейсам брандмауэра PIX Firewall необходимо присвоить значения уровней безопасности (значения защиты). Это делается с помощью команды nameif, которая будет обсуждаться позже в этой же главе. Любой интерфейс, связанный с сетью за брандмауэром PIX Firewall, имеет более высокое значение защиты (более безопасен), чем интерфейс, связанный с Internet или другим сегментом сети вне брандмауэра (менее безопасен).
Логика присваивания значений защиты отражает правила связывания. Обычно интерфейсам с более низкими значениями защиты запрещается связываться с интерфейсами, имеющими более высокие значения. Исключения из этого правила определяются командой conduit, которая отменяет действие алгоритма ASA и разрешает соединение. Процедура определения значений защиты будет рассмотрена в этой же главе позже.
На рис. 9.1 брандмауэр PIX Firewall имеет интерфейс ДМ3, с которым связан главный (доступный извне) Web-сервер предприятия. Если главный Web-сервер недоступен, трафик можно перенаправить (с помощью изменения команд conduit и static) к резервному Web-серверу на внутреннем интерфейсе, выполнив следующие действия.
Внимание!
В этом примере резервный Web-сервер размещается на внутреннем интерфейсе исключительно с целью иллюстрации. В реальной среде такая модель не используется.
В сети предприятия лучшим вариантом размещения резервного Web-сервера будет использование дополнительного интерфейса ДМ3 (например, DMZ2).
www.secureweb.webwww.secureweb.webnternetnternetМаршрутизатор периметра192.168.1.2Маршрутизатор периметра192.168.1.2(внешний) 192.168.1.1(внешний) 192.168.1.1PIX FirewallPIX Firewall(внутренний) 10.1.1.3(внутренний) 10.1.1.3(ДМ3) 192.168.11.1 —(ДМ3) 192.168.11.1 —Web-сервер 192.168.11.3Web-сервер 192.168.11.310.1.1.110.1.1.110.1.1.110.1.1.1(резервный) Web-сервер 10.1.1.5(резервный) Web-сервер 10.1.1.5
www.secureweb.web
www.secureweb.web
nternet
nternet
Маршрутизатор периметра
192.168.1.2
Маршрутизатор периметра
192.168.1.2
(внешний) 192.168.1.1
(внешний) 192.168.1.1
PIX Firewall
PIX Firewall
(внутренний) 10.1.1.3
(внутренний) 10.1.1.3
(ДМ3) 192.168.11.1 —
(ДМ3) 192.168.11.1 —
Web-сервер 192.168.11.3
Web-сервер 192.168.11.3
10.1.1.1
10.1.1.1
10.1.1.1
10.1.1.1
(резервный) Web-сервер 10.1.1.5
(резервный) Web-сервер 10.1.1.5
Рис. 9.1. Пример применения статических карт и каналов
Пользователь вводит имя домена www.secureweb.web в соответствующую строку броузера Web, которое преобразуется в IP-адрес 192.168.1.11.
IP-адресу 192.168.1.11 присваивается низкое значение защиты на внешнем интерфейсе брандмауэра PIX Firewall.
Брандмауэр PIX Firewall выясняет, что с помощью команды static была задана трансляция трафика с адресом назначения 192.168.1.11 в частный адрес 192.168.11.3.
Pixfirewall(config)♦ static (inside,outside) 192.168.1.11 192.168.11.3
В случае отказа оборудования указанный оператор static может быть изменен, чтобы направить трафик к резервному Web-серверу, пока на главном сервере будут идти восстановительные работы.
Pixfirewall(config)# static (inside,outside) 192.168.1.11 10.1.1.5
Брандмауэр PIX Firewall проверяет значения защиты, присвоенные соответствующим интерфейсам, и выясняет, что внешний интерфейс имеет меньшее значение защиты, чем внутренний. В обычных условиях в этот момент попытка соединения отвергается, если не обнаруживается оператор conduit, разрешающий доступ.
Брандмауэр PIX Firewall выясняет, что была создана команда conduit, разрешающая трафик Web (ТСР-порт 80).
Pixfirewall(config)# conduit permit top host 192.168.1.11 eq 80 any
Брандмауэр PIX Firewall определяет, что соединения с IP-адресом 192.168.1.11 (статически отображаемым в адрес Web-сервера) через порт 80 разрешены: они транслируются и направляются внутреннему Web-серверу по адресу 192.168.11.3.
Пользователь получает доступ к Web-серверу, и страница успешно загружается.
Как видно из этого примера, весь процесс достаточно прост и напоминает использование списков доступа в обычном маршрутизаторе.
Замечание
В брандмауэре RIX Firewall 5.1.2 вместо команд conduit и static могут использоваться списки доступа.
Команда route
Команда route подобна команде static; обе с помощью ряда параметров указывают брандмауэру FIX Firewall, куда направить поток данных. Однако на этом их сходство заканчивается.
Команда static определяет постоянное соответствие между внутренним и внешним IP-адресами. Команда route только сообщает брандмауэру PIX Firewall о том, что для доступа к определенному IP-адресу необходимо использовать указанный шлюз.
Рассмотрим синтаксис команды route.
route имя_интерфейса 1р_адрес маска 1р_шлюза [метрика]
Параметры команды описываются в следующей таблице.
Параметр команды
Описание
имя_ннтерфейса
1р_адрес
Указывает имя сетевого интерфейса
Определяет внутренний или внешний IP-адрес. Используйте 0.0.0.0, чтобы описать маршрут по умолчанию (значение 0.0.0.0 можно сократить до 0)
маска
Определяет сетевую маску для применения к адресу, указанному параметром ip_адрес. Используйте 0.0.0.0, чтобы описать маршрут по умолчанию (значение 0.0.0.0 можно сократить до 0)
ip шлюза
Определяет IP-адрес маршрутизатора шлюза (адрес следующего транзитного маршрутизатора для данного маршрута)
метрика
Задает число транзитов до шлюза ip_шлюза. Если оно не известно, укажите значение 1 (соответствующую информацию можно получить у сетевого администратора или с помощью команды traceroute). Если этот параметр не определен, по умолчанию используется значение 1
Если брандмауэр PIX Firewall имеет два интерфейса, необходимо описать маршруты по умолчанию для внутреннего и внешнего интерфейсов. Если интерфейсов больше, укажите один маршрут по умолчанию только для внешнего интерфейса. Это необходимо сделать, потому что брандмауэр PIX Firewall не является маршрутизатором и не может позволить трафик сверх того, что допускается командами static и route. Описание маршрута по умолчанию к внешнему интерфейсу гарантирует, что подлежащие отправке пакеты из внутренней сети будут направляться к внешнему интерфейсу. В примере 9.1 команда route inside сообщает брандмауэру о том, что весь трафик, предназначенный для сети 10.1.2.0, должен направляться через транзитный маршрутизатор 10.1.1.1 со счетчиком транзитов, равным 1. Последнее означает, что маршрутизатор находится на расстоянии одного перехода (прыжка).
Pixfirewall(config)t route inside 18.1.2.0 255.255.255.0 10.1.1.1 1
Pixfirewall(config)t route outside 0 0 192.168.1.2 1
Сквозная опосредованная аутентификация пользователей
Система сквозной опосредованной аутентификации брандмауэра PIX Firewall выполняет начальную проверку пользователя на уровне приложения (подобно стандартному proxy-серверу), но как только пользователь идентифицирован с помощью сервера базы данных защиты типа TACACS+ или RADIUS, брандмауэр PIX Firewall начинает применять другой подход. После аутентификации пользователя и проверки политики защиты брандмауэр возвращает соединение высокоскоростной системе ASA на все время сопровождения состояния сеанса TCP/IP (эта система действует на существенно более быстром сетевом уровне).
Замечание
Здесь важно отметить, что после успешной аутентификации пользователь может продолжить аутентифицированный сеанс связи до истечения времени, указанного таймером uauth. По истечении времени uauth пользователю придется пройти процедуру начала сеанса снова. Такая мера предосторожности предусмотрена для того, чтобы пользователи не оставляли свои рабочие станции в подключенном состоянии без сопровождения.
Использование стандартной аутентификации с помощью proxy-сервера может замедлять обработку транзакций из-за работы на прикладном уровне. (Стандартный proxy-сервер перехватывает обращения к часто запрашиваемым Web-страницам, загружает такие Web-страницы и помещает их в кэш, используя его при обработке последующих обращений к этим страницам; если запрошенной пользователем страницы в кэше нет, предпринимается попытка получить страницу путем установки соответствующего соединения.) Скорость работы на прикладном уровне полностью зависит от скорости компьютера хоста и ограничивается скоростью процессора. Система сквозной опосредованной аутентификации пользователя позволяет брандмауэру PIX Firewall работать значительно быстрее, чем обычные proxy-серверы, не ослабляя при этом защиту.
Преимущества сквозной опосредованной аутентификации
Аутентификация пользователей методом сквозного посредничества имеет важные преимущества, и самое важное из них — это скорость обработки потока данных. После аутентификации пользователя с помощью базы данных TACACS+ или RADIUS, брандмауэр PIX Firewall может переместить процесс с прикладного уровня на сетевой (более быстрый). Это значит, что скорость потока возрастет и пользователь защищенной сети получит выигрыш в производительности.
Брандмауэр PIX Firewall имеет также возможности, не предлагаемые обычными ргоху-серверами.
Брандмауэр PIX Firewall сначала выполняет аутентификацию и авторизацию на прикладном уровне. По завершении аутентификации поток данных сеанса передается в распоряжение системы ASA с целью ускорения работы.
Брандмауэр PIX Firewall может аутентифицировать пользователей с помощью базы данных сервера защиты TACACS+ или RADIUS. Производители ргоху- серверов постепенно добавляют эту возможность во все новые продукты.
По завершении аутентификации брандмауэр PIX Firewall переходит в режим прозрачного для пользователя высокоскоростного сеанса связи.
Брандмауэр PIX Firewall выполняет аутентификацию как входящих, так и исходящих соединений на основе полной информации о их состоянии.
Процедура сквозной опосредованной аутентификации
Рассмотрим реальный пример использования сквозной опосредованной аутентификации. В результате выполнения следующих действий (схематически показанных на рис. 9.2) поток данных сеанса перемещается на сетевой уровень, продолжая связывать пользователя и Web-сервер.
Пользователь пытается получить доступ к ресурсам защищенной сети.
Брандмауэр PIX Firewall перехватывает запрос установки соединения и проверяет таблицу сеансов ASA, чтобы выяснить, аутентифицирован ли этот пользователь. Если он уже был аутентифицирован, а время, заданное таймером сеанса, еще не истекло, пользователю разрешается продолжить сеанс. Если время истекло (официальным именем таймера сеанса является uauth timer), от пользователя требуется пройти аутентификацию снова.
Брандмауэр PIX Firewall генерирует запрос аутентификации, соответствующий типу соединения (для Web-соединений это должен быть стандартный запрос аутентификации HTTP), а пользователь в ответ вводит свое имя и пароль (это происходит на прикладном уровне).
Брандмауэр PIX Firewall переправляет информацию пользователя серверу, уполномоченному выполнить аутентификацию (например, серверу TACACS+ или RADIUS). Брандмауэр PIX Firewall способен выполнять аутентификацию трафика Telnet, FTP и HTTP.
После аутентификации пользователя брандмауэр PIX Firewall перемещает поток данных сеанса на сетевой уровень на все время существования непосредственного соединения между двумя сторонами, поддерживая контроль соединения на основе информации о его состоянии.
Возможность сквозной опосредованной аутентификации позволяет брандмауэру PIX Firewall выполнять свою работу значительно быстрее, чем другие брандмауэры, требующие обработки всех пакетов на прикладном уровне даже после аутентификации пользователя.
Модели брандмауэров PIX Firewall
и их компоненты
Выбрать подходящую модель брандмауэра PIX Firewall достаточно просто, если иметь четкие ответы на следующие вопросы.
Соответствует ли применение брандмауэра PIX Firewall проводимой предприятием политике защиты?
Что ожидается получить от брандмауэра PIX Firewall?
Брандмауэр PIX Firewall предполагается использовать для защиты всей сети или только ее части?
1.1.2.2.5.Рис. 9.2. Схема процесса сквозной опосредованной аутентификации5.Рис. 9.2. Схема процесса сквозной опосредованной аутентификации
1.
1.
2.
2.
5.
Рис. 9.2. Схема процесса сквозной опосредованной аутентификации
5.
Рис. 9.2. Схема процесса сквозной опосредованной аутентификации
Каким угрозам безопасности подвергалась сеть и против каких сегментов сети они были направлены?
Насколько просто выполнить масштабирование соответствующего решения защиты в случае быстрого расширения сети?
Защищает ли соответствующий подход от нарушений, регистрируемых сегодня и возможных в будущем?
Будет ли соответствующее решение защиты работать в рамках имеющейся топологии сети?
Насколько просто модернизировать соответствующий продукт?
Насколько просто будет установить и сопровождать соответствующий продукт?
Компания Cisco предлагает брандмауэры PIX Firewall моделей 515 и 520, предназначенные для решения задач защиты следующих групп потребителей.
Cisco Secure PIX 515. Эта модель идеально подходит для малых и средних организаций. Брандмауэр PIX 515-R (ограниченная версия) поддерживает до 64000 открытых сеансов одновременно, а брандмауэр PIX 515-UR — до 128000 сеансов. В последнее время компания Cisco снизила цену на эти модели, чтобы сделать их более доступными для покупателей.
Cisco Secure PIX 520. Брандмауэр PIX 520 рассчитан на применение в больших и сложных сетях крупных предприятий. Без существенного снижения производительности он может поддерживать до 256000 открытых сеансов одновременно (для достижения этих показателей требуются обновления).
Не так давно стала доступна еще одна модель брандмауэра PIX Firewall.
Cisco Secure PIX 506. Это самый новый продукт семейства PIX Firewall. Он предназначен для компаний, желающих предоставить своим служащим возможность использовать связь VPN. Брандмауэр может соединить до четырех клиентов VPN сразу. Эта модель применяется для защиты особо важных дан-
ных, передаваемых по стандартным связям IPSec с использованием сложных технологий шифрования.
Обсуждать модель 506 мы здесь не будем, поскольку главной ее задачей является поддержка связей VPN и шифрования данных, а эти вопросы выходят за рамки обсуждения данной главы.
Компания Cisco разработала линию брандмауэров PIX Firewall с учетом возможностей масштабирования и модернизации, чтобы обеспечить долговечность любой выбранной вами конфигурации. В следующих разделах главы будут рассмотрены параметры конфигурации, доступные только в брандмауэрах моделей 515 и 520.
Информация, предлагаемая в табл. 9.1, поможет вам в выборе подходящей модели брандмауэра PIX. При этом необходимо учитывать сегодняшние и перспективные задачи защиты, возможные изменения топологии сети, рост числа пользователей и соответствующего трафика, с которым придется иметь дело брандмауэру PIX Firewall, а также скорость работы, которую вы хотели бы получить от своего брандмауэра.
И ^^~S^
Вопрос
Ответ
Модель брандмауэра
Объяснение
Сколько сегментов сети предполагается подключить к брандмауэру?
Четыре или более
PIX 520 или 515-U
Брандмауэр PIX 520 имеет два дополнительных порта расширения типа PCI. Модель 515-U допускает использование четырехпортового интерфейса Ethernet
Как много пользователей будут соединяться с Internet через брандмауэр PIX Firewall?
Не более 1000
PIX515
Брандмауэры серии 515 могут обрабатывать до 50000 соединений при использовании модели 515-R
Какова топология сети?
Только Ethernet
PIX515
Базовые модели серии 515 обеспечивают работу в сетях только с топологией Ethernet
Требуется ли подключить сегмент Token Ring?
Используется Token Ring и Ethernet
PIX 520
На сегодня только модель 520 допускает использование Token Ring и Ethernet одновременно
Какая необходима скорость обмена?
В сети используется технология 100 Мбит
PIX 515 или PIX 520
Брандмауэры PIX Firewall моделей 515 и 520 могут обрабатывать потоки до 170 Мбит/сек (номинальная скорость)
Ожидается ли расширение сети, которую должен защищать брандмауэр PIX?
Перспективы расширения сети не ясны
PIX 520
Выбор модели 520 в условиях неопределенной перспективы расширения сети является лучшим вариантом. Эта модель имеет прекрасные возможности масштабирования и может использоваться в сетях с самой разной топологией
Если, ознакомившись с материалом данной главы, вы все же не определитесь с выбором подходящей модели брандмауэра PIX Firewall, потратьте некоторое время на выяснение того, какие решения предпочитают другие сетевые администраторы и насколько они эффективны. Вы обнаружите, что диапазон мнений о преимуществах той или иной модели PIX Firewall в конкретных условиях окажется весьма широким.
Компания Cisco предлагает также комплексные аппаратные решения, включающие сетевые интерфейсы и соответствующие лицензии, разрешающие их использование. С
полным ассортиментом предлагаемых компанией Cisco брандмауэров PIX Firewall можно ознакомиться на ее Web-странице.
Замечание
Для крупных предприятий подойдет также брандмауэр PIX модели 525. Ознакомьтесь с информацией, предлагаемой по адресу: www.cisco.com, где имеется список доступных на сегодня моделей брандмауэров PIX Firewall.
CiscoSecure PIX 515
Брандмауэр PIX модели 515 является превосходным выбором для малых и средних предприятий, которым требуется надежная защита коммуникаций в рамках бюджетных ограничений и требований производительности территориальной сети начального масштаба. В серии 515 предлагаются модели, обозначенные суффиксами U (версия без ограничений — 170 Мбит/с и поддержка до 100000 соединений одновременно) и R (ограниченная версия — 170 Мбит/с и поддержка до 50000 соединений одновременно). В табл. 9.2 описаны ограничения обеих моделей.
Таблица 9.2; Компоненты и возможности конфигурации брандмауэров
КомпонентыОпции конфигурации
Процессор
Число локальных разъемов PCI
Память (DRAM)
Порты Ethernet
Интерфейс Token Ring
Интерфейс FDDI
Соединения
Скорость работы
Pentium Pro, 200 МГц
Два, внутренние
32 Мбайт (515-R) или 64 Мбайт (515-UR)
Два (515-R) или шесть (515-UR)
Не поддерживается
Не поддерживается
50000 (515-R) или 100000 (515-UR)
До 45 Мбит/с при поддержке до 50000 соединений одновременно и до 2000 соединений в секунду
Флэш-память (для операционной системы и параметров конфигурации)
Программные возможности
Опции питания
8 Мбайт (515-R) или 16 Мбайт (515-UR)
PIX Firewall версии 5.02
Нет
CiscoSecure PIX 520
Если для защиты вашей сети требуется более надежная платформа, чем может обеспечить брандмауэр PIX модели 515 (т.е. необходимы дополнительные интерфейсы, поддержка Token Ring или FDDI или большего числа одновременно существующих соединений), подходящим может оказаться брандмауэр PIX модели 520. Данная модель легко справляется с нагрузкой в сетях компаний, которым необходима защита на уровне всего предприятия (табл. 9.3).
|Таблйца 9.3.|Таблйца 9.3.КомпонентыКомпонентыКомпоненты и возможности
|Таблйца 9.3.
|Таблйца 9.3.
Компоненты
Компоненты
Р1Х серии 520 * :'
ЙШ5»-^ЗкЬЫ8$Мбй1^^
эров■Выэров■ВыОпции конфигурации
эров
■Вы
эров
■Вы
Процессор
Intel Pentium II 233 или 350 МГц, в зависимости от серийного номера:
для номеров 18005000-18013334 используется РН 233 МГц (версия PIX не ниже 4.0.7)
для номеров 18013335 и выше применяется РН 350 МГц (версия PIX не ниже 4.2.4 для возможности нумерации слотов)
Число локальных разъемов PCI
Память (SDRAM)
Порты Ethernet
Интерфейс Token Ring
Интерфейс FDDI
Соединения
Скорость работы
Четыре, внутренние
128 Мбайт (стандарт)
Шесть, с возможностью настройки
Четыре, с возможностью настройки
Два, с возможностью настройки
256000
До 170 Мбит/с при поддержке до 256000 соединений одновременно и до 6500 соединений в секунду
Флэш-память (для операционной системы и параметров конфигурации) Программные возможности
Опции питания
2 Мбайт
PIX Firewall версии 5.02
Источник постоянного тока PIX 520. Может также комплектоваться источником питания -48 В, соответствующим спецификациям NEBS Level 3 по стандарту Bellcore GR-63 и GR-1089
Замечание
Материнская плата брандмауэра PIX 520 на базе Pentium II содержит три разъема DIMM. Программное обеспечение PIX не позволит использовать адреса памяти выше 128 Мбайт, даже если команда show version показывает, что общий объем памяти превышает 128 Мбайт.
Интерфейсы, поддерживаемые брандмауэрами PIX
Как видно из представленных в предыдущем разделе таблиц, брандмауэр PIX Firewall поддерживает несколько сетевых интерфейсов. Установка и использование этих интерфейсов (Ethernet, Token Ring и FDDI) целиком зависит от тех лицензий, которые вы приобретете.
Если ваша конфигурация требует наличия двух плат Ethernet и одной Token Ring, необходимо приобрести лицензию, позволяющую использовать такое число плат. Приобретенная вами лицензия будет ограничивать также число соединений, одновременно открываемых в рамках сетевых интерфейсов. Суммарное число соединений зависит от объема установленной оперативной памяти RAM (версии IOS 5.x и выше) и опций лицензии программного обеспечения. Соединение подобно сокету (двунаправленному каналу), поскольку оно характеризуется IP-адресами источника и адресата, а также номерами портов TCP или UDP источника и адресата. Можно увеличить число разрешенных
соединений, если приобрести обновление лицензии и добавить в конфигурацию брандмауэра PIX Firewall секретный ключ активизации (предоставляемый компанией Cisco).
Следующие разделы содержат более подробные сведения о лицензировании для брандмауэров PIX Firewall моделей 515 и 520 (в соответствии с информацией, представленной в каталоге продуктов Cisco Systems).
Варианты лицензий программного обеспечения
Для брандмауэра PIX 515 (версии 4.4) лицензия соответствует возможностям продукта. Пользовательская лицензия программного обеспечения брандмауэра PIX 515 не имеет ограничений, а число одновременно открываемых исходящих соединений TCP/IP ограничивается аппаратными возможностями соответствующего комплекта поставки.
Брандмауэр начального уровня PIX 515-R (ограниченный) поддерживает до 50000 соединений. (Кроме того, PIX 515-R не обеспечивает автоматическое исправление ошибок и поддерживает не более двух интерфейсов Ethernet 10/100.) Брандмауэр среднего уровня PIX 515-UR поддерживает шесть интерфейсов Ethernet 10/100 и до 100000 соединений, а также обеспечивает автоматическое исправление ошибок.
Для брандмауэра PIX 520 предусмотрены лицензии начального и среднего уровней, а также неограниченная лицензия. Брандмауэр PIX 520 поддерживает более четверти миллиона соединений и шесть интерфейсов Ethernet 10/100 (или четыре Token Ring, или два FDDI), а также обеспечивает автоматическое исправление ошибок.
Поддержка сетевых интерфейсных плат
Брандмауэр PIX Firewall поддерживает следующие типы сетевых интерфейсных плат.
Ethernet 10/100BaseT с одним портом. До четырех сетевых плат на шасси брандмауэра PIX Firewall. Это не относится к брандмауэру PIX 515 с ограниченным программным обеспечением.
Ethernet 10/100BaseT с четырьмя портами. Может комбинироваться с одной или несколькими однопортовыми сетевыми платами Ethernet 10/100. Это не относится к брандмауэру PIX 515, имеющему программное обеспечение с ограниченными возможностями.
Token Ring 4/16 Мбит/с. До четырех сетевых плат на шасси брандмауэра PIX Firewall. Это не относится к брандмауэру PIX 515.
FDDI. До двух сетевых плат на шасси брандмауэра PIX Firewall. Это не относится к брандмауэру PIX 515.
Замечание
В брандмауэрах CiscoSecure PIX Firewall разрешается использовать только фирменные сетевые платы Cisco или платы авторизованных дилеров. Попытки использовать другие сетевые платы ведут к потере гарантии.
Замечание
Сеансы HTTP являются временными, т.е. они длятся только в течение времени загрузки объекта. Между загрузками, когда пользователь не использует программное обеспечение клиента, активных сеансов нет.
С появлением дополнительной опции в виде четырехпортовой интерфейсной платы Ethernet фирмы Cisco брандмауэр Р1Х Firewall существенно расширил свои возможности. Этот компонент обеспечивает четыре соединения Ethernet 10/100 и имеет возможности автоматического распознавания. Разъемы на четырехпортовой плате в брандмауэрах модели 515 нумеруются последовательно слева направо от 2 до 5, если смотреть на устройство сзади.
Верхний номер порта четырехпортовой платы Ethernet зависит от номера разъема, в который устанавливается плата (табл. 9.4).
Таблйца 9.4. Присйаивае||1||^^
Верхний разъем четырехпортовой платы
Разъем 0
Разъем 1
Разъем 2
Четырехпортовая
Любая
Любая
EthernetO
Ethernet
Четырехпортовая
Любая
Ethernetl
Ethernet
Ethernet
Четырехпортовая
Ethernet2
Token Ring
Четырехпортовая
Любая
EthernetO
Token Ring
Token Ring
Четырехпортовая
EthernetO
Token Ring
Ethernet
Четырехпортовая
Ethernetl
Ethernet
Token Ring
Четырехпортовая
Ethernetl
Замечание
При использовании четырехпортовой платы и при наличии любой сетевой платы, установленной в разъем 3, число интерфейсов оказывается больше шести. Плата в разъеме 3 при этом будет недоступна, но ее наличие не вызывает проблем в работе брандмауэра PIX 520.
Настройка брандмауэра PIX Firewall
Для настройки брандмауэра PIX Firewall необходимо выполнить следующие действия.
Установить уровни безопасности интерфейсов, с которыми будут связываться элементы политики защиты.
Выбрать для интерфейсов имена, описывающие их назначение.
Назначить интерфейсам IP-адреса.
Установить пароли доступа Telnet и доступа к интерфейсу командной строки.
Создать статические карты и каналы (если это необходимо).
Создать глобальный пул адресов, если требуется трансляция сетевых адресов.
Сохранить конфигурацию в памяти или на диске.
С помощью команд nameif, interface и ip address брандмауэр PIX Firewall настраивается так, чтобы он мог безопасно и спокойно сообщаться с внешним миром.
Команда global позволяет создать пулы IP-адресов, с помощью которых команда nat сможет присваивать новые IP-адреса пакетам, покидающим брандмауэр, чтобы скрыть истинные адреса источника.
Наконец, что очень важно, необходимо применить команду write, чтобы сохранить все изменения конфигурации в памяти, на дискете или сетевом файловом сервере и иметь резервную копию. Синтаксис используемых в данном разделе команд будет описан подробнее в следующих главах.
Метод, который применяется для начальной настройки брандмауэра PIX Firewall, зависит от версии установленного программного обеспечения брандмауэра и типа рабочих станций, которым потребуется доступ к брандмауэру. Если в системе установлено программное обеспечение PIX Firewall версии 4.2 (или более поздней) и необходимо получить доступ с компьютера на базе Windows, то настроить брандмауэр можно одним из следующих двух способов.
Подключить консольный кабель к последовательному кабелю компьютера и настроить брандмауэр PIX Firewall, используя интерфейс командной строки.
Установить мастер установки PIX Firewall, чтобы использовать его для создания начальной конфигурации и ее загрузки в брандмауэр PIX Firewall.
Если установлена версия 4.2 (или более поздняя), а рабочая станция работает под управлением UNIX или другой операционной системы, отличной от Windows, то для настройки можно использовать эмулятор терминала и командную строку брандмауэра PIX Firewall.
Замечание
Пример конфигурации в конце этой главы можно подправить и использовать в качестве шаблона при введении команд в командную строку.
Интерфейс командной строки брандмауэра PIX
Интерфейс командной строки брандмауэра PIX Firewall предлагает набор команд, очень похожих по структуре на команды Cisco IOS маршрутизаторов Cisco.
Многочисленные функции каждой из команд могут быть выполнены только в соответствующих режимах. На первых порах при использовании интерфейса командной строки Cisco IOS запомнить соответствие уровней и команд может оказаться непросто. Лучше всего здесь поможет четкое понимание действия, которое необходимо выполнить.
Непривилегированный режим (называемый также пользовательским режимом). Позволяет только просмотр элементов администрирования.
Привилегированный режим (режим enable). Позволяет просмотр и изменение элементов администрирования.
Режим конфигурации (режим config). Позволяет изменить конфигурацию брандмауэра PIX Firewall. В отличие от режима config программного обеспечения Cisco IOS, позволяет также выполнять интерактивные команды.
В следующих разделах эти режимы обсуждаются подробнее, чтобы выяснить возможности каждого из указанных командных уровней.
Непривилегированный режим
При получении доступа через консольный кабель или в рамках сеанса Telnet вы сначала оказываетесь в непривилегированном режиме, который имеет низкий уровень защиты и выбирается по умолчанию. Для немедленного перехода в непривилегированный режим из любого другого следует нажать <Ctrl+Z>.
Непривилегированный режим имеет следующие характеристики.
Он идентифицируется знаком “больше” (>) в приглашении командной строки (например, Pixfirewall>).
Разрешается ограниченный просмотр текущих установок конфигурации.
Команды, которые могут влиять на работу брандмауэра PIX Firewall, на этом уровне выполнить нельзя.
Это режим по умолчанию для консоли.
Изначально этому уровню не присвоено никакого пароля.
На этом уровне доступны команда enable (запрос доступа к привилегированному режиму) и ограниченный набор операционных команд. Операционные команды непривилегированного уровня представлены в табл. 9.5.
Таблица 9.5. Команды непривилегированного режима
Команды Выполняемые действия
show checksum
Показывает контрольную сумму конфигурации, которая может использоваться при разрешении проблем конфигурации и восстановлении утерянного пароля
show version
Позволяет выяснить номер версии Cisco IOS и другие параметры конфигурации (в частности, установленные интерфейсы и параметры лицензии)
help
Отображает справочную информацию для команд и их параметров
who
Отображает информацию об активных сеансах администрирования Telnet
Ввиду такой ограниченности возможностей непривилегированного режима вы, скорее всего, не будете тратить слишком много времени на работу в нем. Чтобы внести какие-то изменения в конфигурацию брандмауэра, необходимо перейти в привилегированный режим.
Привилегированный режим
Привилегированный режим открывает доступ к внутренним ресурсам брандмауэра PIX Firewall (для перехода в этот режим следует ввести enable и нажать <Enter>). В этом режиме вы получаете доступ ко всему многообразию операционных и конфигурационных команд брандмауэра, поэтому привилегированный режим необходимо защитить паролем. Установить пароль относительно просто. Для этого нужно ввести команду enable password. Если пароль еще не был определен, можно его ввести после выполнения команды enable, когда на экране появится запрос пароля. На этой стадии настройки брандмауэра PIX Firewall нужно не забыть обязательно ввести пароль режима enable, прежде чем продолжить дальнейшую работу.
Замечание
В отличие от пароля enable стандартного маршрутизатора Cisco, в брандмауэре PIX пароль enable шифруется автоматически.
Привилегированный режим имеет следующие характеристики.
Он идентифицируется знаком “решетка” (#) в приглашении командной строки (например, Pixfirewall#).
Разрешается изменять текущие установки конфигурации и записывать изменения в флэш-память. По завершении процесса настройки брандмауэра PIX Firewall измените пароль с помощью команды enable password.
Команды непривилегированного режима здесь также доступны.
Чтобы войти в привилегированный режим, необходимо в непривилегированном режиме ввести команду enable.
В привилегированном режиме вы имеете доступ ко всем командным режимам, к режиму конфигурации (если требуется изменение конфигурации) и командам, которые могут влиять на текущую “выполняемую” конфигурацию брандмауэра PIX Firewall.
В табл. 9.6 представлены команды, доступные в привилегированном режиме.
^Таблица 9.6. Команды привилегированного режима. j
КомандыВыполняемые действия
disable
Переход из привилегированного режима в непривилегированный
configure terminal
Переход в режим config. На стандартном маршрутизаторе Cisco соответствующей командой является config t
kill telnet_id
Позволяет закрыть сеанс Telnet с соответствующим идентификатором сеанса
clear configure primary
Переустанавливает значения по умолчанию для команд interface, ip, mtu, nameifи route
Ознакомившись с настройкой брандмауэра PIX Firewall, вы получите лучшее представление о привилегированном режиме, а также о режиме config, который обсуждается в следующем разделе.
Режим конфигурации
Хотя привилегированный режим и требует для доступа к нему ввода секретного шифрованного пароля, все же он не может сравниться по своим возможностям с режимом конфигурации. Режим конфигурации позволяет внести изменения в конфигурацию любого компонента брандмауэра PIX Firewall. Чтобы перейти в режим конфигурации, следует ввести config t и нажать <Enter>.
Этот режим имеет следующие характеристики.
Он идентифицируется наличием (config) в приглашении командной строки (например, Pixfirewall (config) #).
Разрешается изменять текущую конфигурацию брандмауэра PIX Firewall.
Команды непривилегированного режима здесь не работают; для их выполнения необходимо выйти из режима конфигурации.
В этом режиме доступны не только команды режима конфигурации, но и команды привилегированного режима.
В режиме конфигурации имеется доступ ко всем командным режимам, ко всем командам изменения конфигурации и другим командам, которые могут влиять на текущую конфигурацию брандмауэра PIX Firewall.
В табл. 9.7 представлены некоторые команды, доступные в режиме конфигурации.
Этот режим имеет больший потенциал опасности при неправильном или злонамеренном его использовании. К этому режиму должны иметь доступ только те, кто хо-
рошо знаком с интерфейсом командной строки брандмауэра PIX. Команды настройки брандмауэра PIX Firewall, которые будут обсуждаться в этой главе ниже, необходимо вводить именно в этом режиме.
\fабтра 9.7. Примеры команд режима конфигурации
Команды
Выполняемые действия
access-list
Дает возможность создавать списки доступа, которые разрешают или запрещают конкретные типы трафика
clear arp
clear conduit
Очищает кэш ARP (Address Resolution Protocol — протокол разрешения адресов)
Удаляет каналы из текущей конфигурации
copy tftp flash
Позволяет скопировать файл конфигурации с сервера TFTP в флэш-память
Реализация защиты интерфейсов
Брандмауэр PIX Firewall по определению является устройством защиты. Как уже говорилось выше, защита сетевых интерфейсов активизируется путем назначения им соответствующих значений защиты. Соединения между двумя интерфейсами допускаются только при соблюдении правила “от высшего к низшему”.
Хотя главной задачей брандмауэра PIX Firewall является защита сети от атак нарушителей из Internet, он должен защищать сеть и от внутренних нарушителей. Именно по этой причине значения защиты присваиваются всем интерфейсам брандмауэра PIX Firewall.
Рассмотрим для примера здание, в котором вы работаете. Несомненно, определенные задачи защиты выполняет парадная дверь, независимо от того, имеется ли там устройство чтения идентификационных карт или охранник. Задачей механизма защиты является охрана здания от несанкционированного доступа. После входа в здание вы обнаружите в дверях комнат замки, которые служат той же цели. Подобная сегментированная модель защиты используется и в брандмауэре PIX Firewall.
Приобретенная вами модель брандмауэра PIX Firewall может иметь четыре (или больше) сетевые интерфейсные платы, и соответствующие интерфейсы могут соединяться с различными сегментами сети. Чтобы не позволить бесконтрольный доступ из одних сегментов сети к другим, необходимо назначить им уровни безопасности.
Команда nameif
Команда nameif используется для того, чтобы присвоить имена и значения защиты интерфейсам брандмауэра PIX Firewall. Присвоенные интерфейсам имена будут применяться в других командах брандмауэра PIX Firewall (например, в командах ip address и ping), поэтому желательно выбирать информативные имена, напоминающие о задачах, которые должны выполняться интерфейсом. Немного позже в этом разделе мы обсудим правила связывания интерфейсов с разными уровнями безопасности. Кроме того, мы рассмотрим отношения, существующие между интерфейсами с одним и тем же уровнем безопасности.
Рассмотрим синтаксис команды nameif.
nameif id_nnara имя_иитерфейса уровень_безопасности
Параметры команды описаны в следующей таблице.
Параметр команды Описание
id_платыУказывает имя сетевой интерфейсной платы и порядок нумерации таких плат в за
висимости от модели брандмауэра, в которой они установлены. Эти имена можно сокращать до нескольких первых символов имени (например, etherl, е2, FDDI1, F1, tokenO или Ю)
имя_иитерфейса Указывает имя внутреннего или внешнего сетевого интерфейса; может содержать до 255 символов верхнего или нижнего регистра
уровеиь_безопасности Указывает уровень безопасности сети и отношения между интерфейсами. Может иметь вид securityn, но допускает сокращение до seen и даже до sn (например, sO)
Замечание
Первые два интерфейса имеют имена по умолчанию: outside и inside (внешний и внутренний). Внутренний интерфейс по умолчанию имеет уровень безопасности 100, а внешний — 0. Для этих двух интерфейсов изменить уровни безопасности нельзя. Принятое по умолчанию имя для внутреннего интерфейса тоже изменить нельзя, но сделать это можно для внешнего интерфейса.
Уровни безопасности
Использование уровней безопасности для интерфейсов является основой защиты инфраструктуры, через которую проходит важная информация. Не все сети равны по своей важности, поэтому связь между некоторыми сетями или их сегментами может оказаться нежелательной. Деление сетей на сегменты с разными уровнями безопасности дает возможность сетевым инженерам определить, какие сегменты сети имеют более высокий риск нарушения защиты (при этом нет необходимости посвящать их в тонкости модели защиты).
Имейте в виду, что команды conduit и static могут отменить любые меры защиты, установленные с помощью команды nameif.
Правила уровней безопасности
Для трафика, исходящего из внутренней сети с уровнем безопасности 100 и направленного во внешнюю сеть с уровнем безопасности 0, применяется следующее правило: разрешается весь трафик IP, не ограниченный специально списками доступа, аутентификацией или авторизацией. Принимаются во внимание также команды nat (указывающие допустимые связи интерфейсов хоста) и команды global (задающие внешние адреса, доступные для транслятора сетевых адресов при выполнении команд nat).
Для трафика, порожденного внешней сетью с уровнем безопасности 0 и направленного во внутреннюю сеть с уровнем безопасности 100, применяется следующее правило: отвергаются все пакеты, не разрешенные специально командой conduit. Дополнительные ограничения на трафик могут налагать процедуры аутентификации и авторизации.
Для разрешения трафика извне во внутреннюю сеть необходимо использовать команды conduit и static.
Между двумя сетями с одним и тем же уровнем безопасности связь запрещается; кроме тех случаев, когда для отмены такого ограничения применяются команды conduit и static. Если периметры сетей настроены с указанием одного уровня безо-
пасности, никакого свободного трафика между такими сетями быть не может. Это правило особенно важно, когда брандмауэр PIX Firewall поддерживает большое число (до 16) сетевых интерфейсов.
Уровень безопасности 100 имеет следующие характеристики.
Это наивысший уровень безопасности (только одна сеть должна иметь уровень безопасности 100).
Это значение обычно назначается только интерфейсу, соединенному с внутренней сетью.
Это значение обычно назначается интерфейсу, через который с брандмауэром PIX Firewall соединяется самое большое число сетей.
Уровень безопасности 0 имеет такие характеристики.
Это самый низкий уровень безопасности.
Это значение обычно назначается только внешнему интерфейсу.
Это значение обычно назначается интерфейсу, связанному с Internet.
Если для какой-то команды требуется указать имена двух интерфейсов, сначала указывается более безопасная сеть и только потом — менее безопасная (пример 9.2).
Pixfirewall(config)# static (inside,outside)
Pixfirewall(config)# static (inside,dmzl)
Связь между уровнями безопасности интерфейсов
При связи между интерфейсами брандмауэра PIX Firewall выполняется сравнение их уровней безопасности. В табл. 9.8 объясняются следующие примеры сравнения.
Интерфейс рассматривается как внешний, если сравнение выявляет отношение “более низкий уровень к более высокому”.
Интерфейс рассматривается как внутренний, если сравнение выявляет отношение “более высокий уровень к более низкому”.
|ад'М^ковВД№о^^^связывания
Интерфейсная пара
Интерфейсное отношение для Рекомендации по настройке интерфейса Ethernet? (DMZ1)
Outside sec 0 HDMZ1 sec 50
DMZ1 считается внутренним ин- Для разрешения сеансов связи с DMZ1, устанавливаемых терфейсомвнешним интерфейсом, необходимо использовать соот
ветствующие команды global, static и conduit
Inside sec 100
ИDMZ1 sec 50
DMZ1 считается внешним ин- Для разрешения сеансов связи с DMZ1, устанавли- терфейсом ваемых внутренним интерфейсом, используются ко
манды global и nat. Для интерфейса DMZ1 можно указать статические карты (команда static), чтобы гарантировать, что хосты сервисов имеют соответствующий адрес источника
При сравнении уровней безопасности двух интерфейсов считайте, что интерфейс с более низким уровнем безопасности находится снаружи брандмауэра PIX Firewall, независимо от того, соответствует это действительности или нет. Это напомнит о том, что при настройке конфигурации всегда нужно принимать во внимание уровень безопасности интерфейса. Объяснение такого подхода содержится в табл. 9.9.
Таблица 9.9. Интерпретация соединений на основе значений уровней
I- безопасности„, '
Сторона А соединенияСторона В соединения (адресат) Интерпретация стороны А
(инициатор)
Значение 0Значение50Внешняя
Значение 100Значение50Внутренняя
Значение 50Значение100Внешняя
Команды interface и ip address
Теперь пришло время разобраться с назначением интерфейсам брандмауэра PIX Firewall имен и IP-адресов. Для определенности мы рассмотрим метод соединения с брандмауэром с помощью консольного кабеля. На практике этот метод соединения не всегда удобен, да и не всегда возможен (сеть, например, может быть развернута по всему городу или даже на нескольких континентах).
В конечном счете мы рассмотрим связь с брандмауэром PIX Firewall через Telnet, а для этого интерфейсу назначения потребуется присвоить IP-адрес. В этом разделе рассматриваются команды interface и ip address. С помощью этих команд будут заданы значения, которые мы собираемся использовать до конца главы при проверке связей и поиске ошибок конфигурации.
Пароли Telnet брандмауэра PIX
Для подключения к маршрутизатору или брандмауэру при выполнении задач сопровождения и настройки чаще всего применяется программа Telnet. Важно помнить, что брандмауэр PIX Firewall не позволяет доступ Telnet с внешнего интерфейса, поэтому все задачи конфигурации должны решаться с помощью соединений, исходящих с внутреннего интерфейса. По умолчанию для пароля Telnet производителем выбрано слово cisco. Ввиду того, что этот пароль публикуется в документации PIX Firewall, его нужно немедленно изменить. Чтобы изменить пароль Telnet, выполните следующие действия.
Соединитесь с брандмауэром PIX Firewall через консольный порт.
Введите команду enable в непривилегированном режиме.
Введите пароль режима enable.
Проверьте, что вы находитесь в привилегированном режиме (приглашение командной строки должно заканчиваться знаком I).
Введите команду passwd, за которой должен следовать нужный пароль. Этот пароль используется как Telnet, так и интерфейсом диспетчера PIX Firewall Manager, поэтому не забудьте сообщить новый пароль тем, кто должен его знать.
Будьте предельно внимательны и обязательно запишите новый пароль, поскольку после того, как вы нажмете клавишу <Enter>, не будет никакой возможности выяс-
нить пароль, если вы его забудете. Брандмауэр PIX Firewall хранит пароль в зашифрованном виде. При этом команда show passwd отображает в зашифрованном виде даже строку пробелов.
После шифрования пароля его невозможно расшифровать. Если пароль потерян или забыт, единственным способом получения доступа будет перезагрузка брандмауэра PIX Firewall в режиме монитора ROM и установка регистра, позволяющего обойти имеющуюся конфигурацию.
Команда interface
Команда interface используется для того, чтобы назначить распознаваемые имена интерфейсам. Кроме того, она определяет скорость и параметры дуплексной связи для установленных производителем сетевых интерфейсных плат. Команда show interface позволяет увидеть параметры интерфейса. Это одна из первых команд, которую вам придется использовать для проверки конфигурации сети после установки брандмауэра PIX Firewall.
Рассмотрим синтаксис команды interface.
interface id_nnara [ схорость_платы] [shutdown]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
1д_платы
Указывает тип сетевой интерфейсной платы. Допустимыми значениями являются ethernetO,ethernetl - ethernetn, token-ringO, token-ringl - token- ringn и fddil - fddi2 (в зависимости от числа интерфейсов, которое допускает брандмауэр)
скорость_платы
Указывает скорость сетевого интерфейса. Допустимыми значениями являются lObaset, lOObasetx, lOOfull, aui, auto и bnc. Допустимые значения для Token Ring — 4mbps и 16mbps (последнее используется по умолчанию)
shutdown
Отключает интерфейс
В примере 9.3 показан вариант команды interface, идентифицирующей сетевой интерфейс как ethernetl и устанавливающей автоматический режим аппаратной скорости.
, Пример 9.3. Пример использования команды interface
Pixfirewall(config)t interface ethernetl auto
Команда ip address
После назначения интерфейсу логического имени следующим шагом является присвоение интерфейсу подходящего IP-адреса.
IP-адреса назначаются интерфейсам брандмауэра PIX Firewall с помощью команды ip address. Рассмотрим синтаксис этой команды.
ip address имя_интерфейса 1р_адрес [сетевая-маска]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя интерфейса 1р_адрес сетевая-маска
Указывает имя интерфейса, заданное командой nameif
Указывает IP-адрес сетевого интерфейса брандмауэра PIX Firewall
Определяет сетевую маску для значения ip_адрес. PIX firewall версии 4.2 позволяет связать с IP-адресом маску подсети
Команда write
Команда write применяется, когда необходимо сохранить, просмотреть или очистить текущую конфигурацию. Приведем синтаксис команды write, write erase write floppy write memory write standby write terminal write net [[ip_сервера]:[имя-фаила]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
erase
Очищает флэш-память конфигурации. Чтобы обновить флэш-память без очистки конфигурации, используйте команду groom
floppy
Сохраняет текущую конфигурацию на диске. Это должен быть диск в формате DOS или загрузочный диск PIX 520. Диск может быть прочитан или записан брандмауэром PIX 520 (брандмауэр PIX 515 не имеет дисковода для дискет)
memory
Сохраняет текущую конфигурацию в флэш-памяти. Чтобы добавить параметры текущей конфигурации к ее образу, уже сохраненному в флэш-памяти, используйте команду configure memory
standby
Сохраняет конфигурацию в резервном устройстве предотвращения отказов (из RAM в RAM). При загрузке главное устройство автоматически записывает параметры конфигурации в резервное устройство. Используйте команду write standby тогда, когда конфигурации главного и резервного устройств не совпадают
terminal
Отображает информацию о текущей конфигурации на экране терминала. Параметры конфигурации, хранящиеся в флэш-памяти, можно отобразить также с помощью команды show configure
net ip сервера:
Сохраняет текущую конфигурацию в системе доступного по сети хоста. Если полный путь и имя файла заданы командой tf tp-server, в команде write укажите только двоеточие (:)
имя-файла
Имя файла, в котором сервер TFTP (заданный параметром ip сервера) должен сохранить конфигурацию. Если имя файла задается командой tf tp-server, в команде write следует указать только двоеточие (:). Обычно сервер TFTP требует, чтобы такой файл был открытым для записи и общедоступным
Трансляция сетевых адресов с помощью команд global и nat
Как объясняет толковый словарь, трансляция — это изменение одной формы в другую, превращение или трансформация. Когда брандмауэр PIX Firewall извлекает
IP-адрес источника пакета, приходящего из внутренней сети, и назначает пакету новый адрес из пула глобальных адресов, выполняется трансляция адресов, в результате которой истинный адрес источника скрывается от внешнего мира.
Процесс “перерождения” соединения пользователя осуществляется благодаря командам nat и global. В этом разделе мы обсудим различные типы трансляции и задающие их команды.
Команды global и nat
Средства трансляции сетевых адресов отвечают за отображение одного класса адресов в другой для исходящего потока данных и поддержку таблицы соответствий, позволяющей направлять возвращающиеся через брандмауэр PIX данные запросившей их стороне. При этом организация имеет возможность использовать один набор IP- адресов для внутреннего трафика и другой — для внешнего.
Зачем все это нужно? Ответ прост: экономия зарегистрированных адресов. Даже если организация приобрела только один зарегистрированный IP-адрес у поставщика услуг Internet, трансляция сетевых адресов позволяет использовать этот единственный адрес всему предприятию.
Как правило, частные сети имеют резервные адреса RFC (10.0.0.0, 192.168.0.0) и применяют трансляцию сетевых адресов, чтобы позволить хостам внутренней сети соединяться с внешним миром. Инициируемое хостом исходящее соединение будет выглядеть исходящим с официально зарегистрированного IP-адреса, выбранного из пула доступных глобальных адресов. Такая “зашита через неизвестность” обеспечивает определенный уровень безопасности, но средства трансляции не должны быть единственным компонентом системы зашиты.
Процесс назначения и трансляции сетевых адресов управляется командами nat и global.
Давайте проанализируем процесс обработки запроса трансляции, чтобы лучше понять, что на самом деле происходит в сети. На рис. 9.3 показано, каким образом брандмауэр PIX Firewall изменяет IP-адрес выходящего из сети пакета.
Процесс трансляции по своей природе очень прост. Адрес источника запрашивающей стороны брандмауэром PIX Firewall удаляется, но записывается. После удаления “старого” адреса брандмауэр присваивает соединению новый адрес из пула доступных глобальных адресов и направляет пакеты дальше по их маршрутам. Ознакомьтесь со следующим описанием, чтобы понять весь процесс в целом.
Источник с адресом 10.1.2.2 запрашивает Web-страницу у Web-сервера 192.168.255.2.
Запрос достигает брандмауэра PIX Firewall и обрабатывается для доставки внешнему интерфейсу.
Брандмауэр PIX Firewall извлекает исходный адрес (10.1.2.2) источника и меняет его на IP-адрес из пула глобальных адресов (192.168.1.10)
Брандмауэр PIX Firewall создает запись в таблице трансляции сетевых адресов (содержащую адрес источника, порядковый номер TCP и т.д.), чтобы помнить о том, что запрашивающей стороной является 10.1.2.2.
Запрос обрабатывается Web-сервером (или каким-то другим соответствующим внешним объектом), и после этого в адрес источника запроса отправляется ответ.
Брандмауэр PIX Firewall получает пакет и проверяет таблицу трансляции сетевых адресов, чтобы выяснить внутренний адрес источника запроса.
Пакет направляется хосту, который инициировал запрос.
10.1.2.2
Рис. 9.3. Пример использования глобальных адресов и трансляции
Пул глобальных адресов определяется командой global. Этот пул обеспечивает IP- адрес каждому исходящему соединению и всем входящим, возникающим вследствие исходящих. Рассмотрим синтаксис команды global.
global [ (имя_иитерфейса}} nat_id глобальн_1р[-глобальн_1р] [netmask глобальн_маска]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса nat_id
Имя внешнего сетевого интерфейса, где должны применяться глобальные адреса
Задает положительное число, объединяющее команды трансляции nat и global в группу. Не должно превышать значение 2147483647
глобальи_1р
Задает глобальные IP-адреса, которые будут использоваться брандмауэром PIX Firewall для соединений. Если внешняя сеть связана с Internet, то каждый глобальный IP-адрес должен быть зарегистрирован в сетевом информационном центре. Можно описать диапазон IP-адресов, разделив их дефисом (-)
netmask
Предшествует сетевой переменной глобальн_маска. Позволяет расширить границы пула глобальных элементов
глобальи_маска
Определяет сетевую маску для адресов глобальи_1р
Средства трансляции скрывают IP-адреса внутренней сети от внешних сетей. Команда nat активизирует средства трансляции сетевых адресов в брандмауэре PIX Firewall. Эта ко-
манда связывает сеть с пулом IP-адресов, описанных командами global и static. Команда nat позволяет активизировать или отключить трансляцию адресов для каждого внутреннего адреса в отдельности.
В процессе начальной настройки брандмауэра PIX Firewall с помощью команды nat inside 1 0.0.0.0 0.0.0.0 можно позволить устанавливать исходящие соединения всем внутренним хостам. Команда nat inside 1 0.0.0.0 0.0.0.0 активизирует средства трансляции и позволяет всем хостам (что указывается значением 0.0.0.0) устанавливать исходящие соединения. С помощью команды nat можно также указать адрес отдельного хоста или диапазон адресов, чтобы сделать доступ более селективным.
Замечание
Если в команде nat не указать имя интерфейса, то по умолчанию будет использоваться имя внешнего интерфейса.
Рассмотрим синтаксис команды nat.
nat [(имя_интерфейса)] nat_id локальн ip [маска [max_conns [ел limit]]] [norandomseq] Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса nat id
Указывает имя внутреннего сетевого интерфейса
Задает произвольное положительное число от 0 до (примерно) 2 млрд. Это число задается командой global и должно совпадать с идентификатором, используемым в командах outbound и apply. Используйте 0, чтобы отменить трансляцию адресов, указанных параметром покапьн_1р. Все операторы трансляции с одинаковыми значениями nat_id относятся к одной группе nat
локальн_1р
Задает IP-адрес внутренней сети, который должен транслироваться. Можно использовать 0.0.0.0, чтобы позволить устанавливать исходящие соединения всем хостам (значение 0.0.0.0 можно сократить до 0)
маска
Указывает сетевую маску для покапьн_1р. Можно использовать 0.0.0.0, чтобы разрешить трансляцию всех исходящих соединений с помощью пула глобальных IP-адресов
max^conns
Определяет максимальное число TCP-соединений с интерфейсом, заданным параметром имя_иитерфейса данной команды. Максимальное значение для лих conns ограничено имеющейся лицензией. Используйте команду show conn, чтобы выяснить максимальное число соединений, допустимое для вашего брандмауэра. Чтобы исключить ошибку, возьмите значение max_conns из команд nat и static, уже имеющихся в конфигурации. Общее число соединений не должно превышать значения, разрешенного лицензией
em_ limit
Предельное число зарождающихся соединений. По умолчанию используется значение 0, что означает отсутствие ограничений. Максимум зависит от имеющейся в вашем распоряжении лицензии, а минимальным ограничением является 1. Общим правилом является использование значения, равного примерно 70% от числа соединений, разрешенного лицензией (например, при наличии лицензии на 1024 сеанса можно указать значение 715). Выбирайте меньшие значения для медленных систем и большие—для быстрых
norandomseq
Запрещает рандомизацию порядковых номеров TCP-пакетов. Используйте это ключевое слово только в том случае, если случайные порядковые номера генерирует другой брандмауэр на линии и в результате этого искажаются данные. Применение этого ключевого слова открывает брешь в системе защиты брандмауэра PIX Firewall
В примерах 9.4 и 9.5 показаны простые команды global и nat, которые можно использовать в процессе начальной конфигурации брандмауэра FIX Firewall. Команда global, показанная в примере 9.4, для соединений с внешними сетями создает пул глобальных IP- адресов, начиная с адреса 192.168.1.10 и заканчивая адресом 192.168.1.254.
; Пример 9.4, Создание пула глобальных адресов для использования -|
Pixfirewall(config)| global (outside) 1 192.168.1.10-192.168.1.254 netmask 255.255.255.0
Команда nat, показанная в примере 9.5, вызывает трансляцию всех внутренних адресов в адреса, заданные командой global. Значение поля nat_id указывает на пул глобальных адресов, описанный командой global с таким же значением соответствующего поля.
Pixfirewalljconfig)I nat (inside) 1 0.0.0.8 0.0.0.0
Замечание
При использовании пула глобальных адресов брандмауэр FIX Firewall выбирает адреса, начиная с левой границы диапазона, указанного в команде global, и двигаясь к правой.
Тестирование конфигурации брандмауэра
PIX Firewall
Теперь, разобравшись с основами настройки брандмауэра PIX Firewall, необходимо научиться проверять качество выполненной работы. С помощью представленных в этом разделе команд можно проверить параметры созданной конфигурации и выявить возможные недочеты планирования.
Не следует считать, что предварительного тестирования конфигурации будет достаточно. Тесты, которые предлагается выполнить в этом разделе, предназначены только для проверки правильности функционирования самого брандмауэра PIX Firewall. Если имеется возможность, необходимо проверить брандмауэр в условиях лабораторной среды, приближенных к реальным условиям вашей сети. В лабораторных условиях можно провести испытания, которые могут выявить недостатки защиты, ускользнувшие от вашего внимания.
Команда show ip address
Команда show ip address позволяет убедиться, что IP-адрес, присвоенный интерфейсу, является правильным. В примере 9.6 показан вариант вывода команды show ip address.
I Пример 9.6. Применение команды show ip address
Pixfirewallj show ip address
inside ip address 10.1.1.3 mask 255.255.255.0
outside ip address 192.168.1.1 mask 255.255.255.0
Команда show interface
С помощью команды show interface можно убедиться, что интерфейс функционирует и кабели подключены правильно. Если на дисплее присутствует строка “line protocol is up” (протокол линии работает), значит, используется нужный кабель и он правильно соединен с брандмауэром FIX Firewall. Если дисплей сообщает, что интерфейс “is up”, значит, интерфейс готов к работе. Если отображаются обе фразы, проверьте строки, содержащие “packets input” и “packets output” (прием и передача пакетов). Если пакеты принимаются и передаются, брандмауэр FIX Firewall настроен правильно, а кабель правильно подключен. В примере 9.7 показан вариант вывода команды show interface.
Применение команды show interface
Pixfirewalll show interface ethernet outside is up, line protocol is up Hardware is i82557 ethernet, address is 00a0.c90a.eb4d IP address 192.168.1.1, subnet mask 255.255.255.0 MTU 1500 bytes, BW 10000 Kbit half duplex 798 packets input, 35112 bytes, 0 no buffer Received 0 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 798 packets output, 35112 bytes, 0 underruns ethernet inside is up, line protocol is up Hardware is i82557 ethernet, address is 00a0.c90a.eb43 IP address 10.1.1.3, subnet mask 255.255.255.0 MTU 1500 bytes, BW 10000 Kbit half duplex 1071 packets input, 71410 bytes, 0 no buffer Received 232 broadcasts, 0 runts, 0 giants
0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored, 0 abort 1071 packets output, 71410 bytes, 0 underruns
Команды show arp и clear arp
Чтобы проверить связь с брандмауэром FIX Firewall, выяснив, содержит ли кэш ARP какие-либо данные, используйте команду show arp. Если данные в кэше есть, очистите кэш ARP с помощью команды clear arp и снова проверьте его (применив команду show arp), чтобы выяснить, есть ли в нем новые данные. В примере 9.8 показан вариант вывода команды show arp.
I Пример 9.8. Применение команды show arp
Pixfirewalll show arp
inside 10.1.1.1 02020.cd29.72c0
Перед тем как начать тестирование конфигурации, очистите кэш ARP всех маршрутизаторов, обрабатывающих трафик, направленный к брандмауэру FIX Firewall или от него, а также трафик между брандмауэром и Internet. В маршрутизаторах Cisco для этого применяется команда clear arp. Эта команда не предполагает вывода данных. Применение команды clear arp иллюстрируется в примере 9.9.
Пример 9.9. Применение команды clear агр
Pixfirewalljconfig)! clear агр Pixfirewall(config)I
Команда ping имя_интерфейса 1р_адрес
Чтобы проверить связь брандмауэра PIX Firewall с хостами в рамках соответствующих интерфейсов, можно использовать команду ping, обращаясь к интерфейсам по именам. Это особенно удобно, когда возникают сомнения в надежности связей. Команда ping при работе с брандмауэром PIX Firewall не предоставляет “расширенную информацию”, как при работе с маршрутизаторами, но подобная информация может быть получена с помощью команды debug, которую мы рассмотрим немного позже. Использование команды ping иллюстрируется в примере 9.10.
Замечание
Команда ping брандмауэра FIX Firewall не может проверять его глобальные адреса. Аргумент имя_интерфейса не используется с брандмауэрами FIX Firewall версии 5.1.2 и более поздних версий.
। Пример 9.10. Применение команды ping г ,
Pixfirewalljconfig)! ping inside 10.1.2.2
10.1.2.2 response received - 2OMs
10.1.2.2 response received - 2OMs
10.1.2.2 response received - 2OMs
Команда debug icmp trace
Данная команда предназначена для того, чтобы проверить связь и убедиться, что данные правильно передаются через брандмауэр PIX Firewall. Использование команды debug icmp trace иллюстрируется в примере 9.11.
[пример 9.11. Применение команды debug icmp trace
Pixfirewalljconfig)! debug icmp trace ICMP trace on
Pixfirewalljconfig)! ping inside 10.1.2.2
ICMP echo request (len 32 id 1 seq 512) 10.1.1.3 > 10.1.2.2
ICMP echo reply (len 32 id 1 seq 256) 10.1.2.1 > 10.1.1.3
Команда debug packet
Команду debug packet применяют для проверки трафика пакетов ICMP, TCP и UDP. Просмотреть вывод этой команды можно только с консольного порта. Данная команда может быть полезна при решении проблем сетевой связности, но при ее использовании нужно быть предельно осторожным: в связи с большими объемами данных, генерируемых этой командой, имеется вероятность прекращения сеансов Telnet пользователей, которые
будут подключены к сети в этот момент. Пример 9.12 иллюстрирует применение команды debug packet, которая в данном случае захватывает весь трафик, направляемый Web- серверу с IP-адресом 10.1.1.5 в рамках границы брандмауэра PIX Firewall.
Пример 9.12. Применение команды debug packet
Pixfirewalll debug packet outside dst 10.1.1.5 proto tcp dport 88 hot
В примере 9.13 показан вариант вывода команды debug packet при наблюдении трафика NetBIOS.
| Пример 9.13, Вывод команды debug packet при проверке трафика NetBIOS
PACKET — IP —
10.1.2.2 ==>192.168.2.11
ver = 0x4hlen = 0x5tos = 0x0tlen = 0x60
id = 0x3902flags = 0x0frag off=0x0
ttl = 0x20proto=0xllchksum = 0x5885
- - TOP - -
source port = 0x89
dest port =
’ 0x89
len = 0x4cchecksum = ОхабаО
- - DATA - - 00000014:00 01
00000024: 00 00 00 01 20 45 49 45 50 45
00 00|....
47 45 47 45 46 46| . EIEPEGEGEFF
00000034: 43 43 4e 46 41
45 44 43 41 43
41 43 41 43 41 43| CO
NFAEDCACACACAC 00000044: 41 43 41 41 41
00 00 20 00 01
CO 0C 00 20 00 01| AC
AAA 00000054: 00 04 93 eO 00
06 60 00 01 02
03 04 00| .\Q
END OF PACKET
Методика тестирования
В предыдущих разделах обсуждались команды, необходимые для поиска неисправностей. Теперь соберем все разрозненные сведения и соединим их в одно целое. Чтобы выяснить, правильно ли функционирует брандмауэр PIX Firewall, выполните следующие рекомендации.
Начните с команд отладки. Войдите в режим конфигурации и введите команду debug trace icmp, чтобы наблюдать результаты проверки брандмауэра PIX Firewall. Кроме того, с помощью команды logging buffered debugging активизируйте регистрацию syslog, чтобы видеть результаты запросов ping или информацию об отказе. Сообщения команды debug отображаются на экране консоли. Сообщения syslog можно увидеть с помощью команды show logging.
Перед тем как применить команду debug, используйте команду who, чтобы выяснить, есть ли активные сеансы Telnet, подключенные к консоли. Если команда debug обнаружит такой сеанс Telnet, она автоматически направит вывод этому сеансу Telnet вместо консоли. В результате будет казаться, что сеанс консоли не выводит данные, тогда как в действительности вывод будет направлен сеансу Telnet.
Выполните опрос окружения брандмауэра FIX Firewall. Опросите с брандмауэра FIX Firewall хосты и маршрутизаторы по каждому интерфейсу. Чтобы обратиться с брандмауэра PIX Firewall к другим сетевым устройствам, можно использовать команды следующего вида.
ping inside 10.1.1.1
ping dmz 192.168.11.3
ping outside 192.168.1.2
Затем опросите интерфейсы брандмауэра PIX Firewall с компьютера или маршрутизатора, соединенного с брандмауэром. Если опросить интерфейсы брандмауэра PIX Firewall с хоста или маршрутизатора не удается, проверьте сообщения debug, которые должны отображаться на экране консоли.
Например, при опросе внешнего интерфейса с хоста 192.168.255.2 внешней сети, можно видеть следующий вывод debug.
ICMP echo request (len 32 id 1 seq 512) 192.168.255.2> 192.168.1.1
ICMP echo reply (len 32 id 1 seq 256) 192.168.1.1 > 192.168.225.2
Запрос и ответ должны показать, что брандмауэр PIX Firewall и хост реагируют на сообщения. Если при опросе интерфейса эти сообщения не появляются, значит, существуют проблемы маршрутизации между хостом или маршрутизатором и брандмауэром PIX Firewall, из-за которых пакеты опроса (ICMP) не достигают брандмауэра.
Решить эту проблему можно с помощью следующих действий.
Убедитесь, что для внешнего интерфейса есть команда route, применяемая по умолчанию. Она может иметь следующий вид (в данном случае указан соседний маршрутизатор).
Pixfirewall(config)# route outside 0 0 192.168.1.2 1
С помощью команды show conduit убедитесь в том, что в конфигурации указана команда conduit permit icmp any any. Добавьте эту команду, если ее нет.
Для всех интерфейсов, кроме внешнего, убедитесь, что по каждому интерфейсу брандмауэр PIX Firewall является шлюзом по умолчанию для хоста или маршрутизатора. При этом в качестве шлюза по умолчанию для хоста выберите маршрутизатор, а для маршрутизатора — брандмауэр PIX Firewall.
Проверьте, не находится ли маршрутизатор между хостом и брандмауэром PIX Firewall. В этом случае убедитесь, что маршрут по умолчанию в маршрутизаторе указывает на интерфейс брандмауэра PIX Firewall. Если между хостом и брандмауэром размещается концентратор, убедитесь, что он не имеет модуля маршрутизации. Если такой модуль есть, направьте маршрут по умолчанию к брандмауэру PIX Firewall.
Перейдите к брандмауэру PIX Firewall и воспользуйтесь командой show interface для проверки того, что интерфейс функционирует, а кабели подключены правильно. Если на дисплее отображается строка “line protocol is up”, значит, используется нужный кабель и он правильно подключен к брандмауэру. Если на дисплее появляется строка “is up”, то интерфейс готов к работе. Если отображаются обе фразы, то проверьте строки, содержащие “packets input” и “packets output” (прием и передача пакетов). Если пакеты принимаются и передаются, брандмауэр PIX Firewall настроен правильно, а кабель подключен.
Проверьте надежность соединения всех сетевых кабелей.
Проверьте связь через брандмауэр PIX Firewall. Проверив доступность внутреннего интерфейса брандмауэра, попытайтесь проверить доступ через брандмауэр к хосту на другом интерфейсе, например внешнем. Если на соответствующем интерфейсе компьютеров нет, проверьте маршрутизатор. Если проверка не удалась, ознакомьтесь с сообщениями debug на экране консоли брандмауэра и убедитесь, что как входящие, так и исходящие сообщения опроса действительно были получены. Если имеется только входящее сообщение, то хост или маршрутизатор не реагирует. Проверьте, что команды nat и global имеют правильный вид, а хост или маршрутизатор принадлежат той же подсети, что и внешний интерфейс.
Проверив возможность доступа с интерфейсов высших уровней безопасности к интерфейсам низших уровней (например, с внутреннего интерфейса к внешнему или с внутреннего к ДМ3), добавьте подходящие команды static и conduit, чтобы проверить доступ с интерфейсов низшего уровня к интерфейсам высшего уровня.
Пример конфигурации брандмауэра FIX Firewall
Брандмауэр PIX Firewall можно настроить на выполнение функций защиты сети с помощью всего нескольких основных команд. Дополнительные возможности могут быть добавлены позже, в соответствии с политикой защиты.
Сетевая диаграмма, показанная на рис. 9.4, представляет две пользовательские сети и призвана проиллюстрировать, как внутренние сети маскируются командами nat, применяемыми в этом случае.
В примере 9.14 показаны команды, которые следует ввести в режиме конфигурации, чтобы создать базовую конфигурацию брандмауэра. Команды пронумерованы в том порядке, в каком они должны вводиться с командной строки (это сделано для того, чтобы на них было проще ссылаться при описании).
nameif ethernetO outsidesecO
nameif ethernetl inside seclOO
interface ethernetO auto
interface ethernetl auto
ip address inside 10.1.1.3 255.255.255.0
ip address outside 192.168.1.1 255.255.255.0
global (outside) 1 192.168.1.128-192.168.1.254 netmask 255.255.255.0
nat (inside) 1 0.0.0.0 0.0.0.0
route outside 0.0.0.0 0.0.0.0 192.168.1.2 1
route inside 0.0.0.0 0.0.0.0 10.1.1.1 1
В этом примере строки 1 и 2 определяют имена интерфейсов Ethernet 0 (внешний) и Ethernet 1 (внутренний), а также задают их уровни безопасности. Строки 3 и 4 указывают скорость и параметры дуплексной связи сетевых интерфейсов. Строки 5 и 6 присваивают IP-адреса внутренним и внешним сетевым интерфейсным платам. Строка 7 определяет пул зарегистрированных IP-адресов, которые должны использоваться для исходящих соединений. С помощью строки 8 разрешается трансляция адресов источников пакетов, входящих в брандмауэр PIX через внутренний интерфейс, в адреса из пула, обозначенного
меткой 1. Если эти пакеты должны покинуть брандмауэр PIX через внешний интерфейс, то для них следует использовать пул глобальных адресов, определенный в строке 7. Строки 9 и 10 задают маршруты по умолчанию для внутреннего и внешнего интерфейсов. Поле метрика задает число транзитов от брандмауэра PIX Firewall до маршрутизатора; обычно оно равно 1.
Рис. 9.4. Базовый пример конфигурации брандмауэра PIX FirewallРис. 9.4. Базовый пример конфигурации брандмауэра PIX Firewall
Рис. 9.4. Базовый пример конфигурации брандмауэра PIX Firewall
Рис. 9.4. Базовый пример конфигурации брандмауэра PIX Firewall
Внимание!
В брандмауэре FIX Firewall, имеющем более двух интерфейсов, маршрут по умолчанию, направленный внутрь, использовать не следует. Вместо этого лучше установить статические маршруты к внутренним сетям.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Брандмауэр PIX Firewall обеспечивает полную проверку состояния соединений на основе алгоритма ASA.
Существует только три возможности пропустить через брандмауэр PIX Firewall данные, приходящие извне: посредством алгоритма ASA, сквозной опосредованной аутентификации или создания статических карт и каналов.
Сквозная опосредованная аутентификация преодолевает ограничения скорости обмена, характерные для прикладного уровня, перемещая поток данных сеанса на сетевой уровень сразу же после завершения процедуры аутентификации.
Брандмауэр PIX 515 поддерживает до шести интерфейсов Ethernet (но только Ethernet).
Брандмауэр PIX 520 поддерживает до шести интерфейсов Ethernet, до четырех интерфейсов Token Ring, до двух интерфейсов FDDI, а также допускает комбинацию Ethernet и Token Ring.
Для команд администрирования брандмауэра PIX Firewall существует три уровня доступа: непривилегированный, привилегированный и конфигурационный.
Назначение уровней безопасности интерфейсам брандмауэра PIX Firewall позволяет администратору “разделить” сегменты сети, различаемые по степени риска.
Команды nat и global позволяют использовать удобные схемы зарезервированной адресации RFC во внутренней сети, оставляя возможность сетям с зарезервированными адресами соединяться с Internet через один зарегистрированный внешний адрес.
Брандмауэр PIX Firewall имеет богатый набор команд debug, которые помогают администраторам решать проблемы связности на разных уровнях.
Практическое занятие. Настройка трансляции сетевых адресов в брандмауэре FIX Firewall
Это практическое занятие иллюстрирует возможности настройки и тестирования брандмауэра PIX Firewall в сети гипотетической компании XYZ. Рассмотрите план практического занятия, изучите топологию соответствующей части сети и политику защиты, а затем проанализируйте пример конфигурации, чтобы увидеть, как элементы политики защиты реализуются в терминах команд настройки сетевых устройств Cisco.
План практического занятия
Компания XYZ приобрела брандмауэр Cisco PIX Firewall, чтобы обеспечить защиту внутренней сети от нарушителей. Вашей первой задачей является создание базовой конфигурации брандмауэра.
По завершении ввода команд конфигурации брандмауэра PIX, необходимо проверить настройки с помощью команд, описанных в разделе “Тестирование конфигурации брандмауэра PIX Firewall”. По сути, вам нужно сделать следующее.
Начните с команд отладки.
Проверьте (с помощью команд опроса) доступность элементов брандмауэра и его окружения.
Убедитесь в том, что для внешнего интерфейса указан маршрут, используемый по умолчанию.
С помощью команды show conduit убедитесь в том, что в конфигурации присутствует команда conduit permit icmp any any.
Для всех интерфейсов, кроме внешнего, позаботьтесь о том, чтобы по каждому интерфейсу брандмауэр PIX Firewall был шлюзом по умолчанию для хоста или маршрутизатора.
Топология
На рис. 9.5 показана часть сети XYZ, которая будет рассмотрена в ходе этого практического занятия. Главным объектом внимания здесь является реализация политики защиты, обеспечивающей безопасность сети посредством трансляции сетевых адресов и размещения общедоступных серверов во внутреннем сегменте сети (с помощью команд static и conduit).
(внешний) 192.168.1.1
10.1.2.210.1.2.2Рис. 9.5. Топология сети компании XYZ для брандмауэра PIX FirewallРис. 9.5. Топология сети компании XYZ для брандмауэра PIX Firewall
10.1.2.2
10.1.2.2
Рис. 9.5. Топология сети компании XYZ для брандмауэра PIX Firewall
Рис. 9.5. Топология сети компании XYZ для брандмауэра PIX Firewall
Политика сетевой защиты
Политика сетевой защиты, которую собирается реализовать компания XYZ, включает следующее.
Использование средств трансляции сетевых адресов для перевода внутренних IP-адресов в зарегистрированные внешние IP-адреса.
Размещение серверов, предлагающих общедоступные сервисы Internet, в физически изолированном сегменте сети (ДМ3) с целью максимальной защиты.
Разрешение внутренним пользователям иметь доступ к серверам Internet, размещенным в ДМ3.
Пример конфигурации брандмауэра PIX Firewall
Команды конфигурации, представленные в примере 9.15, позволяют настроить брандмауэр PIX Firewall в соответствии с целями нашего практического занятия.
——-~— , х
^^р^ции брандмауэра, PIX в сету компании XYZ/J
nameif ethernetO outside securityO
nameif ethernetl inside securitylOO
nameif ethernet2 dmz security50
enable password 6RD5.96v/eXN3kta encrypted
passwd 2KFQnbNIdI.2KYOU encrypted hostname PIX1
interface ethernetO auto interface ethernetl auto interface ethernet2 auto ip address outside 192.168.1.1 255.255.255.0 ip address inside 10.1.1.3 255.255.255.0 ip address dmz 192.168.11.1 255.255.255.0 conduit permit icmp any any
conduit permit tcp host 192.168.1.10 eq www any
static (dmz,outside) 192.168.1.10 192.168.11.3 netmask 255.255.255.255 nat(inside) 100
global (dmz) 1 192.168.11.10-192.168.11.20 netmask 255.255.255.0 global (outside) 1 192.168.1.10 192.168.1.254 netmask 255.255.255.0 route outside 0.0.0.0 0.0.0.0 192.168.1.2 1 route inside 10.1.2.0 255.255.255.0 10.1.1.1
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Что такое фильтрация на основе информации о состоянии соединений?
Какая операционная система используется в брандмауэре PIX Firewall?
Какой процессор применяется в брандмауэре PIX Firewall?
Как в брандмауэре PIX Firewall обрабатываются входящие соединения?
Почему сквозная опосредованная аутентификация пользователей предпочтительнее стандартного ргоху-сервера?
Что означает аббревиатура ASA?
Сколько интерфейсов может иметь брандмауэр PIX Firewall?
Какие операции будут выполнены в результате ввода следующих команд?
PIXx(config)# interface ethernetO auto
PIXx(config)# interface ethernetl auto
PlXx(config)# interface ethernet2 auto
В каком командном режиме выполняется команда show version?
В паре сообщающихся интерфейсов каким считается интерфейс с меньшим значением уровня безопасности?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссыпки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Трансляция сетевых адресов
Thomas A. Maufer. IP Fundamentals: What Everyone Needs to Know About Addressing & Routing. Прекрасное описание истории TCP/IP. Раскрывает также некоторые вопросы современного состояния TCP/IP, включая общее описание функционирования соответствующих протоколов.
Нарушения и хакеры
Bruce Sterling. Law and Disorder on the Electronic Frontier. Подробный обзор средств и методов, применяемых хакерами. История о некоторых наиболее известных “подвигах” хакеров и о привлечении их к ответственности.
Stephen Northcutt. Network Intrusion Detection. Реальные примеры того, как хакерам удавалось проникать в системы и устраивать там настоящие погромы. Содержит подробное описание истории Кевина Митника (Kevin Mitnik) и помогает понять, что пытается сообщить вам ваша система обнаружения вторжений.
Интерфейс командной строки
Узел www.ccprep.com предлагает массу полезных советов и практических рекомендаций по использованию режимов командной строки брандмауэра PIX Firewall.
Сетевая защита
Страницы Cisco IOS Network Security предлагают рассмотреть вопросы сетевой защиты с точки зрения администратора сети предприятия. Они содержат множество вариантов политики защиты и рекомендации по исправлению ошибок.
Узел flrewall.com предлагает обсуждение возможностей защиты, связанных с применением брандмауэра, а также ссылки на другие информационные Web-узлы, посвященные брандмауэрам и общим вопросам защиты.
Узел knowcisco.com освещает общие вопросы функционирования сетей и предлагает большой раздел, посвященный сетевой защите.
Другие ресурсы, посвященные сетевой защите
Узел консорциума WWW (World Wide Web Consortium, www.w3.org/Security) содержит все, что вы хотели бы знать о Internet, защите Web и многом другом.
Центр знаний Web-узла компании Entrust Technology iwww.ecerts.com) предлагает обсуждение различных аспектов технологии, применяемой в сфере электронной коммерции в Internet. Содержит большой раздел “белой книги”, посвященный таким темам, как PKI (Public Key Infrastructure — инфраструктура открытых ключей), криптография и общая защита компьютерных данных.
Глава
10
■ Настройка доступа через PIX Firewall
'^ Огр^^н^ние доступа к защищенной сети является лишь одной из целей системы эксперты защиты скажут вам, что для безопасности любой сетевой скды^^&к^бычного офиса, так и большой корпорации и даже военной базы — ^гонтроль и^о^щвго потока данных не менее важен, чем контроль входящего.
этой Ш^^юКясняется, как настроить брандмауэр PIX Firewall, чтобы обеспечи- Г валс^болейстропйг уровень контроля по сравнению с тем, который создается мето- Ж дами.ТПаср^отренгйБиии в главе 9. Здесь описывается, как с помощью настроек бранд- 1^мауэра^Р|^ разрешить доступ с конкретных внешних узлов к внутренним.
НаСтррйка управления исходящим доступом
@ыбор подходящего, метода настройки управления исходящим доступом может оказаться достаточно трудной задачей, напоминающей по сложности поиск иголки в стоге сена./Сегодня перед сетевыми инженерами ставится непростая задача защиты корпоративной сети от вторжений и других несанкционированных действий. При этом создаваемая сетевыми инженерами политика защиты должна быть достаточно ИГибкой, чтобы зарегистрированные пользователи могли выполнять свои задачи с ми-
ниДльными неудобствами. Сетевой инженер, которому не удается обеспечить и за- щиту:сети, и гибкость доступа пользователей, наверняка, потеряет работу.
Б^андма^эр PIXvFirewall предлагает возможности, позволяющие относительно легко насбивать®' модифицировать (а если требуется, то и отключать) средства управления ис- ходЙдам* доступом./Это средства NAT (Network Address Translation — трансляция сетевых ддрфов) и PAT (Popt Address Translation — трансляция адресов портов), операторы conduit, обеспечивающие доступ внешних сетей к хостам за брандмауэром, а также средства разрешения динамического доступа через брандмауэр, позволяющие приложениям мультимедиа получаув видеофильмы и широковещательную информацию из Internet.
| Что^^ыяснить, будет ли подходящим то или иное решение, необходимо четко имать лежащие в его основе технологии и сравнить возможности, доступные в ках выбранного решения, с теми запросами, которые выдвигаются Пользователя-
H. БраДмауэр PIX Firewall уникален тем, что он может удовлетворить очень широ-
кий диапазон запросов. В этой главе предлагается обзор технологий, заложенных в основу функционирования данного брандмауэра. Вы сможете выяснить, каким образом FIX Firewall удовлетворяет запросы пользователей современных корпораций. Будут рассмотрены и команды, используемые при настройке брандмауэра PIX Firewall в среде реального предприятия.
Средства NAT брандмауэра PIX
Средства NAT брандмауэра PIX Firewall позволяют частным сетям, соединенным с Internet, использовать IP-классы, которые обычно таким сетям недоступны. С помощью этих средств обеспечивается доступ к Internet незарегистрированным клиентам без перестройки всей схемы IP-адресации корпоративной сети. Эти средства позволяют также существенно расширить пространство адресов, доступных для использования во внутренней сети организации.
Когда внутренний хост инициирует создание исходящего соединения, средства NAT транслируют IP-адреса внутренней сети в адреса, указанные командами global и static. Трансляция адресов позволяет защищенной сети иметь любую схему IP- адресации. Брандмауэр PIX Firewall защищает внутренние адреса, не позволяя видеть их внешним сетям. PIX Firewall поддерживает стандартную схему NAT, определенную в документе RFC 1631.
Основы функционирования брандмауэра PIX Firewall обсуждались в главе 9. В данной главе рассматриваются вопросы создания и реализации стратегий двунаправленной связи через брандмауэр. Для этого в брандмауэре PIX Firewall и используются средства NAT.
Как уже говорилось в главе 9, средства NAT отображают внутренний адрес во внешний зарегистрированный адрес, присвоенный брандмауэру. При этом и входной, и выходной потоки контролируются средствами Cisco IOS (Internetwork Operating System — операционная система Cisco для объединенной сети) брандмауэра PIX Firewall.
Существует три типа средств NAT, и все они имеют весьма гибкие возможности настройки.
Статические средства NAT. Эти средства используются тогда, когда адрес каждого хоста внутренней сети статически (т.е. однозначно) отображается во внешний сетевой адрес. Поскольку процесс отображения в данном случае не является динамическим, администрирование такого процесса требует немалых усилий.
Динамические средства NAT. Рассматриваемые средства перехватывают трафик, идущий от хоста внутренней сети, и транслируют его во внешний зарегистрированный IP-адрес из пула адресов, поддерживаемого брандмауэром PIX Firewall. Информация о трансляциях сохраняется в таблице, чтобы имелась возможность разрешить обратный трафик к внутреннему хосту.
РАТ. Средства РАТ можно рассматривать как вариант NAT для портов. Трафик идентифицируется и направляется по одному и тому же IP-адресу, присвоенному внешнему интерфейсу брандмауэра. Средства РАТ отображают адреса источника соединений внутреннего хоста в один и тот же IP-адрес внешнего интерфейса. Брандмауэр PIX Firewall выбирает и присваивает пакетам (TCP или UDP) новые номера портов источника. Данные процесса отображения номеров портов сохраняются брандмауэром PIX Firewall, чтобы обеспечить прохождение обратного трафика.
Настройка NAT для контроля исходящего доступа
В этом разделе рассматривается применение средств NAT к трафику, направленному в сторону внешних сетей. Чтобы брандмауэр FIX Firewall выполнял трансляцию внутренних адресов источника во внешние зарегистрированные адреса, назначенные брандмауэру, применяются команды global (outside) и nat(inside).
Команда global имеет следующий синтаксис:
global [ (имя_иятерфейса)} global_id глобальн_1р[-глобальн ip] [netmask глобальн_маска]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иятерфейса global id
Имя внешнего сетевого интерфейса, где должны применяться глобальные адреса
Положительное числовое значение, соответствующее значению, указанному в команде nat, с которой связывается данная команда global. Может быть любым положительным значением, не превышающим 2 147 483 647
глобальн ip
Задает глобальные IP-адреса, которые брандмауэр PIX Firewall использует для соединений. Если внешняя сеть связана с Internet, то каждый глобальный IP-адрес должен быть зарегистрирован в сетевом информационном центре (Network Information Center— NIC). Можно описать диапазон IP-адресов, разделив их дефисом (-).
Можно создать оператор для РАТ, указав один IP-адрес. Допускается только один такой оператор на интерфейс, но при этом может поддерживаться до 65535 объектов трансляции
netmask
Предшествует аргументу глобальн_маска
глоба льн_маска
Определяет сетевую маску для адресов глобальн_1р. Если имеются подсети, используйте для них маску типа 255.255.255.128. При соответствующем выборе диапазона адресов и маски подсетей команда global не будет использовать широковещательные и сетевые адреса пула глобальных адресов. Например, если использовать значение 255.255.255.224 и диапазон адресов от 209.165.201.1 до 209.165.201.30, то широковещательный адрес 209.165.201.31 и сетевой адрес 209.165.201.0 не будут включены в пул глобальных адресов
Синтаксис команды nat следующий:
nat [ (имя_интерфейса) ] nat_id локальн ip [маска [max_conns [ ел limit] ] ] [norandomseq] Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_интерфейса
Указывает имя внутреннего сетевого интерфейса. Если интерфейс должен ассоциироваться со списком доступа, то имя_интерфейса должно быть интерфейсом с более высоким уровнем защиты
nat_id
Все команды nat с одинаковыми значениями nat_id относятся к одной группе nat. Значение nat_id является произвольным положительным числом от 0 до (примерно) 2 000 000 000 и может совпадать с идентификатором, используемым в командах outbound и apply.
Используйте значение 0 с IP-адресами и сетевыми масками, для которых не требуется трансляция
Параметр команды
Описание
локальи ip
Задает подлежащий трансляции IP-адрес внутренней сети. Можно использовать 0.0.0.0, чтобы позволить устанавливать исходящие соединения всем хостам. Значение 0.0.0.0 можно сократить до 0
маска
Указывает сетевую маску для локальн_1р. Можно использовать 0.0.0.0, чтобы разрешить трансляцию всех исходящих соединений с помощью пула глобальных IP-адресов
max^conns em_limit
Определяет максимальное число TCP-соединений с указанного интерфейса
Определяет предельное число зарождающихся соединений. По умолчанию используется значение 0, означающее отсутствие ограничений. Выбирайте меньшие значения для медленных систем и большие для быстрых
norandomseg
Запрещает рандомизацию порядковых номеров TCP-пакетов. Используйте этот параметр только в тех случаях, когда рандомизация выполняется другим брандмауэром и в результате комбинации соответствующих функций искажаются данные. Применение этого параметра открывает брешь в системе защиты брандмауэра PIX Firewall
Первым шагом на пути использования средств NAT является применение команды global, указывающей адреса, которые будут включены в пул внешних глобальных адресов, поддерживаемый брандмауэром PIX Firewall для трансляции (пример 10.1).
Pix(config)# global (outside) 1 192.168.1.128-192.168.1.254Pix(config)# global (outside) 1 192.168.1.128-192.168.1.254
Pix(config)# global (outside) 1 192.168.1.128-192.168.1.254
Pix(config)# global (outside) 1 192.168.1.128-192.168.1.254
Число 1, указанное после команды outside, является идентификатором ^global_id), зависящим от того, сколько внутренних сетей будет использовать пул глобальных адресов. В данном случае трансляция должна выполняться только для одной внутренней сети, поэтому можно указать значение 1. Если трансляция требуется для большего числа сетей, можно выбрать значение от 2 до 2147483647. Это значение определяет связь команд global и nat.
Вторым шагом является непосредственное применение команды nat, как показано в примере 10.2.
||||рер8»|$^^nat к внутренним адресам^
Pix(config)i nat (inside) 1 10.1.0.0 255.255.0.0
В примере 10.2 все адреса внутренней сети 10.1.0.0 транслируются в глобальные адреса, указанные командой global со значением параметра global_id, равным 1. Если необходимо транслировать дополнительные адреса, важно знать номер global_id, отвечающий пулу глобальных адресов, используемому соответствующей командой nat. Сетевая маска 255.255.0.0 говорит брандмауэру о том, что запросы на трансляцию следует выполнять только тогда, когда они исходят от сети 10.1-х.х.
Следующим шагом является понимание того, как команды nat и global работают в реальных приложениях. На рис. 10.1 показано, в каких точках осуществляются этапы
трансляции.
Пользователь внутренней сети с IP-адресом 10.1.2.2 запрашивает ресурс Internet.
Запрос пользователя отображается в IP-адрес 192.168.1.128, выбранный из пула доступных адресов, описанных командой global.
Теперь соединение, исходящее от внутреннего адреса 10.1.2.2, представляется исходящим от IP-адреса 192.168.1.128.
Пример конфигурации NAT
Теперь давайте рассмотрим следующий сценарий. Компания приобрела сетевой адрес 192.168.1.0/24 у локального поставщика услуг Internet, дающий возможность использования до 254 индивидуальных IP-адресов. Общее число внутренних хостов компании превышает 600, но в любой момент времени доступ к сети требуют не более 100 хостов.
Средства NAT транслируют внутренние IP-адреса в адреса, указанные командой global, поддерживая защиту соединений с помощью брандмауэра. Команда nat используется совместно с командой global для того, чтобы активизировать функциональные возможности NAT.
В примере 10.3 сначала создается глобальный пул из 106 зарегистрированных IP- адресов, которые будут использоваться средствами NAT. (Можно определить до 256 пулов глобальных IP-адресов. Максимум равен одному набору IP-адресов сети класса В или 255 сетям класса С, т.е. 65535 адресов.) Затем пул адресов используется конкретными командами nat. Команды nat указывают, какие внутренние сетевые адреса должны транслироваться.
global (outside) 3 192.168.1.10-192.168.1.115
nat (inside) 3 10.1.0.0 255.255.255.0
nat (inside) 3 10.1.1.0 255.255.255.0
nat (inside) 3 10.1.2.0 255.255.255.0
nat (inside) 3 10.1.3.0 255.255.255.0
В примере 10.4 показан сокращенный вариант аналогичной настройки средств NAT.
^Пример 10.4. Быстрое создание глобального пула зарегистрированных IP-адресов для NAT
global (outside) 3 192.168.1.10-192.168.1.115
nat (inside) 3 10.1.0.0 255.255.252.0
Первая строка этого примера (global (outside) 3 192.168.1.10-192.168.1.115) содержит ту же конфигурационную информацию, что и в примере 10.3. Эта строка использует диапазон IP-адресов, вместо того чтобы задавать глобальные адреса по отдельности.
В примере 10.4 применяется более простой метод представления диапазонов подсетей, используемых средствами NAT. Здесь используется одна строка с маской 255.255.252.0, предполагающей сравнение битов, в то время как в примере 10.3 предлагались четыре строки с маской 255.255.255.0. Эти методы эквивалентны и определяют соответствие адресам хостов сетей с адресами от 10.1.0.0 до 10.1.3.0. Однако вариант конфигурации из примера 10.4 проще и короче.
Пример использования NAT О
Команда nat 0 позволяет отключить трансляцию адресов, чтобы некоторые внутренние IP-адреса оставались видны извне. Эта возможность оказывается полезной тогда, когда в защищенной сети есть зарегистрированные IP-адреса, которые должны быть доступны пользователям из Internet.
Необходимость использования команды nat 0 возникает, например, в случае, когда в сети имеется Web- или почтовый сервер, которые должны быть доступны из Internet. Команду nat 0 можно также использовать со списком доступа в маршрутизаторе периметра, чтобы разрешить доступ к защищенной сети только определенным типам трафика портов (например, для обмена данными между центром сертификации и виртуальной частной сетью, использующей защищенные сертификаты для аутентификации).
Команда nat 0 может оказаться потенциальным источником проблем, если в частной сети используются адреса, не являющиеся зарезервированными RFC-адресами, поэтому перед использованием этой команды убедитесь, что ваша сеть имеет подходящую структуру.
Замечание
Обе формы команды nat 0 могут потенциально вызывать проблемы, если IP-адрес или адреса сети, объявляемые внутренними протоколами маршрутизации, являются зарегистрированными адресами, принадлежащими кому-то другому. Сама по себе команда nat 0 не отменяет действие ASA (Adaptive Security Algorithm — адаптивный алгоритм защиты), а только потенциально разрешает видеть внутренние адреса внешним наблюдателям. Единственной возможностью “обмануть” ASA для входящего соединения является соответствующее использование операторов conduit.
При использовании в брандмауэре FIX Firewall более двух интерфейсов важно помнить о том, что команда nat 0 отменяет трансляцию адреса источника, независимо от того, по какому из интерфейсов уходит пакет.
На рис. 10.2 сервер с адресом 172.16.1.4 должен оставаться видимым извне. Обычно, чтобы скрыть некоторый адрес от внешних наблюдателей, приходится использовать команды conduit и static. Поскольку в данном случае корпорация является “владельцем” сети 172.16.1.x, можно оставить эту сеть открытой для Internet с помощью команды nat 0. Первым шагом при этом является применение команды, показанной в примере 10.5.
[ Пример 10.5. Применение команды NAT О к одному внутреннему адресу : i . и ответное сообщение системы . " \ ;
Pix(config)# nat (inside) 0 172.16.1.4 255.255.255.255
nat 0 172.16.1.4 will be non-translated
Бастионный
Маршрутизатор хост
172.16.1.6172.16.1.4172.16.1.5
СерверWeb-серверFTP-сервер
документов
Рис. 10.2. Применение NAT О
Первая команда говорит брандмауэру о том, что только адрес, описанный данной командой (адрес 172.16.1.4), не будет использовать сервис трансляции. Как показано в примере 10.6, с помощью команды nat 0 можно вообще отказаться от трансляции внутренних адресов.
Пример 10.6. Запрет трансляции внутренних адресов '
Pix(config)# nat (inside) ООО
Если брандмауэр использует команду nat (inside) 0 0 0, то будут ли сервер FTP (с адресом 172.16.1.5) и сервер документов (172.16.1.6) на рис. 10.2 видны внешнему миру? Ответ на этот вопрос является положительным.
Все дело в нулях, которые следуют за ключевым словом nat. Вы уже знаете, что первый 0 в команде nat 0 позволяет отключить трансляцию для соответствующих внутренних IP-адресов, чтобы они были видны извне. Если для параметров локального IP-адреса и маски сети указаны значения 0, то они интерпретируются как 0.0.0.0. Воспринимайте 0, как сокращение значения 0.0.0.0, означающего учет всех вариантов.
Если необходимо сделать видимым только один адрес, то в командную строку следует ввести этот адрес и соответствующую маску, как показано в примере 10.7.
Пример 10.7.команда NAT 0, позволяющая видеть один адрес
Pix(config)# nat (inside) 0 172.16.1.5 255.255.255.255
Команда nat 0 говорит брандмауэру о том, что адрес 172.16.1.5 следует открыть для внешнего мира.
Трансляция адресов портов
Средства PAT (Port Address Translation — трансляция адресов портов), часто называемые трансляцией типа “множество—один”, отображают весь трафик внутренней сети в один внешний 1Р-адрес.
Когда хост защищенной сети запрашивает ресурс, доступный через Internet, в таблицу NAT брандмауэра PIX Firewall добавляется соответствующая запись, которая содержит следующую информацию о запросе:
параметры трансляции локального адреса хоста в доступный глобальный адрес, выбранный брандмауэром PIX Firewall;
параметры трансляции номера порта, выбранного хостом, в случайный номер порта, выбранный брандмауэром PIX Firewall.
Брандмауэр PIX Firewall сохраняет и использует данные трансляции для проверки того, что запрос исходит изнутри защищенной сети. По завершении сеанса соответствующая информация уничтожается. Ниже этот процесс будет рассмотрен подробнее.
Средства РАТ брандмауэра PIX позволяют расширить пул адресов компании на основе использования следующих возможностей.
Один внешний IP-адрес может использоваться для (приблизительно) 4000 внутренних хостов. (Теоретически предел превышает 64000, но на практике предельным оказывается значение 4000.)
Реальные номера портов TCP отображаются в предписанные IP-адрес и номер порта, если специальной командой static не указано иное действие.
Внутренние адреса источника маскируются с помощью одного IP-адреса из пула глобальных адресов, поддерживаемого брандмауэром PIX Firewall.
Средства РАТ могут использоваться совместно со средствами NAT, и при этом адрес РАТ является виртуальным адресом, отличным от адреса порта на внешнем интерфейсе.
Не следует применять средства РАТ при доступе через брандмауэр PIX Firewall к приложениям мультимедиа. Такие приложения обращаются к конкретным портам и могут вступать в конфликт со средствами отображения портов, используемыми в рамках РАТ. В тех случаях, когда трафик порта должен сохранять свою конфигурацию, можно использовать команду nat 0.
На рис. 10.3 показана схема сети, в которой средства РАТ могут быть реализованы в минимальной конфигурации. Компания XYZ имеет три зарегистрированных IP- адреса. Маршрутизатору периметра, брандмауэру PIX Firewall и бастионному хосту присваивается по одному из этих адресов (при этом бастионный хост обычно является единственным хостом, доступным через Internet, и представляет собой Web-сервер или сервер электронной почты).
Конфигурация РАТ в условиях схемы, показанной на рис. 10.3, требует ввода пяти команд, представленных в примере 10.8.
МаршрутизаторМаршрутизаторБастионный хостБастионный хостИнформационные системыИнформационные системыРис. 10.3. Пример использования РАТРис. 10.3. Пример использования РАТ
Маршрутизатор
Маршрутизатор
Бастионный хост
Бастионный хост
Информационные системы
Информационные системы
Рис. 10.3. Пример использования РАТ
Рис. 10.3. Пример использования РАТ
Пример 10.8. Конфигурация РАТ для внутренней сети 10.1.0.0
Pix(config)# ip address (inside) 10.1.1.3 255.255.252.0
Pix(config)# ip address (outside) 192.168.1.1 255.255.252.0
Pix(config)# route (outside) 0 0 192.168.1.2 1
Pix(config)# nat (inside) 2 10.1.0.0 255.255.0.0
Pix(config)# global (outside) 2 192.168.1.4 netmask 255.255.252.0
Давайте выясним, что означают указанные здесь команды. Первая строка приписывает IP-адрес 10.1.1.3 интерфейсу брандмауэра PIX Firewall, имеющему название “внутренний” (inside); это интерфейс, связанный с защищенной сетью. Вторая строка присваивает IP-адрес 192.168.1.1 интерфейсу брандмауэра PIX Firewall, имеющему название “внешний” (outside); это интерфейс, который находится вне защищенной сети и открыт для Internet. Третья строка сообщает брандмауэру о том, какой трафик разрешается направлять через интерфейс 192.168.1.2 маршрутизатора периметра. При этом трафик, покидающий “внешний” интерфейс (1Р-адрес 192.168.1.1), будет проверяться на соответствие значениям, указанным в команде для IP-адреса и маски сети. В данном случае приемлемым оказывается весь трафик, поскольку как для IP-адреса, так и для маски сети указаны значения 0. (Не забывайте о том, что 0 является сокращением О.О.О.О.) Четвертая строка присваивает NAT-идентификатор 2 внутренним хостам сети 10.1.0.0. Последняя строка помещает адрес 192.168.1.4 в пул глобальных адресов и сообщает брандмауэру о том, что IP-адрес 192.168.1.4 должен использоваться сервисом
трансляции NAT только для исходящих сообщений из группы NAT с идентификатором 2 (сетевые адреса этой группы были определены в предыдущей строке).
Замечание
Параметр nat_id (идентификатор группы NAT), используемый в командах nat, заставляет брандмауэр интерпретировать все команды nat с одинаковыми номерами nat_id как один объект, к которому должны применяться правила трансляции, указанные в команде global с соответствующим значением global id.
При использовании команд, показанных в примере 10.9, брандмауэр PIX Firewall обнаружит, что первые три строки содержат одно и то же значение nat_id, и будет рассматривать их как часть одной группы nat (в данном случае это группа 3).
; Пример 10.9. Использование аргумента nat_id для связывания команд \
‘ nat и global "'' г• V ’ -<
Pix(config)# nat (inside) 3 10.1.0.0 255.255.0.0
Pix(config)# nat (inside) 3 10.2.0.0 255.255.0.0
Pix(config)# nat (inside) 3 10.3.0.0 255.255.0.0
Pix(config)# global (outside) 3 192.168.1.4-192.168.1.5 netmask 255.255 252.0
Затем брандмауэр обратится к команде global и обнаружит, что она связана со всеми командами nat из группы 3. Брандмауэр предоставит сервис трансляции исходящего трафика только для элементов этой группы.
Очень важно учитывать порядок, в котором указываются команды конфигурации. Команды, использующие параметры типа nat_id, могут игнорироваться, если соответствующие им другие команды сконфигурированы неправильно.
Трансляция NetBIOS
Протокол NetBIOS брандмауэра PIX Firewall особенно труден в использовании, поскольку в нем применяются ассоциации с обычным английским языком. Протокол TCP/IP требует десятичной нотации с точками-разделителями, поэтому он проще. Протокол NetBIOS не предполагает маршрутизации по своей природе, поэтому при использовании в IP-сетях для него требуется инкапсуляция.
Реализация NetBIOS при использовании NAT оказывается сложной, поскольку, кроме заголовка IP, IP-адрес источника является частью заголовка NetBIOS. На сетевом уровне заголовок NetBIOS оказывается частью порции данных пакета IP.
На рис. 10.4 показано, что адреса источника и получателя (последние два элемента в заголовке) хранятся в глубине заголовка пакета NetBIOS; это и является основной причиной проблем при настройке трансляции. Брандмауэр PIX Firewall изменяет не только заголовок IP, но и информацию об источнике, являющуюся частью заголовка пакета NetBIOS. Если какая-то из этих частей пакета в процессе трансляции будет повреждена, хост адресата отвергнет весь пакет.
Брандмауэры, использующие NAT и не имеющие встроенной поддержки NetBIOS, транслируют IP-адрес только в заголовке IP. Когда пакет принимается Windows NT Server, система сравнивает соответствующие два адреса. Если обнаруживается несовпадение, то пакет отвергается. Поэтому при обработке пакета NetBIOS брандмауэр PIX Firewall транслирует IP-адреса и в заголовке IP, и в заголовке NetBIOS.
Длина
XxEFFF
Команда
Данные 1
Данные 2
Коррелятор передачи/ответа
Адрес назначения
Адрес источника
Заголовок пакета NetBIOS
Рис. 10.4. Структура заголовка пакета NetBIOS
В следующем примере мы выясним, как брандмауэр PIX Firewall выполняет трансляцию NetBIOS. Пакеты NetBIOS уникальны тем, что для них адрес источника присутствует как в заголовке пакета IP, так и в части полезного груза NetBIOS. Брандмауэр PIX Firewall должен заменить исходный адрес источника адресом, присвоенным интерфейсу брандмауэра. Эта операция скрыта от пользователя и обычно не порождает проблем. Иногда проблемы с модифицированными пакетами возникают в системах Windows NT. При наличии проблем система отвергает пакеты и требует их повторной передачи.
Давайте выясним, что происходит в этом случае.
Сеть настраивается на использование NetBIOS над IP.
Пользователь с адресом 10.1.1.14 отправляет данные внешнему серверу через брандмауэр PIX Firewall.
Брандмауэр PIX Firewall выявляет пакет NetBIOS, прибывший от источника с адресом 10.1.1.14, изменяет адрес источника как в заголовке IP, так и в пакете данных NetBIOS на 192.168.1.12 и отправляет пакет дальше.
Данные трансляции, которая осуществляется в ходе этого процесса, записываются в базу данных NAT, чтобы ответ на запрос можно было возвратить источнику запроса. NetBIOS над IP очень удобно использовать как сетевой сервис, но из-за строгости выдвигаемых при этом требований такой подход требует предельной осторожности. Протокол NetBIOS также очень уязвим в отношении атак хакеров, поэтому перед его использованием следует тщательно взвесить все за и против.
Контроль входящего и исходящего доступа
Предположим, что некоторая достаточно крупная компания решила обеспечить себе более высокий уровень безопасности за счет усовершенствования политики управления входящим/исходящим доступом. При этом не только повышается уровень защиты сети, но и обеспечиваются некоторые возможности контроля пропускной способности. При создании соответствующей политики защиты требуется ответить на следующие вопросы.
Каким внешним IP-адресам будет разрешен доступ к исходящим соединениям?
Имеются ли сервисы или адреса URL, доступ внешних пользователей к которым следует ограничить?
Следует ли запретить устанавливать исходящие соединения некоторым внутренним хостам?
Прежде чем начать настройку параметров входящего и исходящего доступа, важно решить, сколько свободы следует предоставить пользователям при доступе к сети. В этом разделе обсуждаются две модели доступа (модели политики) — закрытая и открытая.
Открытая модель предоставляет пользователям максимальную (в разумных пределах) свободу сетевого доступа. Вообще говоря, такая модель предоставляет пользователям свободу Web- и FTP-доступа, а также доступа к сервисам POP3 и SMTP электронной почты. Открытая модель доступа обычно предлагается “квалифицированным пользователям”, которым могут потребоваться специальные возможности доступа и которые имеют достаточный опыт для того, чтобы самостоятельно выбирать меры защиты (например, использовать собственный брандмауэр или систему разрешения доступа к файлам). Большинство “квалифицированных пользователей" рассматривают такую дополнительную ответственность как неотъемлемую составляющую сетевой свободы. По умолчанию брандмауэр PIX Firewall использует открытую модель для всего исходящего трафика.
Закрытая модель соответствует наиболее агрессивной политике защиты компании. По существу, такая модель является реализацией подхода “запрещено все, что не разрешено явно”. В таком окружении доступ Web и FTP осуществляется через прокси-сервер, поддерживающий специальный список управления доступом. Чаще всего в этом случае используется и фильтр управления доступом к содержимому Web. По умолчанию брандмауэр PIX Firewall применяет закрытую модель для всего входящего трафика.
Эти примеры типичны по своей природе, но они не дают исчерпывающей характеристики методов управления доступом. При использовании любого ограничения доступа пользователи могут сетовать на то, что их свобода слишком ограничена. В такой ситуации лучшим решением является сначала наложить максимум ограничений, а затем постепенно их ослаблять (по мере поступления запросов пользователей разрешить те или иные возможности).
Настройка исходящего доступа
Рассмотрим пример настройки исходящего доступа в частной сети, адрес которой должен транслироваться в открытый зарегистрированный IP-адрес. Команда global используется для того, чтобы указать адреса, входящие в пул глобальных адресов трансляции, а команда nat — чтобы указать сети, которые будут использовать этот пул глобальных адресов.
Для создания пула глобальных адресов и настройки параметров маршрутизации брандмауэра PIX Firewall необходимо выполнить следующие действия.
Настроить средства NAT на использование области IP-адресов, указанной с помощью команды global (outside).
Pix(config)# global (outside) 1 192.168.1.10-192.168.1.254 netmask
255.255.255.0
Pix(config)# nat (inside) 1 10.1.0.0 255.255.0.0
Ввести команду route (outside) 0.0.0.0 0.0.0.0 192.168.1.2 1, чтобы настроить параметры маршрутизации, применяемые по умолчанию.
Проверить текущую конфигурацию средств NAT с помощью команды show nat. При этом будет получен следующий вывод.
nat (inside) 1 10.1.0.0 255.255.0.0 0 О
Записать текущую конфигурацию в флэш-память брандмауэра с помощью команды write memory.
Записать текущую конфигурацию для терминала с помощью команды write term.
После изменения настроек с помощью команд nat и global следует использовать команду clear xlate, чтобы сделать глобальные IP-адреса доступными в таблице адресов (см. следующую врезку).
Внимание!
Команда clear xlate, вызываемая без параметров, полностью очищает таблицу nat. Если необходимо удалить конкретный транслирующий объект (объект xlate), не забудьте включить в строку clear xlate параметры локальн_1р и глобальн_1р, как показано ниже.
Pix# clear xlate 10.1.1.4 192.168.1.10
Настройка управления входящим доступом
Конфигурация нашего примера предполагает разрешение доступа к частной сети извне. Это будет сделано с помощью команды conduit, открывающей защищенный канал связи через брандмауэр, и команды static, гарантирующей, что этот канал ведет только к одному адресату.
Операторы статической трансляции и создания каналов должны быть такими, чтобы трафик, исходящий от внутреннего сервера, всегда имел один и тот же адрес источника на внешнем интерфейсе брандмауэра PIX Firewall. После ввода приведенных ниже команд необходимо проверить полученную конфигурацию с помощью опроса (ping) сервера Windows NT (IP-адрес 10.1.1.4), размещенного за брандмауэром, с маршрутизатора периметра (1Р-адрес 192.168.2.2). Это позволит выяснить, возвращаются ли через брандмауэр ответы ICMP, соответствующие запросам ping.
При этом необходимо выполнить следующие действия.
Очистить таблицу трансляции с помощью команды clear xlate.
Указать параметры статической трансляции с внешнего интерфейса брандмауэра PIX Firewall к внутреннему хосту с помощью команды static (inside, outside) 192.168.1.10 10.1.1.4 netmask 255.255.255.255, Эта команда разрешает доступ к хосту с адресом 10.1.1.4 путем отображения его адреса в глобальный адрес 192.168.1.10 на внешнем интерфейсе.
С помощью команды conduit permit icmp host 192.168.1.10 host 192.168.2.2 echoreply создать канал, позволяющий запросам ping маршрутизатора периметра доступ к системе Windows NT Server. Указанная команда создает портал, разрешающий прохождение сообщений ping, исходящих от глобального адреса 192.168.1.10 и направленных к внутреннему адресу 10.1.1.4. Команда static из п. 2 обеспечивает отображение соответствующих двух адресов. Доступ ping разрешается только с маршрутизатора периметра. Другие внешние хосты не получат ответа на подобные запросы.
Активизировать мониторинг ICMP в брандмауэре PIX Firewall и маршрутизаторе периметра с помощью команд debug icmp trace, debug ip packet и debug ip icmp.
Опросить Windows NT Server с маршрутизатора периметра, чтобы проверить настройки трансляции. В примере 10.10 показано, каким при этом должен быть ответ брандмауэра PIX Firewall.
Пример 10.10. Проверка результатов активизации debug icmp trace 1
Perimeterl> ping 192.168.1.10
PIX#
Inbound ICMP echo request (len 32 id 1 seq 9216)
192.168.1.2 > 192.168.1.10 > 10.1.1.4
Outbound ICMP echo reply (len 32 id 1 seq 9216)
10.1.1.4 > 192.168.1.10 > 192.168.1.2
Inbound ICMP echo request (len 32 id 1 seq 9216)
192.168.1.2 > 192.168.1.10 > 10.1.1.4
Outbound ICMP echo reply (len 32 id 1 seq 9216)
10.1.1.4 > 192.168.1.10 > 192.168.1.2
Inbound ICMP echo request (len 32 id 1 seq 9216)
192.168.1.2 > 192.168.1.10 > 10.1.1.4
Outbound ICMP echo reply (len 32 id 1 seq 9216)
10.1.1.4 > 192.168.1.10 > 192.168.1.2
Рассмотрим вывод команд debug icmp подробнее. Команда debug icmp trace позволяет увидеть адреса, обрабатываемые в процессе трансляции. Обратите внимание на то, как брандмауэр PIX Firewall обрабатывает запрос ping, продвигаясь от источника через внешний интерфейс к Windows NT Server (пример 10.11).
Гпример10.11. Визуализация входящей трансляции адреса< j
192.168.1.2 > 192.168.1.10 > 10.1.1.4
Трафик от маршрутизатора периметра (192.168.1.2) проходит к внешнему интерфейсу (192.168.1.10). Там команда conduit проверяет, кто направил трафик, какого он вида и куда направлен. Затем команда static заставляет брандмауэр перенаправить трафик к рабочей станции Windows NT (10.1.1.4) внутренней сети. Возвращается трафик по тому же пути (пример 10.12).
| Пример 10.12. Трансляция адресов возвращающегося трафика * ~ ■! 10.1.1.4 > 192.168.1.10 > 192.168.1.2 10.1.1.4
Приложения мультимедиа, поддерживаемые брандмауэром PIX
Брандмауэр PIX Firewall поддерживает обширный и постоянно расширяющийся список мультимедиа-приложений.
RealAudio (Real Networks) — потоки аудиоданных
Stream Works (Xing Technologies) — потоки видеоданных
CuSeeMe (White Pines) — видеотелеконференции
Internet Phone (Vocal Tec) — передача голосовых данных в сетях IP
VDOLive (VDOnet) — потоки видеоданных
NetShow (Microsoft) — потоки видеоданных
Web Theatre 2 (VXtreme) — потоки видеоданных
Internet Video Phone (Intel) — видеотелеконференции
NetMeeting (Microsoft) — видеотелеконференции
SQL*Net (Oracle) — связь клиент/сервер
Брандмауэр PIX Firewall при работе с мультимедиа-приложениями предлагает возможности, недоступные при использовании других брандмауэров. Например, это касается возможности динамически открывать и закрывать порты UDP для защищенных мультимедиа-соединений. Другие производители предполагают открытие больших диапазонов портов UDP, что потенциально создает риск нарушения защиты, или же назначение одного конкретного порта д ля входящих мультимедиа-данных, что требует изменения конфигурации клиента. Брандмауэр PIX Firewall поддерживает мультимедиа с использованием или без использования NAT. Некоторые брандмауэры не могут одновременно поддерживать NAT и мультимедиа, что позволяет использовать мультимедиа только с зарегистрированными адресами и оставляет внутренние адреса открытыми для Internet. Мультимедиаприложения требуют доступ к конкретным портам и могут конфликтовать со средствами отображения портов (РАТ). Причина конфликтов заключается в том, что программное обеспечение воспроизведения аудио- и видеоданных ожидает поток данных с конкретного порта и может отказать, если такой поток представлен портом с другим номером.
Если мультимедиа-приложение отказывается функционировать должным образом после прохождения брандмауэра, можно попытаться решить проблему с помощью команды established. После ввода этой команды брандмауэр разрешает весь возвращающийся трафик TCP или UDP между клиентом и медиа-сервером, но только в течение времени существования текущего ТСР-соединения.
Внимание!
Команда established может открыть большие и легко преодолимые бреши в брандмауэре, поэтому обязательно используйте вместе с ней ключевые слова permitto и permitfrom. Они минимизируют риск появления брешей портового доступа, открытого с помощью команд conduit и static.
Команда established позволяет контролировать приложение, требующее множества соединений с TCP- или UDP-портами. Ее рекомендуется использовать только с приложениями Web Theater 2 и NetShow. Для других мультимедиа-приложений, поддерживаемых брандмауэром PIX Firewall, необходимости в использовании команды established не возникает; это касается, в частности, RealAudio, VDO, Xing/VocalTech, Н.323 и CuSeeMe. Брандмауэр PIX Firewall поддерживает эти приложения с помощью усовершенствованного мультимедиа-алгоритма ASA, который ни в коей мере не ослабляет защиту.
Синтаксис команды established следующий:
established протокол порт_назн_1 [permitto протокол [лорт_назн_2[-лорт_назн_2] ] ] [ permitfrom протокол [ порт_источн\-порТ-Нсточн^ ] ]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
протокол
Определяет тип протокола IP - UDP или TCP
порт_назн_1
Указывает порт назначения, с которым требуется создать соединение
порт_назн_2
Указывает порт назначения, к которому брандмауэр PIX Firewall должен направить обратное соединение
порт_источн
Указывает порт источника на сервере, от которого исходит обратное соединение
permitto
Разрешает входящие соединения с указанным портом или протоколом. Это ключевое слово открывает только порт назначения
Параметр команды Описание
permitfromРазрешает входящие соединения с указанного порта или протокола. При использо
вании с ключевым словом permitto обеспечивает более точную информацию о порте источника. Если применяется только ключевое слово permitfrom, это означает запрос доступа с конкретного порта к любому порту
В примере 10.13 показан вариант использования команды established.
Пример 10.13. Применение команды established -1 ;
Pix(config)#established tcp 1464 permitto tcp 1465 permitfrom tcp 3039
Управление доступом к внутренним хостам
Важной задачей разработки стратегии сетевой безопасности является выбор процедур, позволяющих внешним объектам получить доступ к частной сети. В реальности это не порождает больших проблем, как может показаться на первый взгляд, поскольку каждый, кто хотя бы раз размещал Web-сервер или сервер электронной почты в ДМ3 (“демилитаризованной” зоне), решал именно эту задачу. Использование ДМ3 сегодня является типичным методом доступа к ресурсам, защищенным брандмауэром. Брандмауэр FIX Firewall предлагает усовершенствованные возможности, которые еще больше усиливают защиту, присущую конфигурации брандмауэр-ДМЗ.
Статическая трансляция
Если политика защиты требует, чтобы внешние пользователи могли иметь доступ к серверам внутри защищенной сети, используйте команду static для указания IP- адресов, доступных извне, и команду conduit для разрешения (или запрета) доступа к ресурсам на основе номеров портов, протоколов и/или IP-адресов. При совместном использовании эти две команды создают туннель доступа, движение по которому разрешается только трафику, удовлетворяющему условиям, указанным командой conduit.
Команда static создает статическое отображение локального IP-адреса в глобальный IP-адрес (называемое сегментом статической трансляции или объектом xlate). Благодаря самой природе этого типа трансляции, брандмауэру PIX Firewall нет необходимости поддерживать базу данных состояний соединений или специальных метрик сеансов, что означает меньшую нагрузку на брандмауэр.
Команда static•
Команда static является очень гибкой и может использоваться для решения самых разных задач. Статический адрес представляет собой постоянное взаимно однозначное отображение зарегистрированного IP-адреса в локальный IP-адрес внутри защищенной сети. Статические адреса рекомендуется использовать д ля хостов защищенной сети, которым требуется иметь конкретные IP-адреса. Команда static может создавать отдельную функцию трансляции (регулярную статику) или обеспечивать трансляцию диапазона адресов (сетевую статику). Данная команда аналогична статическому маршруту в таблице маршрутизации в том смысле, что она настраивается вручную и однозначно.
Рассмотрим некоторые параметры этой команды и варианты их применения.
Для исходящих соединений с помощью команды static можно указать адрес в пуле глобальных адресов, который должен использоваться при трансляции адреса локального хоста в глобальный адрес (например, если при исходящем доступе для адреса 10.1.1.16 внутренней сети всегда следует использовать внешний адрес 192.168.1.15).
Для входящих соединений команду static можно использовать вместе с командой conduit, чтобы идентифицировать адреса, видимые извне (например, если пользователям Internet требуется доступ к серверу внутренней сети, им предлагается внешний адрес, который транслируется во внутренний адрес, ведущий к серверу через портал, созданный оператором conduit).
Брандмауэр PIX Firewall может автоматически управлять всеми входящими и исходящими запросами трафика. Отображение диапазона статик обеспечивается сетевой статикой. Сетевая статика может создать 256 статик одновременно, если для адресов глобальн_1р и локальн_1р указаны значения 0.
Замечание
Для входящих соединений не следует использовать глобальный IP-адрес, создаваемый командой global, поскольку это не позволит трафику достичь хоста назначения.
Команда static имеет следующий синтаксис:
static [ (имя_внутр_инт, имя_внешн_инт)] глобальн_1р локальн_1р [netmask маска] [max_conns [em_limit]] [norandomseq]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
имя_внутр_ннт нмя_внешн_инт глобальн_1р локальн_1р netmask
Имя внутреннего сетевого интерфейса
Имя внешнего сетевого интерфейса
Глобальный IP-адрес для внешнего интерфейса. Этот адрес не может быть IP-адресом РАТ
Локальный IP-адрес внутренней сети
Играет роль зарезервированного слова, которое предшествует описанию сетевой маски
маска
Указывает сетевую маску, имеющую отношение как к глобальн_1р, так и к локальн_1р
max_conns
Определяет максимальное число соединений, разрешенных для всех интерфейсов. Оно не должно превышать значения, указанного в вашей лицензии. Чтобы выяснить максимальное число соединений, допустимых для вашего брандмауэра PIX Firewall, используйте команду show conn. Чтобы указать точное число разрешенных соединений, добавьте значение max_conns в операторы nat и static конфигурации
em_limit
Определяет предел числа зарождающихся соединений. По умолчанию используется значение 0, что означает отсутствие предела. Максимум зависит от имеющейся в вашем распоряжении лицензии, а минимум равен 1. Общим правилом для выбора данного значения является число разрешенных лицензией соединений, уменьшенное на 30%. Например, при наличии лицензии на 1024 сеанса значение указанного параметра можно выбрать равным 715. Это значение следует уменьшить для медленных систем и увеличить для быстрых.
Параметр команды Описание
Параметр em_limit задает максимум для общего числа частично открытых соединений, что предотвращает возможность проведения атак блокирования сервиса, в частности атак SYN. (Атаки SYN предполагают отправку очень большого числа "фальсифицированных” запросов соединений, чтобы система не справилась с их обработкой. При этом IP-стек очереди соединений сети адресата оказывается переполненным и возникают отказы в обслуживании. Более подробная информация по этому вопросу содержится в разделе "Защита от атак блокирования сервиса: атаки SYN”.)
norandomseq Указывает, что рандомизация порядкового номера пакета TCP/IP не выполняется. Используйте эта ключевое слово только в том случае, если случайные порядковые номера генерирует другой брандмауэр на линии и в результате этого искажаются данные. Применение этого ключевого слова открывает брешь в системе защиты брандмауэра PIX firewall
Команда static с ключевым словом netmask определяет область действия адресов, которые будут отображаться между локальным и глобальным диапазонами IP. Вариант использования ключевого слова netmask показан в примере 10.14.
Гпример 10.14. Использование ключевого слова netmask
Pix(config)# static (inside, outside) 192.168.0.0 10.1.0.0 netmask 255.255.0.0
Если адрес состоит только из нулей там, где маска сети равна 0, то он является сетевым адресом (называемым также сетевой статикой). Статики имеют приоритет по сравнению с парами команд nat и global, и это значит, что nat 10 0 предоставит исходящий доступ только хостам, не указанным в операторе static. Представляйте это как процедуру “сложения”, выполняемую при вычислениях адресов подсетей.
Внимание!
Не создавайте статик с перекрывающимися IP-адресами, поскольку это может вызывать проблемы трансляции.
Команды static и conduit должны быть настроены так, чтобы разрешить трафику, исходящему от интерфейса с низким уровнем защиты (указанного командой nameif), пройти через брандмауэр PIX Firewall к интерфейсу с высоким уровнем защиты. Например, команды static и conduit должны разрешать входящие сеансы от внешнего интерфейса к интерфейсу ДМ3 или от внешнего к внутреннему. Уровень защиты (значение sec_value) представляет собой числовое значение от 0 до 100, указанное командой nameif. Чем больше это число, тем выше уровень защиты (пример 10.15).
Примера М5|рпреде1дапомощью команды nameif f Я
Pix(config)# nameif eth02 inside securitylOO
Выбор правильной команды для различных по уровню защиты интерфейсов может оказаться непростым делом. Следующие рекомендации помогут вам при выборе команд в том или ином окружении.
Для соединения интерфейса, имеющего высший уровень защиты, с интерфейсом, имеющим относительно низкий уровень защиты, следует использовать команду nat с соответствующей командой global.
Для соединения интерфейса, имеющего низкий уровень защиты, с интерфейсом, имеющим более высокий уровень защиты, следует использовать команду static.
Замечание
Для упрощения процесса настройки при наличии множества интерфейсов периметра, в командах alias, apply, conduit, global, mailhost, nat и static можно дополнительно указать имена интерфейсов. Указываемое в команде имя интерфейса должно быть заключено в круглые скобки.
Пример статического отображения
Что делает статическое отображение? Можно ли увидеть то, что происходит в действительности? На эти вопросы можно ответить с помощью примера.
Предположим, что была введена следующая команда.
Pix(config)# ip address (outside) 192.168.1.1 netmask 255.255.255.0
Эта команда присваивает внешнему интерфейсу брандмауэра PIX Firewall имя “outside” (внешний) и IP-адрес 192.168.1.1. Для дальнейшего анализа важно понимать, откуда берется адрес источника.
В примере, показанном на рис. 10.5, любой пакет, исходящий от станции клиента 10.1.1.101, на выходе из брандмауэра PIX Firewall представляется (внешнему миру) исходящим от IP-адреса 192.168.1.1
МаршрутизаторБастионный
периметрахост
Станция-клиент
10.1.1.101
Рис. 10.5. Пример статического отображения
Команда static создает статическое отображение (т.е. объект xlate — статический сегмент трансляции) локального IP-адреса в зарегистрированный NIC-адрес IP. При этом можно создать как отдельное отображение (статику), так и диапазон статик, называемый сетевой статикой. Такой тип статик рекомендуется для хостов внутреннего сервиса (например, серверов DNS, электронной почты или Web). Опции ограничения числа соединений задают максимум для числа соединений, а предел для зарождающихся соединений (em_limit) ограничивает число незавершенных соединений. Значе-
ние max_conns, ограничивающее общее число соединений для всех интерфейсов, применяется как к внутренним, так и к внешним интерфейсам.
Вариант применения команды static показан в примере 10.16.
I П^и^ер 1Q.16. Применение команды static ,
Pix(config)#static (inside, outside) 192.168.1.11 10.1.1.101
Здесь от брандмауэра FIX Firewall требуется отображение всего трафика узла 10.1.1.101 в зарегистрированный адрес 192.168.1.11 при прохождении этого трафика через внешний интерфейс брандмауэра. Статики, определенные в конфигурации, можно отобразить на экране с помощью команды, показанной в примере 10.17.
| Пример 10.17. Проверка статик, определенных в конфигурации устройства i
Pix# show static
static (inside,outside) 10.1.1.101 192.168.1.11 netmask 255.255.255.255 0 0
Настройка сетевых статик
В условиях сетевой структуры компании XYZ, показанной на рис. 10.6, необходимо создать диапазон статик для сети 10.1.1.0. Для этого предполагается использовать сетевые статики, чтобы не вводить каждый статический маршрут для внутренней сети вручную.
Сетевая статика может задавать до 256 статик сразу. Если значения глобальн_1р и локальн_1р определяют сетевые адреса (идентификатор хоста равен 0), то сетевые статики создаются для всего диапазона IP-адресов, доступных в данном классе. Для каждого адреса определяется взаимно однозначное соответствие между глобальным и локальным адресами.
Команда static, используемая для создания сетевой статики, охватывает все IP- адреса, доступные для описанного класса, если и для глобального, и для локального IP-адресов в качестве идентификатора хоста указано значение 0. По умолчанию команда static выполняет объединение адресов.
На рис. 10.6 каждый адрес внутренней сети 10.1.1.0 статически отображается в соответствующий адрес внешней сети 192.168.11.0. В примере 10.18 показан вариант команды, осуществляющей такое отображение.
|тртм*е(^ЬЖ СоДО^
Pix(config)# static 192.168.11.0 10.1.1.0 netmask 255.255.255.0
Поскольку соответствующие байты и IP-адреса, и сетевой маски равны 0, брандмауэр PIX Firewall интерпретирует это как указание создать сетевую статику.
Замечание
И обычные статические трансляции, и сетевые статики используют команды одинаковой структуры. Разница между ними заключается в том, что сетевые статики используют адреса хостов, равные 0, что означает применение диапазона адресов хостов, а обычные статики — конкретные адреса источника и получателя.
Маршрутизатор периметра
Рис. 10.6. Пример использования сетевой статики
Команда conduit
Команда conduit открывает определенный порт брандмауэра и разрешает потоку данных извне пройти к указанной подсети или хосту внутренней сети (обычно такой хост размещается в ДМ3). Может оказаться удобным разместить в ДМ3 Web-сервер или сервер электронной почты, если по некоторым причинам к ним требуется доступ пользователей из Internet.
Команда conduit разрешает или запрещает соединениям, являющимся внешними для брандмауэра PIX Firewall, получить доступ к сервисам TCP/IP хостов внутренней сети. С помощью команды conduit создается исключение для алгоритма ASA брандмауэра PIX Firewall, разрешающее соединения с одного сетевого интерфейса к хостам другого. Начиная с брандмауэра PIX Firewall версии 4.2, команда conduit может использовать глобальные адреса, созданные командами global и static.
Команду conduit можно связать с глобальными адресами команд global и static, в частности с одним глобальным адресом, диапазоном глобальных адресов или всеми глобальными адресами. Соответствующий канал может быть создан также для диапазона адресов хостов, указанного одним статическим оператором, называемым сетевой статикой.
Можно иметь столько каналов, сколько необходимо. При совместном использовании команд static и conduit соответствующие каналы будут использоваться только с
идентификаторами хостов, указанными командой static. Применив команду conduit с префиксом по, можно удалить канал.
Синтаксис команды conduit следующий:
conduit {permit | deny} протокол гпобапьн_1р глобальн маска
[ оператор порт [ порт] ] внешн_1р внешн_маска
[оператор порт [порт]] оператор
conduit permit | deny icmp глобапьн_1р гпобапьн_маска внешн_1р
внешн_маска 1стр_тнп
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
permit deny
Разрешает доступ при выполнении условий
Запрещает доступ при выполнении условий
протокол
Указывает транспортный протокол соединения. Возможными буквенными значениями являются eigrp, gre, icmp, igmp, grp, ip, ipinip, nos, ospf, tcp, udp; допустимы также целочисленные значения из диапазона 0-255, представляющие номер IP-протокола. Используйте ip, чтобы указать все транспортные протоколы
icmp
Разрешает или запрещает доступ ICMP к одному или нескольким глобальным IP-адресам. Укажите ICMP-тип с помощью аргумента 1стр_тип или опустите этот аргумент, чтобы указать все типы ICMP
гпоба льн_1р
Задает IP-адрес из глобального пула адресов, связываемый сданным каналом. Этот адрес может принадлежать классу А, В или С
глобальн_маска
Задает сетевую маску для адреса гпобальн_1р; является 32-битовым значением в десятичном формате с точками-разделителями (например, 255.255.255.255). Используйте нули для битовых позиций, которые должны игнорироваться. Если требуется, применяйте подсети.
Если для параметра глобальн_1р используется значение 0, применяйте 0 и для параметра глобальн_маска. В других случаях указывайте значение, подходящее для значения глобальн_1р
оператор
Используется для описания порта или диапазона портов. Возможными значениями являются eq, It, any, gt, neq и range. Чтобы указать все порты, используйте оператор по и port
порт
Указывает сервисы, которые разрешается использовать при доступе к глобальн_1р. Сервисы определяются связанными с ними портами, например 25 - для SMTP, 80 - для HTTP и т.д. (0 означает любой порт). Значения портов определены в документе RFC 1700. Допустимыми буквенными значениями являются dns, esp, ftp, h323, http, ident, nntp, ntp, pop2, pop3, pptp, rpc, smtp, snmp, snmptrap, sqlnet, tcp, telnet, tf tp и udp. Подобным образом можно указывать и диапазоны портов, например ftp-h323. Можно указывать и номера портов
внешн ip
Определяет внешний IP-адрес (хоста или сети), которому разрешается доступ к гло- бальн_1р. Можно указать 0.0.0.0 или 0, что означает любой хост. Если и внешн_1р, и внешн_маска равны 0.0.0.0, можно использовать команду сокращения any, применимую ко всем интерфейсам.
Если внешн_1р задает адрес хоста, значение внешн_маска можно опустить, указав перед внешн_1р ключевое слово host
Параметр команды Описание
внешн_маскавнешн_маскаОпределяет сетевую маску для внешн_1р; представляет собой 32-битовое значение в десятичном формате с точками-разделителями (например, 255.255.255.255). Используйте нули для битовых позиций, которые должны игнорироваться. Если требуется, применяйте подсети.
внешн_маска
внешн_маска
Если для параметра внешн_1р используется значение 0, укажите 0 и для параметра внешн_маска, иначе необходимо ввести значение, соответствующее значению внешн_1р
На рис. 10.7 показано, что прокси-серверу требуется доступ внутренней сети.На рис. 10.7 показано, что прокси-серверу требуется доступ внутренней сети.Сервер электронной почты 10.1.1.100Сервер электронной почты 10.1.1.100к серверу приложений
На рис. 10.7 показано, что прокси-серверу требуется доступ внутренней сети.
На рис. 10.7 показано, что прокси-серверу требуется доступ внутренней сети.
Сервер электронной почты 10.1.1.100
Сервер электронной почты 10.1.1.100
с помощью команд, показанных вс помощью команд, показанных вPix(config)# static 192.168.1.11 10.1.1.5Pix(config)# static 192.168.1.11 10.1.1.5Pix(config)# conduit permit tcp host '92.168.1.11Pix(config)# conduit permit tcp host '92.168.1.11eq 5190 host 192.168.1.3eq 5190 host 192.168.1.3
с помощью команд, показанных в
с помощью команд, показанных в
Pix(config)# static 192.168.1.11 10.1.1.5
Pix(config)# static 192.168.1.11 10.1.1.5
Pix(config)# conduit permit tcp host '92.168.1.11
Pix(config)# conduit permit tcp host '92.168.1.11
eq 5190 host 192.168.1.3
eq 5190 host 192.168.1.3
Рис. 10.7. Настройка канала для соединений, входящих во внутреннюю сеть извне
Задача доступа к серверу приложений решается примере 10.19.
Здесь первая команда дает указание брандмауэру PIX Firewall создать статическое отображение между IP-адресами 192.168.1.11 (внешний интерфейс брандмауэра) и 10.1.1.5 (внутренний сервер приложений). Вторая строка разрешает трафик TCP порта 5190, если хост источника имеет IP-адрес 192.168.1.3, а хост получателя — адрес 192.168.1.11.
Чтобы увидеть все созданные каналы текущей конфигурации и выяснить, сколько раз обнаруживалось совпадение и использовались операторы conduit, введите команду
show conduit. Данная команда обеспечивает информацию, подобную показанной в примере 10.20.
, Пример 10.20. Использование команды show conduiti
Pixt show conduit
conduit 192.168.1.11 5190 tcp 192.168.1.3
По умолчанию доступ ко всем портам запрещен до тех пор, пока он не будет разрешен явно. Команда conduit не может применяться при трансляции РАТ, поскольку эти средства приписывают портам “случайные” номера, что делает операторы conduit некорректными.
Если вы хотите, чтобы внутренние пользователи могли посылать запросы ping внешним хостам, необходимо создать ICMP-канал для ответов на такие запросы. Например, чтобы разрешить доступ ping всем хостам, используйте команду conduit permit icmp any any echo-reply.
При использовании команды ping для проверки доступности интерфейса не забудьте указать в командной строке интерфейс, который требуется проверить (как показано в примере 10.21).
^Пример 1CL21 .^р5|да^для проверки;
Pix# ping outside 192.168.1.3
Использование команды conduit для внешних соединений с внутренней сетью
Возможно, вам трудно понять, зачем создавать канал, который открывает брешь в брандмауэре, но при определенных условиях такие действия могут быть оправданы. Например, на рис. 10.7 прокси-серверу необходима связь с сервером приложений внутренней сети.
При использовании схемы, показанной на рис. 10.7, компании XYZ необходимо разрешить прокси-серверу внешней сети ДМ3 (192.168.1.3) доступ к серверу приложений (10.1.1.5) внутренней сети. Чтобы управлять доступом в таких ситуациях, можно добавить в конфигурацию соответствующие команды conduit permit и conduit deny. Такие команды могут выглядеть так, как показано в примере 10.22.
Пример 10.22. Создание канала для трафика TCP порта 80 к внутреннему , Хк '"• , ? /серверуi
Pix(config)# conduit permit tcp host 192.168.1.11 eq 80 host 10.1.1.5
Замечание
В брандмауэре PIX Firewall версии 5.1.2 для контроля входящего доступа вместо команд conduit и static можно использовать команды access-list и access-group. При этом в системе по-прежнему поддерживается использование команд conduit. Для команд access-list и conduit доступны значения счетчиков, показывающих число наблюдавшихся совпадений с условиями списка доступа или канала.
Настройка FIX Mail Guard
Средства Mail Guard (защита электронной почты) брандмауэра PIX Firewall избавляют от необходимости использовать внешний почтовый ретранслятор в системе периметра сети или в ДМ3. Mail Guard является интегрированным компонентом операционной системы брандмауэра PIX. Главная задача Mail Guard — разрешить использование только семи общих команд SMTP (НЕБО, MAIL, RCPT, DATA, RSET, NOOP и QUIT) на сервере SMTP, защищенном брандмауэром PIX Firewall. Команды, поддерживаемые системой Mail Guard, являются минимальным набором команд SMTP, рекомендуемым в документе RFC821.
Если возможности Mail Guard в брандмауэре PIX Firewall отключены (а по умолчанию они включены), то сначала нужно ввести команду fixup protocol (которая будет описана в следующем разделе).
Команда fixup protocol smtp 25 активизирует средства Mail Guard. Все команды, кроме семи разрешенных, либо отвергаются, либо интерпретируются как поор (“не делать ничего”), а в адрес источника запроса отправляется ответ ОК. Любые попытки использовать неразрешенные команды оказываются для хакера бесполезными. Чтобы отключить средства Mail Guard, введите соответствующую команду с префиксом по подобно тому, как это делается в обычном маршрутизаторе Cisco.
Если при использовании Mail Guard применяется команда static, необходимо применить и команду conduit. Команда static создает статическое отображение, а команда conduit дает пользователям возможность доступа к этому отображению.
В примере 10.23 представлены команды, разрешающие доступ к внутреннему серверу, в котором используется система Mail Guard (рис. 10.7).
Пример 10.23. Разрешение доступа к внутреннему серверу, защищенному : у^'-Т/системой Mail Guard л
Pix(config)# static (inside, outside) 192.168.1.14 10.1.1.100
netmask 255.255.255.0
Pix(config)# conduit permit tcp host 192.168.1.14 eq smtp any
Pix(config)# fixup protocol smtp 25
В этом примере команда static использует глобальный адрес 192.168.1.14, чтобы разрешить внешним хостам доступ к серверу электронной почты 10.1.1.100 на интерфейсе (inside). Команда conduit позволяет любому внешнему пользователю (ключевое слово any) получить доступ к глобальному адресу 192.168.1.14 через порт SMTP с номером 25.
В дополнение к командам conduit и static при доступе к почтовому серверу SMTP можно использовать команду mailhost брандмауэра PIX, если ваш брандмауэр имеет более раннюю версию, чем 4.2. Команда fixup protocol, появившаяся в брандмауэре PIX Firewall с версии 4.2, сделала команду mailhost ненужной.
После ввода всех команд, необходимых для активизации Mail Guard, нужно зарегистрировать внешний глобальный адрес в центре InterNIC (создать почтовую запись — MX Record), чтобы ваш почтовый домен указывал на этот адрес.
Как показывает рис. 10.8, при использовании системы Mail Guard брандмауэра PIX сервер ретрансляции электронной почты не выносится за границу брандмауэра. Это не только обеспечивает сетевому администратору более простую схему размещения, но и избавляет его от необходимости управлять дополнительным сервером, кото-
рый может быть потенциальным источником проблем защиты, если окажется недостаточно защищенным против соответствующих атак.
Классическая схемапочтового ретранслятора (ДМ3)Классическая схемапочтового ретранслятора (ДМ3)Реализация, использующаясредства Mail GuardРеализация, использующаясредства Mail Guard
Классическая схемапочтового ретранслятора (ДМ3)
Классическая схемапочтового ретранслятора (ДМ3)
Реализация, использующаясредства Mail Guard
Реализация, использующаясредства Mail Guard
Общедоступнаясеть InternetОбщедоступнаясеть InternetОбщедоступнаясеть InternetОбщедоступнаясеть Internet
Общедоступнаясеть Internet
Общедоступнаясеть Internet
Общедоступнаясеть Internet
Общедоступнаясеть Internet
ПервыйярусПервыйярусПервыйярусПервыйярусБастионный хост ретранслятораБастионный хост ретранслятораДМ3ДМ3МаршрутизаторпериметраМаршрутизаторпериметраБрандмауэр РIX CiscoБрандмауэр РIX Cisco Частные сети Внутренние серверы DNS, Частные сети Внутренние серверы DNS,Частные клиентыЧастные клиентыВторой ярусВторой ярусЧастные сетиЧастные сетиБрандмауэр PIX CiscoБрандмауэр PIX CiscoДМ3ДМ3МаршрутизаторпериметраМаршрутизаторпериметраВторойярусВторойяруспочтовыепочтовыешлюзы и т.д.шлюзы и т.д.Внутренние серверы DNS, почтовые шлюзы и т.д.Внутренние серверы DNS, почтовые шлюзы и т.д.Частные клиентыЧастные клиенты
Первыйярус
Первыйярус
Первыйярус
Первыйярус
Бастионный хост ретранслятора
Бастионный хост ретранслятора
ДМ3
ДМ3
Маршрутизаторпериметра
Маршрутизаторпериметра
Брандмауэр РIX Cisco
Брандмауэр РIX Cisco
Частные сети Внутренние серверы DNS,
Частные сети Внутренние серверы DNS,
Частные клиенты
Частные клиенты
Второй ярус
Второй ярус
Частные сети
Частные сети
Брандмауэр PIX Cisco
Брандмауэр PIX Cisco
ДМ3
ДМ3
Маршрутизаторпериметра
Маршрутизаторпериметра
Второйярус
Второйярус
почтовые
почтовые
шлюзы и т.д.
шлюзы и т.д.
Внутренние серверы DNS, почтовые шлюзы и т.д.
Внутренние серверы DNS, почтовые шлюзы и т.д.
Частные клиенты
Частные клиенты
Рис. 10.8. Настройка средств Mail Guard
Команда fixup protocol
Команда fixup protocol позволяет проконтролировать, изменить, активизировать или отключить анализ протокола прикладного уровня в брандмауэре PIX Firewall. Это очень мощное средство брандмауэра, поскольку оно позволяет брандмауэру изменить содержимое пакета, чтобы последний удовлетворял требованиям конфигурации. Некоторые возможности защиты брандмауэра PIX Firewall опираются на средства контроля и изменения (или “исправления”) информации в пакетах, пересылаемых по сети. Различные сетевые протоколы (например, SMTP для передачи электронной почты) включают в пакеты специальную, зависящую от протокола информацию. Средства “исправления” протокола для пакетов SMTP предполагают изменение адресов, включенных в полезный груз пакета, проверку поддерживаемых команд и замену неподходящих символов.
По умолчанию брандмауэр PIX Firewall настроен на “исправление” протоколов FTP, SMTP, HTTP, RSH, SQLNET и H.323.
Синтаксис команды fixup protocol следующий:
fixup protocol протокол [порт[-порт] ] no fixup protocol протокол [порт[-порт]] show fixup [протокол протокол]
Описания параметров команды представлены в следующей таблице.
Параметр команды Описание
протоколЗадает протокол для “исправления”: ftp, http, h323, rsh, smtp или sqlnet
портОпределяет номер порта или диапазон портов прикладного протокола. По умолчанию
порт 23 используется для ftp, 80 — для http, 1720 — для h323, 25 - для smtp, 1521 — для sqlnet. Назначение по умолчанию порта 514 для rsh изменить нельзя
Команды fixup protocol всегда присутствуют в конфигурации и активизированы по умолчанию. Для каждого протокола можно добавить множество дополнительных команд. Для одного и того же протокола можно указать множество портов. В примере 10.24 указаны порты 1521 и 1523 и протокол SQLNET, что позволяет данному протоколу работать со средствами NAT для этих портов.
Юримейй^ Несколько портов для одного протокола
Pix(config)# fixup protocol sqlnet 1521
Pix(config)# fixup protocol sqlnet 1523
В примере 10.25 глобальный IP-адрес 192.168.1.14 отображается в адрес внутреннего шлюза SMTP 10.1.1.100 с помощью соответствующей команды static.
Пример 10.25. Отображение глобального IP-адреса 192.168.1.14 во внут-
/ Z1 -/ рённии шлюз SMTPЯЙЯ
Pix(config)# fixup protocol smtp 25
Pix(config)# static (inside, outside) 192.168.1.14 10.1.1.100
netmask 255.255.255.255
Pix(config)# conduit permit tcp host 192.168.1.14 eq smtp host 192.168.1.3
Команда xlate
Команды, обсуждаемые в этом разделе, очень важны с точки зрения администрирования и диагностики.
Команда clear xlate очищает содержимое сегментов трансляции и возвращает к использованию для трансляции всего пула глобальных IP-адресов.
Команда show xlate отображает подробный список параметров трансляции и соответствующих соединений.
Команду clear xlate следует использовать при удалении, изменении или добавлении псевдонимов, операторов conduit, global, nat и route. Сегменты трансляции могут существовать в течение неопределенного времени, после того как в конфигурацию были внесены ключевые изменения. Если сегменты трансляции не очищаются с помощью команды clear xlate, следует сохранить конфигурацию и перезапустить брандмауэр PIX Firewall. Не забудьте включить в команду IP-адрес или имя интерфейса, который необходимо очистить, поскольку выполнение команды без указания соответствующего имени может привести к нежелательным последствиям, не исключая повреждения таблицы соединений.
Синтаксис команды xlate следующий:
show xlate [ глобальн_1р [локаль^гр] ]
clear xlate [глобальн_1р [локальн_1р] ]
Описания параметров команды представлены в следующей таблице.
Параметр командыПараметр командыОписаниеОписание
Параметр команды
Параметр команды
Описание
Описание
глобальн ip локальн_1рглобальн ip локальн_1р
глобальн ip локальн_1р
глобальн ip локальн_1р
Зарегистрированный IP-адрес из пула глобальных адресов Локальный IP-адрес внутренней сети
Вариант команды clear xlate, с помощью которой очищаются параметры трансляции, связывающие глобальн_1р 192.168.1.11 и локальн_1р 10.1.1.101, показан в примере 10.26.
| Пример 10.26. Очистка объекта xlate
Pix(config)# clear xlate 192.168.1.11 10.1.1.101
В примере 10.27 показан вариант применения команды show xlate.
Пример 10.27. Использование команды show xlate
Pix> show xlate
Global 192.168.1.11 Local 10.1.1.101 static nconns 0 econns 0 flags s
PAT Global 192.168.1.11(2065) Local 10.1.1.101 out 192.168.1.3:80
in 10.1.1.5:1883 idle 0:00:08 Bytes 0 flags 0x0
Разрешение доступа ping
Ввиду того, что брандмауэр FIX Firewall по умолчанию запрещает весь трафик, вы не сможете использовать команду ping для проверки связи с защищенной сетью извне. Однако можно воспользоваться командой conduit, чтобы открыть проход или канал, по которому ответы ICMP смогут вернуться назад через брандмауэр.
Как мы уже выяснили в разделе “Настройка исходящего доступа”, при возможности направлять входящие запросы ping к внутренним хостам можно обеспечить более высокий уровень контроля, разрешив трафик echo-reply порта, но при этом возникает риск нарушения защиты.
Замечание
Команда condnit, обсуждаемая в этом разделе, должна использоваться только в целях отладки. Ее необходимо удалить сразу же по завершении проверки системы. Данная команда открывает брешь в брандмауэре, наличием которой могут воспользоваться хакеры.
Если проанализировать команду, показанную в примере 10.28, то создаваемая этой командой брешь в системе защиты становится совершенно очевидной.
Ключевое слово conduit заставляет брандмауэр FIX Firewall подготовить коммуникационный конвейер, используя параметры, следующие за этим ключевым словом. Ключевое слово permit говорит брандмауэру о том, что трафику, описанному сле-
дующим ключевым словом, следует разрешить любое движение через статику. Ключевое слово icmp информирует брандмауэр о том, что протоколу ICMP (сообщениям ping) со всех глобальных IP-адресов будет открыт свободный проход. Ключевое слово any указывает, что через трафик ICMP извне могут быть доступны все глобальные IP- адреса. Ключевое слово any echo-reply сообщает брандмауэру о том, что все внешние IP-адреса, к которым направляются запросы ping, должны иметь возможность отправить свои ответы echo-reply ICMP назад через брандмауэр.
Пример 10.28. Использование команды conduit для разрешения трафика
Pix (config)# conduit permit icmp any any echo-reply
Открытие двунаправленного порта доступа в брандмауэре может повлечь нежелательные последствия, особенно если соответствующий канал не предполагает дополнительного контроля, как при разрешении движения трафика ICMP через периметр защиты.
Внимание!
В последних отчетах консультативных советов по защите содержатся подробные описания попыток хакеров использовать средства автоматизации случайных запросов ping для сбора информации о частных сетях в ходе “атак ping”.
Система DNS Guard и защита от атак блокирования сервиса
Система DNS Guard (защита DNS) распознает исходящие запросы DNS и позволяет принять только один ответ на каждый такой запрос. Любой хост может обратиться с запросами к нескольким серверам (если первый сервер задержится с ответом), но принять разрешается только первый ответ на запрос. Все остальные ответы от других серверов будут проигнорированы (рис. 10.9).
Чтобы выяснить, как работает система DNS Guard, рассмотрим две ее составляющие — запрос DNS и ответ DNS.
Запрос DNS (пример 1 на рис. 10.9) выполняется по следующему сценарию.
Клиент отправляет запросы DNS известным ему серверам DNS.
Брандмауэр PIX Firewall записывает информацию о запросах и готовится принять только один ответ от серверов DNS.
Нарушитель наблюдает трафик порта 53 (DNS) и начинает атаку блокирования сервиса, обнаружив движение данных.
Ответ на запрос DNS (пример 2 на рис. 10.9) происходит по следующему сценарию.
Нарушитель захватывает сеанс ответа на запрос DNS от узла DNS2 и “забрасывает” внешний интерфейс лавиной ответов.
Брандмауэр PIX Firewall обнаруживает ответ от узла DNS 1 и разрешает этому ответу пройти к компьютеру-клиенту. Брандмауэр PIX проверяет информацию о состоянии сеанса для фальшивых сообщений DNS и отвергает их.
интерфейсе
Пример 2. DNS-ответы
DNS 1 вДМ3
Рис. 10.9. DNS Guard в действии
DNS2 на внешнем интерфейсе
Алгоритм ASA брандмауэра PIX Firewall совместно со средствами DNS Guard осуществляет контроль на основе полной информации о соединениях, тем самым предотвращая захват сеансов и разрешая поддержку только одного сеанса. Кроме того, предотвращаются атаки блокирования сервиса, направленные против брандмауэра PIX Firewall и через него, включая мультимедиа-сеансы UDP, сервисы DNS и электронной почты.
Брандмауэр PIX Firewall открывает динамический канал, чтобы разрешить движение пакетов UDP от запрашивающего клиента. После выполнения запроса брандмауэр фиксирует отправку последнего пакета с ответом на запрос и закрывает динамический канал, даже если таймер UDP, предназначенный для защиты от атак захвата UDP-сеансов, еще не исчерпал свое время. Захват сеанса UDP-порта является одним из наиболее популярных методов блокирования сервиса. Программное обеспечение, используемое для представления мультимедийных потоков, обычно является не слишком сложным, и простота соответствующего протокола оказывается привлекательной для изобретательных хакеров.
Хотя некоторые из наиболее новых мультимедиа-приложений, таких как RealAudio/ RealVideo и Windows Media Player, и предлагают опытным пользователям некоторую гибкость настроек, их целью обычно является правильность передачи потоков, а не защита сетевого клиента. Именно поэтому средства DNS Guard исключительно важны в системе сетевой защиты.
Защита от атак блокирования сервиса: атаки SYN
Лавина SYN (лавина синхронизирующих символов) — это один из видов атак блокирования сервиса; ее целью является блокирование порта TCP с тем, чтобы не дать ему возможности принимать поток данных. Хакер посылает “фальшивые” неполные пакеты открытия соединений (содержащие фальсифицированный адрес источника) в адрес соответствующих портов, заставляя порты ждать завершения этих соединений, т.е. так называемого пакета АСК (подтверждение соединения). “Фальшивые” пакеты вызывают переполнение “буфера очереди” стека TCP/IP в ожидании завершения попыток соединения. В условиях переполнения очереди операционная система напрасно тратит ресурсы на управление множеством “поддельных” пакетов, пока не будет исчерпано время ожидания соединения.
На рис. 10.10 показана схема нормального течения процесса установки соединения хоста с сервером, в ходе которого происходят следующие действия.
Хост А отправляет пакет SYN серверу В, чтобы информировать сервер о запросе соединения.
Сервер В получает запрос (пакет SYN) и подтверждает его получение, отправляя пакет SYN АСК. Сервер знает, как достичь отправителя запроса, поскольку пакет SYN содержит адрес источника.
Хост А отправляет пакет АСК, чтобы завершить процесс установки соединения.
Рис. 10.10. Нормальный процесс создания соединенияРис. 10.10. Нормальный процесс создания соединения
Рис. 10.10. Нормальный процесс создания соединения
Рис. 10.10. Нормальный процесс создания соединения
На рис. 10.11 показана схема лавинной атаки SYN, которая выполняется по следующему сценарию.
Хост А хакера отправляет в адрес сервера В множество пакетов SYN с фальсифицированными адресами источника.
Сервер В пытается реагировать на запросы хоста А, отправляя пакеты SYN АСК. Проблема заключается в том, что адресов, по которым направляются пакеты SYN АСК, не существует. Сервер В продолжает посылать пакеты SYN АСК, пока не будет исчерпан соответствующий предел времени для запроса соединения.
Хост А хакера продолжает посылать серверу В многочисленные пакеты SYN с фальсифицированными адресами источника. Сервер В ставит запросы в очередь и пытается реагировать на каждый из них.
□ХостА□ХостАПакет SYNПакет SYN□ХостА□ХостАПакет SYN ►Пакет SYN ►Пакет SYN АСКПакет SYN АСК□ХостА□ХостАПакет SYNПакет SYNПакет SYNПакет SYNЯ Статистические данные сервера В:
□
ХостА
□
ХостА
Пакет SYN
Пакет SYN
□
ХостА
□
ХостА
Пакет SYN ►
Пакет SYN ►
Пакет SYN АСК
Пакет SYN АСК
□
ХостА
□
ХостА
Пакет SYN
Пакет SYN
Пакет SYN
Пакет SYN
Использование процессора — 15%
Использование памяти — 10%
Сервер В Очередь соединений — 50%
Я Статистические данные сервера В: Использование процессора — 55% Использование памяти — 80%
, Очередь соединений — 75% сервер в
Сервер ВСервер ВСтатистические данные сервера В: Использование процессора — 100% Использование памяти — 100% Очередь соединений — 100%
Сервер В
Сервер В
Рис. 10.11. Схема проведения атаки SYN
На рис. 10.11 напрасные попытки сервера ответить на “фальшивые” пакеты SYN приводят к блокированию сервиса. Подвергшийся атаке сервер продолжает отправлять пакеты SYN АСК до тех пор, пока не будет превышен соответствующий предел времени. Сервер заключает, что попытка соединения окончилась неудачей, и продолжает обработку следующих элементов очереди, получая при этом тот же результат. Это похоже на постоянные телефонные звонки, когда вы берете трубку и говорите: “Алло?”, но вам никто не отвечает. Вы потратите некоторое время на ожидание ответа, прежде чем положите трубку, а пока трубка поднята, никто другой дозвониться к вам не сможет, поскольку линия занята.
Брандмауэр FIX Firewall использует параметр em_limit в командах static и nat (и некоторых других командах), чтобы защититься от атак SYN. Установка соответствующего значения заставляет брандмауэр PIX Firewall следить за числом незавершенных попыток создания соединений и отвергать их, если достигнута пороговая величина. Это не дает “буферу очереди” заполниться до уровня блокирования сервиса.
В примере 10.29 показан вариант использования параметра em_limit в команде static для зашиты почтового сервера.
i Пример 10.29. Использование параметра em_limit в команде static 'с целью защиты почтового сервера'
Pix(config)# static (inside, outside) 192.168.1.14 10.1.1.100 netmask 255.255.255.255 10 40
Эта команда заставляет брандмауэр разрешить связь внешнего хоста (1Р-адрес 192.168.1.14) с внутренним хостом электронной почты (1Р-адрес 10.1.1.100). Общее число разрешенных соединений (max_conns) устанавливается равным 10, а предел числа незавершенных попыток соединения (eni_limit) равен 40. Для выбора правильных значений этих параметров придется немного поэкспериментировать, чтобы в результате обеспечивалась защита соединений без создания неудобств легальным пользователям.
Ввиду того, что атаки блокирования сервиса обычно нацелены на поставщиков сетевых услуг (почтовые службы и Web-сервис), особое внимание следует уделить защите именно этих серверов.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Брандмауэр FIX Firewall с его операционной системой был разработан для того, чтобы предоставить предприятию возможность иметь только один сетевой объект, обеспечивающий защиту сети.
Возможности защиты брандмауэра PIX не влияют на работу сетевых сервисов TCP/IP (Web-броузеров, почтовых серверов, FTP, Telnet и т.д.), если соответствующие ограничения не предусмотрены корпоративной политикой защиты.
Брандмауэр PIX Firewall поддерживает мультимедиа-приложения (RealAudio, VDO Live, StreamWorks, CuSeeMe и многие другие).
Обновления операционной системы брандмауэра PIX Firewall осуществляются программно (через флэш-память), что дает возможность приобретать обновления и загружать их через Internet (для предлагаемых новыми версиями расширенных возможностей может потребоваться дополнительная оперативная память).
Брандмауэр PIX Firewall предлагает защищенную встроенную операционную систему, которая работает в реальном масштабе времени, выполняется из флэш- памяти и была разработана с учетом требований максимальной стабильности.
С помощью средств NAT брандмауэр PIX Firewall может обеспечить доступ к Internet независимо от того, какой класс IP-адресов вы используете.
Брандмауэр PIX Firewall не влияет на текущее состояние локальной сети и зарегистрированных в ней пользователей, являясь для них полностью прозрачным.
Возможность динамического и статического использования средств NAT и РАТ, равно как и одновременное их применение, гарантирует достаточность брандмауэра PIX Firewall практически в любых ситуациях.
Практическое занятие. Настройка брандмауэра PIX Firewall для защищенной двунаправленной связи
Это практическое занятие иллюстрирует возможности настройки брандмауэра PIX Firewall в сети гипотетической компании XYZ. Прочитайте план практического занятия, рассмотрите схему топологии сети, ознакомьтесь с политикой защиты, а затем проанализируйте предлагаемые примеры конфигурации, чтобы увидеть, как требования политики защиты реализуются с помощью команд брандмауэра.
План практического занятия
Компания XYZ приобрела брандмауэр PIX Firewall фирмы Cisco для работы с уже имеющимися в наличии маршрутизатором периметра и бастионными хостами в целях
защиты внутренней сети от нарушителей. Необходимо так настроить брандмауэр, чтобы ограничить нежелательный доступ и в то же время оставить возможность для сотрудников аналитического отдела выполнять свою работу.
Топология
На рис. 10.12 показана часть сети компании XYZ, которая будет настраиваться в ходе данного практического занятия. В фокусе внимания здесь оказывается создание системы защиты внутренних сетевых ресурсов, предполагающей минимум ограничений доступа для служащих при выполнении ими производственных функций. Эта на первый взгляд невозможная задача будет решена с помощью аккуратной реализации следующей политики защиты.
МаршрутизаторМаршрутизатор(ДМ3) 192.168.11.1(ДМ3) 192.168.11.1(внешний) 192.168.1.1(внешний) 192.168.1.1Брандмауэр PIX (3 интерфейса)Брандмауэр PIX (3 интерфейса)Сервер DNS192.168.11.4/24Сервер DNS192.168.11.4/24
Маршрутизатор
Маршрутизатор
(ДМ3) 192.168.11.1
(ДМ3) 192.168.11.1
(внешний) 192.168.1.1
(внешний) 192.168.1.1
Брандмауэр PIX (3 интерфейса)
Брандмауэр PIX (3 интерфейса)
Сервер DNS
192.168.11.4/24
Сервер DNS
192.168.11.4/24
(внутренний) 10.1.1.3
10.1.1.0/2410.1.1.0/2410.1.1.4/2410.1.1.5/2410.1.1.100/2410.1.1.4/2410.1.1.5/2410.1.1.100/24Рис. 10.12. Контроль доступа к Internet в компании XYZРис. 10.12. Контроль доступа к Internet в компании XYZ
10.1.1.0/24
10.1.1.0/24
10.1.1.4/2410.1.1.5/2410.1.1.100/24
10.1.1.4/2410.1.1.5/2410.1.1.100/24
Рис. 10.12. Контроль доступа к Internet в компании XYZ
Рис. 10.12. Контроль доступа к Internet в компании XYZ
Политика сетевой защиты
Политика сетевой защиты, которую намерена реализовать компания XYZ, предполагает следующее.
Использование брандмауэра PIX Firewall для выполнения задач NAT в сети компании.
Настройка статик для исходящего трафика с хоста DNS.
Настройка статик и каналов для входящего трафика.
Настройка брандмауэра для доступа telnet.
Настройка брандмауэра для доступа ping.
Пример конфигурации брандмауэра PIX Firewall
Конфигурация из примера 10.30 предлагает набор команд, позволяющий настроить брандмауэр PIX Firewall так, чтобы были выполнены задачи данного практического занятия. После проверки конфигурации не забудьте удалить команду conduit permit icmp any any echo-reply путем ввода команды no conduit permit icmp any any echo-reply.
Пример 10.30. Вариантконф игу рации доступа через PIX Firewall .
nameif ethernetO outside security!)
nameif ethernetl inside securitylOO
nameif ethernet2 DMZ security50
enable password 6RD5.96v/eXN3kta encrypted
passwd 2KFQnbNIdI.2KY0U encrypted
hostname PIX1
fixup protocol ftp 21
fixup protocol http 80
fixup protocol smtp 25
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol sqlnet 1521
fixup protocol telnet 11
names
pager lines 24
no logging timestamp
no logging standby
no logging console
no logging monitor
no logging buffered
no logging trap
logging facility 20
logging queue 512
interface ethernetO auto
interface ethernetl auto
interface ethernet2 auto
mtu outside 1500
mtu inside 1500
mtu DMZ 1500
ip address outside 192.168.1.1 255.255.255.0
ip address inside 10.1.1.3 255.255.255.0
ip address DMZ 192.168 11.1 255.255.255.0 no failover
failover timeout 0:00:00
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
failover ip address DMZ 0.0.0.0
arp timeout 14400
global (outside) 1 192.168.1.10-192.168.1.254 netmask 255.255.255.0
nat (inside) 1 10.1.0.0 255.255.0.0 0 0
static (inside,outside) 192.168.1.11 10.1.1.4 netmask 255.255.255.255 0 0
static (inside,outside) 192.168.1.12 10.1.1.5 netmask 255.255.255.255 0 0 static (inside,outside) 192.168.1.13 192.168.11.4 netmask 255.255.255.255 0 0 static (inside,outside) 192.168.1.14 10.1.1.100 netmask 255.255.255.255 0 0 conduit permit icmp any any echo-reply
conduit permit tcp host 192.168.1.12 eq telnet host 192.168.1.2
conduit permit tcp host 192.168.1.11 eq ww any
conduit permit udp host 192.168.1.11 eq syslog host 192.168.1.2 conduit permit tcp host 192.168.1.14 eq smtp any no rip outside passive no rip outside default rip inside passive rip inside default no rip DMZ passive
no rip DMZ default
route outside 0.0.0.0 0.0.0.0 192.168.1.2 1
timeout xlate 3:00:00 conn 1:00:00 half-closed 0:10:00 udp 0:02:00
timeout rpc 0:10:00 h323 0:05:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol radius no snmp-server location
no snmp-server contact snmp-server community public no snmp-server enable traps telnet timeout 5 terminal width 80
Cryptochecksum:377f6e0f8d9ac2f00141ef827bb4f9e6 : end
[OK]
Контрольные вопросы
Ответьте на следующие вопросы, которые касаются некоторых ключевых фактов и понятий, связанных с настройкой доступа через брандмауэр PIX Firewall и рассмотренных в этой главе.
С какой целью используются средства NAT брандмауэра PIX Firewall при доступе к Internet?
Чтобы не зависеть от ограничений, накладываемых на номера Internet-портов.
Чтобы не зависеть от ограничений, накладываемых на Internet-адреса.
Чтобы обеспечить независимость сети.
Чтобы обеспечить полную тайну и защиту.
Какая из следующих команд обеспечивает трансляцию всех внутренних адресов сети 10.1.0.0 в глобальные адреса?
global (outside) 1 192.168.1.128-192.168.1.254 netmask 255.255.255.0 nat (inside) 1 10.1.0.0 255.255.0.0
global (inside) 1 192.168.1.128-192.168.1.254 nat (outside) 1 10.1.0.0 255.255.0.0
inside 1 192.168.1.128-192.168.1.254
nat 1 10.1.0.0 255.255.0.0
outside 1 192.168.1.128-192.168.1.254 inside 1 10.1.0.0 255.255.0.0
Что позволяет выполнить команда nat 0?
Следует ли использовать средства РАТ при доступе к мультимедиа-приложениям через брандмауэр PIX Firewall?
Чем отличается трансляция NetBIOS от трансляции адресов TCP/IP?
Что делает команда established?
Что делает команда static?
Какая команда ограничивает число частично открытых соединений?
Что делает команда conduit?
В каком порядке обрабатываются команды conduit permit и deny?
В порядке их появления в списке конфигурации PIX Firewall.
В порядке, основанном на значениях IP-адресов.
В порядке, основанном на значениях адресов портов.
Ни в одном из упомянутых выше.
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Настройка команд conduit
Обратитесь к файлам комментариев, сопровождающим программное обеспечение брандмауэра PIX Firewall, чтобы ознакомиться с последними изменениями синтаксиса команд и с информацией о соответствующих проблемах конфигурации. Не помешает также ознакомиться с руководствами Configuration Guide и Command Reference для брандмауэра PIX Firewall, размещенными на Web-узле Cisco.
Атаки блокирования сервиса
Посвященный инцидентам защиты узел правительства США (U.S. Government Computer Incident Advisory Capability) размещен по адресу: ciac.llnl.gov.
Узел координационного центра CERT размещен по адресу: www.cert.org.
Узел группы CERT Министерства обороны США находится по адресу: www.assist.mil.
Узел SANS Institute Online размещен по адресу: www.sans.org/newlook/home.htm.
Объекты xlate и структура команд
Описания полей xlate и conn, отображаемых командой show xlate, можно найти в руководстве Configuration Guide брандмауэра PIX Firewall, Release 4.2.
ПроверитьТправильн!ПроверитьТправильн!функцио)функцио)Изучив материал данной.главй, в^смбл^ • Настроить интерфейсы брандмауэра PIX • Защитить бастионный хо^ основывала • Настроить средства АААбрандмауэра PRi ния доступом CiscoSmireACS, основывая;Изучив материал данной.главй, в^смбл^ • Настроить интерфейсы брандмауэра PIX • Защитить бастионный хо^ основывала • Настроить средства АААбрандмауэра PRi ния доступом CiscoSmireACS, основывая;ъшейгнить следующее^ , „^^ж irewall. ■ia примере практического занятия.■irewall для работы с сервером управле- на примереЯрактического занятия.йя брандмауэра Р Firewall.ъшейгнить следующее^ , „^^ж irewall. ■ia примере практического занятия.■irewall для работы с сервером управле- на примереЯрактического занятия.йя брандмауэра Р Firewall.
ПроверитьТправильн!
ПроверитьТправильн!
функцио)
функцио)
Изучив материал данной.главй, в^смбл^ • Настроить интерфейсы брандмауэра PIX • Защитить бастионный хо^ основывала • Настроить средства АААбрандмауэра PRi ния доступом CiscoSmireACS, основывая;
Изучив материал данной.главй, в^смбл^ • Настроить интерфейсы брандмауэра PIX • Защитить бастионный хо^ основывала • Настроить средства АААбрандмауэра PRi ния доступом CiscoSmireACS, основывая;
ъшейгнить следующее^ , „^^ж irewall. ■
ia примере практического занятия.
■irewall для работы с сервером управле- на примереЯрактического занятия.
йя брандмауэра Р Firewall.
ъшейгнить следующее^ , „^^ж irewall. ■
ia примере практического занятия.
■irewall для работы с сервером управле- на примереЯрактического занятия.
йя брандмауэра Р Firewall.
Глава
11
Настройка интерфейсов и средств AAA FIX Firewall
В этой главе объясняется, как настроить брандмауэр PIX Firewall для работы с множеством интерфейсов и как обеспечить контроль доступа к сервисам через PIX Firewall.
? Вы узнаете;^ как с помощью расширенных версий команд, уже упоминавшихся в предыдущих главах, заставить брандмауэр PIX Firewall работать в сетях с более сложной топологией.Вглаве обсуждается идея создания ДМ3, являющейся подсетью бас. тионных узлов, а реализация этой идеи представлена в описании соответствующего практического занятия.
|^ Многие компании, соединенные с Internet, не утруждают себя проблемами создания и чД. последовательной реедизации соответствующей политики защиты. Политика сетевой за- И щиты представляет собой набор руководящих принципов, которые должны быть логиче- |ски завершенными и письменно оформленными, чтобы их можно было придерживаться в течение достаточно долгого времени. Одной из главных составляющих политики защиты является разделение важных систем — физическое или логическое.
^В этой главе обсуждается логическое разделение систем, осуществляемое по необходимости или по проеду. Если при проектировании сети рассматривать одни системы и сервисы отдельно|от других, создание и реализация более совершенной политики Защиты оказываетсяболее простым делом.
Настройкадоступа к множеству
•Интерфейсов
Кэтому моменту мы с вами выяснили, как решаются основные задачи конфигурациибрандмауэра PIX Firewall. Теперь попробуем применить полученные знания к некоторым реальным сценариям.
Первый сценарий предполагает использование в брандмауэре PIX Firewall множества ^интерфейсов. “Множество” в данном случае означает число, превышающее уже обсуж- #3 давшийся стандартный набор, состоящий из внутреннего и внешнего интерфейсе®. Одним из наиболее распространенных вариантов применения дополнительного интерфейса в брандмауэре является создание ДМ3 (“демилитаризованной" зоны) для общедоступных серверов и сервисов, в то время как “частная" внутренняя сеть защищается более надежно. Соответствующая схема показана на рис. 11.1. Еще одним преимуществом наличия в брандмауэре PIX Firewall множества интерфейсов является то, что появляется возможность использовать брандмауэр в качестве инструмента реализации политики контроля доступа к сетям и хостам, связанным с дополнительными интерфейсами.
Маршрутизатор периметраМаршрутизатор периметраЗащищенная ДМ3Защищенная ДМ3Брандмауэр PIXБрандмауэр PIXСервер Web 192.168.11.3Сервер Web 192.168.11.3Сервер электронной почты 192.168.11.4Сервер электронной почты 192.168.11.4Рис. 11.1. Пример сети с ДМ3, или подсетью бастионного хостаРис. 11.1. Пример сети с ДМ3, или подсетью бастионного хоста
Маршрутизатор периметра
Маршрутизатор периметра
Защищенная ДМ3
Защищенная ДМ3
Брандмауэр PIX
Брандмауэр PIX
Сервер Web 192.168.11.3
Сервер Web 192.168.11.3
Сервер электронной почты 192.168.11.4
Сервер электронной почты 192.168.11.4
Рис. 11.1. Пример сети с ДМ3, или подсетью бастионного хоста
Рис. 11.1. Пример сети с ДМ3, или подсетью бастионного хоста
В примерах практических занятий, рассмотренных в главах 9 и 10, были представлены варианты настройки внутреннего и внешнего интерфейсов Ethernet, поэтому некоторая часть материала этой главы покажется вам достаточно знакомой.
Настройка средств поддержки множества интерфейсов
В примерах этой главы будут рассматриваться три интерфейса брандмауэра PIX Firewall. Различные модели брандмауэра поддерживают многоинтерфейсные сетевые карты. В настоящее время некоторые сетевые карты имеют по четыре интерфейса, так что отдельные конфигурации PIX Firewall могут поддерживать достаточно большое число интерфейсов. Современные модели также поддерживают множество типов интерфейсов, включая Ethernet, Fast Ethernet, Gigabit Ethernet, Token Ring и FDDI.
Как и в других главах данной книги, здесь внешний интерфейс имеет имя ether- netO, а внутренний — ethernetl.
Замечание
Любому интерфейсу можно назначить произвольное имя и произвольный уровень защиты. Поэтому, настраивая брандмауэр FIX Firewall, вы не обязаны ограничивать себя использованием имен, предлагаемых в данной книге.
Двумя исключениями этой открытой схемы выбора имен являются внутренний (уровень защиты 100) и внешний (уровень защиты 0) интерфейсы. Все, что находится между этими интерфейсами, оставлено на усмотрение администратора.
Обратите внимание на то, что на рис. 11.1 область ДМ3 использует схему сетевой нумерации, отличную от схемы нумерации внутренней сети. В примерах данной книги все используемые адреса соответствуют пространству частных адресов, описанному в документе RFC 1918, но в реальности “внешний мир” состоит из Internet- адресов, а ДМ3 — из открытых IP-адресов. В книге используются частные адреса, чтобы случайно не нанести вред реальным пользователям.
Давайте сначала вспомним синтаксис команд nameif, interface и ip address, которые уже обсуждались в главе 9, а затем обсудим варианты настройки трех интерфейсов.
Чтобы назначить интерфейсу имя, используется команда nameif, имеющая следующий синтаксис.
nameif интерфейс имя уровеиь-защиты
Параметры команды описаны в следующей таблице.
Параметр команды Описание
интерфейс
Указывает имя интерфейса, например eterneto
ИМЯ■
Указывает имя внутреннего или внешнего сетевого интерфейса Может содержать до 48 символов. Характеризует использование порта, например, inside, outside, serverfarm
уровень защиты
Указывает уровень защиты интерфейса. Значение должно выбираться из диапазона 0-100 и отличаться от соответствующих значений для других интерфейсов
После определения имени интерфейса необходимо задать некоторые технические параметры. В частности, брандмауэру PIX Firewall необходимо сообщить такую связанную с интерфейсом информацию, как скорость передачи и дуплекс (для Ethernet) или кольцевая скорость (для Token Ring).
Команда interface, с помощью которой задается скорость порта, имеет очень простой синтаксис.
interface 1д_платы [скорость_платы] [shutdown]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
id платы
Указывает тип интерфейса, например etherneto
скорость платы
Указывает скорость передачи данных и дуплекс, например lObaset, lOOfull и т.д. Допустимым значением является также auto, что означает автоматическое тестирование интерфейса брандмауэром при включении
shutdown
Отключает интерфейс
Если обратиться к консоли брандмауэра PIX Firewall, имеющего множество интерфейсов, вы увидите на экране нечто подобное тому, что показано в примере 11.1.
Пример 11.1. Вывод консоли брандмауэра FIX Firewall с множеством ,интерфейсов
Pixfirewall(config)#nameif ethernetO outside securityO
Pixfirewall(config)#nameif ethernetl inside securitylOO
Pixfirewall(config)#nanieif ethernet2 dmz security 50
Pixfirewall(config)#interface ethernetO lObaset
Pixfirewall(config)#interface ethernetl lOOfull
Pixfirewall(config)#interface ethernet2 lObaset
Замечание
He забывайте о том, что два интерфейса, имеющие один и тот же уровень защиты, не могут связываться друг с другом.
Когда приходится иметь дело с множеством интерфейсов, нужно предусмотреть возможность ограниченного доступа Telnet непосредственно к брандмауэру FIX Firewall. По умолчанию брандмауэр PIX Firewall не позволяет непосредственный доступ Telnet ни с одного из интерфейсов. Это является прекрасной практикой защиты, но при этом возникают трудности в сопровождении системы (особенно с удаленных позиций).
Команда, разрешающая прямой доступ Telnet к брандмауэру PIX Firewall, имеет следующий синтаксис.
telnet 1р_адрес [маска] [имя_ интерфейса]
Команда telnet 1р_адрес разрешает доступ Telnet одному хосту, а команда telnet ip_адрес маска — диапазону адресов хостов. Можно также указать направление, с которого разрешаются сеансы Telnet, задав имя интерфейса. Рекомендуется разрешать доступ Telnet со статической станции управления внутренней сети или с иного известного и надежного IP-адреса. Параметры команды описаны в следующей таблице.
Параметр команды
Описание
ip_ адрес
маска
Определяет либо IP-адрес (отдельного) хоста, либо сетевой IP-адрес Задает сетевую маску, связываемую с сетевым IP-адресом
имя_иитерфейса
Определяет открытое имя интерфейса, если используется IPSec. Обычно это внешний интерфейс
Не следует разрешать прямой доступ Telnet внешнему маршрутизатору и точно так же не следует разрешать прямой доступ Telnet с диапазона IP-адресов пула удаленного доступа поставщика сетевых услуг. Если же модемный пул поставщика услуг является единственным вариантом доступа к брандмауэру, следует задуматься о других вариантах доступа, просто с точки зрения защиты (например, использовать модем, подсоединенный к порту AUX внутреннего маршрутизатора).
Теперь, когда интерфейсы определены, на них можно ссылаться по именам. Соответствующими именами в данной главе являются inside (внутренний), outside (внешний) и DMZ (ДМ3).
Inside. Это частная сеть, состоящая из рабочих станций пользователей, которым может понадобиться доступ к Internet. Доступ из Internet к этим станциям не-
посредственно не требуется и вообще нежелателен. Вам хотелось бы, чтобы частная сеть оставалась на самом деле частной.
DMZ. Это сеть, предлагающая общедоступные сервисы, которые могут понадобиться и внутренним пользователям сети. Примерами могут быть серверы DNS, с помощью которых внутренние клиенты могут выполнять поиск имен, а внешние — получать необходимую информацию о компании, а также серверы WWW и SMTP (электронной почты), к которым должны иметь доступ как внутренние, так и внешние пользователи. Эта зона предназначена для любых сервисов, которые должны быть доступны внешним пользователям (Internet), так что находящиеся в ней объекты могут быть и другими.
Outside. Это “весь остальной мир”. Вы не знаете, кто это, и на самом деле не доверяете им, но вам необходимо предоставить им доступ к некоторым вашим сервисам. Для интерфейса, о котором идет речь, используются общедоступные IP-адреса Internet. Эти IP-адреса выдаются организацией IANA (Internet Assigned Numbers Authority — Центр зарегистрированных адресов Internet), имеющей адрес: www.iana.org, или поставщиком услуг Internet (ISP).
На рис. 11.2 показана схема использования брандмауэра PIX Firewall с соответствующими интерфейсами. При анализе этой схемы помните о назначении и конфигурации этих интерфейсов.
Маршрутизатор периметраМаршрутизатор периметраВнешний интерфейсВнешний интерфейсЕОЕОБрандмауэр PIXБрандмауэр PIX
Маршрутизатор периметра
Маршрутизатор периметра
Внешний интерфейс
Внешний интерфейс
ЕО
ЕО
Брандмауэр PIX
Брандмауэр PIX
Внутреннийинтерфейс
— Внутренняя сетьВнутренний маршрутизатор— Внутренняя сетьВнутренний маршрутизатор
— Внутренняя сеть
Внутренний маршрутизатор
— Внутренняя сеть
Внутренний маршрутизатор
Рис. 11.2. Брандмауэр PIX Firewall с множеством интерфейсов: базовая схема
Настройка внутреннего интерфейса для внешнего мира: команды global и nat
Теперь пришло время обсудить некоторые вопросы сетевого проектирования и выяснить, как именно следует определять различные интерфейсы брандмауэра PIX
Firewall. Здесь не помешает снова обратиться к главе 10, чтобы вспомнить принципы использования команд nat и global. Как упоминалось в главе 10, присваивание адресов хостам выполняется с помощью средства NAT (Network Address Translation — трансляция сетевых адресов).
Имея основу для понимания процесса, можно приступить к обсуждению более “тонких” вопросов настройки брандмауэра.
Замечание
В данной главе сеть 10.0.0.0/8 представляет пространство частных адресов для внутренней сети, а 172.16.0.0/12— пространство общедоступных адресов Internet. В реальной ситуации 172.16.0.0/12 тоже является пространством частных адресов (в соответствии с документом RFC 1918), которые не должны использоваться публично.
Прежде всего следует решить, какие рабочие станции должны иметь доступ через брандмауэр и какой пул “реальных” открытых IP-адресов будет связан с этой группой рабочих станций.
Соответствующие команды в своей основе просты, но мы рассмотрим некоторые достаточно “хитроумные” варианты их применения. Чтобы назначить адреса, которым будет разрешен доступ через брандмауэр, используется следующая команда.
nat [ (имя_иитерфейса) ] nat_id локальи_1р [маска [max_conns [em limit]]] [norandomseq]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_интерфенса
Указывает имя внутреннего сетевого интерфейса (определяемое командой nameif)
nat_id
Связывает команды nat с глобальным пулом, определенным командой global
локальи_1р
Задает IP-адрес внутренней сети для трансляции. Можно использовать 0.0.0.0 или 0, чтобы позволить устанавливать исходящие соединения всем хостам
маска
Указывает сетевую маску для локальн_1р
max_conns
Определяет максимальное число TCP-соединений с интерфейса, заданного параметром имя_интерфейса данной команды
em_limit
Определяет предельное число возникающих соединений. По умолчанию используется значение 0, что означает отсутствие ограничений. Выбирайте меньшие значения для медленных систем и большие — для быстрых
norandomseq
Запрещает рандомизацию порядковых номеров TCP-пакетов. Используется в тех случаях, когда рандомизация выполняется другим брандмауэром и в результате комбинации соответствующих функций искажаются данные
В примере 11.2 предлагается вариант конфигурации NAT, позволяющий транслировать подсеть IP-адресов на внутреннем интерфейсе. Это относится к 62 устройствам (из диапазона 10.1.2.1—10.1.2.62), и для трансляции используется пул 1.
||||||ie||^^для подсети
Pixfirewall(config)#nat (inside) 1 10.1.2.0 255.255.255.192
После того как командой nat определен пул внутренних адресов, с помощью команды global определяется пул открытых IP-адресов для трансляции. Синтаксис команды следующий:
global Цимя_интерфейса}} global_id глобальн_1р^-глобальи ip] [netmask глобальн_маска'\
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_интерфейса
global id
глобальи ip- глобальи ip netmask глобальи маска
Указывает имя сетевого интерфейса (определенное командой nameif)
Задает логический пул, соответствующий значению nat_id из команды nat
Указывает диапазон IP-адресов, которые должны войти в пул
(Не обязательно.) Задает сетевую маску для глобальн_1р при использовании подсетей
В примере 11.3 предлагается вариант конфигурации NAT, когда глобальный пул включает диапазон адресов для использования с адресами, описанными командой nat.
Пример 11.3. Конфигурация NAT с конкретным пулом адресов
Pixfirewall(config)#global (outside) 1 172.16.1.3-172.16.1.64
Обратите внимание на то, что номера здесь непосредственно не связаны (т.е. 10.1.2.1 не обязательно отображается в 172.16.1.1, если учитывать предыдущий пример команды nat), а только указаны 62 подходящих значения для трансляции. В данном случае для трансляции обеспечивается отношение 1:1, но в реальной ситуации дела не всегда обстоят так хорошо. Брандмауэр FIX Firewall может также выполнять трансляцию адресов портов (РАТ), при которой множество внутренних рабочих станций используют один общий IP-адрес или ограниченное число таких открытых адресов.
Средства РАТ позволяют использовать все 65536 TCP/UDP-портов, доступных для стека протоколов IP, что и обеспечивает разделение адресов. Не забывайте о том, что в типичной сети все рабочие станции для запросов HTTP используют порт 80. Если несколько рабочих станций, использующих один IP-адрес, попытаются использовать порт 80 одновременно, очень быстро ситуация станет для системы очень сложной, поскольку ни брандмауэр, ни рабочие станции не будут иметь возможности выяснить, чьи ответы передаются по сети. Это подобно доставке писем в большое учреждение, имеющее один адрес. Если не указать на конверте имя и номер комнаты получателя, то найти получателя будет непросто. Средства РАТ осуществляют трансляцию номеров портов с целью разумной организации сетевых связей.
При использовании средств РАТ брандмауэра необходимо учитывать несколько моментов. Во-первых, IP-адрес или диапазон IP-адресов, к которым применяются средства РАТ, не должны перекрываться адресами из пула глобальных адресов. Они также должны отличаться от IP-адреса внешнего интерфейса. Во-вторых, средства РАТ не могут правильно работать с некоторыми приложениями, требующими использования конкретных портов. К таким приложениям относятся Н.323, многие мультимедиа-приложения и серверы кэширования имен. Но средства РАТ совместимы со многими другими популярными приложениями, в частности с FTP, HTTP, SMTP, RPC, telnet и traceroute.
Наконец, чтобы заставить РАТ работать эффективно, необходимо иметь возможность обратного отображения DNS в брандмауэре PIX Firewall. Многие приложения (в частности, серверы FTP) используют обратный поиск DNS по контрольным записям запросов. Система часто ошибается, если клиент использует отображение портов, не являющееся нормальным с точки зрения системы. Без записей обратного отображения DNS многие приложения будут выполняться существенно медленнее и будут наблюдаться разрывы связи. Запросы FTP вообще будут завершаться аварийно.
Замечание
Более подробную информацию о DNS (Domain Name Services — службы имен доменов), включая поддержку обратного отображения DNS, можно найти в книге DNS and BIND издательства O'Reilly & Associates.
Для РАТ используются те же команды, что и для NAT, но в примере 11.4 специально предлагается вариант команд, содержащих математическое несоответствие.
^ Пример 11.4. Конфигурация NAT для РАТ
Pixfirewall(config)#nat (inside) 2 10.1.2.64 255.255.255.192
Pixfirewall(config)iglobal (outside) 2 172.16.1.65
Здесь брандмауэру сообщается, что 62 устройства сети 10.1.6.64 должны совместно использовать один IP-адрес (172.16.1.65) при доступе к Internet.
Адреса хостов транслируются по принципу первенства запросов. Таким образом, если пул глобальных адресов связан с группой внутренних рабочих станций, то последние не обязательно транслируются в порядке их номеров. Более того, поскольку имеется возможность связать большую группу частных рабочих станций с меньшим пулом глобальных адресов, могут возникать ошибки трансляции, если очередной глобальный IP-адрес окажется недоступным.*
Для решения проблемы “истощения” пула адресов предлагается применять предел времени трансляции, чтобы ограничить время использования трансляции адресами, с которыми не происходит обмена данными.
Изменить предел времени IP-трансляции можно с помощью следующей команды, timeout xlate чч:мм:сс
Здесь яя обозначает часы, мм — минуты, а сс — секунды. Предел времени ограничивает период отсутствия активности хоста, для которого выполняется трансляция. По завершении этого периода элемент трансляции удаляется, а соответствующий глобальный IP- адрес становится доступным для использования другой станцией (пример 11.5).
тримёр 11.5. Установка ограничения времени NAT,
Pixfirewall(config)#nat (inside) 3 10.1.2.128 255.255.255.128 Pixfirewall(config)#global (outside) 3 172.16.1.66-172.16.1.126 Pixfirewall(config)#timeout xlate 1:00:00
В этом примере разрешается транслировать 128 частных IP-адресов в 61 открытый IP-адрес. Тут же значение предела времени устанавливается равным 1 часу.
По умолчанию соответствующее значение предела времени равно 12 часам. Команда timeout xlate является глобальной командой брандмауэра PIX Firewall, поэтому с ее по-
мощью не следует устанавливать слишком малые значения, чтобы не создавать лишнюю работу для брандмауэра, если вашим рабочим станциям требуется дискретный доступ.
Для трансляции можно определить и глобальные группы. Независимо от того, устанавливаете ли вы пул для адресов всех пользователей вашей организации или только для адресов вне уже определенного диапазона, для описания всех пользователей можно использовать значение 0.0.0.0. Как и таблицы маршрутизации, сетевые трансляции сначала используют более конкретные значения. Поэтому даже если наряду со значением 0.0.0.0 указаны другие сети, сначала будут использоваться наиболее подходящие возможности. В примере 11.6 показан вариант общей конфигурации пула NAT.
При мер 11.6. Общая конфигурация пула NAT«
Pixfirewall(config)#nat (inside) 4 0.0.0.0 0.0.0.0
Pixfirewall(config)#global (outside) 4 172.16.1.127
Здесь каждый IP-адрес внутренней сети, который не удовлетворяет ни одному из имеющихся в конфигурации условий, разрешается транслировать средствами РАТ через указанный конкретный IP-адрес. Если подобный набор команд не использовать, то при попытке доступа к Internet с сетевых адресов, не вошедших в диапазоны адресов, представленные в конфигурации, будет отображаться сообщение о невозможности трансляции.
Теперь давайте рассмотрим все команды и выясним возможности их комбинации (пример 11.7).
г Пример 11.7. Набор из нескольких операторов настройки NAT в конфигу- ; рации брандмауэра PIX Firewalli
Pixfirewall(config)#nat (inside) 1 10.1.2.0 255.255.255.192
Pixfirewall(config)#global (outside) 1 172.16.1.3-172.16.1.64
Pixfirewall)config)#nat (inside) 2 10.1.2.64 255.255.255.192
Pixfirewall(config)#global (outside) 2 172.16.1.65
Pixfirewall(config)#nat (inside) 3 10.1.2.128 255.255.255.128
Pixfirewall(config)#global (outside) 3 172.16.1.66-172.16.1.126
Pixfirewall(config)#nat (inside) 4 0.0.0.0 0.0.0.0
Pixfirewall(config)#global (outside) 4 172.16.1.127
Здесь выполняется следующее.
Пул 1. 62 IP-адреса устройств отображаются в пул, содержащий 62 глобальных адреса (отношение 1:1).
Пул 2. 62 IP-адреса устройств отображаются в один IP-адрес (с помощью средств РАТ).
Пул 3. 128 IP-адресов устройств отображаются в пул, содержащий 61 глобальный адрес (трансляция с перекрытием).
Пул 4. IP-адреса всех остальных устройств отображаются в один IP-адрес (с помощью средств РАТ).
Когда устройство сети с более высоким уровнем защиты (в данном случае это устройство внутренней сети) пытается получить доступ к объекту с более низким уровнем защиты, одной из задач брандмауэра PIX Firewall является проверка записей таб-
лицы трансляции. Если соответствующей записи нет, брандмауэр FIX Firewall просматривает все определенные пулы (или статики). Пулы исследуются по порядку, так что в конфигурации, предлагаемой в примере 11.7, значение 0.0.0.0 всегда проверяется последним, поскольку оно обозначает любое устройство.
Замечание
Внутренние и внешние имена в примерах данной главы являются именами, используемыми по умолчанию. Эти имена устанавливаются командой nameif, как уже обсуждалось выше. По отношению к оператору имена являются просто глобальным представлением, указывающим на то, с каким конкретным интерфейсом должен иметь дело брандмауэр PIX Firewall.
Команда show и другие полезные команды
Существует ряд полезных команд, которые можно использовать для настройки PIX Firewall. Команда show является, пожалуй, самой подходящей для того, чтобы проверить текущее состояние выполняемых операций. Еще одной весьма полезной командой является clear. Представленные ниже команды удобно использовать при работе со средствами NAT. Они перечислены в порядке их применения от внутренней сети к внешней.
show nat — отображает информацию о всех определенных в настоящий момент пулах NAT. Можно указать интерфейс или пул, чтобы получить более конкретную информацию.
show xlate — отображает информацию о текущем состоянии таблицы адресов, включая как статические, так и NAT-адреса IP.
show conn — отображает текущее состояние соединений, проходящих через брандмауэр PIX Firewall, а также их максимальное число (со времени последней перезагрузки).
Замечание
Число соединений является важным параметром лицензирования. Для брандмауэра PIX Firewall подсчитываются только исходящие соединения, так что если в вашей сети тысячи внутренних пользователей, то неразумно покупать PIX Firewall с разрешением использовать только 128 одновременно открываемых соединений. Входящие соединения счетчиком не учитываются, поэтому если вы являетесь поставщиком услуг Internet (ISP) и не имеете внутренних клиентов вообще, то вам вполне подойдет лицензия с наименьшим числом разрешенных соединений.
clear xlate — очищает таблицу трансляции. Эта команда должна выполняться каждый раз после внесения изменений в пулы NAT и сохранения конфигурации. Множество параметров этой команды может быть использовано для очистки групп адресов и даже отдельных адресов из локальных или глобальных пулов IP. Команда, введенная без параметров, очищает всю таблицу трансляции.
write memory — сохраняет конфигурацию.
Настройка внешнего интерфейса для ДМ3: команды static и conduit
При настройке внешнего интерфейса для ДМ3 следует учитывать правила адресации (трансляция адресов) и разрешения. В брандмауэре FIX Firewall по умолчанию интерфейсу с высшим уровнем защиты (внутреннему) разрешается посылать данные интерфейсу с относительно низким уровнем зашиты (внешнему).
Кроме того, по умолчанию (как уже обсуждалось ранее в этой главе) трансляция адресов устанавливается изнутри и обрабатывается в порядке появления соответствующих команд. В этом случае пользователь Internet не имеет надежного способа определить IP-адрес сервера, к которому ему требуется доступ, и точно так же по умолчанию он не может сделать это.
Чтобы решить проблемы адресации/трансляции, сначала предположим, что имеется несколько серверов, к которым вы хотели бы открыть доступ извне (например, сервер электронной почты и Web-сервер). Затем следует установить статические адреса (т.е. никогда не изменяющуюся трансляцию), чтобы пользователи знали, как добраться до этих серверов.
Соответствующая команда имеет следующий синтаксис:
static [ (имя_виутр_инт, имя виешн_иит) ] глобальи_1р локапьи ip
[netmask маска_сети] [max_conns [em_limitH [norandomseq]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
имя_внутр_инт
Имя внутреннего сетевого интерфейса (определяемое командой nameif). Это должен быть интерфейс с более высоким уровнем защиты
имя_виеши нит
Имя внешнего сетевого интерфейса (определяемое командой nameif). Это должен быть интерфейс с более низким уровнем защиты
глобальи_1р
Глобальный (внешний) IP-адрес для трансляции; является IP-адресом интерфейса с низким уровнем защиты и не может быть адресом РАТ
локальй-ip
Локальный (внутренний) IP-адрес для трансляции; является IP-адресом интерфейса с высшим уровнем защиты
netmask маска_сети
Указывает сетевую маску, имеющую отношение как к гпобальи_1р, так и к локальи_1р
max_conns
Определяет максимальное число TCP-соединений, разрешенных для статики
em_limit
Задает предел для числа создаваемых соединений. По умолчанию используется значение 0, означающее отсутствие ограничений. Устанавливайте меньшие значения для медленных систем и большие — для быстрых
norandomseq
Указание не выбирать случайные значения для порядковых номеров пакетов TCP/IP. Используется тогда, когда случайные порядковые номера генерирует другой брандмауэр на линии
В примере 11.8 предлагается вариант статического отображения адресов.
Pixfirewall(config)#static (dmz,outside) 172.16.1.1 10.1.5.47
Pixfirewall(config)#static (dmz,outside) 172.16.1.2 10.1.5.172
Когда адреса заданы и остальной мир знает, какие IP-адреса соответствуют конкретным серверам, внешним пользователям необходимо разрешить доступ к этим серверам. (Помните о том, что по умолчанию внешнему миру не разрешается выступать инициатором каких бы то ни было контактов.)
Команда conduit, с помощью которой устанавливаются разрешения, имеет следующий синтаксис:
conduit {permit | deny} протокол глобальи_1р глобальи_маска [оператор порт [порт]] виеши_1р виеши маска [оператор порт [порт]] оператор
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
permit
Разрешает доступ при выполнении условий
deny
Запрещает доступ при выполнении условий
протокол
Указывает транспортный протокол соединения. Возможными буквенными значениями являются eigrp, gre, iemp, igmp, grp, ip, ipinip, nos, ospf, top, udp; допустимы также целочисленные значения 0-255, представляющие номер IP-протокола. Используйте ip, чтобы указать все транспортные протоколы. Действительные номера протоколов доступны оперативно по адресу: www.isi.edu/in-notes/iana/ assignments/protocol-numbers
глобальи_1р
Указывает глобально доступный (открытый) IP-адрес, заданный командой static. Если указывается один конкретный IP-адрес, ему должно предшествовать ключевое слово host и не должно быть указано сетевой маски
глобальи_маска
Задает сетевую маску для глобальи_гр
оператор
Задает оператор сравнения, позволяющий описать порт или диапазон портов. Возможными значениями являются eq, It, any, gt, neq и range. Чтобы указать все порты, используйте оператор по и port
порт
Определяет сервис (или сервисы), который разрешается использовать при доступе к глобальи_1р. Сервисы определяются связанными с ними портами, например 25 для SMTP, 80 для HTTP и т.д., а 0 означает любой порт. Значения портов определяются в документе RFC 1700. Допустимыми буквенными значениями являются dns, esp, ftp, h323, http, ident, nntp, ntp, pop2, pop3, pptp, rpc, smtp, snmp, snmptrap, sqlnet, top, telnet, tftp и udp. Подобным образом можно задать и диапазон портов, например ftp-h323. Можно указывать также номера портов
виеши ip
Определяет внешний IP-адрес (хоста или сети), которому разрешается доступ к гло- бальи_1р. Можно указать 0.0.0.0 или 0 для любого хоста
виеши маска
Определяет сетевую маску для диапазона виеши_1р
В примере 11.9 показана команда conduit, разрешающая доступ интерфейса с низким уровнем защиты к интерфейсу с высоким уровнем защиты.
: Пример 11.9. Команда conduit, описывающая разрешения SMTP
Pixfirewall(config)#conduit permit tep host 172.16.1.2 eq smtp any 0 0
Этот оператор разрешает любые TCP-соединения с сервером электронной почты, направляемые к порту SMTP и исходящие из любого порта. Ввиду того, что команда
conduit допускает указание как протокола, так и порта, при настройке брандмауэра у вас имеется возможность выбора более строгих или, наоборот, менее строгих ограничений. Если сервер FTP выполняется на той же машине, что и система электронной почты, возникает необходимость в отдельном канале. В примере 11.10 показан еще один вариант использования команды conduit.
Пример11.10. Команда conduit, разрешающая доступ FTP
Pixfirewall(config)#conduit permit top host 172.16.1.2 eq ftp host 199.199.199.37 0 0
Данный оператор разрешает трафик TCP к FTP-порту сервера электронной почты только с указанного хоста Internet, но с любого порта. Помните о том, что хотя информация, направляемая портам, связанным с определенными приложениями, имеет специальный вид, исходные порты обычно выбираются произвольно из области значений свыше 1024. Это следует иметь в виду при настройке брандмауэра, чтобы нс создавать правила, которые никогда не будут выполнены.
В примере 11.11 показан еще один вариант применения команды conduit.
Г Пример 11.11. Команда conduit, разрешающая доступ Web с любого хоста |
Pixfirewall(config)#conduit permit tep host 172.16.1.1 eq www any 0 0
Здесь разрешается весь стандартный трафик HTTP, направленный к Web-серверу.
Замечание
Команды nat и global — это односторонние трансляции, разрешающие “выход” внутреннему трафику (возвратный “диалоговый” трафик разрешен). Статические трансляции являются двусторонними отношениями, и команда conduit активизирует разрешения элементам интерфейса с низким уровнем защиты получить доступ к устройствам с высшим уровнем защиты, определенным статическими трансляциями.
Разрешение доступа ping и фильтрация ICMP
Еще одним важным моментом, о котором следует упомянуть, является использование сообщений ICMP, которые оказываются ценным средством при проверке связности сети. С другой стороны, с помощью таких сообщений хакеры могут зондировать вашу сеть с целью выявления доступных устройств.
Команду conduit можно использовать для того, чтобы разрешить или запретить движение сообщений ICMP от интерфейсов с низким уровнем защиты к интерфейсам с высоким уровнем защиты. Ввиду того, что частным хостам (высший уровень зашиты) позволено отправлять любые данные бесконтрольно, имеет смысл контролировать движение в пути передачи.
Существует ряд различных типов сообщений ICMP, и команда conduit брандмауэра PIX Firewall позволяет фильтровать 18 из них. Логично, хотя это и может зависеть от требований конкретного вида бизнеса, запретить любые типы ICMP-запросов и разрешить любые типы ICMP-сообщений и ответов. Это позволит внутренним станциям получать ответы на ICMP-запросы, но запретит неизвестным лицам сканировать вашу сеть. Проще говоря, следует разрешить то, что вы считаете нужным, и запретить все остальное.
В примере 11.12 показана группа команд conduit, выполняющих одну задачу: здесь демонстрируется метод комбинирования различных ICMP-типов с целью реализации определенной политики защиты.
Pixfirewall(config)iconduit permit icmp any any echo-reply Pixfirewall(config)iconduit permit icmp any any unreachable Pixfirewall(config)iconduit permit icmp any any redirect Pixfirewallfconfig)#conduit permit icmp any any time-exceeded Pixfirewall(config)#conduit deny icmp any any
В табл. 11.1 представлены различные типы пакетов ICMP, которые может фильтровать брандмауэр PIX Firewall. Помните о том, что от интерфейса с высшим уровнем защиты к интерфейсу с низшим уровнем защиты разрешается движение всех пакетов, поэтому здесь мы имеем дело только с пакетами, движущимися в обратном направлении.
Таблица 11.1. Коды ICMP-типов, разрешенные в командах conduit ' "
брандмауэра PIX Firewall
Код ICMP-типа
ICMP-имя
0
echo-reply
3
unreachable
4
source-quench
5
redirect
6
alternate-address
8
echo
9
router-advertisement
10
router-solicitation
11
time-exceeded
12
parameter-problem
13
timestamp-reply
14
timestamp-request
15
information-request
16
information-reply
17
network mask-request
18
network mask-reply
31
conversion-error
32
mobile-redirect
Замечание
Синтаксис любых команд желательно проверять по документации соответствующей версии программного обеспечения брандмауэра PIX Firewall. По мере добавления новых возможностей синтаксис команд может меняться.
При построении очень больших списков команд conduit следует помнить о том, что эти команды выполняются в порядке появления в конфигурации. Перемещая или добавляя операторы conduit, можно существенно изменить логику (и функциональные возможности) брандмауэра PIX Firewall, если не задумываться о порядке размещения команд. Брандмауэр PIX Firewall поддерживает в конфигурации до 8000 операторов conduit. Вероятнее всего, ваша сеть не потребует столь сложной конфигурации.
Настройка вывода Syslog
Теперь, когда настроены интерфейсы, определена трансляция адресов и установлены разрешения с помощью команд conduit, вы, вероятно, захотите активизировать создание контрольных записей, чтобы иметь возможность вовремя обнаружить действия хакеров или проблемы функционирования самого брандмауэра PIX Firewall. Еще одной причиной желательности контрольных записей является тестирование конфигурации на предмет того, что она работает так, как предполагалось. Например, если вы установили новый почтовый сервер для одного из отделений вашей компании и определили все необходимые трансляции, но пользователи жалуются, что никто не может получить доступ к новому серверу, можно проанализировать протоколы контрольных записей и выяснить, почему соответствующим хостам запрещается доступ к порту SMTP вашего нового почтового сервера.
При наличии контрольных записей можно быстро определить, что причиной проблемы является, например, опечатка в IP-адресе, допущенная в операторе conduit, или то, что вы добавили в конфигурацию оператор conduit без учета уже имеющихся команд, так что новый оператор permit оказался размещенным после большого оператора deny.
Активизировать запись сообщений в журнал брандмауэра PIX Firewall очень просто. Сначала следует убедиться, что в сети имеется функционирующий сервер syslog, и выяснить, на каком интерфейсе брандмауэра PIX Firewall этот сервер размещен. Все блоки UNIX могут быть (и являются по умолчанию) серверами syslog. Кроме того, ССО (Cisco Connection Online) предлагает бесплатный сервер PIX Firewall Syslog Server (PFSS) для систем на базе Microsoft Windows NT.
Чтобы активизировать запись данных в сервере syslog, необходимо сообщить брандмауэру PIX Firewall, куда следует посылать данные. Для настройки начальной регистрации используйте следующую команду.
logging host интерфейс 1р_адрес [протокол/ порт]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
интерфейс
Имя интерфейса брандмауэра PIX Firewall (определяемое командой nameif)
1р_адрес
IP-адрес сервера syslog
протокол
Протокол, в соответствии с которым пересылаются сообщения syslog — tcp или udp
порт
Порт, с которого брандмауэр PIX Firewall посылает TCP- или UDP-сообщения syslog (по умолчанию это порт 514)
Существуют и другие возможности заставить контрольные записи сообщать то, что вам требуется.
Чтобы указать число сообщений, сохраняемых в памяти до того, как они посылаются серверу syslog, используйте следующую команду.
logging queue число
Параметр команды описан в следующей таблице.
Параметр команды
Описание
ЧИСЛО
Указывает число сообщений, сохраняемых в буфере до того, как они будут отправлены по сети. По умолчанию число сообщений равно 512. Значение 0 означает отсутствие ограничений на число сообщений
Используйте эту команду с префиксом по, чтобы отменить отправку контрольных
записей консольному порту брандмауэра PIX Firewall.
Чтобы перейти к более высокому уровню регистрируемых сообщений (табл. 11.2), используйте следующую команду.
logging trap уровень
lililli^
Уровень Тип сообщенияОписание
1
Сигналы тревоги
Аппаратные ошибки, отказы, ошибки интерфейсов
2
Критические сообщения
Отказы/попытки соединения
3
Сообщения об ошибке
Превышение числа соединений, отсутствие свободных IP-адресов в пулах и тд
4
Предупреждающие сообщения
Ошибки IPSec, PPP и т.д.
5
Уведомления
Окончание сеансов аутентификации, запрет URL/Java/ActiveX
6
Информационные сообщения
Отказ в аутентификации, запрет TCP, установка ассоциаций защиты (IPSec, PPP)
7
Сообщения отладки
Поиск URL, запрет входящих связей (отсутствие соответствующего объекта xlate)
Для того чтобы направить сообщения в буфер, содержимое которого можно просмотреть с помощью команды show logging, используйте следующую команду.
logging buffered уровень
Для задания длины очереди для буфера регистрации примените следующую команду.
logging queue число
Чтобы обеспечить точность отображаемого времени в контрольных записях, используйте следующую команду.
clock set чч:мм:сс месяц день год
logging timestamp
Теперь давайте рассмотрим некоторые типичные сообщения syslog. ССО и ваш компакт-диск с документацией предлагают полный список всех сообщений syslog и их описания, чтобы вы имели возможность разобраться в протоколах и понять соответствующую информацию.
Замечание
По умолчанию сообщения syslog посылаются в виде пакетов UDP с номером порта, равным 514. Программа Cisco PFSS позволяет для сообщений syslog использовать TCP. Это дает более высокую гарантию того, что сообщения будут зарегистрированы, но создает другие проблемы. Предположим, что для передачи сообщений syslog серверу PFSS используется TCP, а блок NT испытывает недостаток дискового пространства. В этом случае брандмауэр PIX Firewall не позволит создание новых соединений, так как он не будет иметь возможности записать контрольную информацию. Это мера защиты! Причина такого поведения системы — необходимость обеспечения защиты ночью. Если хакер сможет заполнить диск сервера syslog, а затем начать атаку, то записи о начале такой атаки создано не будет. Поэтому, хотя такое поведение системы и оказывается разумным, каждый администратор должен знать об этом, прежде чем принять решение об использовании TCP для передачи сообщений.
Просматривая файл syslog (сохраняемый сервером syslog в виде открытого текста в течение дня), вы найдете в нем множество различных сообщений о событиях, происшедших в сети. Ниже предлагается несколько примеров соответствующих записей. В примере 11.13 показано сообщение о попытке доступа к порту, для которого в конфигурации нет соответствующего разрешения, заданного с помощью команды conduit.
Г Пример 11.13. Запрещенная попытка доступа TCP
<162>Мау 07 2000 08:16:44: 4PIX-2-106001: Inbound TCP connection denied from 202.105.111.13/1160 to 208.158.37.5/8080 flags SYN
Сообщение в примере 11.14 говорит о том, что кто-то пытался получить доступ к Web-серверу с указанным адресом. (Возможно, это указывает на ошибку в команде conduit, запретившей доступ к Web-серверу, который должен быть доступным.) р_^..—.„.^_._—_—_„.—^_.
Пример 11.14. Запрещенная попытка доступа к Web-серверу
<162>Мау 07 2000 12:35:27: %PIX-2-106001: Inbound TCP connection denied from 209.86.158.174/1108 to 208.158.37.28/80 flags SYN
Сообщение в примере 11.15 показывает, что кто-то пытался установить соединение IRC (Internet Relay Chat — “интернетовские посиделки”) с машиной, которая не имеет канала (разрешения) для этого типа соединения. Вероятнее всего, сервера IRC во внутренней сети просто нет.
f Пример 11.15. Сообщение, свидетельствующее о запрете соединения1 ; ’с общим портом IRC
<162>May 07 2000 12:36:59: %PIX-2-lu6001: Inbound TCP connection denied from 24.49.167.76/39401 to 208.158.37.10/6667 flags SYN
Сообщение в примере 11.16 показывает, что кто-то пытался найти сервер RPC (Remote Procedure Call — удаленный вызов процедур), чтобы иметь потенциальную возможность эксплуатировать устаревшую систему (если такая система обнаружится).
Пример 11.16. Сообщение, указывающее на то, что кто-то пытается найти 1 ||j||||illlllj^^
<162>Мау 07 2000 21:24:04: %PIX-2-106001: Inbound TCP connection denied from 211.34.149.1/1633 to 208.158.37.10/111 flags SYN
В примере 11.17 показано, что кто-то сканировал сеть с помощью команд NetBIOS со своего компьютера. При использовании брандмауэра администратор может проверить, был ли этот вид соединения разрешен, и обнаружить методическое сканирование на предмет наличия машин, потенциально пригодных для использования.
^___—„—__—.—___™^,._^^^^ _____т_^_7„__
Пример 11.17. Сообщения syslog, указывающие на серию команд NetBIOS
<162>Мау 07 2000 21:36:40: 1PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2402 to 208.158.37.10/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2402 to 208.158.37.10/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2404 to 208.158.37.12/139 flags SYN
<162>May 07 2000 21:36:40: 1PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2405 to 208.158.37.13/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2406 to 208.158.37.14/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2412 to 208.158.37.20/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2413 to 208.158.37.21/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2423 to 208.158.37.31/139 flags SYN
<162>May 07 2000 21:36:40: %PIX-2-106001: Inbound TCP connection
denied from 216.77.240.61/2424 to 208.158.37.32/139 flags SYN
Порты 137-139 используются системами Microsoft для связи NetBIOS. Вы, вероятно, захотите ограничить этот тип доступа из Internet к вашей частной сети. Если такой тип связи необходимо разрешить, убедитесь в том, что ваши системы Windows NT достаточно защищены.
Существуют брандмауэры, которые разрабатываются под конкретные машины и поддерживают указанные сценарии. Если требуется доступ к сервисам Windows NT через Internet, если администрирование брандмауэра и системы NT осуществляется разными объектами или имеются какие-то иные причины, то до тех пор, пока системы защищены, проблем не возникает. Хорошими брандмауэрами, разработанными специально для защиты конкретных систем, являются Blackice Defender и Blackice Pro. Более подробная информация по этому вопросу предлагается на странице www.networidce.com.
Контрольные записи оказываются полезными и тогда, когда кто-то пытается проникнуть в сеть (если имеются каналы в виде разрешений conduit или случайные бреши в старых версиях программного обеспечения). Способность продемонстрировать доказательства сканирования и последующего проникновения в систему оказывается очень важным моментом при применении законных санкций к нарушителям. Разные страны имеют различные законы, регламентирующие подобные действия, поэтому
проконсультируйтесь у специалистов по законодательству, как лучше реализовать соответствующие возможности брандмауэра.
Замечание
Брандмауэр не всегда является единственной (или последней) возможностью защиты сети. Как вы уже могли убедиться из предыдущих глав, различные возможности защиты могут комбинироваться с целью получения наиболее подходящего решения.
Сеть может состоять из множества частей, а может быть и единой.
Каким бы ни был ваш бизнес, убедитесь в том, что рассмотрены все соответствующие вопросы защиты. Настройка брандмауэра не является единственной целью. Разрешенный трафик тоже должен контролироваться. Например, если сервис DNS выполняется на достаточно старых системах UNIX, то вам придется разрешить прохождение запросов DNS и соответствующего трафика через брандмауэр. Предположим, что некоторые недостатки старых систем DNS/BIND позволяют хакеру получить доступ к вашей системе. Поскольку вы разрешили трафик через брандмауэр, система FIX Firewall придет к заключению, что все в порядке, даже если это не так. Вовремя обновляйте используемые системы и старайтесь своевременно узнавать о выявлении новых недостатков систем и о появлении соответствующих “заплат”. Для этого проверяйте страницы www.cert.org или www.sans.org.
Настройка аутентификации пользователей
Зачастую, кроме определения каналов и статических отображений адресов, для реализации политики защиты в сети требуется иметь более надежные средства аутентификации и авторизации.
Чтобы централизованно управлять доступом пользователей и их правами, созданы приложения, позволяющие управление глобальной конфигурацией множества устройств. Это избавляет администратора от необходимости внесения изменений в конфигурацию каждого устройства в отдельности.
Настройка сервера ААА брандмауэра PIX Firewall
Как уже обсуждалось в части II, сервер аутентификации, авторизации и аудита (сервер ААА) выполняет следующие три функции.
Аутентификация. Функции разрешения доступа, когда сеансы контролируются в терминах разрешения или запрета доступа соответствующим объектам.
Авторизация. Более совершенные службы, например, позволяющие одним пользователям использовать Web, а другим — нет.
Аудит. Учет применения сервисов с целью предъявления счетов за использование определенных ресурсов или просто с целью контроля. Когда средства аудита ААА активизированы, брандмауэр PIX Firewall сообщает о действиях пользователя серверу TACACS+ или RADIUS в виде контрольных записей базы данных аудита.
Сервер TACACS+ или RADIUS может анализировать эти данные и компилировать новые с целью осуществления сетевого управления, контроля или взимания платы.
Первым шагом является информирование брандмауэра PIX Firewall о том, как получить доступ к серверу ААА и как обращаться к нему.
Следующая команда предназначена для инициализации настройки сервера ААА.
aaa-server тег_группы (имя_интерфейса) host ip_cepsepa ключ timeout секунды aaa-server тег_группы protocol протокол_аут
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
тег_группы имя_иитерфейса
Указывает имя, представляющее группу партнеров аутентификации
Имя интерфейса брандмауэра PIX Firewall (определяемое командой nameif), с которого разрешен доступ к серверу ААА
host ip сервера ключ
IP-адрес сервера ААА
Пароль, используемый совместно с сервером ААА
timeout секунды
Предельное время ожидания ответа сервера ААА брандмауэром PIX Firewall до обращения к следующему серверу ААА из соответствующего списка
protocol протокол_аут
Указывает протокол защиты, например radius или tacacs+
Параметр тег_группы оказывается важным в тех случаях, когда имеется необходимость аутентифицировать различные сервисы и адреса источников с разными типами услуг (RADIUS, TACACS+ и т.д.). Можно определить до 16 значений тег_группы, характеризующих состояния 16 серверов ААА. Это в совокупности дает 256 пригодных к использованию серверов ААА, что существенно превышает любые реально необходимые требования. Команда ааа server-group заменила команды aaa-tacacs и ааа- radius в брандмауэре PIX Firewall версии 4.4(1).
Чтобы начать процесс настройки конфигурации сервисов ААА, необходимо иметь следующую информацию.
IP-адрес сервера ААА (например, 10.1.1.4).
Название используемого протокола ААА. В наших примерах используется сервер CiscoSecure ACS, поэтому соответствующим протоколом является TACACS+.
Общий ключ (пароль) для обмена данными с сервером ААА (в нашем случае паролем будет cisco).
На рис. Ц.З показана схема связи сервера ААА с брандмауэром PIX Firewall.
Команды, которые должны при этом использоваться в брандмауэре PIX Firewall, показаны в примере 11.18.
Пример 11.18. |||||||||[|^^
Pixfirewall(config)#aaa-server main protocol tacacs+
Pixfirewall(config)#aaa-server main (inside) host 10.1.1.4 cisco timeout 20
Примеры настройки средств AAA
Теперь, когда брандмауэр PIX Firewall осведомлен о существовании сервера ААА в сети, можно приступить к реализации конкретных требований политики защиты в рамках возможностей ААА. Рассмотрим команды, используемые для настройки сервисов ААА.
Удаленный пользовательУдаленный пользовательМаршрутизаторпериметраМаршрутизаторпериметраРис. 11.3. Брандмауэр PIX Firewall в сети, предлагающей сервис защиты АААРис. 11.3. Брандмауэр PIX Firewall в сети, предлагающей сервис защиты ААА
Удаленный пользователь
Удаленный пользователь
Маршрутизаторпериметра
Маршрутизаторпериметра
Рис. 11.3. Брандмауэр PIX Firewall в сети, предлагающей сервис защиты ААА
Рис. 11.3. Брандмауэр PIX Firewall в сети, предлагающей сервис защиты ААА
ааа authentication {include | exclude} сервис_аут
{inbound | outbound | имя_интерфейса} локальн_1р локальн_маска
внешн_1р внешн_маска тег_группы
ааа authorization {include | exclude} сервис_авт
{inbound | outbound | нмя_интерфейса^ локальн_1р локальн_маска
внешн_1р внешн_маска
ааа accounting {include | exclude} сервис_ауд
{inbound | outbound | имя_интерфейса) локальн_1р локальн_маска
внешн_1р внешн_маска тег_группы
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
include exclude
Создает новое правило, включающее указанный сервис
' Создает исключение для ранее определенного правила с помощью отказа от необходимости аутентификации указанного сервиса для данного хоста. Позволяет указать порт для конкретного хоста (или хостов)
сервнс_аут
Сервисы, требующие аутентификации для движения через брандмауэр. Можно использовать any, ftp, http или telnet. Значение any означает аутентификацию для всех сервисов TCP
сервнс_авт
Сервисы, требующие авторизации. Можно использовать any, ftp, http или telnet. Для неуказанных сервисов выполняется неявная авторизация. Сервисы, указанные в команде ааа authentication, не влияют на авторизацию
сервнс_ауд
Сервис аудита. Контроль можно распространить как на все сервисы, так и на один или несколько типов сервиса. Допустимыми значениями являются any, ftp, http и telnet. Используйте any, чтобы обеспечить аудит для всех сервисов TCP. Чтобы обеспечить аудит для сервисов UDP, используйте форму “протокол/порт" команды
Параметр команды
Описание
inbound
Аутентификация входящих соединений. “Входящие” означает, что соединения исходят от интерфейса с низшим уровнем защиты в направлении интерфейса с высшим уровнем защиты
outbound
Аутентификация исходящих соединений. “Исходящие” означает, что соединения исходят от интерфейса с высшим уровнем защиты в направлении интерфейса с низшим уровнем защиты
имя интерфейса
Имя интерфейса, при обращении с которого требуется аутентификация пользователя. Используйте имя интерфейса в комбинации с адресами локальн ip и виеши ip, чтобы выяснить, откуда исходит попытка доступа. Адрес локальи_1р всегда размещается на интерфейсе с высшим уровнем защиты, а виешн_1р — на интерфейсе с низшим уровнем защиты
локальи_1р
IP-адрес хоста или сети, которые следует аутентифицировать. Можно установить этот адрес равным 0, чтобы обозначить все хосты и позволить серверу аутентификации самому решить, какие хосты следует аутентифицировать
локальи маска
Сетевая маска для локапьи_1р. Всегда указывайте конкретное значение маски. Используйте 0, если для IP-адреса указано 0. Для хоста используйте 255.255.255.255
виеши ip
IP-адрес хостов, которым разрешается доступ к адресу локальи_1р. Используйте 0, чтобы обозначить все хосты
внешн маска
Сетевая маска для виеши ip. Всегда указывайте конкретное значение маски. Используйте 0, если для IP-адреса указано 0. Для хоста используйте 255.255.255.255
тег_группы
Тег группы, назначенный командой aaa-server
Как в большинстве других команд брандмауэра PIX Firewall, в IP-адресах и сетевых масках 0 является сокращением 0.0.0.0, Некоторые примеры команд аутентификации ААА брандмауэра PIX Firewall предлагаются ниже. В примере 11.19 показано требование авторизации для любого исходящего сеанса Telnet от сервера ААА с именем main.
FW«||E?!|«=M|^^"' ''''"Т^^Ж’Г^Ш’ВЯШ^^vs^rsw-
Пример 11.19. Авторизация исходящих сеансовТе!пе1 с сервера ААА (main)
teJteS№s23iiiBSite3ifc£Jis£^:5ie8£aS8a£2Qs№iMiMfeS^taM«i^^
Pixfirewall(config)taaa autnorization telnet outbound 0000 main
В примере 11.20 показано требование авторизации всех сеансов, исходящих от сервера ААА с именем main.
исходящих сеансовисходящих сеансов
исходящих сеансов
исходящих сеансов
Pixfirewall(config)#ааа authorization any outbound 0 0 0 0 main
В примере 11.21 указано получение информации сервера ААА с именем main, необходимой для аутентификации доступа к консольному порту брандмауэра PIX.
Pixfirewall(config)#ааа authentication any serial console main
Команды всех трех примеров могут использоваться для контроля исходящего доступа к Internet со стороны пользователей и внутренних сетевых устройств. Те же команды можно применить и для контроля действий пользователей, а также для того, чтобы разрешить или запретить им использовать определенные сервисы.
Сервисы ААА позволяют, даже в очень большой сети, реализовать политику защиты, имеющую высокую степень детализации. Соответствующие возможности огромны и поэтому должны использоваться аккуратно. Излишние требования авторизации и аутентификации означают лишнюю нагрузку на брандмауэр PIX Firewall, сервер ААА, сеть и пользователей. Как и всегда, в этом деле необходим баланс.
Пример аутентификации PIX Firewall
Как было выяснено выше, тип сервиса (в данном случае аутентификация) ААА определяется соответствующими параметрами командной строки. В примере 11.22 предлагается еще один вариант аутентификации.
Пример 11.22. Аутентификация всех входящих сеансов связи через Iбрандмауэр PIX Firewall1
Pixfirewall(config)laaa authentication any inbound 0 0 0 0 main
Эта команда требует аутентификации любого входящего потока к любому серверу от любого хоста. Аутентификация выполняется через сервер TACACS+ с именем main. Процесс выполняется по следующей схеме.
Для входящего трафика (после его проверки средствами conduit и при необходимости аутентификации) брандмауэр PIX Firewall возвращает приглашение ввести имя пользователя на станцию, инициировавшую трафик. После получения ответа брандмауэр открывает сеанс связи с соответствующим сервером и осуществляет передачу информации.
Сервер ААА осуществляет поиск предъявленного имени пользователя и определяет тип требуемой аутентификации (скажем, идентификационная карта, пароль CiscoSecure или обычный пароль). После того как эта информация будет предоставлена, брандмауэр PIX Firewall запросит соответствующий тип пароля у пользователя, инициировавшего трафик.
Возвращенный пароль отправляется серверу ААА для проверки. Ответ сервера предъявляется брандмауэру PIX Firewall, и запрос сеанса либо удовлетворяется, либо отвергается. Кроме запроса имени пользователя и пароля, все остальные функции оказываются скрытыми от конечного пользователя.
Пример авторизации PIX Firewall
Как было указано выше, тип сервиса (в данном случае авторизация) ААА определяется соответствующими параметрами командной строки. В примере 11.23 предлагается вариант настройки средств авторизации брандмауэра PIX Firewall.
—
Пример 11.23. Авторизация всех входящих сеансов FTP через брандмау-. ‘
. .эр FIX Firewall}} ^
SecurePIX(config)|ааа authorization ftp inbound 0 0 0 0 main
Эта команда требует авторизации входящего трафика FTP, направленного к любому серверу с любого хоста. Авторизация выполняется через сервер TACACS+ с именем main.
По завершении аутентификации, если требуется авторизация запрошенного сервиса, брандмауэр PIX Firewall отправляет серверу ААА соответствующую информацию. Сервер ААА выполняет поиск файла профиля пользователя и проверяет, разрешены ли пользователю запрошенные действия. Если разрешение имеется, запрошенный сервис становится доступным пользователю.
Пример пользовательского профиля на сервере CiscoSecure ACS может выглядеть так, как показано в примере 11.24.
|Й||1|||^М
Profile_cycle = 11
Profile_id = 8
Password = clear "cisco"
Set Server current failed_login = 0
Service = Shell {
Cmd = ftp {
Permit 10.1.1.6
}
}
Пример аудита PIX Firewall
Как было указано выше, тип сервиса (в данном случае аудит) ААА определяется соответствующими параметрами командной строки. В примере 11.25 предлагается вариант настройки средств аудита брандмауэра PIX Firewall.
Пример 11.25. Команда настройки аудита ААА брандмауэра PIX Firewall |
Pixfirewall(config)taaa accounting any inbound 0 0 0 0 main
Эта команда активизирует статистический учет параметров (например, имена пользователей, сервисы, длительность использования, штампы времени) для всех входящих соединений. Соответствующая информация отправляется серверу TACACS+ с именем main, где может происходить статистическая обработка данных и могут генерироваться отчеты.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Использование множества интерфейсов позволяет усовершенствовать защиту сети.
Для защиты сети от “внешнего мира” используют ДМ3 и множество интерфейсов.
Настройка внутреннего интерфейса брандмауэра PIX Firewall для ДМ3 осуществляется с помощью команд global и nat, при использовании ряда достаточно сложных методов.
Настройка внешнего интерфейса брандмауэра PIX Firewall для ДМ3 осуществляется с помощью команд static и conduit, в результате чего в брандмауэре PIX Firewall реализуется соответствующая политика защиты.
Брандмауэр PIX Firewall можно настроить на разрешение доступа ping и фильтрацию множества типов сообщений ICMP.
Настройка вывода syslog осуществляется для того, чтобы контролировать текущую производительность и состояние брандмауэра PIX Firewall.
Аутентификация, авторизация и учет действий пользователей при доступе к сетевым сервисам осуществляется через сервер ААА с целью усиления защиты.
Практическое занятие. Настройка множества интерфейсов и средств ААА брандмауэра FIX Firewall
Это практическое занятие иллюстрирует возможности настройки множества интерфейсов и средств ААА брандмауэра PIX Firewall в сети гипотетической компании XYZ. Прочитайте план практического занятия, рассмотрите схему топологии сети, ознакомьтесь с политикой защиты, а затем проанализируйте предлагаемые примеры конфигурации, чтобы увидеть, как требования политики защиты реализуются в виде команд брандмауэра PIX Firewall.
План практического занятия
Компании XYZ требуется установить брандмауэр PIX Firewall в главном здании, размещенном на территории предприятия. Часть этого здания компания XYZ сдает в субаренду партнерам (сеть которых является для компании внешней), обеспечивая им в качестве бонуса связь с Internet. Для надежности компания XYZ имеет двух поставщиков услуг Internet. Компания XYZ намерена использовать брандмауэр PIX Firewall со множеством интерфейсов, чтобы обеспечить защиту сетевых соединений с каждым сегментом сети и с Internet.
Топология
На рис. 11.4 показана базовая схема сети компании XYZ, рассматриваемой в ходе данного практического занятия.
Структура сети и политика сетевой защиты
Структура сети и политика сетевой защиты должны быть реализованы с учетом следующих требований компании XYZ.
IP-адреса:
административная сеть (локальная): 10.1.1.0/24;
сеть клиента 1 (локальная): 10.2.1.0/24;
сеть клиента 2 (локальная): 10.3.1.0/24;
ДМ3 (локальная): 192.168.11.0/24;
поставщик 1 (глобальная): 192.168.1.0/24;
поставщик 2 (глобальная): 192.168.2.0/24.
Рис. 11.4. Структура сети головного офиса компании XYZ
Трансляция сетевых адресов:
управление класса С использует трансляцию РАТ с адресом 192.168.1.127;
управление класса С использует диапазон глобальных IP-адресов от 192.168.1.10 до 192.168.1.126 (включительно);
клиент 1 использует глобальные адреса в диапазоне от 192.168.1.128 до 192.168.1.254 (включительно);
клиент 2 использует глобальные адреса в диапазоне от 192.168.2.128 до 192.168.2.254 (включительно);
все остальное (или дополнительное) управление и внутренние IP-адреса клиентов должны использовать для пула трансляции остальные глобальные адреса;
внутренние клиенты связываются с помощью полнодуплексных Ethernet- соединений типа lOOBaseTX;
поставщики услуг Internet связываются с помощью полудуплексных Ethernet-соединений типа lOBaseT.
Некоторые адреса в ДМ3 будут отображаться статически.
Доступ ICMP извне ограничивается, но разрешаются ответы на трафик, порожденный изнутри.
Активизируется сервис syslog со следующими параметрами:
маршрутизатору периметра дается возможность посылать сообщения syslog в адрес 10.1.1.5 локальной сети администрирования;
сервис syslog связывается с адресом 10.1.1.5;
сообщения syslog должны включать информацию об отказах установки сеансов;
размер буфера syslog должен быть равным 1 Кбайт информации.
Серверу ААА назначается адрес 10.1.1.4 локальной сети администрирования.
Для доступа к частному Web-узлу активизируется аутентификация и аудит ААА.
Пример конфигурации брандмауэра PIX Firewall компании XYZ
Изучите пример 11.26, в котором предлагается вариант конфигурации брандмауэра PIX Firewall компании XYZ. В этом примере реализуются описанные выше требования политики защиты. Здесь показана лишь одна из возможных конфигураций, реализующих данную политику. Можно сконфигурировать брандмауэр PIX Firewall иначе, обеспечив выполнение тех же требований. Обратите внимание на комментарии, объясняющие связь команд конфигурации с конкретными требованиями политики защиты.
136, Вариант конфигурации брандмауэра PIX Firewall компании XYZ
1!к^£^118^^Si^i^kiti&^i&Jag&^i^S^^
pixl#write terminal
Building configuration...
: Saved
PIX Version 5.1(2)
/ Команды nameif, определяющие конфигурацию интерфейсов н уровни защиты.
! Помните о том, что связь между интерфейсами одного веса не позволяется.
nameif ethernetO providerl securityO
nameif ethernetl admin securitylOO
nameif ethernet2 dmz securitySO
nameif ethernetl clientl securitySO
nameif ethernet4 client2 securitySO
nameif ethernetS provider2 securitylO
enable password A0ywFtG5fs31jpjx encrypted
passwd FSbblTfmfXKC.viH encrypted
hostname pixl
fixup protocol ftp 21
fixup protocol http 80
fixup protocol smtp 25
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol sqlnet 1521
names
pager lines 24
/ Активизирует отправку контрольной информации серверу syslog.
logging timestamp
no logging standby no logging console no logging monitor logging buffered errors logging trap informational logging facility 20 logging queue 1024 logging host admin 10.1.1.5 ! Дополнительная информация для конфигурации интерфейсов Ethernet. interface ethernetO lObaset interface ethernetl lOOfull interface ethernetl lOOfull interface ethernetl lOOfull interface ethernet4 lOOfull interface ethernet5 lObaset mtu providerl 1500 mtu admin 1500 mtu clientl 1500 mtu client! 1500 mtu dmz 1500 mtu provider! 1500
1 Дополнительная информация для конфигурации интерфейсов Ethernet.
ip address admin 10.1.1.1 155.155.154.0 ip address clientl 10.2.1.1 155.155.0.0 ip address clientl 10.3.1.1 255.155.0.0 ip address dmz 191.168.11.1 155.155.155.0 ip address providerl 191.168.1.1 155.255.255.151 ip address providerl 192.168.1.1 155.155.155.151 / Замечание. Адреса провайдера обычно задаются провайдером ! и не обязательно принадлежат диапазону IP-адресов, используемых глобально. no failover failover timeout 0:00:00 failover ip address outside 0.0.0.0 failover ip address inside 0.0.0.0 arp timeout 14400 I Информация для пула NAT клиента. nat (admin) 1 10.1.1.0155.155.155.0 nat (admin) 1 10.1.4.0 155.155.155.0 nat (clientl) 3 10.2.1.0 155.155.155.0 nat (clientl) 4 10.3.1.0 155.155.155.0 nat (admin) 5 0.0.0.0 0.0.0.0 nat (clienti) 5001 (это то хе самое, что и 0.0.0.0)
nat (clientl) 500 global (providerl) 1 191.168.1.10-191.168.1.116 global (providerl) 1 191.168.1.117 global (providerl) 3 191.168.1.118-191.168.1.153 global (providerl) 4 191.168.1.118-191.168.1.154 global (providerl) 5 192.168.1.254
! Конфигурация статин и каналов NAT.
static(dmz,provider1)192.168.1.1010.1.1.4 netmask 255.255.255.255 0 0
static(dmz,provider1)192.168.1.1310.1.1.5 netmask 255.255.255.255 0 0
static(dmz,provider1)192.168.1.11192.168.11.3 netmask 255.255.255.25500
static(dmz,provider1)192.168.1.12192.168.11.4 netmask 255.255.255.25500
conduit permit tcp host 192.168.1.12 eq smtp any 0 0
conduitpermittcphost192.168.1.11eqwwwany00
conduitpermittcphost192.168.1.11eqftpany00
conduitpermittcphost192.168.2.11eqftpany00
conduitpermittcphost192.168.1.13eqsyslog any 0 0
/ Разрешения для фильтрации ICMP.
conduit permit icmp any any echo-reply
conduit permit icmp any any unreachable
conduit permit icmp any any redirect
conduit permit icmp any any time-exceeded
conduit deny icmp any any
rip providerl passive
no rip providerl default
no rip admin passive
no rip admin default
no rip clientl passive
no rip clientl default
no rip client2 passive
no rip client2 default
no rip dmz passive
no rip dmz default
no rip provider2 passive
no rip provider2 default
timeout xlate 24:00:00 conn 12:00:00 half-closed 0:10:00 udp 0:02:00
timeout rpc 0:10:00 h323 0:05:00
timeout uauth 0:05:00 absolute
/ Настройка аутентификации клиента.
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server admin protocol tacacs+
aaa-server admin (admin) host 10.1.1.4 AdminKey timeout 30
aaa authentication http inbound host 000
aaa accounting http inbound 0000 admin
snmp-server location Lexington, KY
snmp-server contact Scott Morris
snmp-server community emanon
snmp-server enable traps
telnet 10.1.1.4 255.255.255.0 admin
telnet timeout 5
terminal width 80
Cryptochecksum:dc2a867907ccf77cb25dl42d34fb3449 : end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Каковы преимущества использования множества интерфейсов периметра?
Какая команда заменила команды aaa-tacacs и aaa-radius в новых версиях брандмауэра PIX Firewall?
Сколько тегов групп позволяет использовать программное обеспечение брандмауэра PIX Firewall и как много серверов разрешено иметь в каждой группе ААА?
При добавлении, модификации или удалении операторов global какую команду следует ввести сразу же после сохранения конфигурации?
Сколько операторов conduit может поддерживать брандмауэр PIX Firewall?
Какой протокол и номер порта для сообщений syslpg используется по умолчанию?
Сколько типов пакетов ICMP различают средства фильтрации брандмауэра PIX Firewall?
Куда по умолчанию отправляются контрольные сообщения?
Сколько различных уровней защиты можно присвоить интерфейсам?
Когда пользователь из Internet начинает сканирование сети с помощью средств ping, пакеты какого типа регистрируются (и, возможно, отвергаются) брандмауэром PIX Firewall?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе. Обратитесь также к главе “IP Security and Encryption Overview” руководства PIX Firewall Release 5.11 Configuration Guide, где предлагается обзор принципов использования средств NAT и соответствующих протоколов в брандмауэрах PIX Firewall.
Общая информация о брандмауэрах PIX Firewall
Страница поддержки брандмауэров серии CiscoSecure PIX Firewall, предлагающая множество ссылок и примеры типовых конфигураций, размещена по адресу: www. cisco. com/cgi-bin/Support/PSP/ psp_vieW. pl ?Product_Name —PIX.
Информационная страница программного обеспечения брандмауэра CiscoSecure PIX Firewall. Необходимая информация может быть найдена на компакт-диске с документацией для соответствующей версии брандмауэра, но самая свежая информация предлагается в сети по адресу: www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/index.htm.
Информация о средствах ААА
Информационная страница, размещенная по адресу: www.cisco.com/univercd/cc/td/doc/ product/sofiware/iosl20/12supdoc/dsqcg3/qcsecur.htm, посвящена вопросам применения средств
ААД, в частности, в серверах доступа, но обсуждаемые там внутренние взаимосвязи и принципы использования ААА также применимы и для брандмауэра.
Общие вопросы защиты
Страница CERT (www.cert.org) предлагает полезную информацию о компьютерных вирусах и “червях”, атаках блокирования сервиса и других проблемах защиты.
SANS (www.sans.org) — это еще одна группа, ориентированная на распространение информации, касающейся проблем защиты. Соответствующий узел также содержит информацию о выявленных ошибках в программном обеспечении и операционных системах и предлагает множество ссылок на сайты соответствующих производителей.
www.cisco.com/kobayashi/sw-center/internet/netsonar.shtml является одной из страниц узла Центра программного обеспечения Web-узла Cisco, откуда вы можете загрузить демонстрационную версию сканера CiscoSecure Scanner (ранее носившего название NetSonar) — программы для проверки уязвимости сети.
www.networkice.com — это адрес Web-страницы, посвященной программному обеспечению Blackice Defender и Blackice Pro для брандмауэров, работающих в системах Windows и Windows NT.
Информация о программном обеспечении брандмауэра FIX Firewall
Страница www.cisco.com/cgi-bin/tablebuild.pl/pix содержит обновления программного обеспечения непосредственно для брандмауэра PIX Firewall, а также другие полезные утилиты, например сервер PFSS (PIX Firewall Syslog Server) для Windows NT. Для их загрузки требуется доступ ССО.
следующее.следующее.иты сети при отсут-иты сети при отсут-аченные дляаченные дляастройки браастройки брая PIX Firewall.я PIX Firewall.предпрпредпрвуэра PIX Firewall.вуэра PIX Firewall.
следующее.
следующее.
иты сети при отсут-
иты сети при отсут-
аченные для
аченные для
астройки бра
астройки бра
я PIX Firewall.
я PIX Firewall.
предпр
предпр
вуэра PIX Firewall.
вуэра PIX Firewall.
Изучив материал данной.г.
Настроить допол! от вмешатель Internet;
Настроить средства PIX Firewall, предназ ствии трансляции сетевых адресов.
Использовать дополнительные парам
Проверить правильность функционировав
Глава
12
, Использование
дополнительных
возможностей PIX Firewall
р В этойу'лавё описываются дополнительные возможности брандмауэра PIX Firewall и соответствующая информация конфигурации, включая некоторые дополнительные паД^етры|^АТ'^^юнову взят материал главы 11. В данной главе обсуждаются также i, методы контроля‘исходящего доступа, аналогичные методам контроля входящего дос- |l тупа, ^которых 1Й&|Ьечь в главе 11. Здесь описаны возможности брандмауэра PIX '|^ Firewall.npHMeHHCMbieb^ блокирования трафика определенного вида, обработки со? общений syslog и сообщений электронной почты. В главе описано, как брандмауэр
PIX Firewall может справляться с отказами, направляя запросы другому брандмауэру, jjgyH KaK он обеспечивает поддержку виртуальной частной сети (Virtual Private Network —
VPN). Здесь ^ё будет рассмотрена система CSPM (CiscoSecure Policy Manager — менеджер политики защиты), заменившая систему PIX Firewall Manager.
4 А |Ц
Усовершенствованная трансляция сетёвыхУ^зесов: NAT О
Основы теории трансляции сетевых адресов (средства NAT) обсуждались в предыдущих главах, ^j yj^e научились использовать команды nat (для описания локальных IP-адресов) и global шля описания пула внешних адресов для трансляции). Теперь мы рассмотрим некоторые более усовершенствованные варианты использования этих команд, но сначала вспомним синтаксис команд и предлагаемые ими параметры. Вот синтаксис команды nat в ее базовой форме:
^"па^- [ (имя_интерфейса) ] nat_id локальи_1р [маска [max_conns [em_limit[ ] ] [norandomseq]
'Параметры,команды описаны в следующей таблице.
■ Парамер) команды Описание
имя_иитерфейса Указывает имя сетевого интерфейса, на котором размещаются устройства
nat_id ^Выполняет роль идентификатора глобального пула
Параметр команды
Описание
локальи_1р
Задает IP-адрес внутренней сети для трансляции
маска
Указывает сетевую маску для локальи_1р
■ max conns
Определяет максимальное число TCP-соединений с указанного интерфейса
em_limit
Определяет предельное число зарождающихся (полуоткрытых) соединений. Зарождающимися являются соединения, для которых трехшаговая процедура квитирования ТОР была начата, но еще не закончена. Лавина таких соединений является популярным вариантом атак блокирования сервиса
norandomseq
Изменяет метод обработки TCP-соединений. По умолчанию брандмауэр PIX Firewall выбирает случайные порядковые номера TCP. Если на линии имеется другой брандмауэр, это может вызвать проблемы из-за несовпадения порядковых номеров, используемых в TCP-соединениях для выявления пропущенных пакетов и верификации. Ключевое слово nonrandomseq отключает рандомизацию. Не забывайте о том, что отказ от рандомизации открывает брешь в системе защиты
Некоторые дополнительные параметры настройки обсуждались в главе 11. Кроме того, здесь имеется зарезервированное значение NAT_ID.
Идентификатор NAT 0 зарезервирован для описания адресов, которые транслироваться не должны. Вы можете использовать NAT 0, например, присоединяя компанию. Допустим, оказывается, что компания “владеет” собственным диапазоном открытых IP-адресов и те же IP-адреса используются для локальных устройств. Если вы решите разместить эти IP-адреса за брандмауэром, можно воспользоваться командой из примера 12.1. С этой командой не требуется связывать никакой команды global.
Пример 12.1. Настройка NAT О
Pixfirewall(config)#nat (ineide) 0 200.200.200.0 255.255.255.0 0 0
Pixfirewall(config)# A Z
Pixfirewall#
В примере 12.1 внутренние адреса 200.200.200.0/24 (адресное пространство класса С) могут быть как внутренними, так и внешними. Из табл. 12.1 видно, что внутренние и внешние адреса совпадают. Брандмауэр PIX Firewall, по существу, не транслирует их.
Таблица 12.1. Вид таблицы xlate при использовании NAT О ,
Внутренний адресВнешний адрес
200.200.200.1200.200.200.1
200.200.200.2200.200.200.2
200.200.200.53200.200.200.53
Обратите внимание на то, что в табл. 12.1 представлены не все 254 доступных IP-адреса. Данные трансляции добавляются в таблицу по мере выявления активности входящих или исходящих связей. Если активности на наблюдается, соответствующая запись таблицы не формируется.
Еще одним возможным вариантом является использование NAT 0 между интерфейсами. Допустим, имеются интерфейсы 10.1.1.0/24 (inside) и 10.2.2.0/24 (inside2). Чтобы
установить связь между этими двумя внутренними сетями без использования глобальных адресов, можно воспользоваться NAT 0. Сквозная трансляция NAT 0 может сосуществовать с другими пулами трансляции адресов, как показано в примере 12.2.
Пример 12.2. Сосуществование сквозной трансляции с обычными
Pixfirewall(config)#access-list nonat permit ip 10.1.1.0 255.255.255.0
0 255.255.255.0
Pixfirewall(config)#nat (inside) 0 access-list nonat
Pixfirewall(config)#nat (inside) 1 10.1.1.0 255.255.255.0 0 0
Pixfirewall(config)#global (outside) 1 172.16.22.1-172.16.22.254
Pixfirewall(config)#AZ
Pixfirewall#
Контроль исходящего доступа
В предыдущих главах мы обсуждали использование средств NAT и статических трансляций. Вы также научились использовать операторы conduit для разрешения входящих соединений. Теперь обсудим вопросы управления исходящим доступом. Если вы помните, при обсуждении вопросов использования NAT вы узнали о том, что по умолчанию внутренним хостам разрешается отправлять любые данные интерфейсам с низким уровнем защиты. Как администратора, вас такое может устраивать не всегда. В частности, если брандмауэр FIX Firewall имеет множество интерфейсов, с которыми потенциально связано множество клиентов, вы, скорее всего, захотите установить ограничения и для исходящего доступа.
Существуют две команды, которые важны для контроля исходящего доступа, — это outbound (создание списка) и apply (применение списка к интерфейсу). Команда для исходящих списков доступа отличается от команды, используемой для списков доступа в маршрутизаторах. В данном случае применяется команда outbound, которая имеет следующий синтаксис.
outbound 1<1_списка (permit | deny) 1р_адрес [маска [java | порт[-порт]]] [протокол] outbound 1<1_списка except 1р_адрес [маска [java | порт[-порт]]] [протокол]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
permit deny id_cnncra
Разрешает соединение, тип которого задается остальными параметрами команды Запрещает соединение, тип которого задается остальными параметрами команды Номер-идентификатор списка доступа. Может быть произвольным, так что выбирайте его на свое усмотрение
ip_ адрес маска
IP-адрес хоста или сети
Маска, соответствующая сетевому адресу
порт
java
Номер порта TCP/UDP или диапазон номеров портов
Определяет трафик порта 80. При использовании с опцией deny брандмауэр блокирует аплеты Java. Аплеты Java по умолчанию разрешены, так что для их разрешения специального упоминания не требуется
Параметр команды
Описание
протокол
Ограничивает список до TCP, UDP или ICMP. Если ничто не указано, то по умолчанию используется TCP
except
Создает исключения для правил, ранее установленных операторами outbound permit или deny. Остальные параметры оператора except аналогичны описанным выше
После создания выходного списка доступа необходимо применить его к интерфейсу. Синтаксис используемой для этого команды apply является следующим.
apply [(имя интерфейса)] 1<1_списка {outgoingsrc | outgoingdest}
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса
Имя интерфейса, заданное командой nameif. Как и в большинстве других команд, имя интерфейса заключается в круглые скобки
id_cnncKa
Число, соответствующее списку исходящего доступа, существующего в брандмауэре PIX firewall
outgoing_src
Говорит о том, что операторы permit или deny списка доступа связаны с IP- адресами источника внутри брандмауэра PIX firewall (на внутренних интерфейсах)
outgoing_dest
Свидетельствует о том, что операторы permit или deny списка доступа связаны с IP- адресами назначения на внешних интерфейсах (или других интерфейсах с более низким уровнем защиты)
Снова, как и большинство других команд брандмауэра PIX Firewall, команды outbound и apply предоставляют администратору широкие возможности для ошибок при создании конфигурации. Вычислительные устройства работают в черно-белом мире нулей и единиц, в котором каждый объект либо удовлетворяет определенным условиям, либо нет. Например, пакет либо является пакетом TCP, либо нет. Если это пакет TCP, то он либо направляется порту 23 (Telnet), либо нет. Если это пакет Telnet, то сеть, от которой он исходит, либо надежна, либо нет. При этом результат — выбор правильных настроек сети или превращение сети в совершенно неработоспособную — полностью зависит от администратора. Как всегда, реализация политики защиты требует предельной аккуратности.
Списки исходящего доступа определяют набор правил. Оператор apply связывает список доступа с интерфейсом и активизирует этот список, определяя условия для адресов источника или получателя. Если оператор apply вводится с ключевым словом outgoing src, то фильтруются IP-адрес источника, порт и протокол. Если оператор apply вводится с ключевым словом outgoing_dest, то фильтруются IP-адрес назначения, порт и протокол. Такой подход применяется в связи с тем, что большинство приложений используют произвольные (и разные) порты источника, так что их фильтрование оказывается неэффективным.
Когда брандмауэр PIX Firewall использует списки операторов outbound, применяется критерий “наилучшего соответствия”, который выявляется с помощью маски IP-адресов и проверки диапазонов портов. Более конкретные маски IP-адресов (больше битов совпадения) и меньшие диапазоны портов считаются более подходящими. При неоднозначности оператор permit имеет преимущество по сравнению с оператором deny.
Правила except работают среди других операторов permit и deny. Если создать список, состоящий только из одного оператора except, то, с точки зрения логики, ничего требоваться не будет, поэтому такой список не будет иметь никакого влияния.
Замечание
Программное обеспечение брандмауэра PIX Firewall 5.0(1) и более поздних версий позволяет использовать списки доступа, подобные спискам доступа маршрутизаторов. Имея возможность назначить спискам доступа имена, вы можете использоаать для входящего и исходящего трафиков брандмауэра PIX Firewall операторы и форматы, аналогичные используемым в маршрутизаторе.
Операторы access-list и access-group Cisco IOS в настоящее время включены в программное обеспечение брандмауэра PIX Firewall. Эти “новые" форматы списков доступа могут сосуществовать с другими типами управления доступом, описанными в книге. На это следует обратить особое внимание при настройке как одного, так и множества брандмауэров PIX Firewall в сети. Брандмауэр PIX Firewall всегда может определить, какие правила соответствуют операторам конфигурации, но часто администраторы сами усложняют проблему, создавая хитроумные сценарии, в которых к тому же комбинируются и сравниваются совершенно разные наборы команд.
Примеры управления исходящим доступом
В этом разделе предлагается несколько примеров списков исходящего доступа и их приложения к интерфейсам. Список из примера 12.3 запрещает инициализацию сеансов всем внутренним хостам.
стороны внутренних узлов
Pixfirewall(config)toutbound 1 deny 0 0 0 0
Pixfirewall(config)tapply (inside) 1 outgoing_src
Pixfirewall(config) tA Z
Pixfirewall#
Список из примера 12.4 запрещает все, исходящее от хоста 200.200.200.11, кроме трафика Telnet и HTTP.
: Пример 12.4. Разрешение только трафика Telnet и HTTP•
для конкретного хоста
Pixfirewall(config)toutbound 2 deny 0 0 0 0
Pixfirewall(config)toutbound 2 except 200.200.200.11 255.255.255.255 23 tcp
Pixfirewall(config)toutbound 2 except 200.200.200.11 255.255.255.255 80 tcp
Pixfirewall(config)tapply (inside) 2 outgoing_src
Pixfirewall(config)tAZ
Pixfirewallt
Общий оператор deny часто указывают первым в списке (который сильно отличается от списка доступа маршрутизатора), поскольку самыми подходящими считаются более конкретные совпадения. Это напоминает выбор маршрута в маршрутизаторе. Можно также применить несколько списков с целью упрощения логики сортировки. Но не забывайте, что применение большого числа списков к одному интерфейсу замедляет процесс обработки пакетов из-за увеличения шагов, которые должен выполнить брандмауэр.
В примере 12.5 показан вариант применения множества списков к одному интерфейсу.
ример 12.5. Применение неског «ИИиМвЫН^ример 12.5. Применение неског «ИИиМвЫН^;Жков к одному интерфейсу;Жков к одному интерфейсу
ример 12.5. Применение неског «ИИиМвЫН^
ример 12.5. Применение неског «ИИиМвЫН^
;Жков к одному интерфейсу
;Жков к одному интерфейсу
Pixfirewall(config)#outbound 3 deny 0 0 0 0
Pixfirewall(config)toutbound 3 except 200.200.200.0 255.255.255.0 23 tcp
Pixfirewall(config)toutbound 4deny 00 0 0
Pixfirewall(config)toutbound 4permit10.1.1.21255.255.255.25500
Pixfirewall( config) toutbound 4permit10.1.1.22255.255.255.25500
Pixfirewall(config)toutbound 4permit10.1.1.64255.255.255.19200
Pixfirewall(config)toutbound 4permit0 0 21 tcp
Pixfirewall(config )tapply (inside) 3 outgoingsrc
Pixfirewall(config)#apply (inside) 4 outgoing_src
Pixfirewall(config)#A Z
Pixfirewallt
Список 3 запрещает весь трафик, отличный от трафика Telnet из сети 200.200.200.0 класса С. Список 4 выдает разрешения конкретным хостам 10.1.1.21 и 10.1.1.22, а также 64 хостам с адресами 10.1.1.64—10.1.1.127. Кроме того, тот же список разрешает сеансы FTP любому хосту. Оба списка применяются к одному интерфейсу и проверяются по порядку при инициализации любого потока. И хотя для администратора такой подход может казаться проще, для брандмауэра PIX Firewall он таковым не является.
Блокирование аплетов Java и фильтрация URL
В любой компании использование служащими корпоративного доступа к Internet (и потенциальное злоупотребление им) наряду с эффективностью использования рабочего времени являются важными производственными вопросами. Даже если служащие используют Internet эффективно, важным оказывается и то, с какими приложениями они входят в контакт. Каждой компании, связанной с Internet, приходится защищать свои ресурсы либо от злоупотреблений, либо от вредоносных аплетов, которые могут быть активизированы на Web-странице по незнанию или невнимательности. Механизмы фильтрации URL (Uniform Resource Locator —унифицированный указатель информационного ресурса) и блокирование аплетов Java — вот две технологии, используемые для этого брандмауэром PIX Firewall.
В последние годы появилось множество сообщений о вредоносных приложениях Java, которые могут быть нечаянно запущены пользователями при неправильной конфигурации их броузеров. Java является очень мощным языком программирования. Позволяя неконтролируемый запуск приложений, сетевые администраторы и менеджеры защиты непреднамеренно могут допустить разрушительные действия в сети.
Блокирование аплетов Java
Блокирование аплетов Java означает удаление аплетов Java, поступающих через порт протокола HTTP. Брандмауэр PIX Firewall удаляет любой аплет, содержащий сигнатуру Java в любой части сообщения. Это не касается аплетов, помещенных в ар-
хивы (ZIP, LHA, ARJ и т.д.), но затрагивает полезные и безвредные файлы Java, так что пользователи могут жаловаться на неполный прием страниц. В данном случае либо выполняется полное блокирование Java, либо блокирование отсутствует.
Чтобы фильтровать аплеты Java, следует создать список исходящего доступа и применить его к интерфейсам, которые необходимо защитить. Тем самым запрещается инициирование всех аплетов Java защищенными интерфейсами.
Снова напомним, что для брандмауэра PIX Firewall значительно сложнее работать при использовании множества списков, чем при одном списке ограничений outbound, когда все продумано заранее и все необходимые ограничения включаются в один список. Тем не менее, в примере 12.6 добавляется еще один список доступа.
|||рй^^
Pixfirewall(config)#outbound 5 deny 0 0 java
Pixfirewall(config)#apply (inside) 1 outgoing_src
Pixfirewall(config)#AZ
Pixfirewall#
Этот список запрещает выполнять аплеты Java во внутренней сети всем внутренним пользователям. Весь остальной трафик по умолчанию разрешен. Применение списков доступа в брандмауэре отличается от их применения в маршрутизаторе — не забывайте об этом при их настройке. Здесь имеется в виду, что чаще всего списки доступа на маршрутизаторе применяются в направлении входящего трафика к соответствующему интерфейсу. Это особенно важно при смешанной технологии, когда команды access-list и access-group поддерживаются новыми версиями программного обеспечения брандмауэра PIX Firewall.
Фильтрация URL
Для обеспечения дополнительной защиты, а также в целях более успешной реализации корпоративной политики защиты при использовании Web, можно заставить брандмауэр PIX Firewall взаимодействовать со средствами фильтрации URL и системой аудита. Программа WebSENSE предлагает усовершенствованные средства управления доступом и фильтрации. Средства WebSENSE включают поддержку обширной базы данных URL-адресов, упорядоченных по 29 категориям содержимого Internet. Сетевые администраторы или менеджеры безопасности (обычно действующие в интересах политики защиты) могут определить, какие из этих категорий должны разрешаться или блокироваться в определенные периоды времени.
Замечание
Вы должны знать, что система WebSENSE не является бесплатной. Необходимо оформить подписку на соответствующий сервис и купить программное обеспечение, чтобы установить его в ячейке Windows NT вашей сети.
С настройкой WebSENSE связаны две команды: url-server и filter. Чтобы установить взаимодействие с менеджером содержимого (сервером URL), используется команда url-server, имеющая следующий синтаксис.
url-server [(имя_интерфейса)] host локальи_1р [timeout сехуиды]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса
Указывает интерфейс, на котором размещается сервер URL. Как и в большинстве других команд, имя интерфейса заключается в круглые скобки
локальи_1р
Локальный IP-адрес (не NAT-адрес) машины на указанном интерфейсе
секунды
Определяет предельное время ожидания в секундах
Тип используемой фильтрации URL указывается с помощью команды filter, которая имеет следующий синтаксис.
filter url {http | except} локальн_1р локальн_маска виеши_1р виешн_маска [allow] filter java порт(-порт) локальи_1р маска виеши_1р маска
filter activex порт локальн_1р маска внеши_1р маска
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
url
Определяет фильтрацию URL
порт
Уточняет номер порта, который должен контролироваться средствами фильтрации. Обычно это http, но можно указать и другие номера портов, если Web-сервер имеет нестандартные настройки. Можно также управлять доступом к конкретным Web- адресам, контролируя порт с помощью списка исходящего доступа
http
Фильтрация URL-адресов НИР (World Wide Web)
except
Создает исключения из правил, ранее установленных командами filter permit или deny
локальн_1р
Указывает локальный IP-адрес или сеть для фильтрации
локальн маска
Задает сетевую маску, связанную с локальи_1р
внеши_1р
Указывает внешний IP-адрес или сеть для фильтрации
виеши_маска
Определяет сетевую маску, связанную с виеви_1р
allow
Если сервер URL недоступен (превышен предел времени ожидания), это ключевое слово разрешает движение трафика без проверки. При отсутствии этой команды, если сервер URL станет недоступным, все запросы НИР будут отвергаться
java
Указывает фильтрацию аплетов Java
activex
Указывает фильтрацию элементов управления ActiveX
Как видно из примера 12.7, команды, разрешающие брандмауэру FIX Firewall начать фильтрацию URL, относительно просты.
Пример 12.7. Установка сервера фильтрации URL для всех исходящих
Pixfirewall( config) furl-server (dmz) host 192.168.1.42 timeout 10
Pixfirewall(config)ffilter uri http 0 0 0 0 allow
Pixfirewall(config)IAZ
Pixfirewallf
Одним из приемов, которые применяются с командами фильтрования, является кэширование запросов. Если доступ к www.cisco.com или www.ciscopress.com пытаются получить много людей в течение небольшого времени, брандмауэру FIX Firewall не требуется генерировать отдельные запросы и ответы для каждого сеанса HTTP.
Кроме того, можно установить кэш для URL-запросов и ответов с помощью команды url-cashe, имеющей следующий синтаксис.
url-cache {dst | srcdst} размер
Параметры команды описаны в следующей таблице.
Параметр команды Описание
dstКэширование ответов на основе Web-узлов назначения
src dstКэширование ответов на основе Web-узлов назначения в зависимости от станции-
источника, выдавшей запрос
размерУказывает размер буфера памяти для кэширования запросов URL
Например, чтобы на основе параметров адресата установить для запросов фильтрации URL кэш объемом 16 Кбайт, следует использовать команду, показанную в примере 12.8.
Pixfirewall(config)turl-cache dst 16
Pixfirewall(config)IAZ
Pixfirewall#
Замечание
Использование команды url-cache заставляет брандмауэр PIX Firewall проверять содержимое кэша перед выдачей запроса серверу URL. Это не дает серверу URL регистрировать “хорошие” и “плохие” запросы Web. Вы должны хорошо представлять себе последствия применения этой команды, собираясь добавить ее в конфигурацию, реализующую политику использования Internet в вашей сети.
Настройка контрольных записей
FTP и URL
Существуют дополнительные способы применения уже известных вам команд, позволяющие управлять брандмауэром PIX Firewall и сетью, которую он защищает. Чтобы активизировать средства регистрации контрольных записей доступа URL и FTP, можно использовать методы, о которых вы узнали из главы 11. В той главе были описаны возможности настройки сервера syslog и установки соответствующих параметров брандмауэра PIX Firewall, позволяющих направлять контрольные сообщения этому серверу. Брандмауэр PIX Firewall анализирует каждый пакет FTP и HTTP. Этот процесс управляется командами fixup, которые по умолчанию активизированы.
HTTP и FTP — это протоколы, которые не отвечают стандартам RFC, а потому порождают проблемы при использовании NAT. Причиной является регистрация ими
специфической информации о машине (IP) на верхних уровнях модели OSI (Open System Interconnection — взаимодействие открытых систем). Ввиду того, что средства NAT работают только на уровне 3, некоторые данные могут оказаться несогласованными. Когда ваш броузер выполняет запрос, IP-адрес машины помещается на уровень 7 (прикладной) и уровень 3 (сетевой). Если сеть использует средства NAT, последние изменяют только адрес на уровне 3. Поэтому на другом конце соединения пакет HTTP будет иметь разные IP-адреса на указанных уровнях.
Команда fixup protocol помогает преодолеть эти несоответствия для многих популярных протоколов. Синтаксис команды следующий:
fixup protocol тип номер порта
Параметры команды описаны в следующей таблице.
Параметр команды Описание
типУказывает брандмауэр PIX Firewall тип протокола для исправления. Допустимыми
значениями являются http, ftp, h323, rsh, rtsp, smtp и sqlnet
номер_порта Определяет номер порта, который будет использоваться указанным протоколом.
Может потребоваться несколько операторов, если, например, в сети имеются Web- серверы, использующие порты 80 (стандартный) и 8000
Некоторые команды, например те, которые показаны в примере 12.9, имеются в конфигурации брандмауэра PIX Firewall по умолчанию.
Б
римерЛ 2.9; Применение команды fixup protocol■ -.
Pixfirewall(configJifixup protocol http 80
Pixfirewall(config)#fixup protocol ftp 21
Pixfirewall(config)IAZ
Pixfirewalli
Другие протоколы, в частности многие заказные, не вполне соответствующие стандартам RFC, тоже могут порождать проблемы. Программисты Cisco могут добавить больше опций в команду коррекции протоколов, но соответствующие протоколы должны быть широко используемыми. Они не станут вносить изменения в код из-за частных протоколов пользователей.
Поскольку брандмауэр PIX Firewall уже обращается в пакетах к верхним уровням, логика создания контрольных записей для FTP и HTTP оказывается достаточно простой.
Любая URL-информация порождает сообщения syslog с уровнем серьезности 7 (сообщения отладки). Поэтому, чтобы зарегистрировать такие сообщения, достаточно дать указание регистрировать сообщения соответствующего типа (с помощью прерываний syslog или буфера консоли).
Замечание
Указание уровня отладки для syslog в большой сети генерирует огромный объем информации. Я не отговариваю вас от применения контрольных сообщений этого типа, но все же необходимо трезво подходить к необходимости их использования.
Некоторым компаниям требуется регистрировать сеансы исходящего доступа URL, например, чтобы предоставлять соответствующую информацию другим отделениям,
осуществлять мониторинг предпочтений пользователей или решать какие-то иные задачи в рамках политики защиты.
Если в рамках вашей политики защиты необходима такая регистрация, не забывайте о том, какие последствия она вызывает. Для создания каждого регистрируемого сообщения брандмауэру FIX Firewall потребуется процессорное аремя, кроме того, пакеты с сообщениями syslog будут отсылаться серверу syslog, ежедневное увеличение объема текстового файла syslog будет огромным, а анализ накапливающихся файлов syslog будет требовать все больше времени и усилий.
Если знать о последствиях, то воспользоваться указанными возможностями ничто не мешает.
В дополнение к регистрации контрольных записей брандмауэром FIX Firewall предлагается команда logging message. Можно включить конкретную информацию в контрольные записи или отменить ее включение, если соответствующая информация не требуется. Чтобы отключить использование специальных регистрационных сообщений syslog, воспользуйтесь этой командой с префиксом по. Синтаксис команды logging message следующий:
logging message syslog_id
Параметр команды представлен в следующей таблице.
Параметр команды
Описание
syslog_id
Идентификационный номер типа сообщения syslog, которое следует (или не следует) обрабатывать. Эта команда обычно используется с префиксом по перед командой, чтобы отключить конкретный тип сообщения
Различные номера syslog_id соответствуют разным типам сообщений. Их список предлагает Cisco Connection Online; соответствующий список можно также найти на компакт-диске с документацией. Каждая версия программного обеспечения брандмауэра PIX Firewall имеет свой раздел “Messages Listed by Severity Level” с описанием сообщений syslog и соответствующих особенностей.
В следующих примерах, как и в реальных протоколах контрольных записей, сообщения syslog отражают действия источника по отношению к адресату. В примере 12.10 показан вариант зарегистрированного сообщения URL. В этом примере 192.168.69.71 является машиной-источником, которая получает доступ к файлу secrets.gif в системе машины-адресата 10.0.0.1.
^wK.-регистрации URL^wK.-регистрации URL
^wK.-регистрации URL
^wK.-регистрации URL
%Р1Х-5-304001: 192.168.69.71 accessed URL 10.0.0.1/secrets.gif
В примере 12.11 показан вариант сообщения регистрации FTP. Источник 192.168.69.42 получил файл, а источник 192.168.42.54 сохранил файл.
%Р1Х-5-304001: 192.168.69.42 Retrieved 10.0.0.42:feathers.tar
%PIX-5-304001: 192.168.42.54 Stored 10.0.42.69:privacy.zip
Подробный список типов (syslog id) сообщений для самой последней версии программного обеспечения брандмауэра PIX Firewall можно найти на компакт-диске Cisco с документацией или на страницах Cisco Connection Online (ССО).
Настройка SNMP
Когда брандмауэр PIX Firewall работает в производственной среде и вы используете сообщения syslog для мониторинга его состояния, необходимо добавить более совершенные средства контроля. Используя программное обеспечение сетевого управления, вы получаете возможность вести упреждающий мониторинг состояния брандмауэра PIX Firewall (а также других сетевых устройств).
Протокол SNMP (Simple Network Management Protocol — простой протокол сетевого управления) дает возможность сетевому устройству участвовать в процессе сетевого управления. Каждое устройство может быть опрошено с целью получения информации (сообщения “get” — запросы), и каждое устройство может направить информацию станции управления (сообщения “trap” — прерывания), чтобы иметь возможность вовремя регистрировать и решать возникающие проблемы.
Одни прерывания являются базовыми, а другие связаны с защитой. К базовым прерываниям относятся следующие:
интерфейс включен;
интерфейс отключен;
перезагрузка брандмауэра PIX Firewall (“холодный” старт).
К связанным с защитой прерываниям относятся следующие:
запрет глобального доступа;
сообщения syslog об исправлении ошибок;
любые другие сообщения syslog.
Программы SNMP используют файлы MIB (Management Information Base — база управляющей информации) для доступа к сообщениям и параметрам каждого сетевого устройства. С помощью файлов MIB программы SNMP получают информацию о том, что означают сообщения каждого из устройств и какие возможности сетевого управления для него доступны.
Можно использовать семейство продуктов CiscoWorks или любую другую программу, совместимую с требованиями SNMP VI MIB-II, чтобы получать прерывания и просматривать файлы MIB. Внутренние прерывания SNMP связаны с UDP-портом 162; эта информация понадобится вам при создании каналов доступа к сетевым станциям управления.
Для активизации основных возможностей доступа достаточно ввести всего несколько команд SNMP.
Чтобы начать настройку SNMP, необходимо использовать команду sump-server, имеющую следующий синтаксис.
sump-server {community ключ | contact текст | location текст)
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
community ключ
Определяет групповое имя SNMP. Если вы работаете с SNMP в Internet или на любом другом незащищенном интерфейсе, избегайте “открытых” и "частных” групповых имен. Выберите нечто соответствующее смыслу и трудное для угадывания, чтобы не допустить несанкционированный мониторинг и модификацию
contact текст
Обеспечивает базовую информацию для контакта с администратором, управляющим устройством
location текст
Обеспечивает базовую информацию о размещении устройства. В больших сетях может упростить“поиск” устройства
Обратите внимание на то, что при настройке групповых строк sump-server не предлагается выбирать переменные только для чтения (RO) или для чтения и записи (RW). Брандмауэр PIX Firewall, который, как предполагается, должен быть максимально защищен, не поддерживает возможности чтения и записи для сетевого управления. Он трактует все групповые переменные как доступные только для чтения.
Команда sump-server host указывает хост, которому направляется информация прерываний, и эта команда имеет следующий синтаксис:
sump-server host [имя_иитерфейса] локапьи_1р
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса
Имя интерфейса, на котором размещается станция управления SNMP, которой должна направляться информация прерываний. Соответствующее значение не должно помещаться в круглые скобки
локапьи_хр
Локальный (нетранслированный) IP-адрес станции управления, связанной с соответствующим интерфейсом
Чтобы разрешить применение прерываний, посылаемых рабочей станции управления, используется команда sump-server enable table. Она включает или отключает отправку прерывания SNMP посредством syslog.
В примере 12.12 показано, как объединить ряд таких команд для настройки SNMP в брандмауэре PIX Firewall. Соответствующие команды информируют программное обеспечение сетевого управления о том, что конкретный брандмауэр PIX Firewall чем- то отличается от “простого” брандмауэра PIX Firewall.
Пример 12.12. Конфигурация SNMP брандмауэра PIX Firewall
Pixfirewall(config)lsnmp-server location 1212 First Street South, Room 12A Pixfirewall( config) I snmp-server contact Bob Jones (800)555-1212 ext 4893 Pixfirewall(config)#snmp-server community supersecure
Pixfirewall(config)#snmp-server host 10.2.6.5
Pixfirewall(config)Isnmp-server enable traps
Pixfirewall(config)I * Z
Pixfirewalll
Настройка средств обработки отказов брандмауэра FIX Firewall
Средства обработки отказов позволяют иметь в сети два отдельных брандмауэра FIX Firewall, чтобы обеспечить избыточность инфраструктуры защиты. В случае отказа одного элемента задачу выполнит другой элемент. Это очень напоминает возобновление выполнения команд маршрутизатора в рамках протокола HSRP (Hot Standby Router Protocol — резервный протокол маршрутизации).
Брандмауэр PIX Firewall может выполнить два типа обработки отказов: базовый и полномасштабный. Во всех версиях программного обеспечения брандмауэра PIX Firewall можно осуществлять мониторинг базовой обработки отказов. В таком случае используется специальный кабель последовательной связи между двумя объектами PIX Firewall (активным и резервным) для передачи базовой информации (например, адресов IP и МАС активного элемента). Кроме того, каждые 15 секунд каждый объект посылает пакеты hello (приветствие) по каждому интерфейсу, чтобы связаться с другим брандмауэром PIX Firewall. Это значит, что соответствующие пакеты проходят по специальному последовательному кабелю и каждому интерфейсу локальной сети.
Базовая обработка отказов
Код обработчика отказов брандмауэра PIX Firewall осуществляет мониторинг всех сообщений об отказах, состояния питания удаленных объектов и всех пакетов hello, получаемых интерфейсами. Если на протяжении определенного времени, заданного для связи обработки отказов, оказываются пропущенными два последовательных пакета hello, код обработчика отказов начинает проверку интерфейсов, чтобы выяснить, какой объект вызвал отказ и где он расположен, и передать управление резервному объекту.
Когда требуется обработка отказа, новый активный элемент (ранее резервный) получает все IP- и МАС-адреса элемента, который ранее был активным. Это упрощает работу интерфейсам локальной сети, поскольку у маршрутизаторов и хостов не возникает необходимости реформировать ARP (Address Resolution Protocol — протокол разрешения адресов), чтобы открывать новый шлюз.
Кабель обработки отказов является специальным кабелем, который приобретается отдельно. Этот кабель имеет первичный и вторичный разъемы (во многом напоминая DCE/DTE). Убедитесь в том, что кабель соединен с брандмауэрами PIX Firewall (активным и резервным) соответствующими концами, поскольку это важно для начальной конфигурации обработчика отказов.
Полномасштабная обработка отказов
Начиная с версии 5.0, программное обеспечение брандмауэра PIX Firewall предлагает параметр stateful failover (полномасштабная обработка отказов). Если полномасштабная обработка отказов активизирована, отслеживаются состояния всех соединений между двумя элементами, поэтому перерывы в предоставлении сервисов сводятся к минимуму. Если этот параметр не активизирован, при отказе все активные соединения обрываются и системам-клиентам приходится создавать соединения и трансляции вновь.
Чтобы обработать огромный объем информации, необходимой для учета состояний всех трансляций и соединений между активным и резервным брандмауэрами PIX
Firewall, необходим выделенный интерфейс Ethernet. Объем передаваемой в этом случае информации существенно превышает возможности последовательного кабеля для обработки отказов.
Выделенный интерфейс должен иметь скорость 100 Мбит/сек и использовать только Ethernet. Интерфейс может соединяться
соединительным кабелем типа CAT 5 непосредственно между элементами;
через концентратор lOOBaseTX с полудуплексной связью;
через коммутатор lOOBaseTX с полнодуплексной связью или порты VLAN (Virtual Local-Area Network — виртуальная локальная сеть).
Замечание
Хотя брандмауэр PIX Firewall и предлагает поддержку самых разных типов сетевой среды, он не поддерживает Token Ring и FDDI для выделенного интерфейса полномасштабной обработки отказов. Кроме того, на интерфейсах полномасштабной обработки отказов не должно быть других хостов и устройств.
Если вы имеете брандмауэр PIX 515, получите лицензию PIX-515-UR, которая позволит добавить опцию обработки отказов. Приобретите также опцию обработки отказов, допускающую использование вторичного элемента. Если же вы имеете брандмауэр PIX 520 или более совершенную модель, приобретите второй элемент с лицензией, аналогичной лицензии первого. Политика ценообразования Cisco позволяет большие скидки на второй элемент в отношении обработки отказов, поскольку один из элементов остается в значительной степени незадействованным.
Во время начальной загрузки брандмауэр PIX Firewall по умолчанию использует команду no active failover. Если кабель отсутствует, брандмауэр PIX Firewall автоматически считается активным элементом. Если кабель присутствует, то по умолчанию активным назначается брандмауэр PIX Firewall, к которому присоединен первичный разъем кабеля обработки отказов.
Кабель обработки отказов во многом подобен последовательному кабелю с разъемами DTE (Data Terminal Equipment — терминал, терминальное оборудование) и DCE (Data Communications Equipment — телекоммуникационное оборудование), которые различаются формой контактов. Один конец должен быть присоединен к первичному (активному по умолчанию) брандмауэру PIX Firewall, а другой — к вторичному (резервному).
Процесс обработки отказов
Обработка отказов вообще и полномасштабная обработка отказов в частности требует уяснения целого ряда вопросов. Активизацию обработчика отказов вызывают следующие события:
выключение или сбой питания активного брандмауэра PIX Firewall;
перезагрузка активного брандмауэра PIX Firewall;
отключение интерфейса активного брандмауэра PIX Firewall более чем на 30 секунд;
выполнение команды failover active на резервном брандмауэре PIX Firewall;
ошибки из-за нехватки памяти на активном брандмауэре PIX Firewall, длительность которых превышает 15 секунд.
В процессе полномасштабной обработки отказов активизированному брандмауэру FIX Firewall предоставляется следующая информация (не забывайте о том, что обычная обработка отказов переустанавливает все соединения и таблицы):
конфигурация брандмауэра FIX Firewall (включая IP- и МАС-адреса);
таблица TCP-соединений и значения пределов времени (за исключением НТТР-соединений);
таблица трансляции NAT (xlate);
показания системного времени (что оказывается полезным для поддержки протоколов контрольных записей).
Следующая информация не синхронизируется даже при полномасштабной обработке отказов.
таблица аутентификации пользователей (uauth);
таблица НТТР-соединений;
таблицы ISAKMP и ассоциаций защиты IPSec;
таблица ARP;
уже известная информация маршрутизации.
Настройка параметров обработки отказов
Чтобы настроить средства обработки отказов после того, как решены вопросы лицензирования и подключения соответствующего кабеля, необходимо использовать команду failover, имеющую следующий синтаксис.
failover ip address имя_иитерфейса 1р_адрес
failover timeout чч:мм:сс
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя_иитерфейса
Имя интерфейса брандмауэра PIX Firewall, определенное командой nameif
1р_адрес
IP-адрес другого брандмауэра PIX Firewall, каким он представляется указанному интерфейсу. Используется для полномасштабной обработки отказов и соответствует IP-адресу соответствующего устройства на выделенном интерфейсе Ethernet. Подобно HSRP в маршрутизаторе, необходимо знать, по какому IP-адресу следует посылать пакеты hello и информацию о состоянии
чч
Время в часах
мм
Время в минутах
сс
Время в секундах
Эти команды определяют интерфейс, который следует контролировать, и IP-адрес другого брандмауэра PIX Firewall. Не забывайте о том, что при обработке отказов резервный брандмауэр PIX Firewall получает IP- и МАС-адреса активного брандмауэра PIX Firewall.
Чтобы указать интерфейс для коммуникаций, используется команда failover link, имеющая следующий синтаксис.
failover link имя интерфейса
Параметр команды представлен в следующей таблице.
Параметр команды Описание
имя_иитерфейса Имя интерфейса, используемого для сообщений обработки отказов. Определяется командой nameif
Если выполняется настройка полномасштабной обработки отказов, эта команда описывает интерфейс Fast Ethernet.
Можете управлять состояниями активного и резервного маршрутизаторов и вручную. Команда failover reset возвращает брандмауэры FIX Firewall к исполнению первичной и вторичной ролей (помните о том, что концы кабеля обработки отказов различаются по виду разъемов). Выполнение данной команды предполагается после того, как администратор выяснит, какая проблема вызвала обработку отказа. Команда failover active заставляет брандмауэр FIX Firewall инициализировать обработку отказов. Она может использоваться для тестирования сети.
Как активные, так и резервные устройства должны иметь одну и ту же версию программного обеспечения брандмауэра PIX Firewall, чтобы они работали правильно. Не забывайте об этом при модернизации программного обеспечения вашего брандмауэра. Кроме того, в обоих устройствах должны быть установлены одинаковые интерфейсы в аналогичных разъемах, и модели PIX Firewall должны быть аналогичны. Чтобы обновить конфигурационную информацию в резервном брандмауэре PIX Firewall, можно выполнить команду write standby на активном брандмауэре PIX Firewall. Команда write standby передает всю конфигурационную информацию резервному брандмауэру PIX Firewall. При ее использовании помните о том, что кабель обработки отказов является последовательным, так что чем больше по объему файл конфигурации, тем больше времени потребуется для его передачи. Чтобы записать конфигурацию в активный брандмауэр PIX Firewall, потребуется выполнить команду write memory.
Настройка возможностей VPN
Брандмауэр PIX Firewall поддерживает ряд различных методов создания сетей VPN (Virtual Private Network — виртуальная частная сеть). Некоторые из этих методов аппаратные, другие же — программные. Более старые версии брандмауэра PIX Firewall (а также некоторые современные) поддерживают только аппаратные средства шифрования, что означает необходимость приобретения платы PIX Firewall Private Link, выполняющей такое шифрование. Более новые версии брандмауэра PIX Firewall осуществляют программную поддержку туннелей IPSec. Можно также реализовать политику защиты, в рамках которой поддерживается технология Microsoft туннелей РРТР (Point-to-Point Tunneling Protocol — протокол сквозного туннелирования).
Чаще всего сети VPN создаются для поддержки связи между узлами (между двумя брандмауэрами PIX Firewall или между маршрутизатором и брандмауэром), а также между сетью и конкретной машиной клиента (например, мобильным компьютером), как в случае использования технологии РРТР. Брандмауэры PIX Firewall, хотя и отличаются хорошей устойчивостью, все же не предназначены для поддержки большого числа туннелей VPN.
С этой задачей значительно лучше справляются серии VPN 3000 (пакет Altiga) и VPN 5000 (пакет Compatible Systems). Кроме того, маршрутизатор Cisco 7206 имеет специальный модуль ISM (Integrated Services Module — интегрированный модуль сер-
виса) в виде платы расширения, предназначенный для поддержки большого числа туннелей РРТР или IPSec (до 2000 туннелей на каждую такую плату). Таким образом, как и в случае любой связанной с сетями проблемы, выбирают соответственное оснащение; лучше выбрать подходящее оборудование, выполняющее необходимую работу хорошо, чем пытаться заставить одно устройство решать множество задач как-нибудь.
Шифрование Private Link
Private Link является традиционной системой шифрования на базе аппаратных средств для связи между двумя брандмауэрами PIX Firewall, проходящей через общедоступную открытую инфраструктуру. Эта система является частной технологией, поддерживающей туннели VPN только между брандмауэрами PIX Firewall. Этот тип шифрования не поддерживается в брандмауэрах PIX Firewall начиная с версии 5.0. Программное обеспечение брандмауэра PIX Firewall версии 4.x поддерживает соответствующую плату и связи, если сеть этого требует.
Следует подчеркнуть, что следующие команды применимы только с картами PIX Private Link и программным обеспечением брандмауэра PIX Firewall до версии 5.0. Начиная с версии 5.0 структура команд была изменена с целью поддержки туннелей IPSec (являющихся сегодня стандартом индустрии), которые будут обсуждаться в главе 16.
Возможности Private Link позволяют входящим пакетам Private Link обойти средства NAT и ASA (Adaptive Security Algorithm) и пройти к внутреннему интерфейсу. Для создания частного сетевого соединения применяется команда link. Чтобы задать основные параметры удаленной стороны, включая значения секретных ключей, используется следующая форма этой команды.
link {interface} 1р_удален_стороны 1д_ключа текст_ключа link 1р_удален_стороны md5
Параметры команды описаны в следующей таблице.
Параметр команды Описание
интерфейсИнтерфейс локального брандмауэра PIX Firewall, в котором заканчивается туннель, на
пример (inside)
1р_удален_стороны IP-адрес удаленного брандмауэра PIX Firewall
1а_ключаИдентификатор ключа (последовательный номер)
текст_ключаЗначение данного ключа (текст пароля)
Чтобы задать информацию Private Link для диапазона удаленных сетей, используется команда linkpath, которая имеет следующий синтаксис.
linkpath 1р_удален_сетн удален_маска 1р_удален_стороны
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
1р_удален_сетн
Сетевой IP-адрес удаленной сети
удален маска
Сетевая маска для указанного IP-адреса удаленной сети
i р__удален__ стороны
IP-адрес удаленного брандмауэра PIX Firewall
Чтобы описать длительность периода активности туннельных связей, используется команда аде, имеющая следующий синтаксис.
аде минуты
Параметр команды представлен в следующей таблице.
Параметр команды
Описание
минуты
Указывает время в минутах, в течение которого туннель может оставаться активным для одного значения ключа
Команда linkpath аналогична команде ip route при установке множества туннелей и отправке трафика в нужном направлении. На рис. 12.1 показана топология сети, соответствующая примеру 12.13.
(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1(Внутренний) 10.1.1.1 (Внешний) 172.16.32.110.1.0.0 Сеть А10.1.0.0 Сеть А10.3.0.0 Сеть В10.3.0.0 Сеть В
(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1
(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1
(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1
(Внутренний) 10.1.1.1 (Внешний) 172.16.32.1
10.1.0.0 Сеть А
10.1.0.0 Сеть А
10.3.0.0 Сеть В
10.3.0.0 Сеть В
Рис. 12.1. Сеть с использованием Private Link
В брандмауэре А конфигурация Private Link может выглядеть так, как показано в примере 12.13.
—„.—.т-. ..._.. _л„ .г. „.,„_.,..,......
; Пример 12.13. Вариант конфигурации Private Link
Pixfirewall(config)#link 172.16.35.1 1 aaaaaaaaaa
Pixfirewall(config)#link 172.16.35.1 2 bbbbbbbbbb
Pixfirewall(config)#link 172.16.35.1 3 cccccccccc
Pixfirewall(config)#link 172.16.35.1 4 dddddddddd
Pixfirewall(config)#link 172.16.35.1 5 eeeeeeeeee
Pixfirewall(config)#linkpath 10.3.0.0 255.255.255.0 172.16.35.1
Pixfirewall(config)#A Z
Pixfirewall#
В брандмауэре В конфигурация Private Link может выглядеть так, как показано в примере 12.14.
В результате весь трафик, движущийся от 10.1.0.0/24 к 10.3.0.0/24 и в обратном направлении, будет шифроваться средствами Private Link.
Pixfirewall(config)!link 172.16.32.1 1 aaaaaaaaaa
Pixfirewall(config)!link 172.16.32.1 2 bbbbbbbbbb
Pixfirewall(config)!link 172.16.32.1 3 cccccccccc
Pixfirewall(config)!link 172.16.32.1 4 dddddddddd
Pixfirewall(config)!link 172.16.32.1 5 eeeeeeeeee
Pixfirewall(config)!linkpath 10.1.0.0 255.255.255.0 172.16.32.1
Pixfirewall(config)! * Z Pixfirewall!
Обратите внимание на то, что операторы link задают множество общих для сторон ключей, с помощью которых устанавливаются туннели. Это обеспечивает ротацию ключей. Дополнительная информация об общих ключах и шифровании содержится в главе 16.
Если добавить команды, представленные в примере 12.15, то алгоритмом шифрования должен стать алгоритм MD5 (Message Digest 5).
Т7^—; - г— -,-7-^-^;-— -тг^тецу-. -.
। Пример 12.15. Изменение шифрования ключа на хэширование MD5
HSeaeesaisiaialsiiibSlBiSSafillSSaalBllle
Firewall A: link 172.16.35.1 md5
Firewall В: link 172.16.32.1 md5
Обе стороны должны согласованно изменять подобные стандарты. Иначе одна из сторон будет говорить на языке, который не сможет понять другая.
Настройка поддержки РРТР
Многие компании, поддерживающие большие сети Windows NT, используют протокол PPTP (Point-to-Point Tunneling Protocol — протокол сквозного туннелирования) фирмы Microsoft. Особенность этой технологии заключается в том, что РРТР использует схему шифрования, вводимую клиентом.
Поскольку РРТР инициируется клиентом, соответствующая связь называется “спонтанным” туннелем. Поставщик сервиса связи между мобильной системой пользователя и базовой сетью не должен быть осведомлен об установке такого туннеля.
Ввиду того, что РРТР является шифрованием, основанным на программных средствах, возникают вопросы производительности, особенно при использовании большого числа VPN-связей. Поддержка РРТР требует установки соответствующего программного обеспечения в системе клиента (обычно это мобильный компьютер пользователя). Для минимальной поддержки РРТР и других соответствующих возможностей наиболее предпочтительной является система Windows Dial-Up Networking (DUN) версии 1.3.
К возможностям, о которых идет речь, относятся МРРЕ (Microsoft Point-to-Point Encryption — канальное шифрование Microsoft) и МРРС (Microsoft Point-to-Point Compression — канальное сжатие Microsoft) для пересылаемых пакетов. Эти опции выбираются с помощью отметки соответствующих флажков в окнах, изображения которых показаны на рис. 12.2.
Клиент инициирует создание туннелей к серверу, называемому сетевым сервером РРТР или “собственным шлюзом”. В последних версиях IOS некоторые маршрутизаторы получили возможность поддерживать сеансы РРТР самостоятельно. Ранее единственным объектом, имеющим возможность поддержки сеансов РРТР, была система Microsoft
Windows NT Server co средствами RAS (Remote Access Service — сервис удаленного доступа). Начиная с версии 5.1 программное обеспечение брандмауэра PIX Firewall поддерживает входящие сеансы РРТР от устройств под управлением Microsoft Windows.
Рис. 12.2. Окна настройки Microsoft Dial-Up Networking
Технология PPTP является только конечным решением; это значит, что брандмауэр PIX Firewall непосредственно не поддерживает установку туннелей РРТР. Он поддерживает использование прокладываемых туннелей РРТР только в той мере, насколько это позволено политикой защиты.
Чтобы изменить политику защиты и позволить прохождение туннелей РРТР, требуется изменить некоторые параметры конфигурации. Сначала конечное устройство, в котором должны заканчиваться туннели РРТР, следует настроить для статической трансляции. Это имеет смысл только с точки зрения перспективы загрузки. Каждому клиенту необходимо знать конечный адрес, чтобы правильно настроить свою мобильную систему.
После установки статической трансляции в конфигурацию следует добавить команды conduit, как показано в примере 12.16.
Пример 12.16. Варианты настройки каналов для туннелей РРТР
S-L—::._ --.:=! •.' —, conduit permit tcp глобальн_1р глобальн_маска eq 1723 внешн_1р внешн_маска conduit permit gre глобальн 1р глобальн маска внешн 1р внешн маска
Обработку пакетов поддержки туннеля осуществляет ТСР-порт 1723. Остальные пакеты являются пакетами GRE (Generic Route Encapsulation — общая инкапсуляция для маршрутизации), т.е. непосредственно пакетами, передаваемыми по туннелю.
Те же параметры необходимы и для более новых технологий, например для L2F (Layer 2 Forwarding — продвижение данных на канальном уровне) и L2TP (Layer 2 Tunneling Protocol — протокол туннелирования канального уровня). Технологии различны, но их поддержка брандмауэром PIX Firewall и соответствующие требования одинаковы.
Более новые технологии используют поддержку IPSec клиентом и допускают завершение туннеля в брандмауэре PIX Firewall. Эти технологии будут обсуждаться подробнее в данной книге позже.
Следующие действия позволяют туннелям РРТР пройти через брандмауэр PIX Firewall.
Для устройства, являющегося конечным для туннеля (NT Server или другое устройство), должен быть определен соответствующий статический оператор NAT, указывающий подходящий глобальный адрес.
Для управления туннелем (ТСР-порт 1723) должен быть открыт канал к устройству на внешнем конце туннеля.
Для самого туннеля тоже необходимо открыть канал (протокол GRE) к устройству, в котором туннель заканчивается.
Начиная с версии 5.1 брандмауэр PIX Firewall сам может выступать в роли устройства завершения туннелей РРТР. Используя глобальный адрес интерфейса брандмауэра PIX Firewall для настройки устройств Microsoft Windows, можно заставить брандмауэр PIX Firewall выполнять аутентификацию и устанавливать границу туннелей РРТР.
Менеджер политики CiscoSecure
Менеджер CSPM (CiscoSecure Policy Manager — менеджер политики защиты) позволяет централизованно управлять политикой защиты до 500 устройств Cisco. Менеджер CSPM работает с брандмауэром PIX Firewall и другими устройствами Cisco IOS, в частности с теми, которые настраиваются в рамках возможностей IOS Firewall.
CSPM позволяет определять политику защиты без обращения к интерфейсам командной строки устройств, используя интуитивно понятный шаблон и интерфейс блок-схем. На основе используемой политики автоматически создается соответствующий код командной строки и распределяются требования политики защиты, реализующие наивысшую степень защиты и наиболее широкие возможности VPN сетевых устройств.
Менеджер CSPM существенно упрощает процесс централизованного управления сетями VPN и системой защиты предприятия в целом. Он расширяет возможности контроля за пределы обычного управления вручную, но предлагает меньшие возможности, чем система сетевого управления Cisco Works. CSPM включает возможности сетевого мониторинга и составления отчетов для изучения сетевой активности, а также систему предупреждений о вероятных нарушениях защиты сети.
Демонстрационную версию менеджера CSPM можно загрузить с Web-узла ССО. Эта версия поддерживает управление только одним сетевым устройством. Для управления дополнительными устройствами требуется покупка соответствующей лицензии.
Сопровождение брандмауэра
FIX Firewall
Даже когда политика защиты определена, а конфигурация проверена и работает, оказываются решенными не все задачи брандмауэра PIX Firewall. Необходимо еще осуществлять текущее сопровождение брандмауэра PIX Firewall из-за ежедневно меняющихся условий окружения. Двумя важными компонентами сопровождения являются восстановление паролей и обновление программного обеспечения.
Восстановление паролей брандмауэра PIX Firewall
Вполне возможно, что вам никогда не понадобится знать, как восстанавливается пароль. Но по мере роста и слияния компаний, а также в результате смены персонала отдела информационных систем возникает риск утраты пароля enable брандмауэра PIX Firewall, что делает режим enable недоступным.
Процедура восстановления пароля брандмауэра PIX Firewall отличается от аналогичной процедуры маршрутизатора Cisco. Описания всех стандартных методов восстановления пароля для различных маршрутизаторов и коммутаторов Cisco могут быть найдены в документации на Web-узле Cisco, и необходим только физический доступ к объекту, чтобы эти процедуры выполнить. Для восстановления пароля брандмауэра PIX Firewall требуется иметь образ специального программного обеспечения (см. следующий раздел, где представлена более конкретная информация относительно образов программного обеспечения), чтобы можно было восстановить систему после утраты пароля enable брандмауэра PIX Firewall. Чтобы получить такой образ и установить его, необходимо выполнить следующее. '
Обратитесь к странице программного обеспечения (Software Center) на Web-узле Cisco. В разделе CiscoSecure PIX Firewall Software найдите образ pixxxx.bin, где ххх представляет номер версии программного обеспечения, которое выполняется на брандмауэре PIX Firewall.
Если вы не знаете номер текущей версии программного обеспечения, просто введите команду show version в строке приглашения брандмауэра PIX Firewall. Возвращенная в результате информация будет содержать среди прочего и номер версии образа программного обеспечения. Команда show version может быть выполнена на любом уровне привилегий.
Загрузите из сети образ восстановления пароля и поместите его на диск, используя утилиту RAWRITE.EXE.
Выключите брандмауэр PIX Firewall, вставьте только что созданный диск в брандмауэр PIX Firewall и загрузите брандмауэр снова.
Восстановите пароль, следуя инструкциям, появляющимся на экране монитора. Конкретные шаги зависят от образа программного обеспечения, поэтому здесь они не представлены.
Замечание
Брандмауэр FIX Firewall 515 не имеет дисковода для дискет. Вы должны скопировать образ программы восстановления пароля в флэш-память брандмауэра FIX Firewall, используя TFTP, в соответствии с процедурой обновления программного обеспечения брандмауэра PIX Firewall, описанной в следующем разделе.
Обновление программного обеспечения PIX Firewall
Обновление программного обеспечения брандмауэра PIX Firewall является относительно простым делом. Брандмауэр выполняет множество важных задач в сети, поэтому его операционная система должна оставаться современной. Кроме того, компания Cisco Systems постоянно совершенствует программное обеспечение брандмауэра, поэтому у вас обязательно возникнет желание использовать самые новые возможности.
При модернизации программного обеспечения брандмауэра PIX Firewall может потребоваться выполнение самых разных шагов, в зависимости от аппаратной платформы и версии программного обеспечения, которую вы планируете использовать. Существует два основных метода обновления образов программного обеспечения брандмауэра PIX Firewall:
создание с помощью дисковода для дискет загрузочного диска, содержащего образ для брандмауэра PIX Firewall, и последующая загрузка брандмауэра PIX Firewall с этим диском;
копирование файла с образом программного обеспечения брандмауэра PIX Firewall в флэш-память брандмауэра PIX Firewall с помощью TFTP.
Перед тем как приступить к обновлению образа программного обеспечения брандмауэра PIX Firewall, введите команду show version и запишите ключ активизации.
Обновление образов программного обеспечения брандмауэра PIX Firewall с помощью дисков
Ниже представлены основные шаги, выполняемые при обновлении образа брандмауэра PIX Firewall с помощью дисков. Вы должны согласовать выполняемые действия в соответствии с конкретными требованиями вашей сети.
Независимо от платформы, первым шагом является загрузка (из Internet) необходимой версии программного обеспечения брандмауэра PIX Firewall. Оно доступно через Software Center ССО. Вам потребуется имя доступа и пароль (обычно входящие в пакет поддержки), чтобы получить доступ к соответствующим файлам.
Замечание
Именами загружаемых файлов образов будут PIXxxx.BIN или ВНххх.В1М, в зависимости от редакции, где ххх указывает номер версии. Например, PIX403.BIN указывает на версию 4.03 программного обеспечения брандмауэра PIX Firewall. Для версии 5.03 программного обеспечения брандмауэра PIX Firewall потребуются и PIX503.BIN, и BH503.BIN.
Затем необходимо создать новый загрузочный диск для брандмауэра PIX Firewall (версии 10000, 510 и 520). Для этого потребуется пустая форматированная дискета (объемом 1.44 Мбайт, двусторонняя, с высокой плотностью записи) и программа RAWRITE.EXE, которая также доступна на Web-узле ССО. Программа RAWRITE является программой воссоздания образов на уровне секторов, в результате чего независимо от операционной системы формируется полностью работоспособный гибкий диск.
С командной строки DOS или UNIX выполните RAWRITE из каталога, в который были загружены файлы образов. В результате появится запрос указать имя дисковода (обычно А для дисковода А) и имя образа (соответствующее тому, что было загружено). Система отформатирует диск для операционной системы PIX Firewall, создаст загрузочный жск и скопирует на него образ программного обеспечения.
Для старых версий программного обеспечения PIX Firewall (версии 5.0 и более ранних) требовалось загрузить и поместить на дискету только один файл образа.
Для более новых версий программного обеспечения брандмауэра PIX Firewall основной образ не помещается на одну дискету, поскольку его объем оказывается больше 1.44 Мбайт. Чтобы скопировать более новые образы в флэш-память брандмауэра PIX Firewall, требуется образ BootHelper. Это “облегченная” версия операционной системы, поддерживающая TFTP и позволяющая ввести основную конфигурационную информацию вручную. В результате образ разделяется на сегменты, помещаемые на два диска.
Вставьте загрузочный жск в дисковод брандмауэра PIX Firewall. Выполните перезагрузку брандмауэра. В результате новый образ программного обеспечения будет загружен в память (и скопирован в NVRAM/Flash для дальнейшего использования), а конфигурация будет подготовлена для внесения изменений с команжой строки.
Обновление образов программного обеспечения брандмауэра FIX Firewall с помощью TFTP
Ниже представлены основные шаги, выполняемые при обновлении образа брандмауэра PIX Firewall с помощью ТЕТР. Эта процедура выполняется, например, при обновлении программного обеспечения PIX Firewall модели 515. Вы должны согласовать выполняемые действия в соответствии с конкретными требованиями вашей сети.
Независимо от платформы, первым шагом является загрузка (из Internet) необходимой версии программного обеспечения брандмауэра PIX Firewall, как объяснялось в пп. 1 и 2 предыдущего раздела.
Затем необходимо убедиться в том, что брандмауэр PIX Firewall может соединиться с сервером TFTP. Проверьте, что образы программного обеспечения скопированы на сервер TFTP.
Для брандмауэров PIX Firewall версии 5.0 и более ранних версий следует перезагрузить брандмауэр и перейти в режим мониторинга, нажав клавишу <Esc> или <Вгеак> до завершения процесса начальной загрузки. Укажите интерфейс, который вы будете использовать для соединения с сервером IMP (обычно это внутренний интерфейс с номером 0), IP-адрес интерфейса, IP-адрес сервера TFTP и имя образа программного обеспечения. Можно использовать функцию справки, чтобы выяснить, какие команды необходимы для этого. Откройте сеанс TFTP с помощью команды tftp, и брандмауэр PIX Firewall загрузит новый файл образа непосредственно в флэш-память.
Для брандмауэров PIX Firewall версии 5.1.2 и более поздних версий можно использовать команду copy tftp flash, чтобы обновить образ без использования режима мониторинга. Эта команда запросит у вас IP-адрес сервера TFTP и имя файла образа.
Не забудьте проверить документацию, чтобы выяснить требования новых образов PIX Firewall. Помните о том, что более старые брандмауэры PIX Firewall имеют только 2 Мбайт флэш-памяти, чего в скором будущем может оказаться слишком мало для новых образов программного обеспечения.
За дополнительной информацией относительно обновления программного обеспечения брандмауэров PIX Firewall обратитесь к главе “Configuring the PIX Firewall” руководства PIX Firewall Configuration Guide.
Резюме
Этот раздел содержит краткое описание вопросов, рассмотренных в данной главе.
Дополнительные возможности трансляции сетевых адресов настраиваются с помощью средств NAT 0, позволяющих задать диапазон адресов, которые не должны транслироваться брандмауэром PIX Firewall.
Контроль исходящего доступа осуществляется посредством команд outbound на основе адресов источника или получателя.
Политику защиты можно изменять посредством блокирования аплетов Java и фильтрации URL.
Для осуществления более целенаправленного мониторинга системы можно выбрать соответствующие параметры создания контрольных записей.
Для удаленного управления сетью можно использовать средства SNMP.
При настройке резервных возможностей системы брандмауэра можно применять различные уровни обработки отказов в брандмауэре PIX Firewall.
Имеется возможность использования основных функций VPN, включая карты шифрования Private Link.
Кроме того, можно организовать доступ РРТР через брандмауэр PIX Firewall.
Практическое занятие. Настройка дополнительных возможностей брандмауэра FIX Firewall
Это практическое занятие иллюстрирует возможности настройки дополнительных возможностей брандмауэра PIX Firewall в сети гипотетической компании XYZ. Прочитайте план практического занятия, рассмотрите схему топологии сети, ознакомьтесь с политикой защиты, а затем проанализируйте предлагаемые примеры конфигурации, чтобы увидеть, как требования политики защиты реализуются в виде команд брандмауэра PIX Firewall.
План практического занятия
Компания XYZ намерена добавить некоторые новые возможности в сеть своего офиса и внести некоторые изменения в политику сетевой защиты. Напомним о том (см. главу 11), что компания XYZ подключена к сетям двух поставщиков услуг Internet и обеспечивает сервис двум партнерам в рамках экстрасети.
Топология
На рис. 12.3 показана схема сети компании XYZ, которая будет настраиваться в ходе этого практического занятия.
Структура сети и дополнения политики защиты
Изменения, которые компания XYZ намерена внести в структуру своей сети и политику защиты, являются следующими.
Ограничивается доступ сетей внутренних клиентов к серверу Lotus Notes (адрес 192.168.11.44 в сети ДМ3).
Добавляется сервер WebSENSE (адрес 10.1.1.77 в локальной сети администри- рования/управления), ограничивающий HTTP-доступ пользователей к локальной сети администрирования/управления.
Добавляется локальная сеть для клиента 2, адреса которой не транслируются. Компания XYZ получила сеть 208.155.233.0/24.
Вводится использование SNMP на базовом уровне, информация прерываний направляется системе CiscoWorks по адресу 10.1.1.99 в локальной сети администрирования/управления.
Пример конфигурации брандмауэра PIX Firewall компании XYZ
Изучите пример 12.17, в котором предлагается вариант конфигурации брандмауэра PIX Firewall компании XYZ. В этом примере реализуются описанные выше требования политики защиты. Здесь показана одна из возможных конфигураций, реализующих данную
политику, но брандмауэр PIX Firewall можно сконфигурировать и иначе, обеспечив выполнение тех же требований. Обратите внимание на комментарии, объясняющие связь команд конфигурации с конкретными требованиями политики защиты.
Рис. 12.3. Схема сети офиса компании XYZ
Призер 12.17. Конфигурация дополнительных возможностей брандмауэра PIX Firewall компании XYZ
pixltwrite terminal
Building configuration... : Saved
PIX Version 5.1(2)
/ Команды nameif, определяющие конфигурацию интерфейсов н уровни защиты.
I Помните о том, что связь между интерфейсами одного веса не позволяется.
nameif ethernetO providerl securityO
nameif ethernetl admin securitylOO
nameif ethernet2 dmz security60
nameif ethernetl clientl security50
nameif ethernet4 client2 securitySO
nameif ethernet5 provider2 securitylO
enable password AOywFtG5fs31jpjx encrypted
passwd FSbblTfmfXKC.viH encrypted
hostname pixl
fixup protocol ftp 21
fixup protocol http 80
fixup protocol smtp 25
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol sqlnet 1521
names
pager lines 24
! Активизирует отправку коитрольиой информации серверу syslog.
logging timestamp
no logging standby
no logging console
no logging monitor
logging buffered errors
logging trap informational
logging facility 20
logging queue 1024
logging host admin 10.1.1.5
I Дополнительвая ивформация для конфигурации интерфейсов Ethernet.
interface
ethernetO
lObaset
interface
ethernetl
lOOfull
interface
ethernet!
lOOfull
interface
ethernet3
lOOfull
interface
ethernet4
lOOfull
interface
ethernet5
lObaset
mtu provider1 1500
mtu admin 1500
mtu clientl 1500
mtu client! 1500
mtu dmz 1500
mtu provider! 1500
.' Дополнительная информация для конфигурации интерфейсов Ethernet.
ip address admin 10.1.1.1 255.255.254.0
ip address clientl 10.2.1.1 255.255.0.0
ip address client! 10.3.1.1 255.255.0.0
ip address dmz 192.168.11.1 255.255.255.0
ip address providerl 192.168.1.1 255.255.255.252
ip address provider! 192.168.2.1 255.255.255.252
.' Замечание. Адреса провайдера обычно задаются провайдером
! и не обязательно принадлежат диапазону IP-адресов, используемых глобально.
no failover
failover timeout 0:00:00
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
arp timeout 14400
.' Информация для пула NAT клиента.
nat (admin) 0 208.155.233.0 255.255.255.0
nat (admin) 1 10.1.1.0 255.255.255.0
nat (admin) 2 10.1.4.0 255.255.255.0
nat (clientl) 3 10.2.1.0 255.255.255.0
nat (client!) 4 10.3.1.0 255.255.255.0
nat (admin) 5 0.0.0.0 0.0.0.0.
nat (clienti) 500! (это то же самое, что и 0.0.0.0)
nat (client!) 500
global (providerl) 1 192.168.1.10-192.168.1.126
global (providerl) 2 192.168.1.127
global (providerl) 3 192.168.1.128-192.168.1.253
global (provider2) 4 192.168.2.128-192.168.2.254
global (providerl) 5 192.168.1.254
I Конфигурация статик и каналов NAT.
static(dmz,providerl)192.168.1.1010.1.1.4 netmask 255.255.255.255 0 0
static(dmz,providerl)192.168.1.1310.1.1.5 netmask 255.255.255.255 0 0
static(dmz,providerl)192.168.1.11192.168.11.3 netmask 255.255.255.25500
static(dmz,providerl)192.168.1.12192.168.11.4 netmask 255.255.255.25500
conduit permit tcp host 192.168.1.12 eq smtp any 0 0
conduit permittcphost192.168.1.11eqwwwany00
conduit permittcphost192.168.1.11eqftpany00
conduit permittcphost192.168.2.11eqftpany00
conduit permittcphost192.168.1.13eqsyslog any 0 0
Разрешения для фильтрации ICMP.
conduit permit icmp any any echo-reply
conduit permit icmp any any unreachable
conduit permit icmp any any redirect
conduit permit icmp any any time-exceeded
conduit deny icmp any any
Ограничение доступа к серверу Lotus Notes для сетей внутренних клиентов
outbound 1 deny 192.168.11.44
apply (client1) 1 outgoing_dest
apply (client2) 1 outgoing_dest
/ Настройка сервера фильтрации URL для административного доступа HTTP
url-server (admin) host 10.1.1.77
filter url http 10.0.0.0 255.255.255.0 0 0
rip providerl passive
no rip providerl default
no rip admin passive
no rip admin default
no rip clientl passive
no rip clientl default
no rip client2 passive
no rip client2 default
no rip dmz passive
no rip dmz default
no rip provider2 passive
no rip provider2 default
timeout xlate 24:00:00 conn 12:00:00 half-closed 0:10:00 udp 0:02:00
timeout rpc 0:10:00 h323 0:05:00
timeout uauth 0:05:00 absolute
На стройка аутентификации клиента.
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server admin protocol tacacs+
aaa-server admin (admin) host 10.1.1.4 AdminKey timeout 30
aaa authentication http inbound host 000
aaa accounting http inbound 0000 admin
! Конфигурационная информация SNMP snmp-server location Wiring Closet #2 sump-server contact John Doe 555-1212 snmp-server community Kookookachoo snmp-server host admin 10.1.1.99 snmp-server enable traps telnet 10.1.1.4 255.255.255.0 admin telnet timeout 5 terminal width 80
Cryptochecksum:dc2a867907ccf77cb25dl42d34fb3449 : end telnet 10.0.0.0 255.255.255.0 admin telnet timeout 5 terminal width 80
Cryptochecksum:dc2a867907ccf77cb25dl42d34fb3449 : end
Pixfirewallf
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Как называются TCP-соединения, не завершившие трехшаговую процедуру квитирования?
Как обновить образ программного обеспечения брандмауэра PIX Firewall 515 версии 5.1.2 и более поздних версий?
Допускает ли WebSENSE фильтрацию FTP?
Какой уровень серьезности связан с сообщениями syslog для URL и FTP?
Как часто посылают сообщения hello устройства обработки отказов брандмауэра PIX Firewall?
Какие три элемента требуются для того, чтобы заставить работать систему полномасштабной обработки отказов между двумя брандмауэрами PIX Firewall?
В какой версии программного обеспечения брандмауэра PIX Firewall впервые была реализована поддержка туннелей IPSec для сетей VPN?
С какими двумя номерами портов связывается использование пакетов SNMP?
Какие каналы (разрешения команды conduit) необходимы для того, чтобы позволить сеансам РРТР пройти через брандмауэр PIX Firewall к внутреннему серверу Microsoft Windows NT Server?
Сколько различных протоколов допускает команда fixup? Какие это протоколы?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глу-
бокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Фильтрация URL
Узел WebSENSE (www.websense.com) предлагает ссылки с конкретной информацией о программном обеспечении WebSENSE для фильтрации URL, о ценах и новых версиях продуктов. На сегодня брандмауэр FIX Firewall поддерживает только URL- серверы WebSENSE.
Шифрование Private Link
На сайте Cisco (www.cisco.com) шифровальная плата Private Link упоминается в разделе устаревших материалов. Приобрести ее уже невозможно, но ее описание было включено в данную главу, поскольку сегодня она все еще используется достаточно широко.
Протокол РРТР
На Web-узле Microsoft (support.microsoft.com) имеются ссылки, связанные с вопросами конфигурации РРТР и VPN в системах Microsoft Windows 95, 98, NT и 2000.
Сервер TFTP
Обратитесь к странице www.cisco.com/pcgi-bin/tablebuild.pl/tftp, чтобы выяснить, как установить сервер TFTP для загрузки новых версий программного обеспечения брандмауэра PIX Firewall.
CiscoSecure Policy Manager
На странице www.cisco.com/public/sw-center/sw-ciscosecure.shtml имеется ссылка, с помощью которой можно зарегистрироваться для получения версии CiscoSecure Policy Manager, позволяющей управлять одним устройством.
Центр программного обеспечения Cisco Secure
Проверьте ссылки на странице www.cisco.com/public/sw-center/sw-ciscosecure.shtml, чтобы узнать о новых версиях программного обеспечения брандмауэра PIX Firewall и его обновлениях, а также о новых версиях программ восстановления пароля и файлов загрузчика TFTP.
Материалы курса Managing Cisco Network Security 2.0.
Документация на компакт-диске Cisco Connection Online.
Брандмауэр PIX Firewall 520, программное обеспечение версии 5.1(2).
Часть
V
шифрования Cisco
шифрования Cisco
Обзор технологии шифрования Cisco
Глава
13
^Обзор технологии шифрования «Cisco
Технологии шифрования обеспечивают защиту передачи данных через незащищенные Сети. В этой главе обсуждаются технологии шифрования, лежащие в основе сйстемжСЕТ (Cisco Encryption Technology — технология шифрования Cisco), применяемой в маршрутизаторах Cisco.
к Реализация технологии шифрования
Шифрование помогает избежать некоторых серьезных угроз нарушения целостно- ^$гги сетевого трафика. Клиенты могут использовать технологии СЕТ, чтобы гарантировать конфиденциальность частных данных при передаче по сети. В данной главе ^аГгоедлагаетс^рбзорЗгкхнологий шифрования, используемых средствами СЕТ.
Проблема целостности данных и возможности е^реше^ |
Главной .проблемой-сетевых администраторов и пользователей является уязвимость сетевоготрафика в отношении самых разных угроз. Одно из решений этой проблемы заключается в прийевении технологий СЕТ. Ниже предлагается список проблем, ко- (# горые могут быть решены с помощью шифрования.
ЭД
Перехват сообщений:
нарушители могут использовать анализаторы пакетов для захвата и декодирова- ния трафц^кФыявления имен пользователей, паролей и секретных данных;
7 нарушитмимогут осуществлять сбор информации с целью выявления сетевых уст^йств, которые можно будет атаковать впоследствии;
нарушители могут использовать средства перехвата сообщений для захвата передаваемой по сети информации с целью кражи.
Манипуляция данными:
> нарушители могут создавать сообшения с фальсифицированными данными и посылать их выбранным хостам (при этом трафик UDP фальсифицировать легче, чем TCP, но и для последнего возможность фальсификации не ис-
нарушители могут наблюдать и анализировать трафик, а затем захватить и частично модифицировать его, чтобы потом направить получателю модифицированный трафик;
нарушители могут перехватить сообщение, внести изменения в его заголовок и содержимое, а затем направить модифицированное сообщение получателю, действуя в рамках захваченного сеанса (шифрование может обеспечить определенную защиту от атак захвата сеанса, поскольку в этом случае нарушителю придется решать непростую задачу расшифровки шифрованных данных пакета).
Пользователь сети может отрицать выполнение им определенных транзакций (возможность отречения).
Одним из решений, обеспечивающих защиту от этих угроз, является применение средств СЕТ, которые основаны на стандартных для отрасли технологиях шифрования, обеспечивающих конфиденциальность и целостность данных.
Что такое шифрование
Шифрование — это процесс преобразования исходного текста в шифрованный. В результате данные оказываются защищенными при передаче или хранении. Перед использованием текст необходимо дешифровать, т.е. снова перевести в исходную форму. Шифрование может быть реализовано программными или аппаратными средствами (цифровыми процессорами сигналов или специализированными интегральными схемами, ориентированными на конкретные приложения). Шифрование обеспечивает следующий сервис:
конфиденциальность данных;
целостность данных;
невозможность отречения.
Конфиденциальность данных
Шифрование при передаче данных используется для того, чтобы перевести цифровое сообщение из исходной формы в форму шифрованного текста с целью защиты при пересылке данных по незащищенным сетям. Шифрованное сообщение может быть прочитано только сторонами, которым оно предназначено, что гарантирует конфиденциальность данных. Сервис конфиденциальности данных обеспечивает защиту от перехвата сообщений.
Целостность данных
Шифрование может также гарантировать целостность хранимых, передаваемых и получаемых данных, обеспечивая невозможность манипуляции данными. Сервис целостности данных может включать аутентификацию устройств, позволяющую убедиться в том, что устройство, с которым установлена связь, является устройством в сети соответствующего адресата, а не устройством, посредством которого проводится атака захвата сеанса. Сервис целостности данных может также включать аутентификацию данных, позволяющую убедиться в том, что сообщение не было модифицировано без ведома отправителя во время пересылки. В результате аутентификации данным может быть присвоена одна из следующих характеристик.
Подлинные. Данные действительно поступили от указанного лица и не были изменены во время пересылки.
Фальсифицированные. Данные не являются подлинными.
Непроверяемые. Проверить подлинность данных невозможно из-за отсутствия открытого ключа отправителя.
Аутентификация данных выполняется по схеме, объединяющей несколько технологий шифрования (например, СЕТ для обмена ключами и аутентификации сторон или PGP для защиты электронной почты). Аутентификация может быть и дополнительной, со своим отдельным алгоритмом типа DSS (Digital Signature Standard — стандарт цифровой подписи), который используется для аутентификации в рамках СЕТ и будет описан немного позже.
Невозможность отречения
Некоторые схемы шифрования гарантируют невозможность отречения, обеспечивая процедуру доказательства того, что сообщение было отправлено и получено. Невозможность отречения обеспечивается путем присоединения к отправляемому сообщению цифровой подписи, указывающей личность отправителя и время, когда сообщение было отправлено, и доказывающей достоверность данных в сообщении. (“Я не разрешал этот перевод с моей кредитной карточки!” — “Вот доказательство того, что вы его разрешили.”) Невозможность отречения подобна использованию свидетелей или нотариуса для подтверждения того, что кто-то подписал определенный контракт, чтобы сторона, подписавшая документ, не могла позже от него отказаться. Это можно использовать для финансовых сделок, например, по кредитным карточкам. Невозможность отречения может обеспечиваться средствами СЕТ.
Как работают средства шифрования
Элементами системы шифрования являются данные, которые должны быть зашифрованы, ключ, представляющий собой цифровую последовательность, и алгоритм шифрования (рис. 13.1).
Данные + Ключ + Алгоритм шифрованияДанные + Ключ + Алгоритм шифрования
Данные + Ключ + Алгоритм шифрования
Данные + Ключ + Алгоритм шифрования
Шифрованныеданныеqoieu41 fsalkj#24%fd)(*nj)(nhKJGk„.
= Шифрованные данные
Рис. 13.1. Основными элементами системы шифрования являются данные, ключ и алгоритм шифрования
В результате комбинации этих трех основных элементов получаем шифрованное сообщение, которое можно безопасно переслать по сети.
Данные. Сообщение в открытом виде, которое необходимо зашифровать. Это могут быть данные кредитной карточки, банковской транзакции, конфиденциальные данные компании, медицинские записи о здоровье пациента или любые другие частные данные, которым требуется обеспечить конфиденциальность.
Ключ. Цифровая последовательность определенной длины, используемая для шифрования и дешифрования данных. Ключи подобны паролям. Они могут быть открытыми и личными. Стандартный ключ DES имеет длину 56 бит. Средства СЕТ используют как 56-битовый, так и 40-битовый вариант DES. Более новые стандарты (например, IPSec) предполагают использование более длинных ключей (например, длиной 168 бит). Чем длиннее ключ, тем меньше вероятность того, что противник сможет вычислить его и дешифровать данные. Обработка более длинных ключей требует больших затрат процессорного времени в маршрутизаторе Cisco на шифрование и дешифрование.■
Алгоритм шифрования. Математическая формула, в результате применения которой происходит “перемешивание” исходных данных до такой степени, что внешний наблюдатель не имеет возможности выявить первоначальное содержимое. Средства СЕТ используют для шифрования алгоритм DES, который будет описан в этой же главе ниже.
Шифрованные данные. Данные, полученные в результате применения алгоритма шифрования. Для внешнего наблюдателя дешифровать шифрованное сообщение должно быть невозможно. Если шифрованное сообщение вообще нельзя дешифровать (восстановить данные в их первоначальном виде), оно окажется бесполезным.
Шифрование может выполняться в системе хоста источника или в маршрутизаторе, находящемся в подходящей точке сети. Процесс шифрования в маршрутизаторе Cisco выполняется либо программным обеспечением маршрутизатора, либо соответствующим аппаратным модулем. В рамках Cisco IOS Software шифрование в маршрутизаторах Cisco выполняется объектами, называемыми криптографическими модулями. Операции криптографического модуля могут выполняться процессором маршрутизатора в памяти или соответствующей схемой электронной платы. Аппаратные средства обеспечивают более высокую скорость шифрования. Например, маршрутизаторы серии 7500 могут выполнять операции криптографического модуля с помощью процессорной карты VIP2 (Versatile Interface Processor 2 — универсальный интерфейсный процессор второго поколения) или с помощью программного обеспечения. Вопрос о том, как реализуются возможности СЕТ в маршрутизаторах Cisco, будет обсуждаться подробнее в главе 14.
Приложения шифрования
На рис. 13.2 показаны некоторые варианты использования шифрования для защиты связей в 1Р-сетях.
Приложения шифрования, представленные на рис. 13.2, являются следующими.
1. Бизнес-партнер1. Бизнес-партнерnternetnternetОбозреватель WebОбозреватель WebМаршрутизатор периметраМаршрутизатор периметра2. Удаленное подразделение3. Защита глобальной сети2. Удаленное подразделение3. Защита глобальной сети"Грязная'ДМ3"Грязная'ДМ3Сервер WebСервер WebЗащищеннаяДМ3ЗащищеннаяДМ34. Web-броузер к серверу4. Web-броузер к серверуСервер WebСервер WebУдаленный клиентУдаленный клиент6. Внутрисетевые связи6. Внутрисетевые связиМаршрутизатор территориальной сетиМаршрутизатор территориальной сетиУдаленный доступУдаленный доступМаршрутизатор территориальной сети вМаршрутизатор территориальной сети вСеть у сбытаСеть у сбытаСервер приложенийСервер приложенийРис. 13.2. Шесть возможных вариантов использования шифрованияРис. 13.2. Шесть возможных вариантов использования шифрованияСервер сетевого доступа 5. Доступ удаленного ^^ подразделенияСервер сетевого доступа 5. Доступ удаленного ^^ подразделения
1. Бизнес-партнер
1. Бизнес-партнер
nternet
nternet
Обозреватель Web
Обозреватель Web
Маршрутизатор периметра
Маршрутизатор периметра
2. Удаленное подразделение
3. Защита глобальной сети
2. Удаленное подразделение
3. Защита глобальной сети
"Грязная'
ДМ3
"Грязная'
ДМ3
Сервер Web
Сервер Web
Защищенная
ДМ3
Защищенная
ДМ3
4. Web-броузер к серверу
4. Web-броузер к серверу
Сервер Web
Сервер Web
Удаленный клиент
Удаленный клиент
6. Внутрисетевые связи
6. Внутрисетевые связи
Маршрутизатор территориальной сети
Маршрутизатор территориальной сети
Удаленный доступ
Удаленный доступ
Маршрутизатор территориальной сети в
Маршрутизатор территориальной сети в
Сеть у сбыта
Сеть у сбыта
Сервер приложений
Сервер приложений
Рис. 13.2. Шесть возможных вариантов использования шифрования
Рис. 13.2. Шесть возможных вариантов использования шифрования
Сервер сетевого доступа 5. Доступ удаленного ^^ подразделения
Сервер сетевого доступа 5. Доступ удаленного ^^ подразделения
Защищенные виртуальные частные сети (VPN), создаваемые для связи между партнерами через Internet.
Защита шлюзов VPN, обеспечивающих связь удаленных подразделений компании и узлов с территориальной сетью компании через Internet.
Защита трафика глобальной сети по выделенным линиям или в Internet.
Защита транзакций между Web-броузерами и серверами.
Защита удаленного доступа подразделений компании к территориальной сети компании при условии использования подходящего маршрутизатора в удаленном подразделении.
Защита трафика внутренней сети с целью невозможности перехвата секретных данных внутренними нарушителями.
Вы должны определить, является ли шифрование приемлемым для вас решением проблемы защиты связи, сделав соответствующие выводы в результате тщательного анализа сети. Шифрование может потребовать дополнительных процессорных ресур-
сов маршрутизатора и может замедлить передачу данных. Политика сетевой зашиты должна точно указывать, где, когда и как использовать шифрование в сети.
Варианты реализации возможностей шифрования
Сетевые администраторы имеют возможность реализовать шифрование передаваемых данных на прикладном, канальном или сетевом уровне модели OSI (Open System Interconnection — взаимодействие открытых систем), как показано на рис. 13.3. Как будет видно из обсуждения, предлагаемого в следующих разделах, каждый из этих вариантов имеет свои преимущества, проблемы реализации и соответствующую цену.
IШифрование прикладного уровня■
ШифрованиеШифрование
канальногоканального
уровняуровня
Рис. 13.3. Варианты реализации возможностей шифрования на трех уровнях
Шифрование прикладного уровня
На прикладном уровне шифрование должно поддерживаться каждым приложением хоста, генерирующего секретные данные. Все узлы, которым требуется связь с таким приложением, должны использовать те же алгоритмы шифрования, даже если они базируются на разных платформах. Шифрование прикладного уровня используют, например, Web-броузеры и серверы, которые выполняют шифрование и дешифрование данных с помощью протоколов SSL (Secure Sockets Layer — протокол защищенных сокетов) и HTTPS (HyperText Transmission Protocol, Secure — протокол защищенной передачи гипертекстов), что обеспечивает защиту транзакций в Internet. Шифрование прикладного уровня используется также приложениями клиента и сервера электронной почты, поддерживающими PGP.
Шифрование прикладного уровня имеет преимущество при сквозной связи и может активизироваться только тогда, когда это требуется пользователю. Такая децентрализация и необходимость настройки средств шифрования в каждом узле создают большие трудности системному администратору, задачей которого является управление политикой защиты всей компании.
Шифрование канального уровня
Шифрование канального уровня может быть реализовано в различных устройствах с целью защиты соединений, внешних по отношению к маршрутизатору, как показано на рис. 3.3. При шифровании канального уровня шифруется весь трафик соответствующего канала, включая заголовки сетевого уровня пакетов и информацию о типе протокола. Эффективность шифрования канального уровня зависит от топологии сети. Процесс шифрования/дешифрования должен повторяться для каждого канала, которому требуется защита. Ввиду того, что в этом случае IP-адреса не остаются в открытом виде, понятном для средств маршрутизации, дешифрование и повторное шифрование приходится выполнять несколько раз, что может приводить к задержкам и возможной “компрометации” зашиты, поскольку соответствующим маршрутизаторам приходится предъявлять текст сообщения в открытом виде.
Примером устройства, осуществляющего шифрование канального уровня, является IRE Model HS Remote Encryptor. Это внешнее устройство (размером с внешний модем) имеет два порта. Один порт обрабатывает открытые данные, а другой — шифрованные.
Шифрование сетевого уровня
Шифрование на сетевом уровне может быть выполнено в любой точке сети. Оно может быть реализовано для всего трафика и не требует обновления всех приложений хоста. Кроме того, при этом вся необходимая для маршрутизации информация 3- и 4-го уровней остается в открытом виде. Поэтому при усилении сетевой защиты пользователи могут по- прежнему иметь заданное качество обслуживания (QoS) сквозной связи.
Шифрование сетевого уровня оказывается прозрачным при пересечении границ подсетей и достаточно просто реализуется с точки зрения сетевого администратора. Примерами использования технологий шифрования сетевого уровня является система СЕТ в маршрутизаторах Cisco, предлагаемая программным обеспечением Cisco IOS, и шифрование IPSec в брандмауэрах PIX Firewall.
Протокол IPSec был разработан с целью поддержки шифрования сетевого уровня и защищенного выбора ключей. Средства IPSec будут обсуждаться подробнее в главе 15.
Шифрование сетевого уровня и СЕТ
Система СЕТ, представляющая собой реализацию шифрования сетевого уровня, предлагаемую компанией Cisco, позволяет сетевому администратору достаточно просто интегрировать средства шифрования в систему защиты сети. Такая интеграция оказывается незаметной для конечных пользователей и их приложений, а также для всех промежуточных маршрутизаторов, сетей и других устройств. Шифрование необходимо только на границе той локальной сети, где генерируются секретные данные. Дешифрование не требуется до тех пор, пока данные не достигнут маршрутизатора на границе той локальной сети, где находится хост адресата.
Сетевые администраторы имеют возможность применить шифрование сетевого уровня в любом месте маршрута, по которому передаются данные. Средства СЕТ, в которых шифрование применяется после заголовка TCP или UDP (так что шифрованными оказываются только данные TCP или UDP), оставляют возможность всем промежуточным маршрутизаторам и коммутаторам уровня 3 направлять шифрованный трафик точно так же, как обычный трафик IP. Шифрование только полезного груза пакета позволяет осуществлять коммутацию шифрованного потока и использовать списки доступа точно так же, как и в случае открытых сообщений, в результате
чего сохраняется заданное качество обслуживания для всех данных. Пользователи получают возможность свободно передавать шифрованные данные через Internet.
Ниже указаны некоторые характеристики шифрования сетевого уровня:
трафик шифруется на уровне потоков между конкретными парами пользова- тель/приложение или подсетями;
шифрование зависит от протокола, но независимо от среды/интерфейса;
не требуется поддержка шифрования промежуточными сетевыми устройствами;
шифрование не зависит от топологии сети;
шифрование сетевого уровня поддерживается программным обеспечением Cisco IOS.
На рис. 13.4 шифрующие маршрутизаторы сторон выполняют шифрование только трафика между хостом А и сервером HR. Весь остальной трафик остается открытым.
Рис. 13.4. Шифрование сетевого уровня не влияет на маршрутизацию
Обзор криптосистемы Cisco IOS
Устройства Cisco выполняют шифрование с помощью средств СЕТ, используя четыре варианта технологии шифрования, формирующие в совокупности интегрированную криптосистему — комбинацию технологий шифрования для решения коммуникационных проблем (рис. 13.5).
Алгоритм DES (Data Encription Standard — стандарт шифрования данных). Наиболее популярный из методов шифрования и дешифрования данных с целью сохранения конфиденциальности.
Алгоритм MD5 (Message Digest 5 — алгоритм создания профиля сообщения). Односторонний метод шифрования, порождающий вывод фиксированной длины для данных переменной длины. MD5 используется совместно с DSS для создания цифровых подписей.
Алгоритм DSS (Digital Signature Standard — стандарт цифровой подписи). Метод шифрования, порождающий криптографическую контрольную сумму, присое-
диняемую к сообщению как подпись. DSS идентифицирует шифрующие маршрутизаторы сторон..
Алгоритм Днффн-Хеллмана для согласования ключей. Защищенный метод согласования открытых ключей, используемых при создании совместно используемых сторонами секретных ключей для сеансов DES между шифрующими маршрутизаторами сообщающихся сторон.
Алгоритм MD5 длясоздания хэш-кода сообщенияАлгоритм MD5 длясоздания хэш-кода сообщенияАлгоритм DSS для идентификации сторонАлгоритм Диффи-Хеллмана для защищенного выбора личных ключейАлгоритм DSS для идентификации сторонАлгоритм Диффи-Хеллмана для защищенного выбора личных ключейРис. 13.5. Компонентами криптосистемы СЕТ являются DES, MD5, DSS и алгоритм Диффи-ХеллманаРис. 13.5. Компонентами криптосистемы СЕТ являются DES, MD5, DSS и алгоритм Диффи-ХеллманаАлгоритм DES для шифрования данных
Алгоритм MD5 для
создания хэш-кода сообщения
Алгоритм MD5 для
создания хэш-кода сообщения
Алгоритм DSS для идентификации сторон
Алгоритм Диффи-Хеллмана для защищенного выбора личных ключей
Алгоритм DSS для идентификации сторон
Алгоритм Диффи-Хеллмана для защищенного выбора личных ключей
Рис. 13.5. Компонентами криптосистемы СЕТ являются DES, MD5, DSS и алгоритм Диффи-Хеллмана
Рис. 13.5. Компонентами криптосистемы СЕТ являются DES, MD5, DSS и алгоритм Диффи-Хеллмана
Существует множество стандартов защиты секретных ключей и их согласованного изменения. Один из таких стандартов — стандарт DSS — использует систему откры- тых/личных ключей для идентификации сторон в ходе электронного обмена данными. Алгоритм Диффи-Хеллмана применяется для согласования ключей без непосредственного обмена ключами. Это самый известный и наиболее широко используемый алгоритм согласования сеансовых ключей для шифрования данных. Однако поскольку он не обеспечивает идентификацию сторон, версии Cisco IOS, поддерживающие СЕТ, включают алгоритм DSS. Алгоритмы DES, DSS и Диффи-Хеллмана являются неотъемлемой составляющей только версии 11.2 и более новых.
Шифрование DES
DES является одним из наиболее широко используемых стандартов шифрования. С помощью алгоритма DES система переводит открытый текст в шифрованный. Алгоритм дешифрования DES в удаленной системе получателя восстанавливает открытый текст из шифрованного. Шифрование и дешифрование выполняются с помощью ключей. Ключи, которыми владеют стороны (т.е. которые стороны совместно исполь-
зуют), идентичны, но их значения никогда не передаются по сети. Схема соответствующего процесса показана на рис. 13.6.
Рис. 13.6. При шифровании открытый текст преобразуется в шифрованный, при дешифровании выполняется обратный процесс, а ключи позволяют это реализовать
DES — это общедоступный алгоритм блочного шифрования. Алгоритм DES берет данные открытого текста, которые требуется зашифровать, разбивает их на 64битовые блоки, выполняет операцию шифрования для каждого блока и выводит шифрованные данные в виде 64-битовых блоков. Для этого алгоритма доступна также опция использования 8-битовых блоков.
Как мы с вами выясним немного позже, стойкость DES зависит от ключа, который используется алгоритмом шифрования. Стандартная длина ключа DES равна 56 бит, и ключом может быть любое 56-битовое значение. Программное обеспечение Cisco IOS генерирует случайные значения ключей DES, используя для этого алгоритм Диффи-Хеллмана.
Процесс шифрования DES
При шифровании DES выполняются следующие пять шагов.
DES выполняет начальную перестановку в блоке открытого текста, для простоты оперируя однобайтовыми порциями блока.
Ключ преобразуется в форму, подходящую для использования в алгоритме шифрования.
Полученный в результате начальной перестановки 64-битовый блок разбивается пополам на две порции длиной 32 бит.
Одна половина обрабатывается сложной, заданной таблицами подстановкой, зависящей от преобразованного ключа. Вывод связывается операцией XOR (исключающее ИЛИ) со второй 32-битовой половиной. Соответствующее преобразование называется раундом и повторяется 16 раз. После каждого раунда две 32-битовые половины меняются местами.
По завершении последнего раунда применяется конечная перестановка. В полученном в результате 64-битовом блоке шифрованного текста каждый бит зависит от всех битов ввода и всех битов ключа.
Блочные шифры могут обеспечить дополнительную защиту целостности данных с помощью обратной связи. Алгоритм шифрования Cisco использует режим СЕВ
(режим шифрованной обратной связи), при котором блоки открытого текста связываются операцией XOR с блоками шифрованных данных. Режим СРВ позволяет убедиться в том, что были переданы и получены все данные.
Алгоритм DES является симметричным в том смысле, что один и тот же алгоритм используется как для шифрования, так и для дешифрования сообщений. Точно так же и для шифрования, и для дешифрования используется один и тот же ключ.
Алгоритм DES легко реализуется как в аппаратном, так и программном виде. Изначально он разрабатывался фирмой IBM для реализации в виде аппаратных средств. СЕТ для шифрования и дешифрования данных использует именно алгоритм DES.
Ключи DES
Самой важной задачей криптографического алгоритма является защита от взлома. Защита криптосистемы или степень сложности (для атакующего) задачи выяснения содержимого шифрованного сообщения зависит от нескольких ключевых моментов. Для большинства протоколов краеугольным камнем является защита секретности ключа, с помощью которого шифруются данные. Алгоритм DES разрабатывался так, чтобы при отсутствии ключа определить открытый текст было чрезвычайно сложно.
В любой криптосистеме принимаются специальные меры, обеспечивающие защиту ключей шифрования. Cisco осознает важность защиты ключей: две из трех составляющих технологии шифрования, используемых системой СЕТ, относятся скорее к сфере распределения ключей и их защите, чем к шифрованию данных (алгоритмы DSS и Диффи-Хеллмана).
После того как шифрующие маршрутизаторы сторон получат (в результате применения DSS или алгоритма Диффи-Хеллмана) в распоряжение общий ключ, они могут использовать его для того, чтобы связываться друг с другом с применением алгоритма шифрования DES. В данном случае немаловажен вопрос о длине ключа; большее число знаков угадать труднее, чем меньшее. Шифрованные данные DES могут быть дешифрованы нарушителем, если у него будет достаточно времени и вычислительных ресурсов для вычисления ключа. Если ключ обнаружен, то все пакеты, которые были зашифрованы с помощью этого ключа, нарушителю будет легко дешифровать. Частое изменение секретных ключей уменьшает вероятность того, что атакующему удастся раскрыть данные, так как у него будет меньше времени для того, чтобы начать атаку, вычислить ключ и дешифровать данные до того, как ключ изменится снова. Чем больше длина ключа, тем лучше защищены шифрованные данные. Точно так же, чем короче шифрованный сеанс, тем меньше вероятность того, что хакеру удастся его взломать.
Система СЕТ использует стандартный 56-битовый ключ DES, а также 40-битовый вариант ключа DES для соответствия экспортным законам. “Тройной” DES (применяемый в IPSec) использует 168-битовые ключи для более сильной защиты.
Атаки против DES
Алгоритм DES уязвим в отношении криптоанализа и атак, основанных на простом переборе всех вариантов ключа. При простом переборе нарушители используют специальное программное обеспечение, чтобы выяснить ключ шифрования посредством выполнения алгоритма DES для блока шифрованных данных с каждым возможным ключом по очереди, до тех пор пока шифрованные данные не будут дешифрованы. Криптоанализ является своего рода искусством использования достижений математики для выявления ключа шифрования. За более подробной информацией о попытках взлома DES обратитесь по адресу: www.distributed.net/des.
Алгоритм MD5 хэширования сообщений
Хэширование сообщений представляет собой технику шифрования, которую можно использовать для того, чтобы гарантировать неизменность сообщения в пути его передачи. Алгоритм MD5 получает на вход сообщение в виде открытого текста произвольной длины. Такое сообщение может быть парой “имя/пароль пользователя” или обновлением маршрутизации Cisco. К поступившему на вход сообщению применяется алгоритм MD5, и в результате получается вывод фиксированной длины — 128битовый “профиль” сообщения, называемый также хэш-кодом. Схема соответствующего процесса показана на рис. 13.7.
Открытое сообщение
•Сообщение переменной длины•Сообщение переменной длины172.16.1.2 43829192.168.2.1
•Сообщение переменной длины
•Сообщение переменной длины
21cafebabeadc14ed
Хэшированное сообщение 12KFQnbNldl.2KYOURjwipaOt sHSnXKApfjxid#5ls...Хэшированное сообщение 12KFQnbNldl.2KYOURjwipaOt sHSnXKApfjxid#5ls...Алгоритм MD5 создания профиля сообщения — хэширование должно гарантировать невозможность модификации сообщения — используется со средствами аутентификации CHAP, DSS
Хэшированное сообщение 12KFQnbNldl.2KYOURjwipaOt sHSnXKApfjxid#5ls...
Хэшированное сообщение 12KFQnbNldl.2KYOURjwipaOt sHSnXKApfjxid#5ls...
Хэш-код фиксированной длины
Рис. 13.7. Алгоритм MD5 порождает хэш-код фиксированной длины для вводимого сообщения переменной длины, что обеспечивает возможность контроля целостности данных
При использовании современных вычислительных возможностей, как правило, практически невозможно обратить процесс хэширования или найти два разных сообщения с одним и тем же профилем сообщения. Алгоритм MD5 используется в приложениях создания цифровых подписей. Программное обеспечение Cisco IOS применяет алгоритм MD5 создания профиля сообщения для хэширования сообщений в процессе аутентификации паролей CHAP и создания подписей DSS. Алгоритм MD5 был создан Рональдом Райвестом (Ronald Rivest) и описан в документе RFC 1321. Более подробная информация об алгоритмах хэширования содержится в разделе “Хэшированные коды аутентичности сообщений” главы 15.
Шифрование DSS
Шифрование DSS обеспечивает защиту данных от несанкционированного изменения. Для цифровых подписей используется личный ключ, с помощью которого создается криптографическая контрольная сумма. Любой, кто имеет открытый ключ стороны, подписавшей сообщение, может проверить цифровую подпись, но только сторона, подписавшая сообщение, может создать соответствующую подпись.
С помощью DSS можно идентифицировать отправителя сообщения или компьютер, с которого выходит на связь пользователь; подобно тому, как обычная подпись идентифицирует подписавшего чек. Алгоритм DSS построен на использовании пары открытого/ личного ключей. Открытый ключ создается на основе личного ключа с помощью одностороннего преобразования последнего. Каждый пользователь или устройство имеет свой открытый ключ (который предоставляется каждому, кому требуется связь с данным пользователем) и личный ключ. С точки зрения вычислительных возможностей определить личный ключ по открытому считается практически невозможным. Алгоритм опирается на функцию хэширования MD5, чтобы гарантировать аутентичность пересылаемых данных. Применение функции хэширования является способом получения “профиля” сообщения. Идея заключается в том, что если два “профиля” совпадают, то сообщение не было изменено. Затем соответствующий хэш-код обрабатывается с помощью некоторой функции, использующей личный ключ, чтобы “подписать” сообщение. Эти значения обратимы для тех, кто имеет соответствующий открытый ключ. Сторона-получатель вычисляет тот же хэш-код и проверяет подпись, чтобы проверить аутентичность и целостность содержимого сообщения.
Применение DSS обеспечивает очень надежный способ защищенного обмена данными, гарантирующий целостность содержимого прибывшего сообщения; личность отправителя идентифицируется соответствующим личным ключом (только конкретный отправитель владеет этим ключом) — единственным ключом, создающим подпись, которую можно проверить открытым ключом данного лица. Все пользователи хранят свои личные ключи в секрете, но сообщают открытые ключи всем, кому может понадобиться электронная связь с ними. В идеале эти открытые ключи должны храниться в известном и надежном хранилище типа центра сертификации (Certificate Authority — СА). Стандарт DSS использует технологию хэширования, чтобы гарантировать аутентичность данных.
Создание подписи DSS
На рис 13.8 показана схема процесса, в результате которого генерируется подпись DSS.
Маршрутизатор АМаршрутизатор АОбновление маршрутизацииОбновление маршрутизацииОбновление маршрутизацииПодписьОбновление маршрутизацииПодпись3.3.Хэш-кодХэш-кодПодписьПодпись
Маршрутизатор А
Маршрутизатор А
Обновление маршрутизации
Обновление маршрутизации
Обновление маршрутизации
Подпись
Обновление маршрутизации
Подпись
3.
3.
Хэш-код
Хэш-код
Подпись
Подпись
Рис. 13.8. Создание подписи DSS в маршрутизаторе А для сообщения, содержащего параметры обновления маршрутизации
Примером использования DSS является аутентификация обновлений маршрутизации, выполняемая программным обеспечением Cisco IOS. На самом деле алгоритм DSS будет работать с любым типом данных, которым требуется аутентификация.
Маршрутизатор А выполняет хэширование для данных обновления маршрутизации, используя MD5.
Маршрутизатор А шифрует полученный хэш-код с помощью своего личного ключа, создавая цифровую подпись.
Маршрутизатор А присоединяет полученную подпись к сообщению обновления маршрутизации и отправляет результат маршрутизатору В.
Верификация подписи DSS
Цифровая подпись проверяется принимающим маршрутизатором так, как показано на рис. 13.9.
Рис. 13.9. Алгоритм DSS используется в маршрутизаторе В для проверки целостности полученного обновления маршрутизации
Цифровая подпись проверяется принимающим маршрутизатором по следующей схеме.
Маршрутизатор В разделяет цифровую подпись и данные обновления маршрутизации.
Маршрутизатор В дешифрует цифровую подпись, используя открытый ключ маршрутизатора А, и получает хэш-код, который был сгенерирован маршрутизатором А.
Маршрутизатор В вычисляет хэш-код для полученного обновления маршрутизации.
Маршрутизатор В сравнивает только что вычисленный хэш-код с хэш-кодом, полученным от маршрутизатора А. Если хэш-коды совпадают, то обновление маршрутизации считается подлинным, а не сфальсифицированным сетевым нарушителем.
Согласование ключей по методу Диффи-Хеллмана
Метод Диффи-Хеллмана позволяет осуществить защищенный обмен открытыми ключами, чтобы можно было безопасно генерировать общие секретные ключи, ис-
пользуемые с алгоритмом DES. Для идентификации сторон при выборе сеансового ключа применяют DSS, но пользователям необходимо также иметь возможность каким-то защищенным способом генерировать сеансовые ключи и обмениваться ими. Поскольку очень важно, чтобы соответствующий ключ сохранялся в секрете, процедура обмена ключами должна гарантировать, что никакая третья сторона не сможет определить сеансовый ключ, даже если обмен выполняется по незащищенной линии. Алгоритм Диффи-Хеллмана создан специально для решения этой проблемы.
Специалисты Cisco выбрали протокол и процесс создания ключей Диффи- Хеллмана, поскольку это один из проверенных, наиболее надежных и широко используемых методов обмена ключами. Он очень надежен, потому что сам ключ по сети вообще не пересылается (при пересылке он может быть раскрыт третьей стороной) и никакая третья сторона не может определить его. Метод Диффи-Хеллмана обеспечивает защиту от перехвата ключа с помощью использования двух известных простых чисел (например, р и д). Эти числа связаны специальной математической формулой, что позволяет сторонам договориться об общем секретном ключе, но не позволяет определить ключ нарушителям, даже если они знают соответствующие простые числа. Система СЕТ использует для р и q определенные фиксированные числа.
Конечным результатом обмена Диффи-Хеллмана является создание общего секретного ключа. Ключи обеих сторон одинаковы, но они никогда не объявляются и не пересылаются по сети. Общий секретный ключ используется для шифрования сообщений с помощью DES.
Нарушитель, пытающийся перехватить открытые ключи Диффи-Хеллмана, не сможет с легкостью вычислить общий секретный ключ и также не сможет легко расшифровать сообщение с открытым ключом. Для сообщающихся сторон очень важно, чтобы их общий секретный ключ оставался защищенным.
В реализации СЕТ алгоритма Диффи-Хеллмана общие секретные ключи никогда не вводятся вручную и их нельзя увидеть, что усиливает защиту. Недостатком является то, что при этом системному администратору необходимо инициировать и проверить работоспособность алгоритма Диффи-Хеллмана в каждом маршрутизаторе. Использование IPSec автоматизирует обмен Диффи-Хеллмана.
Более подробное обсуждение алгоритма Диффи-Хеллмана предлагается в главе 15.
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Шифрование помогает защититься от подслушивания, кражи информации, манипуляции данными и захвата сеанса, а также обеспечивает невозможность отрицать факт пересылки сообщения.
Шифрование представляет собой процесс перевода открытого текста в шифрованный с помощью алгоритма шифрования и ключа, чтобы только соответствующие стороны могли прочитать данные, расшифровав их.
Шифрование обеспечивает конфиденциальность, целостность и аутентичность данных, а также невозможность отрицать факт пересылки сообщения, если он действительно имел место.
Маршрутизаторы Cisco выполняют шифрование с помощью средств программного обеспечения Cisco IOS или специальных плат, установленных в маршрутизаторах.
Шифрование может использоваться для создания сетей VPN между деловыми партнерами или удаленными подразделениями компании, защиты трафика в глобальной сети, трафика Web, удаленных связей, а также для защиты трафика внутренней сети.
Cisco использует в своих продуктах технологии DES, MD5, DSS и метод Диффи-Хеллмана.
Стандарт DES применяется для шифрования данных, а соответствующие ключи имеют длину 40 или 56 бит.
Алгоритм MD5 хэширования сообщений порождает хэш-коды фиксированной длины для вводимых сообщений, и соответствующее преобразование не является обратимым. Хэш-коды используются для цифровых подписей.
Алгоритм DSS создает цифровую подпись сообщения, гарантирующую аутентичность данных.
Алгоритм Диффи-Хеллмана обеспечивает метод защищенного обмена открытыми ключами, используемыми при создании ключей DES.
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Какие проблемы защиты решаются с помощью технологии шифрования?
Из каких основных компонентов состоит шифрование?
Каким образом технология шифрования обеспечивает защиту связей в Internet, между сетями или внутри сети?
Какие три свойства потока обеспечиваются шифрованием?
Какие технологии шифрования использует компания Cisco в рамках СЕТ?
Для чего в СЕТ используется алгоритм DES?
Какой длины ключи DES поддерживаются в рамках СЕТ и почему длина ключа оказывается важным параметром?
Как в продуктах Cisco используется алгоритм MD5 хэширования сообщений?
Как в СЕТ применяется алгоритм DSS?
Как в СЕТ используется алгоритм Диффи-Хеллмана?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Функционирование СЕТ
Cisco IOS Software Feature: Network Layer Encryption, 1997. “Белая книга”, содержащая обзор технологий, используемых системой СЕТ, обсуждение их приложений и
особенностей реализации, а также рекомендации по настройке. Размещается по адресу: www.cisco.com/wacrp/customer/732/Security/encrp_wp.htm.
Алгоритмы шифрования и их действие
Schneier В. Applied Cryptography, Second Edition, Wiley, 1996.
Smith R. E. Internet Cryptography, Addison-Wesley, 1997.
MDS
RFC 1321. Rivest R. The MDS Message-Digest Algorithm, April, 1992.
DSS
“Announcing the Standard for Digital Signature Standard (DSS)”, Federal Information Processing Standards (FIPS) Publication 186, May, 19, 1994.
Другие источники информации о шифровании
Security Command Reference, Cisco IOS Release 12.0, October, 1999.
Security Configuration Guide, Cisco IOS Release 12.0, October, 1999.
Изучив материал данной главы' высможете выполнить следующее.
Указать продукты Cisco, поддерживающие СЕТ. - .
Обеспечить зййиту соединений, настроив средства СЕТ в маршрутизаторах Cisco на примере материала практического занятия. ^
Объяснить, как применяются средства. СЕТ и какУпроверить правильность их настроек...,’"ГW
Глава
14
Применение шифрования feisco
••^ В этойЙИдве обсуждаются принципы, возможности и соответствующие процедуры настройки сбудете СЕТ (Cisco Encryption Technology — технология шифрования Cisco).’'Здесь оттесняется, на основе каких аппаратных средств работает система СЕТ, : и как еле Использовать эти средства, как их настроить и как проверить npa-
Си
НОСТЬ ИХ
>е
ЭфСЕТвани&поле:позволяетосуггфст
ает средства шифрования сетевого уровня, обеспечивающие груза пакетов IP (за исключением заголовков UDP и TCP), ть маршрутизацию шифрованных пакетов в IP-сети. Средст-
ит
ях).
ши даш
ши
ЕТ могут тйЗаторов дос! |Система С Й Ко
|ованы в самых разных маршрутизаторах Cisco — от маршру- ЙрерииЙ|00 до магистральных маршрутизаторов серии 7500.
меетЯ^дующие функциональные возможности.
утентификация j dard — стан тар!
Управление се.ш Шифрошлк- ин
[ шифрования в сети, подсети или для конкретных пар IP- :оответствии с расширенными списками доступа IP.
тройств на основе стандарта DSS (Digital Signature Stan- ровой подписи).
ыми ключами с применением алгоритма Диффи-Хеллмана.
на основе стандарта DES (Data Encription Standard — стандарт
рование выполняется с помощью криптографического модуля, который 'выполняет* я в маршрутизаторе или в специальных платах шифрования — сер- вис-адаптерах \ IP2 или ESA.
Криптографические модули СЕТ
|У Услуги" СЕТ предоставляются специальным сервисом программного обеспечения
IOS -^.криптографическим модулем. Каждый интерфейс маршрутизатора управляется свош^ криптографическим модулем, зависящим от аппаратной конфигурации ^шифрующего маршрутизатора. Существует три типа криптографических модулей: крип-
тографический модуль Cisco IOS, криптографический модуль VIP2 (Versatile Interface Processor 2 — универсальный интерфейсный процессор второго поколения) и криптографический модуль ESA (Encryption Service Adapter — криптографический сервис- адаптер). В табл. 14.1 предлагается краткая сводка возможностей поддержки криптографических модулей в маршрутизаторах Cisco.
Маршрутизаторы
Криптографические модули
Программная поддержка
Все поддерживающие СЕТ маршрутизаторы Cisco без поддержки VIP2-40 или ESA
Криптографический модуль Cisco IOS
Зависит от маршрутизатора
Маршрутизаторы серии 7500, поддерживающие VIP2-40.
Маршрутизаторы серии 7000, использующие RSP7000 или RSP7000CI с поддержкой VIP2-40
Криптографический модуль VIP2- 40 на интерфейсах, поддерживаемых модулем VIP2-40.
Криптографический модуль Cisco IOS на других интерфейсах
Версии 11.2(7)Р и более поздние
Маршрутизаторы серии 7500, поддерживающие VIP2-40 и ESA.
Маршрутизаторы серии 7000, использующие RSP70O0 или RSP7000CI с поддержкой VIP2-40 и ESA
Криптографический модуль ESA на интерфейсах, поддерживаемых модулем VIP2-40.
Криптографический модуль Cisco IOS на других интерфейсах
Версии 11.2(7)Р и более поздние
Маршрутизаторы серии 7200 с установленным и активным модулем ESA
Криптографический модуль ESA
Версии 11.2(7а)Р и более поздние
Планировщик Cisco IOS Software Planner, доступный на странице www.cisco.com/ kobayashi/sw-center/sw-ios.shtml, предлагает точную информацию о версиях Cisco IOS, характеристиках платформ и программном обеспечении, поддерживающем СЕТ. Варианты программного обеспечения СЕТ характеризуются длиной поддерживаемых ключей — 40 или 56 разрядов. Например, программное обеспечение Enterprise Plus 56 поддерживает в рамках СЕТ шифрование DES с 56-битовым ключом. Чтобы получить доступ к Центру программного обеспечения Web-узла ССО, необходимо быть зарегистрированным пользователем ССО.
Криптографический модуль Cisco IOS
Каждый маршрутизатор, предлагающий программную поддержку шифрования в рамках Cisco IOS, имеет криптографический модуль Cisco IOS. Если маршрутизатор не имеет дополнительных криптографических модулей, то криптографический модуль Cisco IOS управляет всеми интерфейсами маршрутизатора. Для многих маршрутизаторов Cisco криптографический модуль Cisco IOS является единственным доступным криптографическим модулем. Исключением являются маршрутизаторы Cisco серий 7200, RSP7000 и 7500, которые могут иметь дополнительные криптографические модули, как будет видно из следующих двух разделов.
Криптографический модуль ассоциируется с программным обеспечением Cisco IOS, размещенным в процессоре RSP (Route Switch Processor — процессор коммутации маршрутов), а также с VIP2 (в VIP2 IOS) и VIP2 ESA. Преимущества использования VIP2 или VIP2 ESA заключаются в следующем.
Программное обеспечение VIP2 (доступное на базе платформ 7500/VIP) обеспечивает сервис шифрования на каждом разъеме. Операции шифрования платой VIP2 обычно выполняются быстрее, и при этом уменьшается нагрузка на процессор RSP Cisco IOS.
Маршрутизаторы Cisco серий 7200, RSP7000 и 7500 могут поддерживать ESA с целью повышения скорости шифрования.
Поддержка VIP2 ESA (доступная на базе платформ 7500/VIP) повышает производительность системы шифрования, обеспечивая при этом сервис шифрования на каждом разъеме и средства контроля неприкосновенности ключей. (В этой главе аббревиатура VIP2 означает как программное обеспечение VIP2, так и VIP2 ESA.)
Криптографический модуль VIP2
Маршрутизаторы Cisco серий RSP7000 и 7500 с поддержкой VIP2-40 имеют два криптографических модуля: криптографический модуль Cisco IOS и криптографический модуль VIP2.
Криптографический модуль VIP2 управляет теми интерфейсами, для которых предусмотрена поддержка VIP2. Все остальные интерфейсы маршрутизатора управляются криптографическим модулем Cisco IOS. Здесь предполагается, что в VIP2 не установлен модуль ESA. Если VIP2 имеет модуль ESA, то управление интерфейсами выполняется по-другому — так, как объясняется в следующем разделе.
Криптографический модуль ESA
ESA (Encryption Service Adapter — криптографический сервис-адаптер) представляет собой адаптер порта для карты VIP2-40 или выполненный в виде отдельного модуля адаптер порта для маршрутизатора Cisco 7200. На базе ESA выполняется криптографический модуль, обеспечивающий аппаратную поддержку шифрования и дешифрования данных, проходящих через интерфейсы интерфейсной карты VIP2 маршрутизатора Cisco 7500, или трафика вообще любого интерфейса маршрутизатора Cisco 7200. ESA снижает нагрузку на процессор, что освобождает ресурсы для поддержки других возможностей Cisco IOS.
Маршрутизаторы Cisco серии 7200 с поддержкой ESA
Адаптер ESA подключается к шасси маршрутизатора Cisco 7200. Когда маршрутизатор Cisco 7200 имеет активный модуль ESA, всеми интерфейсами маршрутизатора управляет именно криптографический модуль ESA (а не криптографический модуль Cisco IOS).
Если ESA неактивен, всеми интерфейсами маршрутизатора управляет криптографический модуль Cisco IOS. В маршрутизаторах Cisco 7200 можно указать, какой криптографический модуль должен быть активным (при этом в любой момент времени может быть активным только один криптографический модуль).
Маршрутизаторы Cisco серий RSP7000 и 7500 с поддержкой ESA
В маршрутизаторах Cisco серий 7500 и 7000 с поддержкой RSP7000, для работы модуля ESA требуется плата VIP2-40, а сам модуль должен быть установлен в первый портовый разъем. Модуль ESA с соответствующим портовым адаптером подключается к плате VIP2. При этом связанными с VIP2 интерфейсами управляет именно криптографический модуль ESA (а не криптографический модуль VIP2). Всеми остальными интерфейсами управляет криптографический модуль Cisco IOS.
Действие СЕТ
При шифровании сетевого уровня в маршрутизаторах Cisco выполняются пять следующих шагов.
Шаг 1. Планирование процедуры шифрования на основе получения необходимой информации и выбора соответствующей политики шифрования.
Шаг 2. Подготовка маршрутизаторов к применению шифрования, предполагающая изменение ряда настроек. Системный администратор должен выполнить настройку шифрующих маршрутизаторов всех сообщающихся сторон.
Шаг 3. Установка шифрованной связи шифрующим маршрутизатором одной из сторон.
Шаг 4. Шифрование и дешифрование данных.
Шаг 5. Завершение сеанса шифрования.
В следующих разделах каждый из этих шагов обсуждается подробнее.
Замечание
Процесс шифрования сетевого уровня описан в руководстве Cisco IOS Security Configuration Guide, которое можно найти на странице: www.cisco.com/univercd/cc/td/ doc/product/software/iosl20/12cgcr/secur_c/index.htm.
Шаг 1. Планирование процедуры шифрования
Рекомендуется тщательно спланировать реализацию шифрования в сети, чтобы уменьшить число возможных ошибок конфигурации в маршрутизаторах сторон. Планирование охватывает следующее.
Общее планирование. Определение общих требований, выдвигаемых к шифрованию на основе политики защиты.
Формулировка требований безопасности. Требуется ли шифровать трафик между подразделениями компании, размещенными, например, в США и Великобритании? Формулируемые требования должны соответствовать общей политике сетевой защиты вашей компании.
Определение списка приложений, которым требуется шифрование. Трафик, генерируемый приложениями, может шифроваться на базе портов TCP или UDP. Например, вам может понадобиться шифрование TCP-пакетов для порта 21.
Определение алгоритмов шифрования, которые следует использовать. Например, какой алгоритм DES должны использовать маршрутизаторы сторон для шифрования данных?
Планирование конфигурации узлов. Необходимо определить, какие конкретные маршрутизаторы и какая информация пакетов потребуют дополнительных настроек. Чтобы система функционировала правильно, конфигурация маршрутизаторов сторон должна быть “зеркальной” (т.е. симметричной) по отношению друг к другу. Необходимо определить и проверить следующие параметры шифрующих маршрутизаторов соответствующих сторон:
имя каждого маршрутизатора;
адреса источника для хостов или подсетей, пакеты которых должны шифроваться;
интерфейсы маршрутизатора, через которые должны пересылаться шифрованные пакеты;
открытые ключи шифрующих маршрутизаторов локальной и удаленной сторон;
алгоритмы шифрования, которые должны использоваться шифрующими маршрутизаторами сторон.
На рис. 14.1 показана топология сети и соответствующая инфраструктура компании XYZ, рассматриваемые в примерах данной главы. Этот рисунок призван помочь вам понять смысл команд, предлагаемых в примерах.
Администратор активной стороныАдминистратор активной стороныАдминистратор пассивной стороныАдминистратор пассивной стороны
Администратор активной стороны
Администратор активной стороны
Администратор пассивной стороны
Администратор пассивной стороны
Рис. 14.1. Топология сети и соответствующая инфраструктура компании XYZ, которым соответствуют примеры данной главы
Шаг 2. Подготовка маршрутизаторов к выполнению шифрования
Перед применением шифрования необходимо аутентифицировать маршрутизатор стороны, с которой локальный маршрутизатор собирается обмениваться шифрованными данными. На рис. 14.2 показана схема процесса, используемого для подтверждения готовности пары сообщающихся маршрутизаторов к выполнению шифрования.
Процесс, в результате которого подтверждается готовность пары маршрутизаторов к шифрованию, заключается в следующем.
Маршрутизаторы сторон генерируют личный и открытый ключи DSS. Совместное применение открытого ключа маршрутизаторами сторон является частью процесса аутентификации. Личный ключ используется для подписи сообщений, пересылаемых в ходе этого процесса, а с помощью открытого ключа принимающий маршрутизатор может проверить подпись, подсоединенную к сообщению.
Личный ключ DSS хранится в секретной части памяти NVRAM (Non-Volatile Random Access Memory — энергонезависимое ОЗУ) маршрутизатора, содержимое которой увидеть нельзя. Этот ключ не предназначен для совместного использования с каким-либо другим устройством. В VIP2 ESA личный ключ хранится в защищенной от вмешательства области ESA. Сохраняемая на сервере ТЕТР конфигурация не содержит открытого ключа.
1. Создание и сохранение личных и открытых ключей DSS1. Создание и сохранение личных и открытых ключей DSS1. Создание и сохранение личных и открытых ключей DSS1. Создание и сохранение личных и открытых ключей DSSDSSА 0—1DSSА 0—12. Обмен открытыми ключами DSS2. Обмен открытыми ключами DSSDSSг—О вDSSг—О в
1. Создание и сохранение личных и открытых ключей DSS
1. Создание и сохранение личных и открытых ключей DSS
1. Создание и сохранение личных и открытых ключей DSS
1. Создание и сохранение личных и открытых ключей DSS
DSS
А 0—1
DSS
А 0—1
2. Обмен открытыми ключами DSS
2. Обмен открытыми ключами DSS
DSS
г—О в
DSS
г—О в
3. Использование голосовой аутентификациидля проверки источника полученныхоткрытых ключей DSS
Рис. 14.2. Системные администраторы выполняют подготовку маршрутизаторов к шифрованию, используя голосовую связь
Системные администраторы маршрутизаторов сторон должны договориться о политике шифрования и обмена открытыми ключами DSS между маршрутизаторами. Хотя открытые значения DSS не являются секретными, необходимо придерживаться правил, указанных в п. 3, чтобы гарантировать источник и целостность полученного открытого ключа.
Системный администратор проверяет открытый ключ DSS маршрутизатора второй стороны посредством устного подтверждения факта обмена (например, по телефону) администратором удаленной стороны. Соответствующий метод верификации называется голосовой аутентификацией. Для голосовой аутентификации требуется, чтобы сетевые администраторы сторон доверяли друг другу и могли узнать голос друг друга по телефону.
Открытые ключи, полученные от удаленных маршрутизаторов, сохраняются в списке открытых ключей локального маршрутизатора. Каждый маршрутизатор может обмениваться шифрованными сообщениями только со сторонами, информация о которых имеется в списке открытых ключей.
Замечание
Процедура голосовой аутентификации будет описана в этой главе ниже, подраздел “Шаг 1. Установка голосового контакта”.
Шаг 3. Установка шифрованной связи
Перед тем как маршрутизаторы смогут начать обмен шифрованными данными, необходимо установить шифрованную связь между ними. Установка сеанса шифрованной связи выполняется тогда, когда маршрутизатор обнаруживает IP-пакет, требующий шифрования, а сеанс шифрованной связи еще не установлен (рис. 14.3).
Переговоры о 40-битовом или 56-битовом варианте DES
PEgА и В создают общий сеансовый ключ DESp^g
5.с помощью полученных ранее открытыхzx
*значений Диффи-Хеллмана* v
Рис. 14.3. Маршрутизаторы, динамически создающие сеанс шифрованной связи
Процесс установки шифрованной связи выглядит следующим образом.
Маршрутизаторы сторон обмениваются сообщениями об установке соединения, чтобы создать сеанс шифрованной связи. Маршрутизатор А идентифицирует себя с помощью сообщения инициализации соединения, содержащего число Диффи- Хеллмана и подпись DSS.
Маршрутизатор В посылает в ответ сообщение со своей подписью DSS. Подписи DSS, посылаемые в сообщениях установки соединения, представляют собой шестнадцатеричные строки, создаваемые каждым маршрутизатором с помощью их личных ключей DSS. Полученные подписи проверяются маршрутизаторами с помощью соответствующих открытых ключей DSS, обмен которыми происходит при подготовке маршрутизаторов к шифрованию. Подпись однозначно характеризует посылающий ее маршрутизатор, поскольку другое устройство фальсифицировать ее не сможет. Шаги 1 и 2 завершаются либо успешно, либо аварийно. Если аутентификация сторон завершается успешно, стороны переходят к следующему шагу; в противном случае сеанс завершается.
Маршрутизатор А отправляет сообщение о подтверждении соединения, указывающее на то, что маршрутизаторы сторон завершили аутентификацию.
Маршрутизаторы сторон ведут переговоры относительно алгоритма шифрования пакетов данных, который будет использоваться в ходе сеанса связи. Можно выбрать один из двух алгоритмов: 40- или 56-битовый DES. Каждый из этих алго-
ритмов шифрования может работать в одном из двух режимов: 8- или 64-битовом режиме СРВ (режим шифрованной обратной связи).
Маршрутизаторы генерируют одноразовый ключ DES для использования в ходе конкретного сеанса. Ключ DES генерируется с помощью алгоритма Диффи- Хеллмана. Обмен числами Диффи-Хеллмана уже был выполнен в процессе установки соединения, и теперь эти числа используются для того, чтобы вычислить общий ключ DES, который будет использоваться сторонами в ходе данного сеанса шифрования. Сеанс шифрования теперь установлен, и стороны могут начать обмен шифрованными данными.
Замечание
Процесс установки соединения и соответствующие возможности выбора алгоритма шифрования описаны в руководстве Cisco IOS Security Configuration Guide.
Шаг 4. Шифрование и дешифрование данных
После того как маршрутизаторы сторон выполнили взаимную аутентификацию и создали сеансовый ключ DES, они могут начать обмен шифрованными данными. Выбранный алгоритм шифрования DES с сеансовым ключом DES будет использоваться для шифрования и дешифрования данных. По завершении обмена данными выполняется процедура завершения сеанса, как показано на рис. 14.4.
Шифрование пакетаШифрование пакетаКлюч DES используется сторонами А и В для шифрования исходящего трафика IP и дешифрования входящего трафика IPКлюч DES используется сторонами А и В для шифрования исходящего трафика IP и дешифрования входящего трафика IPДешифрованиепакетаДешифрованиепакетаDESDESDESDESРис. 14.4. Данные шифруются и дешифруются с помощью сеансового ключа DESРис. 14.4. Данные шифруются и дешифруются с помощью сеансового ключа DESПо завершении сеанса ключи DES и Диффи-Хеллмана уничтожаютсяПо завершении сеанса ключи DES и Диффи-Хеллмана уничтожаются
Шифрование пакета
Шифрование пакета
Ключ DES используется сторонами А и В для шифрования исходящего трафика IP и дешифрования входящего трафика IP
Ключ DES используется сторонами А и В для шифрования исходящего трафика IP и дешифрования входящего трафика IP
Дешифрованиепакета
Дешифрованиепакета
DES
DES
DES
DES
Рис. 14.4. Данные шифруются и дешифруются с помощью сеансового ключа DES
Рис. 14.4. Данные шифруются и дешифруются с помощью сеансового ключа DES
По завершении сеанса ключи DES и Диффи-Хеллмана уничтожаются
По завершении сеанса ключи DES и Диффи-Хеллмана уничтожаются
Шаг 5. Завершение сеанса шифрования
Сеанс шифрованной связи продолжается до тех пор, пока не будет достигнут предел времени существования сеанса, если обмен данными не будет завершен до этого. Соединение обрывается, когда превышено заданное конфигурацией предельное вре-
мя, а если указанный предел не превышен, то соединение сохраняется даже тогда, когда данные по соединению не передаются. По достижении предельного времени ключ сеанса DES и числа Диффи-Хеллмана удаляются.
Если пересылка данных не завершена по достижении предела времени существования соединения, создается новый сеанс связи. По умолчанию предельное время существования сеанса задается равным 30 минутам. Это значение можно изменить на любое другое в пределах 24 часов.
Настройка СЕТ
Настройка средств СЕТ может оказаться непростым делом. Для этого требуется координация между системными администраторами шифрующих маршрутизаторов сообщающихся сторон. Ниже перечислены главные задачи, которые нужно решить при настройке СЕТ. Каждая из этих задач будет подробно описана в следующих разделах.
Задача 1. Создание каждым из маршрутизаторов сторон открытого и секретного ключей DSS и сохранение их в энергонезависимом ОЗУ (NVRAM).
Задача 2. Обмен открытыми ключами DSS маршрутизаторами сообщающихся сторон. Проверка политики шифрования, используемой маршрутизаторами сообщающихся сторон.
Задача 3. Определение глобальной политики шифрования путем согласования алгоритмов шифрования, поддерживаемых соответствующими маршрутизаторами.
Задача 4. Согласование сеансовой политики шифрования путем создания соответствующих криптографических карт.
Задача 5. Проверка конфигурации и действия системы шифрования.
Замечание
Некоторые из указанных здесь задач нужно выполнить только в процессе начальной установки средств шифрования. Обратитесь к материалу следующих разделов, чтобы выяснить, какие действия необходимы в вашем конкретном случае, а какие — нет.
Прежде чем выполнять настройку средств шифрования в маршрутизаторах, убедитесь в том, что связь между устройствами Cisco существует.
Задача 1. Генерирование открытого и личного ключей DSS
Настройка СЕТ начинается с генерирования шифрующими маршрутизаторами сторон открытого и личного ключей DSS. Для генерирования пары открытого и личного ключей DSS маршрутизаторам А и В необходимо выполнить следующие шаги.
Шаг 1. Генерирование пары ключей DSS.
Шаг 2. Сохранение пары ключей в NVRAM.
Шаг 1. Генерирование пары ключей DSS
Пара ключей DSS генерируется и сохраняется маршрутизатором каждой из сторон с помощью следующей команды Cisco IOS, выполняемой в режиме глобальной конфигурации.
crypto key generate dss имя [слот | rsm | vip]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
ИМЯ
Имя, которое присваивается криптографическому модулю (модулю Cisco IOS, VIP2 или ESA). Допустимыми являются любые строковые символы. Использование соответствующего доменного имени может упростить задачу распознавания открытых ключей
слот
Необязательный параметр, идентифицирующий криптографический модуль. Этот параметр доступен только на маршрутизаторах Cisco серий 7200, RSP7000 и 7500 с адаптерами ESA или VIP2. Если слот не указан, выбирается криптографический модуль Cisco IOS. Используйте номер слота шасси, в который установлен соответствующий криптографический модуль.
Для криптографического модуля Cisco IOS это номер слота шасси процессора RSP (процессора коммутации маршрутов), для криптографического модуля VIP2 — номер слота VIP2, а для криптографического модуля ESA — номер слота ESA (Cisco 7200) или VIP2 (Cisco RSP7000 и 7500)
rsm
Необязательное ключевое слово, которое доступно только на коммутаторах Cisco серии Catalyst 5000. Идентифицирует модуль коммутации маршрутов (Route Switch Module) в коммутаторах Cisco серии Catalyst 5000
vip
Необязательное ключевое слово, которое доступно только на коммутаторах Cisco серии Catalyst 5000, где оно идентифицирует процессор V1P
Команда crypto key generate dss заменила команду crypto gen-signature-keys в Cisco IOS версии 12.0.
Вы можете увидеть значения своих открытых ключей с помощью команды show crypto key mypubkey dss. Личные ключи, генерируемые маршрутизаторами, сохраняются в памяти NVRAM и вообще недоступны. Любой, кто смог бы получить доступ к личному ключу, может имитировать законного владельца ключа, поэтому специалисты Cisco позаботились о том, чтобы гарантировать невозможность доступа к личным ключам.
Замечание
Если вы используете маршрутизаторы Cisco серий 7200, RSP7000 или 7500 или коммутаторы Cisco серии Catalyst 5000 с поддержкой ESA, то в процессе генерирования ключей DSS для криптографического модуля ESA от вас потребуется ввести пароль.
В примере 14.1 показаны сообщения, которые появляются при генерировании ключей DSS в маршрутизаторах А и В. Команды этого примера соответствуют схеме, показанной на рис. 14.1, а используемыми именами ключей являются routerAkey и routerBkey. Криптографические модули обычно при этом тоже имеют имена routerAkey и routerBkey.
j Пример 14.1. Генерирование ключей DSS в маршрутизаторе А ,j
гouterA(config)#crypto key generate dss routerAkey
Generating DSS keys ....
[OK]
routerB(config)#crypto key generate dss routerBkey
Generating DSS keys ....
[OK]
Шаг 2. Сохранение пары ключей в NVRAM
Следующим шагом является сохранение пары ключей каждого маршрутизатора, использующего криптографический модуль Cisco IOS. Ключи сохраняются в секретном блоке памяти NVRAM. При этом необходимо иметь в виду следующее.
Чтобы сохранить ключи DSS криптографического модуля Cisco IOS в секретном блоке памяти NVRAM, нужно выполнить команду copy running-config startup-config.
В маршрутизаторах Cisco серий 7200, RSP7000 или 7500 и коммутаторах Cisco серии Catalyst 5000 с поддержкой ESA ключи DSS, генерируемые для криптографического модуля ESA, сохраняются автоматически в процессе генерирования ключей. Эти ключи сохраняются в защищенной от вмешательства памяти ESA.
Удалить пару ключей DSS криптографического модуля можно с помощью команды crypto key zeroize dss в режиме глобальной конфигурации. После этого ключи DSS придется сгенерировать снова с помощью команды crypto key generate dss.
Внимание!
После удаления ключи DSS восстановить невозможно. Используйте соответствующую команду очень аккуратно. После удаления ключей DSS, для начала сеанса шифрования необходимо будет снова генерировать ключи DSS и выполнить процедуру их согласования.
Настройка VIP2 ESA для DSS
Перед настройкой VIP2 ESA для согласования ключей DSS и шифрования, необходимо при установке VIP2 ESA выполнить следующие действия.
После подключения платы VIP2 ESA состояние ESA определяется с помощью следующей команды.
routerishow crypto card
Если адаптер ESA заперт, разблокируйте его с помощью следующей команды, которая инициализирует ESA путем снятия аппаратной блокировки, происходящей тогда, когда адаптер ESA вынимается из разъема шасси и устанавливается снова.
г outer (config)# crypto card clear-latch {слот | vip}
После снятия блокировки можно генерировать ключи DSS для криптографического модуля, как показано в примере 14.1. При первом выполнении команды crypto key generate dss требуется ввести пароль, что обеспечивает дополнительную защиту ESA.
Следующие шаги иллюстрируют процесс генерирования ключа DSS для криптографического модуля VIP2.
Ключи DSS для криптографического модуля VIP2 генерируются с помощью следующей команды.
router(config)|crypto key generate dss имя [слот | rsm | vip]
После выполнения операции “обнуления” необходимо инициализировать пароль криптографической платы. Этот пароль понадобится при генерировании новых ключей подписи и при очистке модуля аппаратной блокировки криптографиче-
' ской платы. От вас потребуется ввести пароль, как показано ниже.
router (config) I crypto key generate dss plr3-vip 2
% Инициализация пароля криптографической платы. Этот пароль требуется для геиерироваиия новых ключей подписи и для очистки модуля блокировки криптографической платы.
Password: <пароль>
Re-enter password: <пароль>
Generating DSS keys .... [OK]
После каждого ввода пароля криптографической платы необходимо генерировать новый ключ следующим образом.
plr3(config)| crypto key generate dss plr3-vip 2
% Генерирование новых ключей DSS снова потребует их согласования сторонами, уже имеющими открытый ключ с именем plr3-vip!
Generate new DSS keys? [yes/no]: yes
% Введите проль криптографической платы.
Password: <пароль>
Generating DSS keys .... [OK]
После генерирования новых ключей DSS необходимо повторное их согласование сторонами, имеющими открытые ключи, подтвержденные в ходе предыдущего обмена ключами.
Задача 2. Обмен открытыми ключами DSS
Еще одной задачей администраторов сторон в процессе настройки СЕТ является обмен открытыми ключами DSS маршрутизаторов, чтобы последние могли идентифицировать друг друга. Для проверки того, что полученные сторонами открытые ключи DSS являются подлинными, используется голосовая связь. Обмен открытыми ключами DSS выполняется по следующей схеме.
Шаг 1. Установка голосового контакта.
Шаг 2. Разрешение соединения для обмена данными пассивной стороной.
Шаг 3. Установка соединения для обмена данными активной стороной.
Шаг 4. Получение и аутентификация открытого ключа DSS активной стороны.
Шаг 5. Запрос ключа DSS пассивной стороны.
Шаг 6. Отправка ключа DSS пассивной стороной.
Шаг 7. Получение и аутентификация открытого ключа DSS пассивной стороны.
Шаг 8. Согласование политики шифрования и завершение сеанса голосовой связи.
Ниже указанные шаги описаны более подробно. Эти шаги требуют координации между администраторами маршрутизаторов сообщающихся сторон.
Шаг 1. Установка голосового контакта
Сначала необходимо позвонить администратору маршрутизатора удаленной стороны и решить, какой маршрутизатор будет играть роль пассивной стороны, а какой — активной. Процедура требует, чтобы вы оставались на связи с администратором маршрутизатора удаленной стороны до тех пор, пока обмен ключами не завершится и ключи DSS не будут проверены.
Замечание
Иногда оба маршрутизатора могут быть настроены одним администратором. Если же маршрутизаторы находятся в разных местах и не контролируются одним человеком, для управления обменом ключами системные администраторы обеих сторон должны находиться на своих местах и между ними должна быть установлена голосовая связь. Именно такой сценарий описывается здесь. Помните о том, что сеть, в которой выполняется обмен ключами, может прослушиваться и нарушитель может фальсифицировать ключи и заменить их своими, тем самым скомпрометировав шифрованное соединение еще до того, как оно установлено. Оба системных администратора должны устно подтвердить “профили” открытых ключей с целью гарантии того, что полученные ими ключи не были фальсифицированы.
Шаг 2. Разрешение соединения пассивной стороной
Администратор пассивной стороны разрешает соединение для обмена с помощью следующей команды.
router(config)|crypto key exchange dss passive [tcp-порт]
Необязательный параметр команды имеет следующее значение.
Параметр команды Описание
tcp-портПрограммное обеспечение Cisco IOS Software для обмена ключами по умолчанию
использует ТСР-порт 1964. Если система использует порт 1964 для других целей, то с помощью этого необязательного параметра можно выбрать для обмена ключами порт с другим номером.
Порт 1964 не является портом, зарезервированным для каких-либо целей в рекомендациях IETF
Замечание
Если администратор активной стороны по каким-то причинам не может установить соединение, ожидание можно прервать с помощью ввода соответствующего назначенного символа перехода (обычно это <Shift+Ctrl+6> с последующим нажатием <Х>).
Команда crypto key exchange dss passive заменила команду crypto key-exchange passive в Cisco IOS версии 12.0.
Рассмотрим пример 14.2, в котором показана команда администратора пассивной стороны (маршрутизатор В), разрешающая обмен ключами DSS (см. также рис. 14.1).
] Пример 14.2. Разрешение обмена ключами DSS администратором
;пассивной стороны ‘ 'Д ’', t" чХ\-л ' -X
routerBjconfig)#crypto key-exchange passive
Шаг 3. Установка соединения активной стороной
Администратор активной стороны инициирует создание соединения для обмена и посылает открытый ключ DSS, используя следующую команду Cisco IOS.
router(config)#crypto key exchange dss ip-адрес имя [tcp-порт]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
ip-адрес
IP-адрес маршрутизатора второй стороны (участвующей в данном обмене ключами и играющей роль пассивной)
ИМЯ
Идентифицирует криптографический модуль. Это значение должно совпадать со значением параметра имя в команде crypto key generate dss, применяемой при генерировании ключей DSS
tcp-nopr
Программное обеспечение Cisco IOS Software для обмена ключами по умолчанию использует ТСР-порт 1964. Если система использует порт 1964 для других целей, то с помощью этого необязательного параметра можно выбрать для обмена ключами порт с другим номером
При разрешении сеанса обмена данными необходимо учитывать также следующие моменты.
Шифрующие маршрутизаторы сторон должны обменяться открытыми ключами DSS до того, как ими будет открыта шифрованная связь.
Если с помощью параметра tcp-порт указан конкретный TCP-порт, тот же порт должен быть указан и пассивной стороной. При использовании маршрутизаторов Cisco серий 7200, RSP7000 или 7500 необходимо обменяться открытыми ключами DSS для каждого криптографического модуля, которые планируется использовать.
Если IP-соединение успешно установлено, передача открытого ключа DSS маршрутизатора активной стороны пассивной стороне происходит автоматически. Порядковый номер и “профиль” открытого ключа DSS активной стороны появляются на консолях администраторов как активной, так и пассивной стороны. Порядковый номер и “профиль” представляют собой значения, генерируемые на основе значения открытого ключа DSS активной стороны.
Начиная с версии 12.0 программного обеспечения Cisco IOS, вместо команды crypto key-exchange используется команда crypto key exchange dss.
примере 14.3 показана команда администратора активной стороны (маршрутизатор А), инициирующая обмен ключами DSS (см. также рис. 14.1).
--—- - -■
Пример 14.3. Начало обмена ключами DSS администратором активной
routerA(config)#crypto key exchange dss 10.1.1.2 routerAkey
Получение и аутентификация открытого ключа DSS активной стороны
Системные администраторы обеих сторон видят порядковый номер и “профиль” открытого ключа DSS активной стороны. В примере 14.4 показан соответствующий вывод маршрутизатора А (см. также рис. 14.1). Маршрутизатор В будет генерировать аналогичный вывод.
Системные администраторы используют голосовую аутентификацию для открытого ключа активной стороны, полученного маршрутизатором пассивной стороны. Администратор активной стороны просит администратора пассивной стороны при-
нять и проверить ключ DSS. Если соответствующие значения для ключа DSS на терминалах обеих сторон совпадают, администратор пассивной стороны принимает ключ DSS активной стороны и помещает этот открытый ключ в конфигурацию маршрутизатора, вводя “у” (да) в ответ на соответствующий запрос.
i Пример 14.4, Порядковый номер и “профиль” открытого ключа маршру- |тизатора А, используемые для аутентификации в процессе
Public-key for RouterA:
Serial Number 0514588
Fingerprint EDOB F279 B0C4 152B DB8E
Открытые ключи сторон сохраняются в обычной памяти NVRAM и с помощью соответствующих порядковых номеров связываются с именами сторон. Ввиду того, что после ввода команды copy running-config startup-config ключи сохраняются в конфигурации, необходимости в обмене открытыми ключами не возникает до тех пор, пока одна из сторон не сгенерирует новую пару ключей DSS.
Шаг 5. Запрос ключа DSS пассивной стороны
К этому моменту на консоли маршрутизатора пассивной стороны появляется запрос к администратору с предложением отправить открытый ключ DSS администратору активной стороны. Администратор пассивной стороны нажимает <Enter>, чтобы продолжить процесс. В примере 14.5 показан вывод маршрутизатора В на этом шаге процесса обмена открытыми ключами DSS.
i Пример 14.5. Порядковый номер и “профиль” открытого ключа маршрутизатора В, используемые для аутентификации в процессе
The public-key for routerB is:
Serial Number 05614636.
Fingerprint 5698 D554 B55D EED5 741D
Шаг 6. Отправка ключа DSS пассивной стороной
Администратору пассивной стороны предлагается ввести имя открытого ключа. После ввода имени и нажатия <Enter> открытый ключ DSS посылается администратору активной стороны.
Шаг 7. Получение и аутентификация открытого ключа DSS пассивной стороны
Порядковый номер и “профиль” открытого ключа DSS пассивной стороны появляются на консолях обеих сторон.
Администраторы проверяют ключ DSS маршрутизатора пассивной стороны, используя метод голосовой аутентификации. Администратор активной стороны соглашается принять ключ DSS пассивной стороны, вводя “у” в ответ на соответствующий запрос.
Шаг 8. Согласование политики шифрования и завершение сеанса голосовой связи
Администраторы проверяют детали политики шифрования, заканчивают сеанс голосовой связи и продолжают настройку средств шифрования.
Пример обмена ключами DSS
Рассмотрим пример обмена ключами DSS между маршрутизаторами А (маршрутизатор активной стороны) и В (маршрутизатор пассивной стороны). Соответствующие команды отвечают описанным выше шагам 2—7 и объединены в несколько групп. Команды вводятся в указанном порядке и согласуются со схемой, показанной на рис. 14.1.
В примере 14.6 администраторы уже идентифицировали друг друга (шаг 1). Они выполняют шаг 2, разрешающий обмен, а затем и шаг 3, означающий начало обмена.
routerB(config)#crypto key exchange dss passive
Enter escape character to abort if connection does not complete.
Wait for connection from peer[confirm]<Return>
Waiting ....
routerA(config)lcrypto key exchange dss 10.1.1.2 routerAkey
Public key for routerAkey:
Serial Number 05614558
Fingerprint 9C7D 6371 ED4E 9183 F3FE
Wait for peer to send a key[confirm] <Return>
Waiting ....
В примере 14.7 показано выполнение шага 4 процесса обмена ключами DSS. Маршрутизатор В получает открытый ключ DSS и его “профиль”, после чего администратор пассивной стороны с помощью администратора активной стороны выполняет аутентификацию ключа и посылает ключ маршрутизатора В маршрутизатору А.
router В session: Passive
Public key for routerAkey:
Serial Number 05614558
Fingerprint 9C7D 6371 ED4E 9183 F3FE
Add this public key to the configuration? [yes/no]: yes
Send peer a key in return[confirm] <Return>
Which one?
routerBkey? [yes]: yes
Public key for routerBkey:
Serial Number 05614636
Fingerprint 649E D4E1 4A78 DEES 2762 routerB(config)I
В примере 14.8 показано выполнение шагов 5—7 процесса обмена ключами DSS. Администратор маршрутизатора А аутентифицирует “профиль” ключа DSS маршрутизатора В и принимает ключ; оба администратора видят открытые ключи DSS второй стороны, выполняют шаг 8 и переходят к выполнению задачи 3.
routerAl
Public key for routerBkey:
Serial Number 05614636
Fingerprint 649E D4E1 4A78 DEES 2762
Add this public key to the configuration? [yes/no]: yes routerA(config)lexit
routerAlshow crypto key pubkey-chain dss
Codes: M - Manually configured
Code Usage Serial NumberName
M Signing 05614636routerBkey
routerBfconfig)lexit
routerBlshow crypto key pubkey-chain dss
Codes: M - Manually configured
Code Usage Serial NumberName
M Signing 05614558routerAkey
Альтернативные методы обмена ключами
С точки зрения конфигурации каждому маршрутизатору необходимо иметь открытые ключи DSS всех маршрутизаторов, с которыми возможен обмен шифрованными данными. Описанный выше метод голосовой аутентификации рекомендован Cisco для обмена открытыми ключами DSS.
Получение ключей DSS маршрутизаторами сообщающихся сторон
Если голосовая аутентификация невозможна, необходимо выбрать иной способ получения точных значений DSS для каждого криптографического модуля маршрутизатора, включая имя, порядковый номер и ключ DSS (в шестнадцатеричном виде). Эти значения можно затем ввести в конфигурацию маршрутизатора вручную, используя команду crypto key pubkey-chain dss.
Администратор маршрутизатора второй стороны может выполнить команду show crypto key mypubkey dss в маршрутизаторе, записать выведенные этой командой зна-
чения ключа DSS и обменяться соответствующими данными, используя, например, следующий альтернативный метод защищенного обмена.
Отправить значения открытого ключа с помощью электронного сообщения, подписанного по методу PGP (аббревиатура PGP применяется для обозначения одной из самых популярных систем шифрования прикладного уровня).
Отправить печатную копию значений открытого ключа в запечатанном конверте через надежного курьера.
Установка значений ключей DSS вручную
Можно ввести значения открытых ключей DSS для каждого криптографического модуля маршрутизаторов сообщающихся сторон вручную с помощью следующих команд в режиме глобальной конфигурации.
router(config)#crypto key pubkey-chain dss named-key имя [special-usage] порядковый-иомер [special-usage] key-string [hex hex hex ...] quit
Параметры команд описаны в следующей таблице.
имяspecial-usage порядковый-иомер hexquitимяspecial-usage порядковый-иомер hexquitПараметр команды Описание
имя
special-usage порядковый-иомер hex
quit
имя
special-usage порядковый-иомер hex
quit
Идентифицирует криптографический модуль шифрующего маршрутизатора. Для маршрутизатора Cisco это имя должно совпадать с полным доменным именем (необязательный) Если этот параметр не указан, ключ считается универсальным Порядковый номер открытого ключа DSS шифрующего маршрутизатора
Значение открытого ключа DSS шифрующего маршрутизатора в шестнадцатеричном формате По окончании ввода значения открытого ключа необходимо ввести команду quit, чтобы выйти из шестнадцатеричного режима ввода
В примере 14.9 показано, как администратор маршрутизатора А вручную устанавливает значение ключа DSS.
юча DSS вручнуююча DSS вручную
юча DSS вручную
юча DSS вручную
routerA#configure terminal
routerA(config)4crypto key pubkey-chain dss routerA (conf ig-pubkey-chain) I named-key routerBkey routerA(config-pubkey-key) 4special-usage 05614636 routerA (conf ig-pubkey-key)4key-string
Enter a public key as a hexidecimal number ....
FFFD0891 7A3C176C 1A83BC49 68B00B24
E5A9700C BA782232 CE719B90 A7D4B3C6
B8E59BB3 D9CAA349 F7F03664 A4188A64
6EEDD7F8 F215EF6B 53F04A05 7E98278B
routerA(config-pubkey-key)4 quit
routerA(config)4
Анализируя команды, показанные в примере 14.9, обратите внимание на следующие моменты.
В результате ввода команды crypto key pubkey-chain dss открывается интерактивный диалоговый режим. Чтобы получить список подкоманд, которые можно использовать в этом режиме, введите символ ?.
Команда crypto key pubkey-chain dss заменяет команду crypto public-key.
Длина открытого ключа DSS достаточно велика. Поэтому рекомендуется использовать эмулятор терминала (например, HyperTerminal), чтобы скопировать и вставить значение открытого ключа, если это возможно.
С помощью команды show crypto key pubkey-chain dss можно проверить правильность ввода информации о ключе DSS.
Внимание!
Независимо от того, какой метод аутентификации вы выберете, очень важно проверить источник полученного открытого ключа DSS. Не принимайте и не добавляйте в конфигурацию открытый ключ DSS, не имея достаточных оснований для того, чтобы считать источником ключа маршрутизатор соответствующей стороны, иначе ваша система шифрования может быть скомпрометирована.
Задача 3. Определение глобальной политики шифрования
Эта задача процесса настройки шифрования состоит в определении алгоритмов шифрования DES и ключей DES для шифрования и дешифрования данных. Алгоритмы шифрования DES должны выбираться в соответствии с общей политикой сетевой защиты.
Необходимо также глобально разрешить использование всех алгоритмов шифрования DES, которые маршрутизатор может использовать в ходе сеансов шифрования. Если некоторый алгоритм DES не активизирован глобально, использовать его будет невозможно. Чтобы установить сеанс шифрования с маршрутизатором другой стороны, необходимо разрешить использование по крайней мере одного алгоритма DES, разрешенного другой стороной. Чтобы система шифрования могла работать, в маршрутизаторах обеих сторон должен применяться один и тот же алгоритм DES.
Система СЕТ поддерживает следующие четыре типа алгоритмов шифрования DES:
DES в 8-битовом режиме СЕВ;
DES в 64-битовом режиме СЕВ;
40-битовый вариант DES в 8-битовом режиме СЕВ;
40-битовый вариант DES в 64-битовом режиме СЕВ.
40-битовые варианты DES с 40-битовыми ключами легче раскрыть нарушителю, чем основные варианты DES с 56-битовыми ключами DES. Однако экспортные законы могут требовать, чтобы поставляемые на экспорт приложения использовали 40битовый вариант DES. 8-битовый режим СЕВ более популярен, чем 64-битовый, но его использование требует больше процессорных ресурсов. Могут существовать и другие условия, при которых может потребоваться применение алгоритма DES какого-то определенного типа.
Чтобы выяснить, допускается ли экспорт образа вашего программного обеспечения, используйте команду show crypto cisco algorithms, с помощью которой можно определить, какие алгоритмы DES активизированы в настоящий момент.
Для решения задачи определения глобальной политики шифрования необходимо выполнить следующие действия.
Шаг 1. Настроить параметры глобальной политики шифрования.
Шаг 2. Согласовать детали политики шифрования.
Шаг1. Настройка параметров глобальной политики шифрования
Этот шаг заключается в разрешении применения одного или нескольких алгоритмов DES с опциями, которые могут использоваться при согласовании политики шифрования каждого конкретного сеанса. Алгоритмы шифрования с соответствующими параметрами могут быть описаны в рамках СЕТ с помощью следующих команд, выполняемых в режиме глобальной конфигурации.
crypto cisco algorithm des [cfb-8 | cfb-64]
crypto cisco algorithm 40-bit-des [cfb-8 | cfb-64]
Параметры команд описаны в следующей таблице.
Параметр команды
Описание
des
Глобально активизирует 56-битовый алгоритм DES. Этот метод шифрования используется по умолчанию, если не указан параметр 40-bit-des
40-bit-des
Глобально активизирует 40-битовый алгоритм DES
cfb-8
(необязательный) Определяет применение 8-битового режима СРВ для указанного алгоритма DES. При отсутствии указаний относительно режима СРВ, по умолчанию используется 64-битовый режим
cfb-64
(необязательный) Определяет применение 64-битового режима СРВ для указанного 40-битового алгоритма DES. При отсутствии указаний относительно режима СРВ, по умолчанию используется 64-битовый режим
guit
Используется по завершении ввода открытого ключа для выхода из шестнадцатеричного режима ввода
Обратите внимание на следующие правила настройки.
Если выполняется неэкспортируемый образ, по умолчанию используется основной алгоритм DES (с 56-битовым ключом) в 8-битовом режиме СЕВ.
Если выполняется экспортируемый образ, то по умолчанию используется 40битовый алгоритм DES в 8-битовом режиме СЕВ.
8-битовый режим СЕВ применяется чаще, чем 64-битовый, но он требует больших затрат процессорного времени. Если режим явно не указан, то по умолчанию используется 64-битовый режим СЕВ.
Чтобы выяснить, какие алгоритмы DES активизированы в данный момент, используйте команду show crypto cisco algorithms.
В примере 14.10 показано, как можно реализовать глобальную политику шифрования в маршрутизаторах двух сторон.
■тики шифрования■тики шифрованияrouterA(config)#crypto cisco routerA(config)#crypto cisco routerBfconfig)#crypto cisco routerB(config)#crypto cisco routerB(config)#crypto ciscorouterA(config)#crypto cisco routerA(config)#crypto cisco routerBfconfig)#crypto cisco routerB(config)#crypto cisco routerB(config)#crypto ciscoalgorithm des cfb-8algorithm 40-bit-des cfb-8algorithm des cfb-8algorithm des cfb-64algorithm 40-bit-des cfb-8algorithm des cfb-8algorithm 40-bit-des cfb-8algorithm des cfb-8algorithm des cfb-64algorithm 40-bit-des cfb-8
■тики шифрования
■тики шифрования
routerA(config)#crypto cisco routerA(config)#crypto cisco routerBfconfig)#crypto cisco routerB(config)#crypto cisco routerB(config)#crypto cisco
routerA(config)#crypto cisco routerA(config)#crypto cisco routerBfconfig)#crypto cisco routerB(config)#crypto cisco routerB(config)#crypto cisco
algorithm des cfb-8
algorithm 40-bit-des cfb-8
algorithm des cfb-8
algorithm des cfb-64
algorithm 40-bit-des cfb-8
algorithm des cfb-8
algorithm 40-bit-des cfb-8
algorithm des cfb-8
algorithm des cfb-64
algorithm 40-bit-des cfb-8
Следует обратить внимание на следующие моменты.
Необходимо глобально активизировать все алгоритмы DES, которые будут использоваться в криптографических картах для связи с другими шифрующими маршрутизаторами.
Глобальная активизация конкретного типа алгоритма DES разрешает его использование всеми криптографическими модулями маршрутизатора.
Чтобы сеанс шифрования мог состояться, соответствующие алгоритмы DES должны быть разрешены к использованию в маршрутизаторах обеих сторон.
Команда show crypto cisco algorithms выводит список глобальных алгоритмов шифрования, активизированных в маршрутизаторе в данный момент.
Шаг 2. Согласование деталей политики шифрования
В режиме голосовой связи администраторы маршрутизаторов сообщающихся сторон должны согласовать детали политики шифрования. Соответствующая информация должна быть подготовлена еще на стадии планирования. Рекомендуется согласовать следующие данные, чтобы минимизировать вероятность ошибок конфигурации:
имя маршрутизатора стороны, с которой будет установлена шифрованная связь;
глобальная политика шифрования, которую планируется использовать;
IP-адреса хостов, которые будут шифровать пакеты;
типы пакетов, которые будут шифроваться.
В табл. 14.2 представлены элементы политики шифрования для маршрутизаторов и шифрующих хостов в сети компании XYZ. Соответствующие настройки иллюстрируются примерами, представленными в следующих разделах.
^МШ#ца'14.2.;Элеме
нты политики шифрования
для сети компании XYZ\
Параметр
Значение для маршрутизатора А
Значение для маршрутизатора В
Имя маршрутизатора второй стороны
routerB
routerA
Политика шифрования
des cfb-8
des cfb-8
IP-адрес защищаемого хоста
10.1.2.0
10.1.3.2
Тип трафика, подлежащего шифрованию
TCP
TCP
Задача 4. Согласование сеансовой политики шифрования
Еще одной важной задачей настройки СЕТ является согласование сеансовой политики шифрования. На этом этапе вы сообщаете маршрутизатору, какие интерфейсы должны шифровать или дешифровать данные, какие пакеты IP в рамках этих интерфейсов должны шифроваться или дешифроваться и какой алгоритм шифрования DES следует при этом использовать. Чтобы решить указанную задачу, необходимо выполнить следующие действия.
Шаг 1. Настроить списки доступа, в которых указано, какие хосты и какие типы пакетов должны шифроваться.
Шаг 2. Настроить криптографические карты для поддержки выбранной политики шифрования.
Шаг 3. Применить криптографические карты к интерфейсам, в рамках которых будет выполняться шифрование.
Шаг 1. Настройка списков шифрованного доступа
Чтобы определить, какие пакеты должны шифроваться, используются расширенные списки доступа IP. Эти списки доступа функционируют так же, как списки исходящего доступа. Соответствующая команда имеет следующий синтаксис.
access-list номер-списка-доступа {deny | permit} протокол источник
групповой-адрес-источиика получатель групповой-адрес-получателя
Обратитесь к приложению В, “Настройка стандартных и расширенных списков доступа”, чтобы получить более подробную информацию о том, как настроить такие списки. При настройке списков доступа для шифрования используются следующие соглашения:
команда permit дает указание маршрутизатору шифровать пакеты;
параметры источник и получатель задают адреса подсетей или хостов;
можно указать порты TCP или UDP источника и получателя;
когда маршрутизатор получает шифрованные пакеты в ответ, он использует тот же список доступа, просматривая адреса источника и получателя в обратном порядке, чтобы определить, какие входящие пакеты необходимо дешифровать;
списки шифрованного доступа применяются к интерфейсу, как списки исходящего доступа;
маршрутизаторы сторон должны иметь списки доступа, которые являются зеркальными отражениями друг друга;•
более подробная информация относительно использования команд расширенных списков доступа IP для шифрования содержится в руководствах Cisco IOS Security Configuration Guide и Cisco IOS Security Command Reference.
В примере 14.11 показано, как настроить списки шифрованного доступа в сети компании XYZ в соответствии с требованиями политики защиты.
Пример 14.11. Настройка списков доступа для маршрутизаторов А и В
routerA(config)laccess-list 101 permit tcp 10.1.2.0 0.0.0.255 host 10.1.3.2 routerB(config)♦access-list 110 permit tcp host 10.1.3.2 0.0.0.255
10.1.2.0 0.0.0.255
В этом примере следует отметить следующие моменты (соответствующая политика защиты представлена в табл. 14.2).
Маршрутизатор А шифрует весь трафик TCP от сети 10.1.2.0 к хосту 10.1.3.2.
Маршрутизатор В шифрует весь трафик TCP от хоста 10.1.3.2 к сети 10.1.2.0.
Списки доступа маршрутизаторов являются зеркальными отражениями друг друга.
Замечание
Хотя синтаксис команд расширенного списка доступа IP для шифрования остается прежним, значение параметров все же отличается: permit означает, что соответствующие пакеты должны шифроваться, a deny означает, что пакеты шифроваться не должны.
Шаг 2. Определение криптографических карт
Криптографические карты задают и контролируют политику шифрования каждого сеанса. Маршрутизатор Cisco шифрует исходящие пакеты и дешифрует входящие пакеты только определенного интерфейса.
Криптографические карты связывают указанные в списке доступа критерии выбора трафика с маршрутизаторами сообщающихся сторон и алгоритмами DES. Команда crypto map определяет сеансовую политику. Чтобы определить криптографическую карту, выполните следующие действия.
Определите криптографическую карту и войдите в режим ее конфигурации, router(config)(crypto map имя-карты иомер-последовательиости [cisco]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
нмя-карты
Имя, которое присваивается криптографической карте
иомер-последовательности
Номер последовательности в криптографической карте, обозначающей индивидуальный блок в рамках данной криптографической карты. Определяет набор операторов, соответствующий указанному номеру в рамках данной криптографической карты. Каждый такой набор описывает отдельное шифрованное соединение, т.е. определяет, какие пакеты следует шифровать и какую политику шифрования к ним применять. Если номер последовательности не указан, по умолчанию присваивается значение 10
cisco
Значение, принимаемое по умолчанию и указывающее на то, что криптографическая карта используется средствами СЕТ, а не IPSec
В режиме конфигурации криптографической карты укажите имя маршрутизатора удаленной стороны.
routerAfconfig-crypto map)|set peer имя
Значение параметра имя задает имя криптографического модуля маршрутизатора удаленной стороны.
Замечание
Рекомендуется всегда указывать номер последовательности, в противном случае маршрутизатор присвоит свой (по умолчанию это будет 10). При добавлении записи к ранее определенной криптографической карте, необходимо указывать как имя криптографической карты, так и номер последовательности. Если номер последовательности не указать, маршрутизатор интерпретирует это как намерение создать в криптографической карте с указанной меткой новую последовательность с новым порядковым номером. При добавлении в криптографическую карту записи с новым номером последовательности создается новая последовательность криптографической карты. Это можно использовать тогда, когда необходимо шифровать трафик, направляемый нескольким адресатам через один интерфейс незащищенной сети.
В режиме конфигурации криптографической карты укажите алгоритмы шифрования, которые могут использоваться маршрутизатором в процессе согласования, router (config-crypto map)lset algorithm des [cfb-8 | cfb-64] router (config-crypto map)lset algorithm 40-bit-des [cfb-8 | cfb-64]
Здесь можно указать любые алгоритмы шифрования из тех, которые были активизированы на глобальном уровне. Если алгоритма шифрования нет в глобальном списке, его не разрешается указывать в криптографической карте. Во время переговоров сторон алгоритмы будут обсуждаться в том порядке, в котором они указаны в данном списке команд.
Каждой последовательности криптографической карты присвойте один список доступа.
router(config-crypto map)|match address список-доступа
Оператор match используется для описания пакетов, покидающих интерфейс. Параметр список-доступа указывает список доступа, применяемый к криптографической карте. Если в криптографической карте имеется несколько криптографических последовательностей, на совпадение будет проверена каждая из них. При совпадении применяются операторы set (см. п. 3), определенные в рамках соответствующей последовательности.'
Свяжите криптографическую карту с интерфейсом маршрутизатора.
router(config)linterfасе тип спот/порт router(config-if)lcrypto map имя-карты
Параметр имя-карты указывает, какая криптографическая карта применяется к интерфейсу.
Замечание
Сеанс шифрования между шифрующими маршрутизаторами сторон открыть не удастся, если политика шифрования маршрутизаторов будет несовместимой (по многим параметрам требуется даже идентичность политики). Например, стороны должны договориться об одном и том же алгоритме шифрования для конкретного сеанса.
В примерах 14.12 и 14.13 показано, как настроить криптографические карты и применить их к интерфейсам маршрутизаторов А и В. В примере 14.12 показаны команды для маршрутизатора А.
routerA(config)#crypto шар routerAmap 10 cisco routerA(config-crypto-map)#set peer routerBkey routerA(config-crypto-map)#match address 101 routerA(config-crypto-map)#set algorithm des routerA(config-crypto-map)Iexit routerA(config)#interface serial 0 routerA(config-if)# crypto map routerAmap routerA(config-if) # A Z routerA#configure terminal
routerA(config)laccess-list 101 permit tcp 10.1.2.0 0.0.0.255 host 10.1.3.2
Обратите внимание на следующие моменты, касающиеся маршрутизатора А:
именем криптографической карты является routerAmap;
используется криптографический алгоритм des cfb-8;
именем маршрутизатора удаленной стороны является routerBkey,
трафик, который должен быть шифрованным, определяется списком доступа 101;
криптографическая карта routerAmap применяется к интерфейсу serial 0.
В примере 14.13 показаны команды для маршрутизатора В.
routerB(config)#crypto map routerBmap 10 cisco
routerB(config-crypto-map)#set peer routerAkey
routerBfconfig-crypto-map)Imatch address 110
routerB(config-crypto-map)#set algorithm des
routerB(config-crypto-map)#exit
routerB(config)#interface serial 0
routerB(config-if)#crypto map routerBmap
route rB (config-if )#AZ
routerB#configure terminal
routerB(config)laccess-list 110 permit tcp host 10.1.3.2 0.0.0.255
10.1.2.0 0.0.0.255
Обратите внимание на следующие моменты, касающиеся маршрутизатора В:
именем криптографической карты является routerBmap;
используется криптографический алгоритм des cfb-8;
именем маршрутизатора удаленной стороны является routerAkey,
трафик, который должен быть шифрованным, определяется списком доступа 110;
криптографическая карта routerBmap применяется к интерфейсу serial 0.
Дополнительные команды шифрования
Можно использовать две дополнительные команды, определяющие сеансовую политику шифрования: crypto cisco key-timeout минуты и crypto cisco pregen-dh-pairs число [ слот| rsm] vip], Параметр число определяет, сколько открытых значений DH следует сгенерировать заранее и хранить в резерве; допустимыми являются значения от 0 до 10.
Контроль длительности сеансов шифрования'
Команда crypto key-timeout позволяет установить предел времени существования криптографических ключей. Сеансовые ключи действительны только в течение времени, установленного администратором. Когда время существования ключей истекает, программа установки соединения требует повторной аутентификации сторон и определения нового сеансового ключа. Соответствующая команда имеет следующий синтаксис.
crypto key-timeout минуты
Принимаемое по умолчанию значение предела равно 30 минутам. Допустимыми являются значения от 1 до 1400 (последнее соответствует 24 часам).
Замечание
При выборе слишком маленького значения для предела времени может снизиться производительность маршрутизатора, поскольку в ходе обмена сеансовыми ключами поступающие пакеты не принимаются. Вычисление ключей в процессе обмена Диффи- Хеллмана может занять несколько секунд, в течение которых пакеты будут отвергнуты.
Предварительное генерирование значений Диффи-Хеллмана
Для предварительного генерирования значений Диффи-Хеллмана используется команда crypto pregen-dh-pairs. Аутентификация и установка соединения могут занимать много времени в медленных конечных маршрутизаторах, что обусловлено использованием технологии открытых ключей. Чтобы ускорить процесс создания соединения, открытые значения Диффи-Хеллмана можно сгенерировать заранее, чтобы не возникало задержек, когда эти значения потребуются. В конфигурации можно указать, сколько пар значений Диффи-Хеллмана следует вычислить сразу. Вскоре после того, как одна пара используется для соединения, генерируется другая пара, так что указывать более двух пар обычно не требуется. По умолчанию предварительно не генерируется ни одной пары. Соответствующая команда имеет следующий синтаксис: crypto pregen-dh-pairs спот
На маршрутизаторах Cisco серий 7500 и 7200 с дополнительными разъемами шасси параметр спот можно использовать для того, чтобы указать, какой криптографический модуль должен заранее генерировать пары ключей Диффи-Хеллмана. Если слот шасси не указан, то будет использоваться главный процессор.
Изменение ограничений списка шифрованного доступа
По умолчанию максимальное число различных источников (хостов или подсетей) в списке шифрованного доступа не может превышать 100. Максимальное число адреса-
тов, которые разрешается определить для любого источника, равно 10. Можно изменить максимальное число источников (хостов или подсетей), задаваемых в операторах списка шифрованного доступа. Для этого используется следующая команда, применяемая в режиме глобальной конфигурации.
crypto cisco entities число
Параметр команды "представлен в следующей таблице.
Параметр команды
Описание
ЧИСЛО
Задает максимальное число источников. Используйте значения от 3 до 500
Кроме того, можно изменить максимальное число адресатов (хостов или подсетей), которые задаются в операторах списка шифрованного доступа. Для этого используется следующая команда, применяемая в режиме глобальной конфигурации.
crypto cisco connections число
Параметр команды представлен в следующей таблице.
Параметр команды
Описание
ЧИСЛО
Задает максимальное число адресатов для каждого источника. Используйте значения от 3 до 500
Задача 5. Проверка конфигурации и действия системы шифрования
Программное обеспечение Cisco IOS предлагает широкие возможности для проверки корректности настроек средств шифрования. В этом разделе рассматриваются команды, используемые для проверки действия средств шифрования и корректности их конфигурации.
Проверка конфигурации
Если необходимо проверить работоспособность конфигурации средств шифрования между сообщающимися сторонами, с помощью следующей команды можно инициировать начало сеанса вручную.
test crypto initiate-session ip-адрес-источн ip-адрес-получ имя-карты порядк-номер
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
ip-адрес-источн
IP-адрес хоста источника. Должен быть определен в списке шифрованного доступа как допустимый IP-адрес источника
ip-адрес-получ
IP-адрес хоста получателя. Должен быть определен в списке шифрованного доступа как допустимый IP-адрес получателя
имя-карты
Имя используемой криптографической карты
порядк-номер
Номер последовательности криптографической карты
Кроме того, обратите внимание на следующие моменты.
Сеанс шифрования будет создан только в том случае, если определены криптографические карты, сгенерированы ключи DSS и произошел обмен открытыми ключами.
После ввода указанной выше команды используйте команду show crypto cisco connections, чтобы проверить состояние только что созданного соединения.
Замечание
С помощью команды test crypto initiate-session проверяется возможность установки сеанса. Чтобы убедиться в том, что шифруются соответствующие пакеты, после ввода этой команды воспользуйтесь командой show crypto engine connections active.
В примере 14.14 показан вариант применения команды для проверки шифрования. Маршрутизатор А устанавливает тестовый сеанс шифрования с маршрутизатором В.
^Пример 14.14. Проверка шифрования в маршрутизаторе А
routerAitest crypto initiate-session 10.1.1.1 10.1.1.2 routerAmap 10
Sending Crypto Connection Message to: 10.1.1.2 from: 10.1.1.1. Connection id: -1
Обратите внимание на то, что значение id оказывается равным -1. Отрицательное значение соответствует установке соединения.
Очистка шифрованного соединения
Если поведение шифрованного соединения не соответствует запланированному, можно очистить соединение вручную с помощью следующей команды.
clear crypto connection id-соединения [слот]
Значение параметра id-соединения определяется с помощью команды show crypto cisco connections, описанной ниже в табл. 14.4.
Проверка шифрования
Для вывода различной информации о конфигурации шифрования применяются команды show. Чтобы проверить параметры состояния криптографического модуля маршрутизатора, используйте команды, представленные в табл. 14.3.
зппина т Л ч IfnuaunLiяпАВ»гмги vnun
КомандаКомандаОписание
Команда
Команда
show crypto engine brief
Отображает конфигурацию всех криптографических модулей в маршрутизаторе Cisco (серий 7200, RSP7000 или 7500)
show crypto engine configuration
Отображает конфигурацию всех криптографических модулей маршрутизатора Cisco
Команды, перечисленные в табл. 14.4, можно использовать для того, чтобы выяснить параметры шифрованных соединений локального маршрутизатора.
Таблица 14.4. Команды show для проверки шифрованных соединений Та > \
show crypto cisco connectionsshow crypto cisco connectionsКомандаОписание
show crypto cisco connections
show crypto cisco connections
Отображает состояние действительных и незавершенных шифрованных соединений. Эта команда заменяет команду show crypto connections, используемую в Cisco IOS версии 11.2
show crypto engine connections active Отображает информацию об активных в данный момент сеансах шифрованных соединений для всех криптографических модулей маршрутизатора
Примеры проверки шифрования
В этом разделе предлагается несколько примеров проверки действия шифрования. В примере 14.15 показаны активные соединения криптографического модуля, соответствующие сеансу, установленному ранее с помощью команды test crypto initiate-session.
router#show crypto engine connections active
Connection 1
InterfaceIP-AddressStateAlgorithmEncryptDecrypt
EthernetO10.1.1.1setDES 56 CFB6400
Поля команды имеют следующие значения.
Поле
Описание
Connection
Идентифицирует соединение с помощью соответствующего номера. Каждое активное шифрованное соединение идентифицируется положительным числом от 1 до 299. Номера соединений соответствуют номерам записей соответствующей таблицы
Interface
Идентифицирует локальный интерфейс, с которым связано шифрованное соединение. Указывает только реальный интерфейс, даже если для соединения в рамках реального интерфейса определен и используется субинтерфейс
IP-Address
IP-адрес интерфейса. Если для соединения используется субинтерфейс, это поле имеет значение “unassigned” (не задан)
State
Algorithm
Encrypt
Decrypt
Значение “set” (установлено) соответствует активному соединению
Определяет алгоритм DES, используемый для шифрования/дешифрования пакетов
Общее число шифрованных исходящих пакетов IP
Общее число дешифрованных входящих пакетов IP
В примере 14.16 показаны текущие шифрованные соединения, соответствующие сеансу, установленному ранее с помощью команды test crypto initiate-session.
router#show crypto cisco connections Connection Table■
PEUPEConn_idNew_idAlgTime
10.1.1.110.1.1.210DES_56_CFB64Feb 29 2000 23:41:11
flags:TIME_KEYS~
Поля команды имеют следующие значения.
Поле
Описание
РЕ
Защищенный объект. IP-адрес источника, который должен соответствовать допустимым адресам источника в списке шифрованного доступа криптографической карты, применяемом для данного соединения
UPE
Незащищенный объект. Указывает IP-адрес получателя, который должен соответствовать допустимым адресам получателя в списке шифрованного доступа криптографической карты, применяемом для данного соединения
Conn id
Число, используемое для идентификации и контроля соединения. Может быть положительным целым значением от 1 до 299 или любым отрицательным целым значением. Идентификатор устанавливаемого (незавершенного) соединения получает отрицательное значение, а по завершении установки соединения его идентификатору присваивается положительное значение
New_id
Идентификационный номер соединения, присваиваемый соединению по завершении установки. Может принимать значения от 0 до 299.
Если значение New_id равно 0, незавершенных соединений нет. Если значение New_id является положительным, какое-то соединение ожидает завершения установки.
Как только установка соединения завершается, значение New_id перемещается в поле Conn_id для установленного соединения, a New_id снова становится равным 0
Alg
Time
Указывает алгоритм шифрования DES, используемый для текущего соединения
Указывает время инициализации соединения
flags
Сообщает дополнительную информацию о состоянии соединения.
PEND_CONN идентифицирует незавершенное соединение.
XCHG_KEYS означает, что соединение превысило предел времени. Чтобы снова установить шифрованную связь, маршрутизатор должен опять выполнить обмен числами Диффи-Хеллмана и создать новый сеансовый ключ (DES).
TIME_KEYS означает, что сеанс шифрованной связи в настоящий момент активен (ключ сеанса установлен и отсчитывается время существования сеанса).
BAD_CONN означает, что для данной записи таблицы нет существующих или не завершивших установку соединений.
UNK_STATUS означает недопустимое состояние (ошибку) или невозможность определить состояние соединения
Просмотр сохраненных открытых ключей DSS
Открытые ключи сторон, с которыми возможен обмен данными, могут быть просмотрены любым пользователем, поскольку эта информация не является секретной. Следующая команда допускает несколько вариантов отображения информации об открытых ключах.
show crypto key pubkey-chain dss [name имя | serial порядк-номера
Параметры команды описаны в следующей таблице.
Параметр команды Описание
ИМЯ
Имя, присвоенное открытому ключу DSS при его создании с помощью команды crypto key pubkey-chain dss
порядк-номер Порядковый номер открытого ключа DSS шифрующего маршрутизатора
Команда show crypto key pubkey-chain dss заменяет команды show crypto pubkey, show crypto pubkey name и show crypto pubkey serial.
Пример вывода информации об открытых ключах DSS
В примере 14.17 показаны два варианта вывода информации об открытых ключах DSS в маршрутизаторе А — краткий и подробный.
Пример 14.17. Просмотр информации об открытых ключах DSS г . /, .- в маршрутизаторе А
routerAtshow crypto key pubkey-chain dss Codes: M - Manually configured
Code usage Serial NumberName
M Signing 05614636routerBkey ’
routerAtshow crypto key pubkey-chain dss name routerBkey
Key name: routerBkey Serial number: 05614636 Usage: Signature Key Source: Manually entered Data:
F03C3B12 A3282C5A 81AF0512 CDBCF6E1 508A76AE 36400019 AFF6EB65 35349453
6933FEDD 4991856B 565FB494 30401D5E E7D10AE1 34EBEA81 612E6D24 03F2A525
В примере 14.18 показаны варианты вывода информации об открытых ключах DSS в маршрутизаторе В.
gilp^|||||^|g^j^^
fclSjteiSЙ1Я|М1^^
routerBlshow crypto key pubkey-chain dss
Codes: M - Manually configured■
Code usageSerial NumberName
M Signing 05614558routerAkey
routerBlshow crypto key pubkey-chain dss name routerAkey Key name: routerAkey Serial number: 05614558 Usage: Signature Key Source: Manually entered Data:
F4D16300 CAD4C1EF 1454A194 42CD4D4A D1C1C931 F6C1FA30 24C46E21 D4BCEAB9 646A9A18 0A2831F8 674E48A1 FD399363 B5A36DB2 9CDE7FCC 9C7CFA14 B332E820
Проверка параметров политики шифрования локального маршрутизатора
С помощью команды, показанной в табл. 14.5, можно увидетв открытые ключи DSS локального маршрутизатора для всех его криптографических модулей.
еТаблица 14.5. Команда show, отображающая информацию об открытых
||8S|||^|££||jj||-J||^||£3
КомандаОписание
show crypto key mypubkey dss Отображает в шестнадцатеричной форме значения всех открытых ключей DSS для всех криптографических модулей маршрутизатора. Заменяет команду show crypto mypubkey
Команды, представленные в табл. 14.6, отображают информацию о каждой криптографической последовательности криптографической карты, а также идентификатор соединения, связанного с такой последовательностью. Кроме того, эти команды показывают статистическую информацию, а также значения защищенных и незащищенных объектов.
1 Таблица 14.6. Криптографические команды show' J
Команда
Описание
show crypto map
Показывает конфигурацию криптографической карты
show crypto map interface интерфейс
Показывает часть криптографической карты, применяемую к указанному интерфейсу
show crypto map tag
Показывает часть криптографической карты с указанным именем ^нмя-карты^
нмя-карты
включая все последовательности
show crypto cisco
Показывает типы алгоритма DES, глобально разрешенные для маршрутизатора.
algorithms
Заменяет команду show crypto algorithms. (Чтобы увидеть, какие алгоритмы DES определены для конкретных криптографических карт, используйте команду show running-config.)
show crypto cisco pregen-dh-pairs
Показывает, сколько пар Диффи-Хеллмана сгенерировано и готово к применению
show crypto cisco
Отображает текущие установки для длительности шифрованных сеансов. Заменяет
key-timeout
команду show crypto key-timeout
Отключение шифрования
Чтобы отказаться от шифрования, отключите средства шифрования для интерфейса или для всего маршрутизатора, руководствуясь следующими принципами.
Чтобы отключить шифрование для всех интерфейсов, управляемых одним криптографическим модулем, удалите ключи DSS для этого криптографического модуля с помощью команды crypto key zeroize dss (описание команды приводится в этом же разделе ниже).
Чтобы отключить шифрование для конкретных интерфейсов, удалите криптографические карты с этих интерфейсов, применив команду no crypto шар.
Чтобы отключить шифрование для маршрутизатора полностью, удалите ключи DSS для всех криптографических модулей маршрутизатора с помощью команды crypto key zeroize dss.
Удаление ключей DSS очищает конфигурацию шифрования для криптографического модуля. Это рекомендуется сделать, чтобы уменьшить риск нарушения защиты, поскольку при этом гарантируется невозможность злонамеренного использования ключей нарушителем в случае доступа к маршрутизатору или ESA.
После удаления ключей DSS для криптографического модуля вы не сможете выполнять шифрование на интерфейсах, управляемых соответствующим криптографическим модулем.
Внимание!
Ключи DSS после удаления восстановить нельзя. Удаляйте ключи DSS только после всестороннего рассмотрения этого вопроса.
Чтобы удалить ключи DSS, используйте следующую команду.
crypto key zeroize dss [слот]
Значение параметра слот требуется только для маршрутизаторов Cisco серий 7200 и 7500.
Диагностика и отладка СЕТ
В этом разделе обсуждаются команды show и debug, которые оказываются полезными при диагностике и решении проблем функционирования системы шифрования.
Если необходимо проверить состояние соединения, можно использовать команды show crypto cisco connections, show crypto map и show crypto engine connections active, которые позволяют выяснить состояние шифрованных соединений и криптографических карт.
Ниже приводятся описания некоторых типичных проблем и вариантов их решения.
Если соединение устанавливается впервые, программное обеспечение Cisco IOS Software присваивает идентификатору соединения отрицательное значение, означающее незавершенность установки. Это значение используется временно — после завершения процесса установки идентификатору соединения будет присвоено положительное значение. Установка соединения завершается успешно, если оба маршрутизатора присвоят данному соединению положительные значения идентификатора. Проверить значение идентификатора соединения можно с помощью команды show crypto connections.
Если установка соединения завершена, проверьте состояние криптографической карты с помощью команды show crypto map. Если в ней указано положительное значение идентификатора соединения, она также подготовлена к шифрованию пакетов.
Шифрование не будет разрешено до тех пор, пока не будет сгенерирован по крайней мере один набор ключей DSS с помощью команды crypto key generate dss. Если криптографическая карта, связанная с интерфейсом, оказывается неполной или шифрование не активизировано, трафик через этот ин-
терфейс не пройдет. На консоли появится сообщение об ошибке и при размещении криптографической карты, и при сравнении параметров прибывающих пакетов с ее условиями. ’
Команды отладки
Команды отладки предназначены для трассировки пакетов и выявления событий, связанных с криптографическими модулями и подсистемой шифрования. Эти команды приведены в табл. 14.7.
ТаЬшца^Ко^ы^еЬщлго^^ ; Q' ^ J< j'J
Команда
Описание
debug crypto key-exchange
Активизирует вывод сообщений отладки при обмене открытыми ключами DSS. Если процесс обмена открытыми ключами DSS с маршрутизатором второй стороны с помощью команды conf ig crypto key-exchange оказывается неудачным, попробуйте обменяться открытыми ключами DSS снова после ввода команды debug crypto key-exchange, что поможет выяснить, в чем заключается проблема
debug key-exchange debug crypto sesmgmt
Активизирует вывод сообщений обмена ключами Диффи-Хеллмана
Активизирует вывод сообщений установки соединения и информации о их движении через локальный маршрутизатор.
Если шифрованные соединения остаются незавершенными, используйте команду debug crypto sesmgmt, чтобы выяснить причину проблемы, контролируя процесс установки соединения
Замечание
Активизация возможностей отладки сильно снижает производительность маршрутизатора.
Примеры вывода команды debug crypto sesmgmt
Рассмотрим два примера использования сообщений отладки в маршрутизаторах обеих сторон в ходе сеанса шифрования. Сеанс шифрования, о котором идет речь, начинается маршрутизатором А, устанавливающим связь Telnet с маршрутизатором В. В примере 14.19 показаны сообщения отладки, появляющиеся в маршрутизаторе А. Обратите внимание на то, что в данном примере сеанс Telnet завершается успешно.
Пример 14.19. Отладочные сообщения сеанса шифрования
routerAMebug crypto Besmgmt
routerAHtelnet 10.1.1.2
Trying 10.1.1.2 ...
01:49:59: CRYPTO-SDU: Key Timeout, Re-exchange Crypto Keys
01:49:59: CRYPTO: Dequeued a message: Initiate_Connection
01:50:00: CRYPTO: DH gen phase 1 status for conn_id 3 slot 0:OK
01:50:01: CRYPTO: Sign done. Status=OK
01:50:01: CRYPTO: ICMP message sent: s-10.1.1.1, d-10.1.1.2
01:50:01: CRYPTO-SDU: send_nnc_req: NNC Echo Request sent
01:50:06: CRYPTO: Dequeued a message: CRM
01:50:07: CRYPTO: DH gen phase 2 status for conn_id 3 slot 0:OK
01:50:07: CRYPTO: Syndrome gen status for conn id 3 slot 0:OK
01:50:08: CRYPTO: Verify done. Status=OK
01:50:09: CRYPTO: Sign done. Status=OK
01:50:09: CRYPTO: ICMP message sent: s=10.1.1.1, d=10.1.1.2
01:50:09: CRYPTO-SDU: recv nnc rpy: NNC Echo Confirm sent
01:50:09: CRYPTO: Create encryption key for conn_id 3 slot 0:OK
01:50:09: CRYPTO: Replacing -3 in crypto maps with 3 (slot OJOpen
Warning! Unauthorized users will be prosecuted!
User Access Verification
Password: routerB>
В примере 14.20 показаны сообщения отладки для маршрутизатора В, появляющиеся в результате начала сеанса Telnet маршрутизатором А, как показано в примере 14.19.
| Пример 14.20. Отладочные сообщения сеанса шифрования \ ,*
в маршрутизаторе В
routerBldebug crypto sesmgmt
01:43:48: IP: s=10.1.1.1 (EthernetO), d=10.1.1.2, len 328, Found an ICMP conn.
01:43:48: CRYPTO: Dequeued a message: CIM
01:43:48: CRYPTO-SDU: Key Timeout, Re-exchange Crypto Keys
01:43:49: CRYPTO: Verify done. Status=OK
01:43:50: CRYPTO: DH gen phase 1 status forconn_id 3 slot 0:OK
01:43:52: CRYPTO: DH gen phase 2 status for conn_id 3 slot 0:OK
01:43:52: CRYPTO: Syndrome gen status for conn_id 3 slot 0:OK
01:43:53: CRYPTO: Sign done. Status=OK
01:43:53: CRYPTO: ICMP message sent: s=10.1.1.2, d=10.1.1.1
01:43:53: CRYPTO-SDU: act_on_nnc_req: NNC Echo Reply sent
01:43:53: CRYPTO: Create encryption key for conn id 3 slot 0:OK
01:43:56: CRYPTO: Dequeued a message: CCM
01:43:56: CRYPTO: Syndrome gen status for conn_id 3 slot 0:OK
01:43:57: CRYPTO: Verify done. Status=OK
01:43:57: CRYPTO: Replacing -3 in crypto maps with 3 (slot 0)
Вопросы реализации шифрования
В этом разделе предлагается вариант настройки СЕТ и соответствующие рекомендации, которые призваны помочь вам правильно настроить средства СЕТ.
Вопросы планирования
Перед тем как использовать шифрование, рассмотрите схему, показанную на рис. 14.5, и ознакомьтесь со следующими ниже пояснениями.
Хост 1Хост 1Хост 2Хост 2Рис. 14.5. Пример неправильной конфигурацииРис. 14.5. Пример неправильной конфигурации
Хост 1
Хост 1
Хост 2
Хост 2
Рис. 14.5. Пример неправильной конфигурации
Рис. 14.5. Пример неправильной конфигурации
Вопрос выбора подходящей топологии сети между шифрующими маршрутизаторами является исключительно важным. В частности, позаботьтесь о том, чтобы поток пакетов не мог использовать несколько наборов шифрующих маршрутизаторов одновременно. Рассмотрите пример неправильной конфигурации, показанной на рис. 14.5.
Пакеты от хоста 1 к хосту 2 направляются как через шифрующий маршрутизатор А, так и через шифрующий маршрутизатор В.
Шифрующий маршрутизатор С ведет переговоры о разных ключах шифрования с маршрутизаторами А и В.
При шифровании данных для хоста 1 выбирается только один ключ, поэтому либо маршрутизатор А, либо маршрутизатор В получает пакеты, шифрованные неправильным ключом.'
Получив пакет, шифрованный неправильным ключом, маршрутизатор отвергнет его, что может вызвать начало установки нового соединения с маршрутизатором С.
" • Должен существовать только один стабильный маршрут между парой шифрующих маршрутизаторов. Постоянное изменение маршрутизации между шифрующими маршрутизаторами (например, при перераспределении нагрузки) приводит к увеличению числа установок соединений; при этом доставляться будет только небольшая часть пакетов. Перераспределение нагрузки можно использовать, но эта задача должна решаться маршрутизаторами в конечных точках, а не шифрующими маршрутизаторами сторон. Шифрующие маршрутизаторы сторон могут включаться в маршруты с контролируемой нагрузкой, но не должны быть конечными точками таких маршрутов.
Вот еще несколько соображений по поводу указанной схемы.
Типичной сетевой топологией, используемой для шифрования, является топология типа “звезда” с концентратором между маршрутизатором предприятия и маршрутизаторами филиалов. Роль шифрующих маршрутизаторов сторон часто играют маршрутизаторы периметра.
Маршрутизаторы с более слабыми процессорами и ограниченной памятью всегда работают медленнее маршрутизаторов с RISC-процессорами и достаточно большой памятью. Шифрование вызывает интенсивное потребление процессорных ресурсов.
Интенсивное использование шифрования сильно влияет на производительность системы. Применение только программных средств шифрования увеличивает нагрузку на всю систему, что может сильно ограничить ее производительность. Использование аппаратных средств шифрования не вызывает сильной загрузки процессора, но при этом может замедляться трафик определенных интерфейсов и наблюдаться их перегрузка.
Нельзя размещать набор шифрующих маршрутизаторов между парой других шифрующих маршрутизаторов (что называется вложением), поскольку в такой ситуации шифрование не может работать правильно.
Выберите конкретный поток, который действительно необходимо шифровать, чтобы напрасно не тратить ресурсы шифрующего маршрутизатора на менее важные потоки.
При использовании маршрутизации по запросу, необходимо учитывать трафик ICMP, иначе нельзя будет установить удаленные соединения.
Средства СЕТ совместимы с туннелями GRE. Можно настроить средства шифрования так, чтобы шифрованным оказался весь трафик через туннель GRE, если конечные точки туннеля размещаются в шифрующих маршрутизаторах сторон. При использовании туннелей необходимо применять криптографические карты и к физическому, и к туннельному интерфейсам.
Только одна пара маршрутизаторов может совместно использовать один сеансовый ключ Диффи-Хеллмана. Это значит, что один маршрутизатор не может обмениваться шифрованными пакетами с двумя сторонами, используя один и тот же сеансовый ключ. Каждая пара маршрутизаторов должна иметь свой сеансовый
' ключ, установленный в результате обмена Диффи-Хеллмана между ними.
Шифрованное широковещание не поддерживается.
Система СЕТ поддерживает не более 300 сеансов шифрования, что является главным ограничением масштабирования СЕТ.
Средства СЕТ поддерживают только трафик IP.
Рекомендации по настройке СЕТ
Ниже приводятся некоторые рекомендации, которые должны помочь вам настроить средства СЕТ так, чтобы они работали правильно и эффективно.
После применения криптографической карты к интерфейсу первый же пакет, удовлетворяющий условиям списка доступа, инициирует процесс установки шифрованного соединения. Этот процесс длится несколько секунд, что обусловлено используемой при этом технологией открытых ключей. К концу процесса установки соединения оба маршрутизатора уже выполнят взаимную аутентификацию (используя ранее согласованные открытые ключи DSS), сгенерируют общее секретное значение Диффи-Хеллмана и вычислят по этому значению ключ шифрования DES. После того как оба маршрутизатора успешно завершат эти шаги, передаваемые ими пакеты будут шифроваться до тех пор, пока не будет превышено предельное время существования ключа одного из маршрутизаторов.
Можно увеличить максимальное время существования последовательных соединений, если соединения обрываются еще до того, как завершается обмен ключами DSS. Необходимость такого шага можно выяснить, контролируя про-
цесс установки соединений с помощью команд debug crypto key exchange, debug crypto sesmgmt и show serial.
Позаботьтесь об альтернативном доступе к маршрутизатору при первом применении криптографических карты к интерфейсу маршрутизатора. Если вы допустите ошибку, маршрутизатор для вас может стать недоступным.
Опция cfb-64 должна обеспечивать более быструю и эффективную работу, чем cfb-8.
Маршрутизатор должен применять алгоритм и значение СЕВ, которые выберете вы. По умолчанию алгоритм выполняется с опцией cfb-64.
Применение команды test crypto initiate не всегда является лучшим способом тестирования соединения. Попробуйте использовать Telnet или генерировать трафик, разрешенный списком доступа.
Может понадобиться изменение предела времени существования ключа. Значение 30 минут, принимаемое по умолчанию, слишком мало. Можно увеличить его до 1440 минут. Влияние этого значения на защиту минимально, а у вас появится возможность проводить ежедневные переговоры между маршрутизаторами о новом значении в часы низкой загрузки сети. Во время переговоров трафик отвергается.
Для дешифрования маршрутизатор использует обратные списки доступа, поэтому убедитесь, что списки доступа шифрующего и дешифрующего маршрутизаторов являются зеркальными отображениями друг друга.
После настройки маршрутизаторов для шифрования рекомендуется сделать резервную копию конфигурации, желательно на защищенный TFTP-хост. Позаботьтесь о том, чтобы надежно защитить резервную копию от модификации.
Замечание
Более подробная информация о настройке средств шифрования содержится в руководствах Cisco Security Configuration Guide и Security Configuration Command Reference.
Экспортная политика шифрования
Группа ECRA (Export Compliance and Regulatory Affairs — экспортное соответствие и регулирование) Cisco анализирует все команды, содержащие шифрование, на предмет их соответствия экспортным ограничениям США. Для 40- и 56-битовых образов программного обеспечения СЕТ нет специальных экспортных ограничений.
Криптографические продукты Cisco не предполагают получение на это разрешения какой-то третьей стороны, которая должна позволить импортировать, распределять или использовать шифрование. Импортеры, продавцы и пользователи сами должны нести ответственность за соответствие продукта всем законам страны, в которой этот продукт используется. Компания Cisco настоятельно советует импортерам, продавцам и пользователям их продуктов изучить соответствующие законы, прежде чем начать поставку и использование соответствующих продуктов.
Замечание
Эта информация была получена с Web-страницы Cisco ECRA, размещенной по адресу: www.cisco.com/wwl/export. Обратитесь к этой Web-странице, чтобы получить более подробную информацию по этому вопросу.
Планирование задач шифрования
Используйте следующие рекомендации, чтобы определить цели шифрования и собрать информацию, необходимую для настройки параметров конфигурации, относящихся к шифрованию.
Общее планирование
Ответьте на следующие вопросы, касающиеся требований защиты.
Каковы требования защиты?
Какого типа пакеты IP будут использоваться?
Какие алгоритмы шифрования будут использоваться?
Планирование конфигурации узлов
Заполните следующую таблицу, призванную помочь при выборе правильной конфигурации маршрутизатора. В процессе голосовой аутентификации сравните получаемую информацию о маршрутизаторе с той, которую вы записали ранее. Это минимизирует возможность появления ошибок конфигурации.
Необходимые параметрыМаршрутизатор 1Маршрутизатор 2
(локальный маршрутизатор) (маршрутизатор удаленной стороны)
Имена маршрутизаторов
Имя хоста или подсети источника
Имя хоста или подсети адресата (стороны-
партнера)
Интерфейс локального маршрутизатора, с
которого исходят пакеты источника
Имя открытого ключа, связываемого с маршрутизатором удаленной стороны Алгоритм DES, который должен использоваться маршрутизаторами
Политика шифрования и дешифрования в маршрутизаторах должна быть симметричной, а это означает, что выбор ограничений для одного маршрутизатора автоматически определяет такие же ограничения и для второго. В криптографической карте явно определяется только политика шифрования. Политика дешифрования использует ту же информацию, но при сравнении пакетов меняются местами адреса, а также порты источника и получателя. Так данные защищаются в обоих направлениях двустороннего соединения.
Процедуры конфигурации
Определенную помощь в процессе настройки средств шифрования СЕТ может оказать схема, показанная на рис. 14.6.
Рис. 14.6. Процедуры настройки СЕТ
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Действие СЕТ заключается в выполнении следующих четырех шагов: подготовка маршрутизаторов к шифрованию; установка сеанса шифрования; непосредственно шифрование и дешифрование данных; завершение сеанса шифрования.
Настройка СЕТ состоит из следующих четырех шагов: генерирование открытого и личного ключей DSS маршрутизатора; обмен открытыми ключами DSS с маршрутизаторами сторон и согласование элементов политики; определение глобальной политики шифрования путем выбора алгоритмов шифрования; настройка криптографических карт, управляющих сеансовой политикой шифрования.
Системный администратор должен сгенерировать открытый и личный ключи DSS до того, как начать обмен ими с шифрующими маршрутизаторами сторон.
Маршрутизаторы могут быть настроены одним лицом, перед тем как их доставят к месту их постоянной дислокации, или же двумя системными администраторами удаленных подразделений сети с использованием голосовой связи.
Необходимо определить глобальную политику шифрования с помощью команды crypto algorithm, устанавливающей алгоритмы шифрования и режимы, используемые сеансовыми политиками.
Следует активизировать сеансовую политику шифрования трафика сеанса, определив списки доступа и криптографические карты и применив криптографические карты к конкретным интерфейсам.
Расширенные списки доступа IP определяют, какие пакеты должны шифроваться на выходе соответствующего интерфейса, используя для этого информацию об адресах источника и получателя, о протоколе и портах TCP или UDP.
Криптографические карты связываются с шифрующим интерфейсом с помощью команды crypto map в режиме конфигурации интерфейса.
Команда test crypto initiate-session используется для установки тестового сеанса шифрования.
Набор команд show crypto и debug crypto используется для проверки параметров настройки средств шифрования и деталей политики шифрования локального маршрутизатора, а также для выявления ошибок настройки СЕТ.
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Какие три типа криптографических модулей применяются в маршрутизаторах Cisco?
Какая команда используется для создания открытого и личного ключей маршрутизаторов сообщающихся сторон?
Какую из следующих команд нужно ввести первой в маршрутизаторах сторон при обмене открытыми ключами DSS?
crypto key exchange dss ip-адрес имя [tcp-порт]
crypto key exchange dss passive
Какую команду следует использовать для определения глобальной политики шифрования?
Какая из следующих команд определяет и контролирует сеансовую политику шифрования?
crypto key generate dss
crypto key exchange dss
crypto map
access-list
Как задать трафик, а также адреса хостов и подсетей, инициирующие сеанс шифрования?
Какой командой можно воспользоваться для тестирования установки шифрованного соединения между маршрутизаторами?
Какую команду можно использовать для проверки того, что пакеты действительно шифруются?
Какую команду следует применить для проверки шестнадцатеричных значений открытых ключей DSS в маршрутизаторе?
Какие три команды отладки доступны для проверки настроек СЕТ?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Технология СЕТ, планирование ее применения и настройка
Cisco IOS Software Feature: Network Layer Encryption, 1997. “Белая книга", содержащая обзор технологий, используемых системой СЕТ, обсуждение их приложений и особенностей реализации, а также рекомендации по настройке. Размещается по адресу: www.cisco.com/wacrp/customer/732/Security/encrp_wp.htm.
Информация о ESA и VIP2-40
Data Encryption Service Adapter (ESA) Installation and Configuration, 1997. Блок документации Cisco Systems, Inc., под номером 78-3279-01. Описывает порядок установки и процедуру настройки ESA. Предлагается на странице: www.cisco.com/univercd/cc/td/ doc/product/core/7204/.
Настройка СЕТ
Security Command Reference, Cisco IOS Release 12.0, October, 1998.
Security Configuration Guide, Cisco IOS Release 12.0, October, 1998.
Часть
VI
Виртуальные частные сети, использующие IPSec
Глава 15. Поддержка IPSec в сетях Cisco
Глава 16. Настройка Cisco IOS для поддержки IPSec
p-* Глава 17. Настройка IPSec в брандмауэре PIX Firewall
Глава 18. Масштабирование сетей IPSec
Изучив материал данной гла,
• Указать протоколы ствах Cisco.
Объяснить предав начениеидействие любого протокола IPSec, поддерживаемого в продуктах^к^Ц
Объяс^й^^к работает IPSec.
Сформулировать общие задачи и перечислить стройки IPSec.Объяснить, как программное обеспечение ССформулировать общие задачи и перечислить стройки IPSec.Объяснить, как программное обеспечение Сосновныеосновныепроцедурыпроцедурына-на-IOS работает с IPSec.IOS работает с IPSec.Расс^заты для чего нужны центрысертификации и как они работают.
Сформулировать общие задачи и перечислить стройки IPSec.
Объяснить, как программное обеспечение С
Сформулировать общие задачи и перечислить стройки IPSec.
Объяснить, как программное обеспечение С
основные
основные
процедуры
процедуры
на-
на-
IOS работает с IPSec.
IOS работает с IPSec.
ГлаваГлава1515
Глава
Глава
15
15
^Поддержка IPSec в сетях Cisco
"'""У этой главе предлагается обзор средств IPSec (IP security — система защиты на "уровне IP) и соответствующих протоколов IPSec, доступных в продуктах Cisco и используемых ддя создания виртуальных частных сетей (сетей VPN). Здесь будут рассмотрены, протоколы IPSec, а в последующих главах будет подробно обсуждаться процесс настройки^средств поддержки IPSec в продуктах Cisco.
8 Сначала выясним, что такое сети VPN, и рассмотрим протоколы, с помощью ко, ,торых они реализуются. Затем определим, что такое IPSec, а также какие протоколы и алгоритмы защитьг-лежат в основе IPSec. После этого каждый из этих протоколов и алгоритмоВ,будет рассмотрен подробнее, с учетом его функциональных особенностей ?’ и использования врамках IPSec. Здесь будут перечислены основные задачи, которые * приходится решать при настройке IPSec, и одна из этих задач, которая является об- 1цей для всех вариантов настройки IPSec, будет рассмотрена подробно. Глава заканчивается кратким описанием процесса настройки и использования IPSec в рамках про, , траммного обеспечения^С15со IOS.
-Л *5 Ш
Создание защищенных сетей VPN
с помощью IPSec
^Существует множество вопросов сетевого планирования, касающихся сетей ^5VPN^ — например,*Как создавать такие сети и как согласовывать их с существующей архитектурой сети предприятия. Сеть VPN (Virtual Private Network — виртуальная частная сеть) является сетью предприятия, разворачиваемой в рамках общедоступной инфраструктуры, но использующей возможности защиты, управления и политики качества сервиса, применяемые в частной сети. Сети VPN строятся на использовании инфраструктуры глобальных сетей, обеспечивая альтернативу существующим частным сетям, использующим арендуемые каналы.
^уществует^р^атегории сетей VPN.
® Коммутируемые сети. Такая сеть VPN связывает надомных работников, мобиль- ных^поль^ователей и даже небольшие удаленные подразделения компании (интенсивность трафика которых невысока) с глобальной сетью предприятия и z *, корпоративными вычислительными ресурсами.
Интрасети. Интрасеть VPN соединяет фиксированные подразделения, филиалы В и домашние офисы в рамках глобальной сети предприятия.
Экстрасети. Такая сеть позволяет ограниченный доступ к вычислительным ресурсам предприятия деловым партнерам (например, поставщикам или клиентам) с целью совместного использования информации, представляющей общий интерес.
Для реализации каждого из указанных типов сетей VPN используются наборы соответствующих протоколов.
Протоколы VPN
Для создания сетей VPN разработано множество протоколов. Каждый из этих протоколов обеспечивает определенные возможности VPN. Например, протокол IPSec (который является главным предметом обсуждения данной главы) предлагает методы шифрования сетевого уровня, обеспечивающие возможности аутентификации и сервис шифрования между конечными точками в общедоступных IP-сетях. Другие протоколы обеспечивают поддержку определенных возможностей VPN с помощью туннелирования, т.е. инкапсуляции данных или протоколов в другие протоколы. Ниже перечислены некоторые из наиболее популярных туннельных протоколов, используемых для создания сетей VPN.
Протокол GRE (Generic Routing Encapsulation — общая инкапсуляция для маршрутизации). Разработанный Cisco туннельный протокол, обеспечивающий инкапсуляцию многих типов протокольных пакетов в туннели IP, создает виртуальную двухточечную связь с маршрутизаторами Cisco в удаленных точках 1Р-сети.
Протокол L2F (Layer 2 Forwarding — протокол пересылки уровня 2). Разработанный Cisco туннельный протокол, который позволяет создать сеть VPDN (Virtual Private Dialup Network — виртуальная частная коммутируемая сеть) — систему, обеспечивающую существование коммутируемых сетей, распространяющихся на удаленные домашние офисы, которые кажутся при этом непосредственной частью сети предприятия.
Протокол РРТР (Point-to-Point Tunneling Protocol — протокол туннелирования двухточечного соединения). Разработанный Microsoft сетевой протокол, обеспечивающий защищенную передачу данных от удаленного клиента к частному серверу предприятия с помощью создания сети VPN над IP-сетями. Протокол РРТР поддерживает маршрутизацию по требованию, многопротокольный обмен и виртуальные частные сети в открытых сетях типа Internet.
Протокол L2TP (Layer 2 Tunnel Protocol — протокол туннелирования РРР- соединения уровня 2). Разработанный Cisco и Microsoft туннельный протокол, позволяющий создавать сети VPDN. Протокол L2TP является расширением протокола PPP (Point-to-Point Protocol — протокол передачи от точки к точке), используемого для сетей VPN, и объединяет лучшие возможности туннельных протоколов РРТР и L2F.
Протокол МРРЕ (Microsoft Point-to-Point Encryption — протокол Microsoft шифрования двухточечного соединения). Средство перевода пакетов РРР в шифрованную форму. Позволяет создать защищенную VPN-связь через коммутируемую или удаленную сеть. Для обеспечения конфиденциальности данных в рамках МРРЕ используется алгоритм шифрования RSA типа RC4.
Что такое IPSec
Продукты Cisco для поддержки VPN используют набор протоколов IPSec, являющийся на сегодня промышленным стандартом обеспечения широких возможностей VPN. IPSec предлагает механизм защищенной передачи данных в IP-сетях, обеспечивая конфиденциальность, целостность и достоверность данных, передаваемых через незащищенные сети типа Internet. IPSec обеспечивает следующие возможности VPN в сетях Cisco.
Конфиденциальность данных. Отправитель данных IPSec имеет возможность шифровать пакеты перед тем, как передавать их по сети.
Целостность данных. Получатель данных IPSec имеет возможность аутентифицировать сообщающиеся с ним стороны (устройства или программное обеспечение, в которых начинаются и заканчиваются туннели IPSec) и пакеты IPSec, посылаемые этими сторонами, чтобы быть уверенным в том, что данные не были изменены в пути.
Аутентификация источника данных. Получатель данных IPSec имеет возможность аутентифицировать источник получаемых пакетов IPSec. Этот сервис зависит от сервиса целостности данных.
Защита от воспроизведения. Получатель данных IPSec может обнаруживать и отвергать воспроизведенные пакеты, не допуская их фальсификации и проведения атак внедрения посредника.
IPSec представляет собой основанный на стандартах набор протоколов и алгоритмов защиты. Технология IPSec и связанные с ней протоколы защиты соответствуют открытым стандартам, которые поддерживаются группой IETF (Internet Engineering Task Force — проблемная группа проектирования Internet) и описаны в спецификациях RFC и проектах IETF. IPSec действует на сетевом уровне, обеспечивая защиту и аутентификацию пакетов IP, пересылаемых между устройствами (сторонами) IPSec — такими как маршрутизаторы Cisco, брандмауэры PIX Firewall, клиенты и концентраторы Cisco VPN, а также многие другие продукты, поддерживающие IPSec. Средства поддержки IPSec допускают масштабирование от самых малых до очень больших сетей.
Ассоциации защиты
IPSec предлагает стандартный способ аутентификации и шифрования соединений между сообщающимися сторонами IPSec. Чтобы обеспечить защиту связей, средства IPSec используют стандартные алгоритмы (т.е. математические формулы) шифрования и аутентификации, называемые преобразованиями. В IPSec используются открытые стандарты согласования ключей шифрования и управления соединениями, что обеспечивает возможность взаимодействия между сторонами. Технология IPSec предлагает методы, позволяющие сторонам IPSec “договориться” о согласованном использовании сервисов. Чтобы указать согласуемые параметры, в IPSec используются ассоциации защиты.
Ассоциация защиты (Security Association — SA) представляет собой согласованную политику или способ обработки данных, обмен которыми предполагается между двумя устройствами сообщающихся сторон. Одной из составляющих такой политики может быть алгоритм, используемый для шифрования данных. Обе стороны могут использовать один и тот же алгоритм как для шифрования, так и для дешифрования. Действующие параметры SA сохраняются в базе данных ассоциаций защиты (Security Association Database — SAD) обеих сторон.
Протокол IKE (Internet Key Exchange — обмен Internet-ключами) является гибридным протоколом, обеспечивающим специальный сервис для IPSec, а именно аутентификацию сторон IPSec, согласование параметров ассоциаций защиты IKE и IPSec, а также выбор ключей для алгоритмов шифрования, используемых в рамках IPSec. Протокол IKE опирается на протоколы ISAKMP (Internet Security Association and Key Management Protocol — протокол управления ассоциациями и ключами защиты в сети Internet) и Oakley, которые применяются для управления процессом создания и обработки ключей шифрования, используемых в преобразованиях IPSec. Протокол IKE применяется также для формирования ассоциаций защиты между потенциальными сторонами IPSec. В данной книге, как в маршрутизаторах Cisco и брандмауэрах PIX Firewall, IKE является синонимом ISAKMP, т.е. аббревиатура IKE используется для обозначения любого из этих протоколов.
Как IKE, так и IPSec используют ассоциации зашиты, чтобы указать параметры связи. Компоненты IPSec, ассоциаций защиты и IKE будут рассмотрены в данной главе немного позже.
Инфраструктура IPSec
Сети VPN на основе IPSec могут быть построены с помощью самых разных устройств Cisco — маршрутизаторов Cisco, брандмауэров CiscoSecure PIX Firewall, программного обеспечения клиента CiscoSecure VPN и концентраторов Cisco VPN серий 3000 и 5000. Маршрутизаторы Cisco имеют встроенную поддержку VPN с соответствующими богатыми возможностями программного обеспечения Cisco IOS, что уменьшает сложность сетевых решений и снижает общую стоимость VPN при возможности построения многоуровневой защиты предоставляемых сервисов. Брандмауэр PIX Firewall является высокопроизводительным сетевым устройством, которое может обслуживать конечные точки туннелей, обеспечивая им высокую пропускную способность и прекрасные функциональные возможности брандмауэра. Программное обеспечение клиента CiscoSecure VPN поддерживает самые строгие требования VPN удаленного доступа для операций электронной коммерции, а также приложений мобильного доступа, предлагая законченную реализацию стандартов IPSec и обеспечивая надежное взаимодействие маршрутизаторов Cisco и брандмауэров PIX Firewall.
Как работает IPSec
IPSec опирается на ряд технологических решений и методов шифрования, но действие IPSec в общем можно представить в виде следующих главных шагов (рис. 15.1).
Шаг 1. Начало процесса IPSec. Трафик, которому требуется шифрование в соответствии с политикой защиты IPSec, согласованной сторонами IPSec, начинает IKE-процесс.
Шаг 2. Первая фаза IKE. IKE-процесс выполняет аутентификацию сторон IPSec и ведет переговоры о параметрах ассоциаций защиты IKE, в результате чего создается защищенный канал для ведения переговоров о параметрах ассоциаций защиты IPSec в ходе второй фазы IKE.
Шаг 3. Вторая фаза IKE. IKE-процесс ведет переговоры о параметрах ассоциации за- ■ щиты IPSec и устанавливает соответствующие ассоциации защиты IPSec для устройств сообщающихся сторон.
Шаг 1Шаг 1Шаг 2Шаг 2Поток данных кПоток данных кШагЗШагЗАссоциацияIPSecАссоциацияIPSec
Шаг 1
Шаг 1
Шаг 2
Шаг 2
Поток данных к
Поток данных к
ШагЗ
ШагЗ
АссоциацияIPSec
АссоциацияIPSec
Шаг 5Завершение работы туннеля IPSec
Рис. 15.1. Пять шагов процесса IPSec
Шаг 4. Передача данных. Происходит обмен данными между сообщающимися сторонами IPSec, который основывается на параметрах IPSec и ключах, хранимых в базе данных ассоциаций защиты.
Шаг 5. Завершение работы туннеля IPSec. Ассоциации защиты IPSec завершают свою работу либо в результате их удаления, либо по причине превышения предельного времени их существования.
В следующих разделах указанные шаги будут описаны подробнее.
Шаг 1. Начало процесса IPSec
Тип трафика, который должен защищаться средствами IPSec, определяется в рамках политики защиты для VPN. Затем эта политика реализуется в виде команд конфигурации интерфейсов устройств каждой стороны IPSec. Например, в маршрутизаторах Cisco и брандмауэрах PIX Firewall для определения трафика, подлежащего шифрованию, используют списки доступа. Списки доступа реализуют политику шифрования, например, с помощью операторов permit, указывающих, что соответствующий трафик должен шифроваться, и операторов deny, запрещающих шифрование соответствующего трафика. В случае клиента Cisco VPN используются окна меню, где указываются соединения, которым должна обеспечиваться защита IPSec. Когда подлежащий шифрованию трафик генерируется клиентом IPSec или проходит через него, клиент инициирует следующий шаг процесса, начиная первую фазу IKE.
Шаг 2. Первая фаза IKE
Главной целью обмена данными, происходящего в первой фазе IKE, является аутентификация сторон IPSec и создание защищенного канала между сторонами, позволяющего начать обмен IKE. В ходе первой фазы IKE выполняются следующие действия.
Ведутся переговоры о согласовании политики ассоциаций защиты IKE между сторонами, чтобы обеспечить защиту обмена IKE. Ассоциация защиты IKE получает согласованные параметры IKE и является двусторонней.
Выполняется аутентифицированный обмен Диффи-Хеллмана, в результате которого выбирается общий секретный ключ для использования в алгоритмах шифрования IPSec.
Выполняется аутентификация и обеспечивается защита сторон IPSec.
Устанавливается защищенный туннель для ведения переговоров о параметрах второй фазы IKE.
Для первой фазы IKE допустимы два режима: основной и энергичный.
Основной режим первой фазы IKE
В этом режиме выполняются три двухсторонних обмена между инициатором и респондентом.
В ходе первого обмена алгоритмы, используемые для защиты связи IKE, согласуются до тех пор, пока не будет достигнуто соответствие для всех ассоциаций защиты IKE сообщающихся сторон.
В процессе второго обмена выполняется алгоритм Диффи-Хеллмана, чтобы согласовать общий секретный материал, на основе которого создаются общие секретные ключи, передать так называемые “оказии” (случайные значения, посылаемые другой стороне), подписать их и возвратить обратно, чтобы доказать “свою личность”.
В ходе третьего обмена выполняется аутентификация стороны-партнера. Идентификационным значением в данном случае выступает IP-адрес стороны IPSec в шифрованном виде.
Основным результатом этого режима является согласование параметров ассоциаций защиты IKE между сторонами с целью создания защищенного канала для последующих обменов IKE. Ассоциация защиты IKE определяет параметры обмена IKE: используемый метод аутентификации, алгоритмы шифрования и хэширования, используемая группа Диффи-Хеллмана (одна из двух доступных), максимальное время существования ассоциации защиты IKE в секундах или килобайтах и совместно используемые секретные значения ключей для алгоритмов шифрования. Ассоциации защиты IKE в устройствах каждой из сторон являются двусторонними.
Энергичный режим первой фазы IKE
В данном режиме меньше и число обменов, и число пересылаемых при этом пакетов, в результате чего требуется меньше времени для установки сеанса IPSec. В этом случае выполняются следующие действия.
В ходе первого обмена почти все необходимое включается в предлагаемые значения для ассоциаций защиты IKE, открытый ключ Диффи-Хеллмана, оказию, подписы-
ваемую второй стороной, и пакет идентификации, который можно использовать для того, чтобы аутентифицировать вторую сторону с помощью третьей стороны.
Получатель отправляет назад все, что требуется, чтобы завершить обмен. Инициатору остается только подтвердить обмен.
Недостатком использования энергичного режима является то, что обе стороны обмениваются информацией до того, как создан защищенный канал. Таким образом, можно подключиться к линии и выяснить, кто формирует новую ассоциацию защиты. С другой стороны, обмен происходит быстрее, чем в основном режиме. Энергичный режим для обмена IKE обычно не инициируется продуктами Cisco, но маршрутизаторы Cisco и брандмауэры FIX Firewall могут соответствующим образом ответить стороне IPSec, инициировавшей обмен в энергичном режиме.
Шаг 3. Вторая фаза IKE
Задачей второй фазы IKE является согласование параметров ассоциации защиты IPSec с целью создания туннеля IPSec. В этой фазе выполняются следующие действия.
Ведутся переговоры о параметрах ассоциации защиты IPSec, защищаемые существующей ассоциацией защиты IKE.
Устанавливаются ассоциации защиты IPSec.
Периодически возобновляются переговоры об ассоциациях защиты IPSec, чтобы гарантировать защиту.
В необязательном порядке может выполняться дополнительный обмен Диффи- Хеллмана.
Вторая фаза IKE выполняется только в быстром режиме, после того как в результате первой фазы IKE создается защищенный туннель. Затем ведутся переговоры о согласованной политике IPSec, извлекается общий секретный материал для работы алгоритмами защиты IPSec и создаются ассоциации защиты IPSec. В быстром режиме выполняется обмен оказиями, которые обеспечивают защиту от воспроизведения сообщений. Оказии используются для того, чтобы гарантировать создание новых секретных ключей и не допустить проведения атак воспроизведения, в результате которых противник мог бы создать “фальшивые” ассоциации защиты.
Быстрый режим используется также для того, чтобы договориться о новых ассоциациях защиты IPSec, когда оказывается превышен предел времени существования старой ассоциации защиты IPSec. Базовый вариант быстрого режима используется для того, чтобы обновить секретный материал, предназначенный для создания общего секретного ключа на основе значений, полученных при обмене Диффи-Хеллмана в ходе первой фазы. В IPSec имеется опция PFS (Perfect Forward Secrecy — совершенная прямая секретность), усиливающая защиту ключей. Если политикой IPSec предписано использование опции PFS, то для каждого обмена в быстром режиме требуется новый обмен Диффи-Хеллмана, обеспечивающий новые данные для ключей, в результате чего данные для ключей будут обладать большей энтропией (“нерегулярностью”) и потому большей устойчивостью в отношении криптографических атак. Каждый обмен Диффи-Хеллмана требует большого числа возведений в степень, что увеличивает загрузку процессора и снижает общую производительность системы.
Ассоциации защиты, согласуемые в быстром режиме, идентифицируются IP- адресами 1КЕ-сторон.
Согласование преобразований IPSec
В ходе второй фазы в рамках протокола IKE ведутся переговоры о преобразованиях IPSec (алгоритмах защиты IPSec). IPSec состоит из двух главных протоколов защиты и множества протоколов поддержки. Преобразования IPSec и связанные с ними алгоритмы шифрования являются следующими.
Протокол АН (Authentication Header — заголовок аутентификации). Протокол защиты, обеспечивающий аутентификацию и (в качестве опции) сервис выявления воспроизведения. Протокол АН действует как цифровая подпись и гарантирует, что данные в пакете IP не будут несанкционированно изменены. Протокол АН не обеспечивает сервис шифрования и дешифрования данных. Данный протокол может использоваться или самостоятельно, или совместно с протоколом ESP.
Протокол ESP (Encapsulating Security Payload — включающий защиту полезный груз). Протокол защиты, обеспечивающий конфиденциальность и защиту данных, а также (в качестве опции) сервис аутентификации и выявления воспроизведения. Поддерживающие IPSec продукты Cisco используют ESP для шифрования полезного груза IP-пакетов. Протокол ESP может использоваться самостоятельно или совместно с АН.
Стандарт DES (Data Encription Standard — стандарт шифрования данных). Алгоритм шифрования и дешифрования данных пакетов. Алгоритм DES используется как в рамках IPSec, так и IKE. Для алгоритма DES используется 56битовый ключ, что означает не только более высокое потребление вычислительных ресурсов, но и более надежное шифрование. Алгоритм DES является симметричным алгоритмом шифрования, для которого требуются идентичные секретные ключи шифрования в устройствах каждой из сообщающихся сторон IPSec. Для создания симметричных ключей применяется алгоритм Диффи- Хеллмана. IKE и IPSec используют алгоритм DES для шифрования сообщений.
“Тройной” DES (3DES). Вариант DES, основанный на использовании трех итераций стандартного DES с тремя разными ключами, что практически утраивает стойкость DES. Алгоритм 3DES используется в рамках IPSec для шифрования и дешифрования потока данных. Данный алгоритм использует 168-битовый ключ, что гарантирует высокую надежность шифрования. IKE и IPSec используют алгоритм 3DES для шифрования сообщений.
При преобразовании IPSec используется также два стандартных алгоритма хэширования, обеспечивающих аутентификацию данных.
Алгоритм MD5 (Message Digest 5 — “профиль” сообщения 5). Алгоритм хэширования, применяемый для аутентификации пакетов данных. В продуктах Cisco используется вычисляемый с помощью MD5 код HMAC (Hashed Message Authentication Code — хэшированный код аутентичности сообщения) — вариант кода аутентичности сообщения, которому обеспечивается дополнительная защита с помощью хэширования. Хэширование представляет собой процесс одностороннего (т.е. необра- . тимого) шифрования, в результате которого для поступающего на вход сообщения произвольной длины получается вывод фиксированной длины. IKE, АН и ESP используют MD5 для аутентификации данных.
Алгоритм SHA-1 (Secure Hash Algorithm-1 — защищенный алгоритм хэширования 1). Алгоритм хэширования, используемый для аутентификации пакетов данных. В про-
дуктах Cisco применяется вариант кода НМАС, вычисляемый с помощью SHA-1. IKE, АН и ESP используют SHA-1 для аутентификации данных.
В рамках протокола IKE симметричные ключи создаются с помощью алгоритма Диффи-Хеллмана, использующего DES, 3DES, MD5 и SHA. Протокол Диффи- Хеллмана является криптографическим протоколом, основанным на применении открытых ключей. Он позволяет двум сторонам согласовать общий секретный ключ, не имея достаточно надежного канала связи. Общие секретные ключи требуются для алгоритмов DES и НМАС. Алгоритм Диффи-Хеллмана используется в рамках IKE для создания сеансовых ключей. В продуктах Cisco поддерживаются 768- и 1024-битовые группы Диффи-Хеллмана. 1024-битовая группа обеспечивает более надежную защиту.
Каждой ассоциации защиты IPSec присваивается индекс SPI (Security Parameter Index — индекс параметров защиты) — число, используемое для идентификации ассоциации защиты IPSec. Ассоциация защиты IPSec определяет используемое преобразование IPSec (ESP и/или АН и соответствующие алгоритмы шифрования и хэширования), предел времени существования ассоциации защиты IPSec в секундах или килобайтах, указывает необходимость применения опции PFS, IP-адреса сторон, а также общие значения секретных ключей для алгоритмов шифрования и другие параметры. Все ассоциации защиты IPSec являются односторонними. Один цикл согласования ассоциации защиты IPSec завершается созданием двух ассоциаций защиты — одной входящей и одной исходящей. .
Протоколы АН и ESP IPSec могут действовать или в туннельном, или в транспортном режимах. Туннельный режим используется для связи между шлюзами IPSec, и в этом случае средствам IPSec приходится создавать совершенно новый заголовок IPSec. Транспортный режим обычно применяется между клиентом и сервером VPN, и при этом используется существующий заголовок IP.
Шаг 4. Передача данных
После завершения второй фазы IKE и создания ассоциаций защиты IPSec в быстром режиме, начинается обмен информацией через туннель IPSec, связывающий стороны IPSec. Пакеты шифруются и дешифруются с помощью алгоритмов шифрования и ключей, указанных ассоциацией защиты IPSec. Ассоциация защиты IPSec задает также предел времени своего существования в килобайтах передаваемых данных или в секундах. Ассоциация защиты имеет специальный счетчик, значение которого уменьшается на единицу за каждую секунду или после передачи каждого килобайта данных.
Шаг 5. Завершение работы туннеля IPSec
Ассоциации защиты IPSec завершают свою работу либо по причине их удаления, либо потому, что оказывается превышен предел времени их существования. Когда ассоциации защиты завершают работу, соответствующие им ключи тоже становятся недействительными. Если для потока данных требуются новые ассоциации защиты IPSec, в рамках протокола IKE снова выполняется обмен второй фазы, а если необходимо, то и первой. В результате успешного их завершения создаются новые ассоциации защиты и новые ключи. Новые ассоциации защиты могут создаваться и до истечения времени существования предыдущих, чтобы поток данных мог двигаться непрерывно. Обычно переговоры второй фазы выполняются чаще, чем переговоры первой фазы.
Технологии, используемые в рамках IPSec
Давайте рассмотрим детали технологий, составляющих суть IPSec. Стандарты, используемые в рамках IPSec, являются достаточно сложными для понимания, поэтому в этом разделе мы рассмотрим каждую из составляющих IPSec подробно. В IPSec используются следующие технологии:
протокол АН;
протокол ESP;
стандарт шифрования DES;
стандарт шифрования 3DES;
протокол IKE;
метод согласования ключей по схеме Диффи-Хеллмана;
хэшированные коды аутентичности сообщений (НМАС);
защита RSA;
центры сертификации.
Протокол АН
Данный протокол обеспечивает аутентификацию и целостность данных для пакетов IP, передаваемых между двумя системами. Протокол АН не обеспечивает конфиденциальность (т.е. шифрование) пакетов. Аутентификация выполняется путем применения к пакету односторонней, зависящей от ключа функции хэширования, генерирующей “профиль” сообщения. Изменение любой части пакета в пути передачи будет обнаружено получателем в результате применения к полученным данным аналогичной односторонней функции хэширования и сравнения вычисленного значения профиля сообщения с тем, которое указал отправитель. Аутентичность полученной информации гарантируется тем, что для одностороннего хэширования обеими системами используется один и тот же секретный ключ. Схема работы протокола АН показана на рис. 15.2. При этом выполняются следующие действия.
Выполняется хэширование IP-заголовка и полезного груза пакета.
Полученный хэш-код используется при построении нового заголовка АН, который подсоединяется к исходному пакету между заголовком и блоком полезного груза.
Новый пакет передается второй стороне IPSec.
Сторона-получатель вычисляет значение хэш-кода для заголовка IP и полезного груза, извлекает переданное значение хэш-кода из заголовка АН и сравнивает эти два значения. Соответствующие значения хэш-кода должны в точности совпадать. Если в пути изменится хотя бы один бит пакета, вычисленный получателем хэш- код пакета не будет совпадать со значением, указанным в заголовке АН.
Протокол АН обеспечивает аутентификацию для максимально возможного числа полей заголовка IP, как и для полей данных протоколов высших уровней. Однако некоторые поля заголовка IP могут изменяться в пути. Значения изменяемых полей
(например, поля TTL, указывающего время существования пакета) изменяются промежуточными сетевыми устройствами, через которые проходит пакет, и такие изменения отправитель прогнозировать не может. Значения изменяемых полей не должны защищаться протоколом АН. Таким образом, защита, которая обеспечивается заголовку IP протоколом АН, оказывается несколько ограниченной. Протокол АН может также дополнительно обеспечить защиту от воспроизведения пакетов, для чего в заголовке IP указывается порядковый номер пакета. Полное описание протокола АН содержится в документе RFC 2402.
Заголовок IP + данныеЗаголовок IP + данныеЗаголовок IP + данные
Заголовок IP + данные
Заголовок IP + данные
ХэшированиеХэшированиеХэшированиеХэширование
Хэширование
Хэширование
Хэширование
Хэширование
Данные аутентификацииДанные аутентификации(OOABCDEF)(OOABCDEF)Маршрутизатор ВМаршрутизатор ВРис. 15.2. Применение хэширования в рамках протокола АНРис. 15.2. Применение хэширования в рамках протокола АНДанные аутентификации
Данные аутентификации
Данные аутентификации
(OOABCDEF)
(OOABCDEF)
Маршрутизатор В
Маршрутизатор В
Рис. 15.2. Применение хэширования в рамках протокола АН
Рис. 15.2. Применение хэширования в рамках протокола АН
Маршрутизатор А
Протокол ESP
ESP является протоколом защиты, обеспечивающим конфиденциальность (т.е. шифрование), аутентификацию источника и целостность данных, а также (в качестве опции) сервис защиты от воспроизведения и ограниченную конфиденциальность трафика путем противодействия попыткам анализа потока данных.
Протокол ESP обеспечивает конфиденциальность с помощью шифрования на уровне пакетов IP. При этом поддерживается множество алгоритмов симметричной схемы шифрования. Алгоритмом по умолчанию для IPSec является DES с 56-битовым ключом. Этот шифр должен присутствовать для гарантии совместимости между всеми поддерживающими IPSec продуктами. Продукты Cisco поддерживают также алгоритм 3DES, обеспечивающий более стойкое шифрование. Конфиденциальность может быть выбрана независимо от других сервисов.
Аутентификация источника данных и поддержка целостности без установления соединений используются совместно и являются опциями (т.е. необязательны). Эти возможности можно также объединить с сервисом конфиденциальности.
Сервис защиты от воспроизведения можно выбрать только в том случае, если выбрана аутентификация источника данных, и выбор этого сервиса является исключительной прерогативой получателя. Хотя по умолчанию от отправителя и требуется автоматически увеличивать порядковый номер, используемый для защиты от воспроизведения, этот сервис оказывается эффективным только в том случае, если получатель проверяет этот порядковый номер. Конфиденциальность трафика требует выбора туннельного режима. Наиболее эффективным это оказывается в шлюзе защиты, где мас-
кировка источника-адресата может быть выполнена сразу для всего трафика. Здесь следует отметить, что хотя и конфиденциальность, и аутентификация являются опциями, должен быть выбран по крайней мере один из этих сервисов.
Набор сервисов, обеспечиваемых протоколом ESP, зависит от параметров, которые указываются в конфигурации IPSec и выбираются при создании ассоциации защиты IPSec. Однако выбор конфиденциальности без целостности/аутентификации (или в рамках ESP, или отдельно с помощью АН) оставляет противнику возможность для проведения атак определенного вида, что может ограничить пользу применяемого таким образом сервиса конфиденциальности.
Заголовок ESP вставляется в пакет после заголовка IP перед заголовком протокола высшего уровня (в транспортном режиме) или перед инкапсулированным заголовком IP (в туннельном режиме). Полное описание протокола ESP содержится в документе RFC 2406.
Шифрование ESP с применением НМАС
В рамках протокола ESP может также обеспечиваться аутентификация пакетов с помощью необязательного поля аутентификации. В программном обеспечении Cisco IOS и в брандмауэрах PIX Firewall этот сервис называется ESP НМАС. Значения аутентификации вычисляются после того, как выполнено шифрование. Используемый сегодня стандарт IPSec описывает алгоритмы SHA1 и MD5 как обязательные для НМАС.
Главное различие между аутентификацией ESP и аутентификацией АН заключается в области их охвата. ESP не защищает никаких полей заголовка IP, если только не предполагается инкапсуляция ESP (туннельный режим). На рис. 15.3 указано, какие поля защищаются при использовании ESP НМАС.
Маршрутизатор CiscoМаршрутизатор CiscoБрандмауэр PIXБрандмауэр PIXIP HDRESPДанныеКонцевик ESPАутентификатор ESPIP HDRESPДанныеКонцевик ESPАутентификатор ESP-«■Аутентифици руется ■*--«■Аутентифици руется ■*-
Маршрутизатор Cisco
Маршрутизатор Cisco
Брандмауэр PIX
Брандмауэр PIX
IP HDR
ESP
Данные
Концевик ESP
Аутентификатор ESP
IP HDR
ESP
Данные
Концевик ESP
Аутентификатор ESP
-«■Аутентифици руется ■*-
-«■Аутентифици руется ■*-
-*- Шифруется ■*-
Рис. 15.3. Защита части полезного груза и заголовка ESP при использовании ESP НМАС
Обратите внимание на то, что шифрование охватывает только данные полезного груза, a ESP с хэшированием ESP НМАС — заголовок ESP и данные полезного груза. Заголовок IP не защищается. Сервис ESP НМАС не может использоваться самостоятельно, а должен быть объединен с протоколом шифрования ESP.
Туннельный и транспортный режимы IPSec
IPSec действует или в туннельном, или в транспортном режиме. На рис. 15.4 показана схема реализации туннельного режима. В этом режиме вся исходная дейтаграмма IP шифруется и становится полезным грузом в новом пакете IP с новым заголовком IP и дополнительным заголовком IPSec (на рис. 15.4 заголовок обозначен аббревиатурой HDR). Туннельный режим позволяет сетевому устройству (например, брандмауэру PIX Firewall) выступать в роли шлюза IPSec или прокси-сервера, выполняющего шифрование для хостов, размещенных за брандмауэром. Маршрутизатор источника шифрует пакет и передает его по туннелю IPSec. Брандмауэр PIX Firewall адресата дешифрует полученный пакет IPSec,
извлекает исходную дейтаграмму IP и передает ее системе адресата. Главное преимущество туннельного режима заключается в том, что не требуется модифицировать конечные системы, чтобы обеспечить им возможность использования IPSec. Туннельный режим также не позволяет противнику анализировать поток данных. При обмене в туннельном режиме противник имеет возможность определить только конечные точки туннеля, но не истинных источника и адресата проходящих через туннель пакетов, даже если конечные точки туннеля находятся как раз в системах источника и адресата.
Рис. 15.4. Пакеты туннельного режима
Схема на рис. 15.5 иллюстрирует транспортный режим. Здесь шифруется только полезный груз IP, а исходный заголовок IP остается нетронутым. Добавляется заголовок IPSec. Преимуществом этого режима является добавление только нескольких байтов к каждому пакету. Кроме того, устройства открытой сети могут видеть истинные адреса отправителя и получателя пакета. Это позволяет использовать специальные возможности промежуточных сетей (например, гарантированное качество сервиса), основанные на информации в заголовке IP. Однако заголовок уровня 4 шифруется, что ограничивает возможности анализа пакета. К сожалению, передача заголовка IP в открытом виде в транспортном режиме позволяет нарушителю в определенной мере выполнить анализ потока данных. Например, нарушитель может выяснить, сколько пакетов было передано сторонами IPSec, действующими в транспортном режиме. Но нарушитель может узнать только о том, что пакеты IP пересылались. Он не сможет определить, были ли они сообщением электронной почты или каким-то другим приложением, если использовался протокол ESP.
Рис. 15.5. Транспортный режим
Использование туннельного и транспортного режимов
Рассмотрим несколько примеров, иллюстрирующих правила выбора туннельного или транспортного режима. На рис. 15.6 показаны ситуации, в которых используется туннельный режим. Этот режим чаще всего используется для шифрования потока данных между шлюзами защиты IPSec — например, между маршрутизатором Cisco и брандмау-
эром PIX Firewall, как в примере А на рис. 15.6. Шлюзы IPSec выполняют функции IPSec для устройств, находящихся за такими шлюзами (на указанном рисунке это персональный компьютер Алисы и серверы HR). В примере А Алиса получает защищенный доступ к серверам HR через туннель IPSec, установленный между шлюзами.
Туннельный режим используется и для связи конечных станций, в которых выполняется программное обеспечение IPSec, например для связи клиента CiscoSecure VPN и шлюза IPSec, как показано в примере Б на рис. 15.6.
В примере В туннельный режим применяется для создания туннеля IPSec между маршрутизатором Cisco и сервером, на котором выполняется программное обеспечение IPSec. Обратите внимание на то, что в программном обеспечении Cisco IOS и брандмауэра PIX Firewall туннельный режим для связей IPSec является режимом, устанавливаемым по умолчанию.
Транспортный режим используется между конечными станциями, поддерживающими IPSec, или между конечной станцией и шлюзом, если шлюз интерпретируется как хост. На рис. 15.7 показан пример Г, иллюстрирующий применение транспортного режима для создания шифрованного туннеля IPSec от компьютера Алисы, на котором выполняется программное обеспечение клиента Microsoft Windows 2000, к концентратору Cisco VPN 3000, что позволяет Алисе использовать Е2ТР-туннель над IPSec.
А.А.Туннельный режимТуннельный режимБ.Б.В.В.Туннельный режимТуннельный режимРис. 15.6. Использование туннельного режимаРис. 15.6. Использование туннельного режимаТуннельный режим
А.
А.
Туннельный режим
Туннельный режим
Б.
Б.
В.
В.
Туннельный режим
Туннельный режим
Рис. 15.6. Использование туннельного режима
Рис. 15.6. Использование туннельного режима
Использование АН и ESP
В определенных ситуациях проблема выбора между АН и ESP может показаться сложной для решения, но ее можно упростить, если следовать нескольким правилам. Если вам необходимо знать, что данные из идентифицированного источника передаются без нарушения целостности, а их конфиденциальность обеспечивать не требуется, используйте протокол АН, который защищает протоколы высших уровней и поля заго-
ловка IP, не изменяемые в пути. Защита означает, что соответствующие значения нельзя изменить, потому что это будет обнаружено второй стороной IPSec и любая модифицированная дейтаграмма IP будет отвергнута. Протокол АН не обеспечивает защиту от прослушивания канала и просмотра нарушителем заголовка и данных. Но поскольку заголовок и данные незаметно изменить нельзя, измененные пакеты отвергаются.
Транспортный режим
Если необходимо сохранить данные в тайне (обеспечить конфиденциальность), используйте ESP. Данный протокол предполагает шифрование протоколов высших уровней в транспортном режиме и всей исходной дейтаграммы IP в туннельном режиме, так что извлечь информацию о пакетах путем прослушивания канала передачи невозможно. Протокол ESP может также обеспечить для пакетов сервис аутентификации. Однако при использовании ESP в транспортном режиме внешний оригинальный заголовок IP не защищается, а в туннельном режиме не защищается новый заголовок IP. При использовании IPSec пользователи скорее применят туннельный режим, чем транспортный.
' Ассоциации защиты
Ассоциация защиты IPSec представляет собой соединение между сторонами IPSec, определяющее, какие сервисы IPSec доступны между сторонами, подобно порту TCP или UDP. Каждая сторона IPSec поддерживает в памяти базу данных ассоциаций защиты, содержащую параметры ассоциаций защиты. Ассоциации защиты однозначно идентифицируются своими индексами SPI (Security Parameter Index — индекс параметров защиты). Вашей задачей является выбор параметров ассоциаций защиты и контроль ассоциаций защиты в продуктах Cisco.
Ассоциации защиты IPSec устанавливаются в быстром режиме второй фазы IKE. Каждое преобразование АН и ESP получает собственную пару ассоциаций защиты IPSec. Каждая сторона IPSec разрешает установить ассоциации защиты, определяемые параметрами политики защиты, которые будут использоваться в ходе сеансов IPSec. Ассоциации защиты для IPSec являются односторонними, так что сторона 1 будет предлагать свою политику защиты стороне 2. Если сторона 2 принимает политику стороны 1, эта политика будет отправлена назад стороне 1. В результате между сторонами создаются две односторонние ассоциации защиты. Двухсторонняя связь складывается из двух ассоциаций защиты — по одной для каждого направления.
Каждая ассоциация защиты состоит из таких значений, как, например, адрес получателя, индекс SPI, преобразования IPSec для данного сеанса, ключи защиты и до-
полнительные атрибуты типа максимального времени существования связи IPSec. Ассоциации защиты каждой стороны имеют уникальные значения индекса SPI, которые записываются в базах данных параметров защиты сторон.
. На рис. 15.8 показан пример набора параметров ассоциации зашиты для двух сторон IPSec — маршрутизаторов Cisco, обозначенных R1 и R2. Обратите внимание на то, что каждая ассоциация защиты IPSec является односторонней и параметры ассоциации защиты должны быть одинаковы для обеих сторон IPSec. Конфигурация параметров ассоциации защиты выбирается системным администратором, эти параметры согласуются в быстром режиме второй фазы IKE и сохраняются в базе данных ассоциаций защиты.
R1 R2
Рис. 15.8. Пример набора параметров ассоциации защиты IPSec
В табл. 15.1 предлагаются описания параметров ассоциации защиты, показанной на рис. 15.8.
Параметр ассоциации защиты
Описание
outbound esp sas: spi:
Индекс SPI, отвечающий входящему индексу SPI второй стороны
0x13781456(460854358)
transform: esp-des
in use settings ={Tunnel, }
slot: 0, conn id: 17, crypto map:
для соответствующей ассоциации защиты
Преобразованием IPSec режима ESP должен быть алгоритм DES
Режим преобразования IPSec должен быть туннельным
Выбор криптографического модуля Cisco IOS и криптография е-
mymap
sa timing: (k/sec)
ской карты
Максимальное время существования ассоциации защиты в килобайтах и секундах
replay detection support: N
Обнаружение воспроизведения, которое может быть включено или выключено
ПреобразованияIPSec
Как уже упоминалось в этой главе, преобразование IPSec задает один протокол защиты IPSec (АН или ESP) с соответствующими алгоритмами и режимом. Преобразование АН предлагает механизм аутентификации полезного груза, а преобразование ESP — метод шифрования полезного груза. На рис. 15.9 показаны возможные комбинации преобразований.
Рис. 15.9. Преобразования IPSec
Вот несколько примеров преобразований.
Протокол АН, применяемый в туннельном режиме для аутентификации и использующий НМАС с алгоритмом аутентификации MD5.
Протокол ESP, применяемый в транспортном режиме для обеспечения конфиденциальности данных и использующий алгоритм шифрования 3DES.
Протокол ESP, применяемый в туннельном режиме для обеспечения аутентификации и конфиденциальности и использующий алгоритм шифрования DES с 56-битовым ключом и НМАС с алгоритмом аутентификации SHA.
Стандарт DES
В IPSec используется алгоритм DES с 56-битовым ключом и алгоритм 3DES с 168битовым ключом для шифрования данных в рамках протокола ESP и обеспечения конфиденциальности данных в процессе обмена IKE.
Самой главной характеристикой криптографического алгоритма является его защищенность от взлома. Защищенность криптосистемы (или сложность задачи выяснения содержимого открытого текста для нарушителя) является функцией нескольких переменных. В большинстве протоколов надежность защиты практически полностью зависит от защищенности секретного ключа, используемого для шифрования данных. Алгоритм DES построен так, что без наличия такого ключа определить открытый текст исключительно трудно. В любой криптосистеме большая длина ключей выбирается именно для того, чтобы обеспечить секретность ключей шифрования.
После того как две стороны IPSec получат общий секретный ключ, они могут использовать его для обмена данными с помощью алгоритмов шифрования DES или 3DES. Но даже зашифрованные с помощью DES данные могут быть расшифрованы на-
рушителем, если у него будет достаточно вычислительных ресурсов и времени для вычисления ключей. Если ключ будет открыт, каждый пакет, который был зашифрован этим ключом, может быть легко расшифрован нарушителем. Частое изменение общих секретных ключей сторонами уменьшает вероятность того, что нарушитель сможет расшифровать данные, так как у него будет меньше времени на то, чтобы вычислить ключ, и соответственно меньше данных может быть открыто, если ключ будет нарушителем все же вычислен. В алгоритме DES используются 56- и 168-битовые ключи.
На рис. 15.10 показано, как работает алгоритм DES. Компонентами системы шифрования DES являются алгоритмы шифрования и дешифрования, соответствующие секретные ключи сторон и вводимые для шифрования открытые данные. Основой DES является алгоритм шифрования. Общий секретный ключ подается на вход алгоритма. Данные открытого текста подаются на вход алгоритма блоками фиксированной длины, которые в результате обработки превращаются в шифрованный текст. Шифрованный текст передается второй стороне IPSec по протоколу ESP. Получившая пакет ESP сторона извлекает шифрованный текст, обрабатывает его с помощью алгоритма дешифрования и получает открытый текст, идентичный введенному шифрующей стороной.
Hi
IPSecIPSec
Общий секретный ключ
Общий секретный ключ
Рис, 15.10. Операции DES
Алгоритм DES
Алгоритм DES был разработан специалистами IBM на заре 70-х годов. Агентство национальной безопасности (NSA) США внесло некоторые изменения в алгоритм, одобрило его для широкого использования и опубликовало. Алгоритм DES и сегодня считается очень надежным (до сих пор никто не смог опровергнуть это). Однако при его использовании благоразумно периодически менять ключи.
Алгоритм DES использует 56-битовый ключ, обеспечивающий достаточно быстрое шифрование. DES используется для шифрования и дешифрования пакетов данных; он преобразует открытый текст в шифрованный с помощью алгоритма шифрования. Алгоритм дешифрования на удаленном конце соединения восстанавливает открытый текст. Такое шифрование и дешифрование становится возможным благодаря использованию общих секретных ключей. DES является симметричным алгоритмом шифрования, а это значит, что обе участвующие в обмене стороны должны использовать одинаковые 56-битовые секретные ключи.
DES представляет собой алгоритм блочного шифрования, т.е. обработка данных выполняется блоками фиксированной длины (64 бит). Для алгоритма шифрования в
устройствах Cisco используется режим СРВ (режим шифрованной обратной связи), который дает дополнительные гарантии целостности получаемых данных. Алгоритм DES действует следующим образом.
DES получает поток данных для шифрования и преобразует его в последовательность 64-битовых блоков.
DES выполняет начальную перестановку битов блока, а затем разделяет блок на две 32-битовые части. К одной из полученных частей применяется сложная, заданная с помощью таблиц подстановка, зависящая от ключа, а результат связывается операцией XOR (исключающее “ИЛИ”) со второй частью битов блока. Такое преобразование называется раундом и повторяется 16 раз. После каждого раунда две 32-битовые части меняются местами.
По завершении последнего раунда выполняется завершающая перестановка. Полученный в результате шифрованный текст представляет собой набор битов, каждый из которых зависит от каждого бита вводимых данных и каждого бита ключа.
“Тройной” DES
Алгоритм 3DES тоже поддерживается протоколами шифрования для IPSec в продуктах Cisco и является вариантом алгоритма DES с 56-битовым ключом. 3DES действует аналогично DES, разбивая данные на 64-битовые блоки. Затем 3DES обрабатывает каждый блок три раза; каждый раз с новым (независимым от двух других) 56-битовым ключом. Алгоритм 3DES практически утраивает стойкость шифрования в сравнении с 56-битовым алгоритмом DES. 3DES является алгоритмом симметричной схемы шифрования.
Протокол IKE
IKE является гибридным протоколом, объединяющим методы обмена ключами Oakley и SKEME в рамках протокола ISAKMP (Internet Security Association and Key Management Protocol — протокол управления ассоциациями и ключами защиты в сети Internet). IPSec использует IKE для аутентификации сторон, управления созданием и обработкой ключей, используемых алгоритмом DES и алгоритмами хэширования, а также для согласования параметров ассоциаций защиты IPSec.
IPSec можно использовать и без IKE, но IKE расширяет возможности IPSec, обеспечивая дополнительную гибкость и удобство настройки стандарта IPSec. Использование протокола IKE обеспечивает следующие преимущества.
Исключается необходимость вручную описывать все параметры ассоциации зашиты для обеих сторон IPSec.
Существует возможность защищенного выбора ключей для использования обеими сторонами.
Можно указать максимальное время существования для ассоциации защиты IPSec.
Можно менять ключи шифрования в ходе сеансов IPSec.
Существует возможность использовать в рамках IPSec сервис защиты от воспроизведения.
Обеспечивается поддержка центров сертификации, что открывает широкие возможности управления и масштабирования IPSec.
Возможна динамическая аутентификация сторон.
Стандарты IKE
В рамках протокола IKE используются следующие методы и алгоритмы..
ISAKMP. Рамочный протокол, определяющий форматы полезного груза, а также механизмы осуществления протокольного обмена ключами и согласования параметров ассоциаций защиты.
Oakley. Протокол обмена ключами, определяющий процедуру извлечения аутентифицированного материала для ключей.
SKEME. Протокол обмена ключами, определяющий процедуру извлечения аутентифицированного материала для ключей и быстрого обновления ключей.
DES. Алгоритм шифрования, используемый для шифрования пакетов данных, чтобы гарантировать конфиденциальность данных при обмене IKE. Для IKE в продуктах Cisco используются DES с 56-битовым ключом и 3DES.
Алгоритм Диффи-Хеллмана. Построенный на применении открытых ключей, криптографический протокол, который позволяет сторонам создавать общие секретные ключи, используя незащищенные каналы связи. Алгоритм Диффи- Хеллмана используется в рамках IKE для создания сеансовых ключей.
MD5 и SHA (вариант НМАС). Алгоритмы хэширования, используемые для аутентификации пакетов данных в процессе обмена IKE.
Подписи RSA и шифрованные оказии. Подписи RSA обеспечивают невозможность создания ложной информации, а шифрованные оказии RSA (случайные числа, ис' пользуемые в алгоритмах шифрования) гарантируют обнаружение ложной информации. Они используются в рамках IKE для аутентификации сторон.
Сертификаты X.509v3. Цифровые сертификаты, используемые протоколом IKE для аутентификации открытых ключей. Поддержка сертификатов открывает возможность масштабирования защищенных сетей, обеспечивая эквивалент цифровой идентификационной карты для сетевых устройств. Когда двум устройствам требуется связь, они обмениваются цифровыми сертификатами, доказывающими их аутентичность (тем самым исключается необходимость вручную обмениваться открытыми ключами взаимодействующих сторон или вручную указывать общий ключ для каждой стороны).
Фазы IKE
В рамках IKE согласуются параметры ассоциаций защиты как для IKE, так и для IPSec и соответствующие процессы формируют две фазы, для которых допускаются различные режимы.
Первая фаза IKE. Ведутся переговоры о параметрах ассоциаций защиты IKE.
Вторая фаза IKE. Ведутся переговоры о параметрах ассоциаций защиты IPSec.
Подробнее указанные фазы IKE были описаны выше в подразделах “Шаг 2. Первая фаза IKE" и “Шаг 3. Вторая фаза IKE”.
Аутентификация IKE
Потенциальные участники сеанса IPSec должны идентифицировать себя, чтобы процесс IKE мог продолжаться дальше. Аутентификация сторон выполняется в процессе обмена первой фазы IKE в основном режиме. Протокол IKE очень гибок и в рамках первой фазы поддерживает множество методов аутентификации. Сообщаю-
щиеся стороны должны договориться об общем протоколе аутентификации в результате некоторого переговорного процесса. В настоящее время для этого в продуктах Cisco реализованы механизмы использования заранее согласованных общих ключей, шифрованных с помощью RSA оказий и подписей RSA.
Заранее согласованные ключи. Одинаковые, заранее согласованные ключи задаются в конфигурации каждой стороны IPSec. Стороны IKE выполняют аутентификацию друг друга, вычисляя зависящий от ключа хэш-код данных, включающих значение согласованного ключа, и посылая вычисленное значение второй стороне. Если принимающая сторона может независимо создать такой же хэш-код с помощью своего заранее согласованного ключа, значит, обе стороны использовали один общий секретный ключ, и вторая сторона считается идентифицированной. Заранее согласовать общие ключи легче, чем вручную настраивать параметры политики IPSec в устройствах каждой из сообщающихся сторон IPSec, хотя согласование общих ключей и создает трудности при масштабировании, поскольку в этом случае стороны IPSec должны иметь общие ключи для каждой из сторон, с которой возможен обмен данными.
Оказии, шифрованные по методу RSA. Метод криптографии с открытым ключом требует, чтобы каждая сторона генерировала псевдослучайное значение (оказию) и шифровала его с помощью открытого ключа RSA второй стороны. Для аутентификации сторона-получатель должна дешифровать оказию (а также другую открытую и секретную информацию) второй стороны с помощью своего личного ключа, чтобы затем использовать дешифрованное значение оказии при вычислении хэш-кода. Эта система допускает спорные транзакции. Другими словами, любая участвующая в обмене сторона имеет возможность впоследствии отрицать свое участие в обмене. Программное обеспечение Cisco IOS является единственным продуктом Cisco, использующим шифрованные с помощью RSA оказии для аутентификации IKE. Для создания таких оказий используется алгоритм RSA шифрования с открытым ключом.
Подписи RSA. С помощью цифровых подписей сетевые устройства подписывают данные, отправляемые другой стороне. Этот метод подобен предыдущему, но он обеспечивает невозможность отречения. Для аутентификации подписей RSA и извлечения значений секретных ключей предполагается использование центра сертификации. При создании подписей RSA используется алгоритм RSA шифрования с открытым ключом.
Конфигурация режима IKE
Конфигурация режима IKE (mode config) является свойством IPSec, позволяющим шлюзу загрузить IP-адрес (и другие параметры конфигурации сетевого уровня) для клиента в рамках переговорной процедуры IKE. При этом шлюз предоставляет IP- адреса клиенту IPSec во многом подобно тому, как сервер DHCP (Dynamic Host Configuration Protocol — протокол динамической конфигурации хоста) присваивает IP-адреса удаленному клиенту. Адрес, предоставляемый процедурой конфигурации режима, называется внутренним IP-адресом и используется в заголовках пакетов (TCP или UDP) до шифрования. Следующие шаги описывают процедуру присваивания IP- адреса клиенту IPSec в указанном режиме (рис. 15.11).
Удаленный пользователь соединяется с сетью своего поставщика услуг Internet (ISP). Адаптер удаленного доступа (или сетевая интерфейсная карта) присваивает
IP-адрес с помощью средств DHCP поставщика услуг Internet (на рис. 15.11 это адрес 172.16.2.121).
Клиент IPSec определяет трафик для шифрования и начинает первую фазу обмена IKE с шлюзом IPSec.
Шлюз IPSec использует режим mode config, чтобы присвоить внутренний IP- адрес 10.1.1.82 из пула IP-адресов для клиентов. Внутренний адрес используется для пакетов до начала шифрования.
Клиент IPSec шифрует пакет с помощью ESP. В заголовке ESP используется адрес источника 172.16.2.121. Адресатом пакета ESP является хост 172.16.1.2, шлюз IPSec или конечная точка туннеля.
Шлюз IPSec получает пакет, дешифрует его и использует внутренний адрес для заголовка IP дешифрованного пакета. Дешифрованный пакет направляется в корпоративную сеть серверу приложений 10.1.1.100.
УдаленныйУдаленныйСервер доступа ISPСервер доступа ISPШлюз IPSecШлюз IPSec
Удаленный
Удаленный
Сервер доступа ISP
Сервер доступа ISP
Шлюз IPSec
Шлюз IPSec
Пакет ESP
IP-адрес сетевогоадаптера172.16.2.121IP-адрес клиента10.1.1.82IP-адрес сетевогоадаптера172.16.2.121IP-адрес клиента10.1.1.82172.16.2.121172.16.1.2172.16.2.121172.16.1.2ESPESP10.1.1.8210.1.1.10010.1.1.8210.1.1.100ДАННЫЕДАННЫЕIP-адресшлюза IPSec172.16.1.2IP-адресшлюза IPSec172.16.1.2Серверприложений10.1.1.100Серверприложений10.1.1.100
IP-адрес сетевогоадаптера172.16.2.121
IP-адрес клиента
10.1.1.82
IP-адрес сетевогоадаптера172.16.2.121
IP-адрес клиента
10.1.1.82
172.16.2.121
172.16.1.2
172.16.2.121
172.16.1.2
ESP
ESP
10.1.1.82
10.1.1.100
10.1.1.82
10.1.1.100
ДАННЫЕ
ДАННЫЕ
IP-адресшлюза IPSec172.16.1.2
IP-адресшлюза IPSec172.16.1.2
Серверприложений10.1.1.100
Серверприложений10.1.1.100
Рис. 15.11. Действие режима mode config
Режим mode config обеспечивает для клиента IP-адрес, который согласуется с политикой IPSec и может использоваться для того, чтобы связать дешифрованный поток с внутренней сетью предприятия.
Режим mode config поддерживается программным обеспечением Cisco IOS, брандмауэром CiscoSecure PIX Firewall и клиентом CiscoSecure VPN. Например, используя режим mode config, вы можете настроить брандмауэр PIX Firewall на загрузку IP-адреса клиенту в рамках процедуры IKE. Режим mode config имеет статус проекта стандарта IETF.
Расширенная аутентификация IKE
Расширенная аутентификация IKE (XAuth) позволяет добавить к аутентификации IPSec аутентификацию удаленных пользователей. Эта возможность реализуется с помощью запроса удостоверений пользователей и их проверки путем сравнения с ин-
формацией, хранящейся в удаленной базе данных защиты, в результате чего в рамках VPN обеспечивается аутентификация, авторизация и аудит (т.е. сервис АДА).
Двухфакторная аутентификация и схемы вызова/ответа типа SecurelD SDI и RADIUS являются вариантами аутентификации, позволяющими шлюзу, брандмауэру или серверу сетевого доступа возложить выполнение задачи администрирования и аутентификации пользователя на удаленную базу данных защиты (например, на систему CiscoSecure ACS или сервер SecurelD Асе).
Протокол IKE не предлагает средств аутентификации пользователя. XAuth использует IKE для передачи идентифицирующей пользователя информации (имени и пароля) шлюзу IPSec в защищенном сообщении IKE. Шлюз использует соответствующим образом настроенный протокол (RADIUS, SecurelD или одноразовый пароль), чтобы идентифицировать пользователя с помощью удаленной базы данных защиты. Это позволяет переложить задачу управления именами пользователей и паролями на удаленную базу данных защиты, размещенную внутри частной сети, защищенной шлюзом IPSec.
Параметры XAuth согласуются между первой и второй фазами IKE одновременно с выполнением процедуры mode config. Аутентификация выполняется с помощью доступной системы аутентификации TACACS+ или RADIUS. Возможность XAuth активизируется с помощью команды crypto map.
Согласование ключей по схеме Диффи-Хеллмана
Процедура согласования ключей по схеме Диффи-Хеллмана основывается на методе шифрования с открытым ключом и позволяет двум сторонам IPSec создать общий секретный ключ, который будут знать только они, хотя соответствующий обмен данными выполняется по незащищенным каналам связи.
В рамках схемы Диффи-Хеллмана каждая из сторон генерирует криптографическую пару ключей (открытый и личный). Свой личный ключ каждая из сторон должна хранить в секрете и никогда не использовать совместно с кем-то еще. Открытый ключ вычисляется каждой из сторон с помощью личного ключа и сообщается другим сторонам по незащищенным каналам. Каждая из сторон объединяет открытый ключ другой стороны со своим личным ключом и вычисляет общее для двух сторон секретное значение. Это общее секретное значение конвертируется в общий секретный ключ, который затем используется для шифрования данных с помощью алгоритмов шифрования, заданных ассоциациями защиты IPSec (например, DES или MD5). При этом общий секретный ключ никогда не пересылается по незащищенным каналам. Следующее пошаговое описание объясняет, как работает алгоритм Диффи-Хеллмана.
Процесс Диффи-Хеллмана начинается с генерирования каждой стороной большого простого целого числа, р или q. Каждая сторона посылает свое простое число второй стороне по незащищенному каналу. Например, сторона А посылает число р стороне В. Каждая сторона затем использует значения р и q, чтобы вычислить первообразный корень g числа р. Действия, выполняемые сторонами, представлены в табл. 15.2.
Каждая сторона генерирует личный ключ Диффи-Хеллмана (сторона А генерирует Ха, а сторона В — Хь), используя для этого значения png. Соответствующие действия сторон представлены в табл. 15.3.
Каждая сторона генерирует открытый ключ Диффи-Хеллмана. Локальный личный ключ комбинируется с простым числом р и его первообразным корнем g,
чтобы получить открытый ключ Ya для стороны А и открытый ключ Yb для стороны В. Соответствующей формулой для стороны А является Ya = ^Х, mod р. Формулой для стороны В является Yb = ^Хь mod р. Здесь символ А означает возведение в степень (g в степени X,), a mod — сравнение по модулю или деление. Возведение в степень с точки зрения вычислений является дорогой операцией. Соответствующие действия сторон представлены в табл. 15.4.
манамана
мана
мана
Действия стороны АДействия стороны В
Действие стороны АДействие стороны АДействие стороны ВДействие стороны В
Действие стороны А
Действие стороны А
Действие стороны В
Действие стороны В
Генерирование открытого ключа:Ya = g"Xa mod рГенерирование открытого ключа:Ya = g"Xa mod рГенерирование открытого ключа: Yb = g"Xb mod рГенерирование открытого ключа: Yb = g"Xb mod р
Генерирование открытого ключа:
Ya = g"Xa mod р
Генерирование открытого ключа:
Ya = g"Xa mod р
Генерирование открытого ключа: Yb = g"Xb mod р
Генерирование открытого ключа: Yb = g"Xb mod р
Генерирование большого простого числа р
Отправка числа р стороне В
Получение числа q
Генерирование д
Генерирование большого простого числа q
Отправка числа q стороне А
Получение числа р
Генерированиеg
Действие стороны А
Действие стороны В
Генерирование личного ключа Ха
Генерирование личного ключа Хь
Происходит открытый обмен открытыми ключами Ya и Yb, как показано в табл. 15.5.
|||||||ц||н|^^:
Действие стороны АДействие стороны В
Отправка открытого ключа Ya стороне ВОтправка открытого ключа Yb стороне А
Каждая сторона генерирует общее секретное значение (ZZ), комбинируя открытый ключ, полученный от второй стороны, со своим личным. Соответствующей формулой для стороны А является ZZ = (YbAXa) mod р. Формулой для стороны В есть ZZ = (YaAXt,) mod р. Значения ZZ идентичны для обеих сторон. Если кто-то знает значение р или g или открытые ключи Диффи-Хеллмана, он не сможет угадать или с легкостью вычислить общее секретное значение; главным образом из- за того, что трудной является задача разложения на множители больших простых чисел. Значение ZZ также называется значением SKEYID_d — именно такой идентификатор используется для него в документе RFC 2409, описывающем протокол IKE. Соответствующие шагу 5 действия сторон представлены в табл. 15.6.
Общие секретные ключи генерируются из общего секретного значения ZZ для использования с алгоритмами DES или НМАС, как показано в табл. 15.7.
Таблица 15.6. Пятый шаг алгоритма Диффи-Хеллмана
Действие стороны А
Действие стороны В
Генерирование общего секретного значения:
Генерирование общего секретного значения:
ZZ = (Yb%) mod р
TL = (Ya"Xb) mod р
Таблица 15.тЦ11естой шаг алгоритма Диффи-Хеллмана1
Действие стороны А
Действие стороны В
Генерирование общего секретного ключа из секрет-
Генерирование общего секретного ключа из секрет-
ного значения TL (56-битового для DES, 168-
ного значения ZZ (56-битового для DES, 168-
битового для 3DES)
битового для 3DES)
Алгоритм Диффи-Хеллмана выполняется в основном режиме первой фазы IKE, чтобы получить исходный ключевой материал и сгенерировать оказии для аутентификации и регенерации ключей. Этот алгоритм может также выполняться в быстром режиме второй фазы IKE, чтобы генерировать новый ключевой материал для ассоциаций защиты IPSec путем комбинации новых значений оказий с существующим материалом для ключей.
Значения оказий посылаются второй стороне IPSec с целью аутентификации. Оказии подписываются и возвращаются, чтобы проверить их тождество (они подписываются только тогда, когда предполагается аутентификация с помощью шифрованных оказий или подписей RSA), что обеспечивает идентификацию обмена Диффи-Хеллмана.
Опция PFS
Обновление значений общих секретных ключей шифрования происходит в быстром режиме второй фазы IKE. Такое обновление предполагает комбинирование существующего ключа с некоторым случайным числом (значением оказии) с целью создания нового ключа по методу Диффи-Хеллмана. Опция PFS заставляет систему повторить вычисление общего секретного ключа с самого начала, снова генерируя пару открытого/личного ключей и используя процесс Диффи-Хеллмана. Причиной повторного вычисления является стремление не дать нарушителю возможности найти конкретный секретный ключ и скомпрометировать все данные, шифрованные этим ключом. Опция PFS позволяет вычислить новый ключ, никак не связанный с предыдущим.
Коды НМАС
Коды НМАС (Hashed Message Authentication Code — хэшированный код аутентичности сообщения) используются в IPSec для того, чтобы гарантировать целостность и аутентификацию данных в ходе обеих фаз обмена IKE и для AH-пакетов IPSec. НМАС обеспечивает механизм идентификации сообщений на основе использования криптографических функций хэширования и личных ключей. Алгоритм или функция хэширования “сжимает” поступающее на вход сообщение переменной длины, выдавая на выходе хэш-код фиксированной длины. Хэш-код сообщения может затем использоваться в качестве “профиля”, идентифицирующего данное сообщение. Считается практически невозможным обратить хэширование, т.е. восстановить исходное сообщение по его хэш-коду. Функции хэширования выполняются быстро, а получаемые в результате хэш-коды оказываются надежно
защищенными, поскольку односторонние функции очень трудно (если вообще возможно) обратить. Основными алгоритмами хэширования, используемыми в IPSec, являются криптографически защищенные функции хэширования MD5 и SHA-1.
Алгоритмы хэширования используются при вычислении кодов НМАС, объединяющих доказанную защищенность алгоритмов хэширования с дополнительными криптографическими функциями. Вычисленный хэш-код шифруется личным ключом отправителя, в результате чего получается зависящая от ключа контрольная сумма. На рис. 15.12 показано, как работает НМАС. Функция хэширования получает на входе секретный ключ и открытый текст произвольной длины, которому требуется аутентификация. Длина секретного ключа равна длине данных, получаемых на выходе функции хэширования. Алгоритм НМАС дает на выходе контрольную сумму фиксированной длины для вводимых данных. Значение контрольной суммы посылается с сообщением как подпись. Принимающая сторона выполняет алгоритм НМАС на тех же данных сообщения, которые вводились отправителем, используя тот же секретный ключ, и должна получить хэш-код, идентичный тому, который был получен с сообщением.
СообщениеОбщий
переменной длины секретный ключ
Хэшированная контрольная суммаХэшированная контрольная суммаСообщениев открытом виде
Хэшированная контрольная сумма
Хэшированная контрольная сумма
Значение аутентификаторафиксированной длины
Рис. 15.12. Действие НМАС
Целостность данных и аутентификация источника данных зависят от надежности хранения секретного ключа. Если ключ известен только отправителю и получателю сообщения и вычисленное получателем значение НМАС оказывается правильным, то можно быть уверенным, что полученное сообщение действительно было отправлено указанным отправителем.
Спецификации IPSec предполагают использование HMAC-MD5 и HMAC-SHA-1 в качестве кодов НМАС для IKE и IPSec.
HMAC-MD5-96
Протокол IPSec использует технологию шифрования HMAC-MD5-96 (НМАС- MD5), чтобы не допустить изменения сообщений в пути. В HMAC-MD5 используется функция хэширования MD5, разработанная Рональдом Райвестом (Ronald Rivest) из Массачусетсского технологического института (MIT) и RSA Data Security Incorporated. Эта функция хэширования описана в документе RFC 1321.
HMAC-MD5 использует 128-битовый секретный ключ и дает на выходе 128битовое значение-аутентификатор. Это 128-битовое значение усекается до первых 96 бит. Усеченное значение сохраняется в поле аутентификатора АН или ESP-HMAC. Получатель вычисляет полное 128-битовое значение, и первые 96 бит сравниваются с значением, сохраненным в поле аутентификатора.
Как было недавно выяснено, сам алгоритм MD5 уязвим в отношении атак поиска коллизий. Но обнаруженная атака и другие известные в настоящий момент недостатки MD5 не компрометируют защищенность HMAC-MD5, так как сценарии атак против HMAC-MD5 пока не известны. HMAC-MD рекомендуется применять тогда, когда важной оказывается скорость работы MD5 по сравнению с SHA-1.
HMAC-SHA-1-96
Протокол IPSec использует технологию шифрования HMAC-SHA-1-96 (HMAC-SHA- 1), чтобы не допустить изменения сообщений в пути. В HMAC-SHA-1 используется функция SHA-1 (описанная в документе FIPS-190-1) в комбинации с алгоритмом НМАС (см. RFC 2104). Соответствующие спецификации содержатся в документе RFC 2404.
HMAC-SHA-1 использует 160-битовый секретный ключ и дает на выходе 160битовое значение-аутентификатор. Это 160-битовое значение усекается до первых 96 бит. Усеченное значение сохраняется в поле аутентификатора АН или ESP-HMAC. Получатель вычисляет полное 160-битовое значение, и первые 96 бит сравниваются с значением, сохраненным в поле аутентификатора.
Алгоритм SHA-1 считается криптографически более стойким, чем MD5, но для его выполнения требуется больше процессорных ресурсов. HMAC-SHA-1 рекомендуется применять тогда, когда оказывается важной более высокая надежность SHA-1 по сравнению с MD5.
Защита RSA
IPSec использует криптосистему RSA с открытым ключом для аутентификации в первой фазе IKE. Систему RSA создали в 1977 году Рон Райвест (Ron Rivest), Ади Шамир (Adi Shamir) и Леонард Адлеман (Leonard Adleman). В первой фазе IKE используется два варианта системы RSA: подписи RSA, используемые с центрами сертификации и позволяющие масштабирование сетей IPSec, и шифрованные оказии RSA, используемые при малом числе взаимодействующих сторон IPSec.
Система RSA генерирует пару ключей (открытый и личный) для каждой стороны IPSec. Открытый ключ может быть передан по незащищенной сети и используется всеми, кто хотел бы установить связь IPSec с соответствующей стороной. Личный ключ известен только соответствующей стороне IPSec и используется для дешифрования данных. Шифрование и аутентификация выполняются без использования соот-
ветствующего личного ключа: каждая из сторон использует только открытый ключ другой стороны или свой собственный личный ключ. Любой может отправить шифрованное сообщение или проверить подписанное сообщение, но только владелец соответствующего личного ключа может дешифровать или подписать сообщение.
Система RSA работает следующим образом (рис. 15.13).
Открытый текст сообщения, которое необходимо зашифровать, и открытый ключ получателя подаются на вход алгоритма шифрования RSA.
На выходе алгоритма получается шифрованный текст, который передается стороне В.
Сторона В получает шифрованный текст и подает его вместе со своим личным ключом RSA на вход алгоритма дешифрования RSA.
На выходе получается открытый текст, который должен соответствовать открытому тексту, введенному стороной А.
Сторона АСторона В
ОткрытыйЛичный
ключ получателяключ получателя
Рис. 15.13. Действие RSA
Протокол IKE использует алгоритм RSA в продуктах Cisco для того, чтобы идентифицировать участвующие в обмене стороны с помощью подписей RSA и шифрования RSA.
В первой фазе IKE могут использоваться заранее согласованные общие ключи, подписи RSA или шифрование RSA для аутентификации обмена первой фазы. В основном режиме материал для ключей генерируется в результате обмена Диффи- Хеллмана, который должен быть аутентифицирован. В первых двух сообщениях основного режима согласуются параметры политики IKE, в следующих двух происходит обмен открытыми значениями Диффи-Хеллмана и другими данными (например, значениями оказий), необходимыми для обмена, а в последних двух сообщениях используется RSA для аутентификации обмена Диффи-Хеллмана. Метод аутентификации задается в конфигурации устройств Cisco заранее и является предметом переговоров в процессе начального обмена IKE.
Подписи RSA
Подпись RSA использует значение оказии и идентификатор IKE, и обмен аутентифицируется с помощью добавления хэш-кода, который может быть вычислен обеими сторонами. Именно возможность вычислить хэш-код для оказии и идентификатора обеими сторонами аутентифицирует соответствующий обмен. Подписи RSA используются по следующей схеме.
Каждой стороной с помощью команд конфигурации генерируются пары ключей подписи RSA. Выполняется обмен открытыми ключами RSA и их аутентификация, а с помощью сервера сертификации получаются сертификаты сторон.
Сторона А посылает свой идентификатор IKE и подписанный цифровой сертификат стороне В в ходе первой фазы IKE. Сторона В посылает аналогичные данные стороне А. Подписанный цифровой сертификат аутентифицирует обмен IKE.
Оказии, шифрованные с помощью RSA
В первой фазе IKE для аутентификации обмена первой фазы могут использоваться шифрованные с помощью RSA оказии. Генерируемый в основном режиме материал для ключей получается в результате обмена Диффи-Хеллмана, который должен быть аутентифицирован. В первых двух сообщениях основного режима согласуются параметры политики IKE, в следующих двух происходит обмен открытыми значениями Диффи-Хеллмана и другими данными (например, значениями оказий), необходимыми для обмена, а в последних двух сообщениях используется RSA для аутентификации обмена Диффи-Хеллмана, если шифрование RSA было выбрано в качестве метода аутентификации в ходе начального обмена IKE.
В самом простом виде при использовании шифрования RSA для аутентификации обмена IKE выполняется шифрование значения оказии и идентификатора IKE, и полученное значение отправляется второй стороне. Способность обеих сторон вычислить хэш-код для оказии и идентификатора аутентифицирует соответствующий обмен. Рассмотрим следующие шаги, описывающие действия, выполняемые при шифровании RSA.
Каждой стороной с помощью команд конфигурации генерируются пары ключей подписи RSA. Открытые ключи RSA доставляются второй стороне специальным способом (на дискете или в сообщении электронной почты) и вводятся в систему каждой из сторон с помощью команд конфигурации. Обратите внимание на то, что подобная установка ключей вручную ограничивает возможности масштабирования.
Сторона А шифрует свое значение оказии и идентификатор IKE с помощью RSA, используя открытый ключ RSA стороны В, чтобы передать ей шифрованные данные.
Сторона В шифрует свое значение оказии и идентификатор IKE с помощью RSA, используя открытый ключ RSA стороны А.
Обе стороны обмениваются шифрованными значениями.
Сторона А дешифрует полученный шифрованный текст, используя личный ключ RSA, и извлекает значение оказии и идентификатор стороны В. Затем сторона А вычисляет хэш-код для этих значений оказии и идентификатора и передает его стороне В.
Сторона В дешифрует полученный шифрованный текст, используя личный ключ RSA, и извлекает значение оказии и идентификатор стороны А. Затем сторона В вычисляет хэш-код для этих значений оказии и идентификатора и передает его стороне А.
Сторона А выполняет хэширование своего значения оказии и идентификатора, чтобы сравнить полученное значение с хэш-кодом, переданным стороной В. Если хэш-коды совпадают, сторона В считается аутентифицированной.
Сторона В выполняет хэширование своего значения оказии и идентификатора, чтобы сравнить полученное значение с хэш-кодом, переданным стороной А. Если хэш-коды совпадают, сторона А считается аутентифицированной.
Шифрование RSA является очень надежным, поскольку оно аутентифицирует не только обмен IKE, но и обмен Диффи-Хеллмана.
Инфраструктура открытых ключей и поддержка центров сертификации
Масштабируемость IPSec, т.е. возможность создавать большие сети IPSec (состоящие более чем из 100 узлов), была одной из самых больших проблем реализации шифрования сетевого уровня. Технология цифровых сертификатов обеспечивает устройствам такой метод аутентификации друг друга, который допускает его распространение на очень большие сети.
Многие организации в настоящее время используют инфраструктуру открытых ключей (Public Key Infrastructure — PKI) для управления цифровыми сертификатами для множества приложений, включая приложения VPN, защиты электронной почты, защищенного Web-доступа и многие другие приложения защиты. Реализация IPSec в продуктах Cisco совместима с продуктами других ведущих производителей систем PKI. Это позволяет выбрать систему PKI, лучше всего подходящую для вашей конкретной сети, и быть уверенным, что эта система будет совместима с сетевыми решениями защиты Cisco.
Центры сертификации (Certification Authority — СА) позволяют осуществлять масштабирование защищенных с помощью IPSec сетей, обеспечивая каждому сетевому устройству нечто подобное цифровой идентификационной карте. Когда две стороны IPSec намереваются наладить связь, они обмениваются цифровыми сертификатами, чтобы идентифицировать себя. Цифровые сертификаты можно получить от центра сертификации. Поддержка центров сертификации в продуктах Cisco предполагает использование подписей RSA, удостоверяющих обмен данными с центром сертификации.
При наличии центра сертификации нет необходимости вносить в конфигурацию данные о ключах всех сторон IPSec. Вместо этого все стороны самостоятельно регистрируются в центре сертификации, а другие получают возможность запросить нужный сертификат. Получая сертификат из центра сертификации, каждая из участвующих в обмене сторон получает возможность динамической аутентификации всех других сторон. Чтобы добавить в сеть IPSec новый узел, достаточно только зарегистрировать его в центре сертификации (запросить сертификат), а не вносить многочисленные изменения в конфигурации всех других уже существующих сторон IPSec.
На рис. 15.14 показано, как каждая из сторон IPSec в индивидуальном порядке регистрируется в сервере СА (сервер сертификации).
Серверы сертификации (серверы СА) управляют запросами на получение сертификатов и выдачей сертификатов для участвующих в обмене данными сторон IPSec. Серверы сертификации упрощают процесс администрирования узлов IPSec с помощью централизации системы управления ключами. Можно использовать сервер СА в сети, включающей множество поддерживающих IPSec устройств, таких как брандмауэры PIX Firewall, маршрутизаторы Cisco, клиенты Cisco Secure VPN и поддерживающие IPSec продукты других производителей.
Цифровые подписи, использующие методы криптографии с открытым ключом, обеспечивают возможность цифровой аутентификации устройств и отдельных пользователей. В системах криптографии с открытым ключом, в частности в системе шиф-
рования RSA, каждый пользователь имеет пару ключей, состоящую из открытого и личного ключей. Эти ключи являются взаимно дополняющими — все, что зашифровано одним ключом, можно расшифровать другим. Проще говоря, подпись формируется путем шифрования некоторых данных с помощью личного ключа отправителя. Получатель проверяет подпись, дешифруя сообщение с помощью открытого ключа отправителя. Тот факт, что сообщение может быть дешифровано с помощью открытого ключа отправителя, доказывает, что данное сообщение создано владельцем соответствующего личного ключа, т.е. указанным отправителем. Этот процесс зависит от наличия у получателя экземпляра открытого ключа отправителя и знания того, что с высокой степенью уверенности данный экземпляр ключа принадлежит отправителю, а не кому-то, кто желает выдать себя за него.
Рис. 15.14. Сервер СА, выполняющий запросы сообщающихся сторон IPSec
Цифровые сертификаты обеспечивают такую уверенность; они содержат информацию, позволяющую идентифицировать участвующую в обмене сторону IPSec. Цифровой сертификат представляет собой документ определенного формата, содержащий такую информацию, как, например, имя, порядковый номер, название компании, подразделения или IP-адрес организации. Сертификат также содержит экземпляр открытого ключа соответствующей стороны. Сам сертификат подписывается центром сертификации — некоторой третьей стороной, которой получатель сертификата полностью доверяет идентифицировать узлы и выдавать цифровые сертификаты.
При использовании цифровых сертификатов возникает одна проблема. Чтобы проверить подпись центра сертификации, получатель должен иметь его открытый ключ.
Открытый ключ содержится в корневом сертификате центра сертификации, который устанавливается в системе IPSec в процессе настройки ее параметров сертификации и регистрации в соответствующем центре СА.
Протокол IKE, являющийся одним из основных компонентов IPSec, может использовать цифровые подписи для того, чтобы идентифицировать устройства перед созданием ассоциаций защиты. В результате обеспечивается возможность масштабирования. Когда сторона IPSec регистрируется в центре сертификации, центр выдает ей цифровое удостоверение. Стороны обмениваются этими удостоверениями в первой фазе IKE, используя их для аутентификации аналогично заранее согласованным общим ключам. Цифровое удостоверение проверяется с помощью открытого ключа центра сертификации, содержащегося в корневом сертификате. Инфраструктура сертификатов опирается на ряд стандартов, которые будут обсуждаться в следующем разделе.
Стандарты центров сертификации
Маршрутизаторы Cisco, клиент Cisco Secure VPN и брандмауэры PIX Firewall поддерживают следующие открытые стандарты центров сертификации.
IKE. Гибридный протокол, реализующий подходы Oakley и SKEME в процедурах обмена ключами в рамках ISAKMP. IKE обеспечивает аутентификацию сторон IPSec, а также согласование ключей и параметров ассоциаций защиты IPSec. IKE может использовать цифровые сертификаты для аутентификации сторон.
PKCS #7 (Public-Key Cryptography Standard #7 — стандарт криптографии с открытым ключом #7). Стандарт, предлагаемый компанией RSA Data Security, Inc. Используется для шифрования и подписи сообщений регистрации сертификатов.
PKCS #10 (Public-Key Cryptography Standard #10 — стандарт криптографии с открытым ключом #10). Предлагаемый компанией RSA Data Security, Inc., стандарт синтаксиса запросов сертификатов.
Ключи RSA. RSA является криптосистемой с открытым ключом, созданной Райвестом, Шамиром и Аллеманом. Ключи RSA существуют парами: один открытый и один личный.
Сертификаты X.509v3. Этот стандарт определяет формат содержимого сертификатов открытых ключей, представляющих собой структуры данных, связывающие значения открытых ключей со стандартными объектами. Поддержка сертификатов позволяет расширить защищенные с помощью IPSec сети путем выдачи “цифровых идентификационных карт” устройствам, добавляемым к сети. Если двум устройствам необходимо установить связь, они обмениваются цифровыми сертификатами, чтобы идентифицировать себя (это исключает необходимость обмениваться открытыми ключами с каждой из сторон или вручную указывать общие ключи для каждой стороны). Соответствующие сертификаты выдаются центром сертификации. Стандарт Х.509 является частью стандарта Х.500, созданного Международным союзом телекоммуникаций (ITU). Некоторыми элементами сертификатов являются уникальный порядковый номер, алгоритм хэширования для подписи, открытый ключ RSA и срок действия.
SCEP (Simplified Certification Enrollment Protocol — упрощенный протокол регистрации сертификатов). Протокол взаимодействия центров сертификации, позволяющий поддерживающим этот протокол узлам IPSec получать и использовать
цифровые сертификаты соответствующего центра сертификации. Использование протокола SCEP сторонами IPSec и серверами сертификации обеспечивает управляемость и масштабирование поддержки центров сертификации.
Списки CRL (Certificate Revocation Lists — списки отзыва сертификатов). Центры сертификации поддерживают списки CRL, являющиеся сертификатами специального типа со списками сторон IPSec, сертификаты которых были отозваны и не считаются более действительными. Стороны IPSec могут получить список CRL от центра сертификации. Необходимо проверять список CRL при каждой попытке создать новую ассоциацию защиты IKE, чтобы быть уверенным в том, что соответствующая вторая сторона является действительной.
Центры регистрации (Registration Authority — RA). Некоторые центры сертификации содержат в своем составе центр регистрации (RA). По сути, он является прокси-сервером центра сертификации, обеспечивающим выполнение функций центра сертификации даже тогда, когда он переходит в автономный режим.
Работа центра сертификации с SCEP
Стороны IPSec регистрируются в центре сертификации по протоколу SCEP еще до применения протокола IKE, использующего цифровые сертификаты. Каждая сторона IPSec, поддерживающая SCEP, имеет программное обеспечение клиента PKI, выполняющее процедуру регистрации узла в центре сертификации по протоколу SCEP связи типа “клиент-сервер”. Процесс регистрации узла в центре сертификации состоит из следующих действий.
Администратор узла настраивает IPSec и IKE для поддержки центра сертификации и создает пару ключей RSA (открытый и личный).
Узел получает открытый ключ центра сертификации (в составе сертификата самого центра сертификации при выполнении аутентификации вручную).
Узел посылает открытый ключ RSA и идентифицирующую его информацию центру сертификации.
Узел получает от центра сертификации удостоверение своего открытого ключа и сертификат центра сертификации.
Дополнительно узел получает от центра сертификации самый последний список CRL.
После регистрации в центре сертификации, стороны обмениваются удостоверениями в процессе обмена IKE, таким образом обмениваясь открытыми ключами. Каждый участник обмена проверяет аутентичность сертификата другой стороны с помощью открытого ключа центра сертификации и проверяет самый последний вариант списка CRL. Затем в рамках обмена IKE могут быть установлены ассоциации защиты IPSec и создан защищенный туннель для обмена данными между сторонами.
Поддержка сервера СА
Много поставщиков предлагают серверы СА или в виде устанавливаемого и управляемого пользователем программного обеспечения, или в виде управляемого сервиса СА. Многие поставщики серверов СА предусматривают взаимодействие своих продуктов с VPN-продуктами Cisco на основе поддержки протокола SCEP. Cisco предлагает программу Security Associate Program для тестирования новых решений защиты, использующих центры сертификации и систему PKI в рамках семейства продуктов Cisco
Secure. Подробная информация о Security Associate Program предлагается на странице www.cisco.com/warp/customer/cc/so/neso/sqso/csap/index.shtml. Ниже предлагается список поставщиков, продукты которых могут взаимодействовать с VPN-продуктами Cisco.
Entrust Technologies предлагает Entrust/PKI 4.0 — сервер СА, поддерживающий VPN-продукты Cisco с помощью протокола SCEP. Это программный продукт, устанавливаемый и управляемый пользователем. Entrust/PKI 4.0 поддерживает маршрутизаторы Cisco, клиент Cisco Secure VPN и брандмауэры PIX Firewall. Он выполняется в системах на базе операционных систем Windows NT 4.0 (это требуется для взаимодействия с продуктами Cisco), Solaris 2.6, HP-UX 10.20 и AIX4.3. Более подробная информация по этому вопросу имеется на Web- странице Entrust по адресу: www.entrust.com.
VeriSign предлагает OnSite 4.5 — сервис, управляемый компанией VeriSign. Onsite 4.5 обеспечивает интегрированную систему PKI предприятия, осуществляющую контроль, выдачу сертификатов IPSec и управление ими для брандмауэров PIX Firewall и маршрутизаторов Cisco, взаимодействующих через Internet. Для доступа к сервису VeriSign пользователи должны оформить подписку. За более подробной информацией обращайтесь к Web-странице VeriSign (www.verisign.comY
Baltimore Technologies реализует поддержку SCEP в серверах UniCERT (сервер СА компании Baltimore) и в пакете PKI Plus, что упрощает пользователям задачу регистрации VPN-продуктов Cisco. Текущая версия модуля СА UniCERT доступна для Windows NT 4.0. За более подробной информацией по данному вопросу обращайтесь к Web-странице Baltimore (www.baltimore.comY
Microsoft Windows 2000 Certificate Services 5.0. Microsoft интегрирует поддержку SCEP в сервере СА с помощью пакета Security Resource Kit для Windows 2000. С помощью такой поддержки пользователи любых VPN-продуктов Cisco могут использовать SCEP для получения сертификатов Microsoft Certificate Services и информации об отозванных сертификатах. За более подробной информацией по данному вопросу обращайтесь к Web-странице Microsoft (www.microsoft.comY
Потоки IKE и IPSec в программном обеспечении Cisco IOS
Программное обеспечение Cisco IOS реализует и поддерживает IPSec. Как работает IPSec и какие команды при этом используются — показано на рис. 15.15. Процесс, иллюстрируемый рисунком, предполагает, что уже созданы открытый и личный ключи и существует по крайней мере один список доступа. В ходе указанного процесса выполняются следующие действия.
Программное обеспечение Cisco IOS использует расширенные списки доступа IP (настраиваемые с помощью команды access-list), применяемые к некоторому интерфейсу, и криптографическую карту, с помощью которой выбирается трафик для шифрования. Программное обеспечение Cisco IOS проверяет, установлены ли ассоциации защиты IPSec. Если ассоциация защиты уже создана вручную с помощью команд crypto ipsec transform-set и crypto map или в результате процесса IKE, пакет шифруется в соответствии с политикой, определяемой криптографической картой, и передается соответствующему интерфейсу.
Если ассоциация защиты еще не создана, программное обеспечение Cisco IOS проверяет, были ли сконфигурированы и установлены ассоциации защиты IKE. Если ассоциация защиты IKE уже создана, то она управляет согласованием параметров ассоциаций защиты IPSec в соответствии с политикой IKE, определенной серией команд crypto isakmp. Затем пакет шифруется средствами IPSec и передается.
Если ассоциация защиты IKE еще не создана, программное обеспечение Cisco IOS проверяет, была ли активизирована поддержка центров сертификации для создания политики IKE. Если с помощью команд crypto са и crypto isakmp policy аутентификация СА активизирована, маршрутизатор обменивается цифровыми удостоверениями со второй участвующей в обмене стороной. Он проверяет удостоверение второй стороны, согласует параметры и создает ассоциацию защиты IKE (которая в свою очередь используется для создания ассоциаций защиты IPSec), а затем шифрует и передает пакет.
Рис. 15.15. Операции IKE и IPSec и соответствующие команды конфигурации
Настройка шифрования IPSec
В этом разделе предлагается обзор задач, выполняемых в процессе настройки параметров шифрования IPSec при наличии заранее согласованных общих ключей в маршрутизаторах Cisco и брандмауэре PIX Firewall. Первая из этих задач обсуждается в данном разделе подробно, поскольку она является общей для всех методов настройки IPSec. В последующих главах будут представлены подробности того, как для поддержки IPSec нужно настраивать маршрутизаторы Cisco и брандмауэр PIX Firewall.
Задача 1. Подготовка к использованию IPSec. Данная задача включает определение деталей политики шифрования и методов создания ключей, идентификацию хостов и сетей, которые необходимо защитить, выяснение характеристик сторон IPSec, возможностей IPSec, которые будут необходимы, а также проверку того, что существующие списки доступа, применяемые для фильтрования пакетов, позволяют трафик IPSec.
Задача 2. Настройка IKE. Эта задача предполагает активизацию средств IKE, создание политики IKE и проверку правильности выбранной конфигурации.
Задача 3. Настройка IPSec. Данная задача предполагает определение множеств преобразований, создание списков шифрованного доступа (списков доступа, с помощью которых определяется трафик для шифрования), криптографических карт (шаблонов активизации политики IPSec) и применение криптографических карт к интерфейсам, реализующим IPSec.
Задача 4. Тестирование и контроль IPSec. Использование show, debug и других аналогичных команд для проверки правильности функционирования IPSec и решения возможных проблем.
В следующем разделе задача 1 (подготовка к использованию IPSec) обсуждается подробно, поскольку она является обшей для всех вариантов настройки IPSec. Задачи 2-4 будут рассмотрены подробно в следующих главах.
В главе 16 описываются возможности настройки IPSec в рамках Cisco IOS с помощью заранее согласованных общих ключей.
В главе 17 будут представлены возможности настройки IPSec в брандмауэре PIX Firewall с помощью заранее согласованных общих ключей.
В главе 18 рассматриваются возможности настройки IPSec в рамках Cisco IOS и в брандмауэре PIX Firewall при поддержке центров сертификации. Там же будут описаны дополнительные задачи, связанные с настройкой параметров поддержки центров сертификации.
Задача 1. Подготовка к использованию IPSec
Для успешного построения сети IPSec необходимо разработать соответствующий план настройки каждой из сторон IPSec. Настройка шифрования IPSec может оказаться достаточно сложной задачей. Ее решение должно начинаться с определения политики защиты IPSec, основанной на требованиях общей политики защиты (см. образец политики защиты компании XYZ в приложении Б, “Политика сетевой зашиты компании XYZ”). Процедура планирования состоит из следующих шагов.
Шаг 1. Определение политики IKE взаимодействия сторон IPSec, в зависимости от числа сторон и их размещения (первая фаза IKE).
Шаг 2. Определение политики IPSec для учета параметров сторон IPSec, в частности IP-адресов и режимов IPSec (вторая фаза IKE).
Шаг 3. Проверка текущей конфигурации с помощью команд write terminal, show isakmp, show crypto map и других команд show.
Шаг 4. Проверка того, что сеть работает без шифрования.
Шаг 5. Проверка того, что списки доступа, используемые для фильтрования пакетов, разрешают движение трафика IPSec в маршрутизаторах Cisco и брандмауэре PIX Firewall.
В следующих разделах эти шаги рассматриваются подробнее.
Шаг 1. Определение политики IKE
Необходимо определить параметры политики IKE, чтобы сначала разрешить использование выбранного метода аутентификации, а затем настроить его параметры. При наличии подробного плана снижается вероятность выбора неправильной конфигурации. От построенного вами плана зависят и действия, выполняемые в первой фазе IKE, и соответствующий режим (основной или энергичный). Процесс планирования должен включать следующие шаги.
Определение метода распределения ключей. Выбор метода распределения ключей зависит от числа и размещения сторон IPSec. Для малой сети можно распределить ключи вручную. Для больших сетей можно использовать сервер СА для распределения цифровых сертификатов, чтобы обеспечить возможность масштабирования сети IPSec. Затем необходимо настроить параметры IKE, чтобы обеспечить поддержку выбранного метода распределения ключей.
Определение метода аутентификации. Согласованный выбор метода аутентификации зависит от метода распределения ключей. Маршрутизаторы Cisco для аутентификации сторон IPSec поддерживают предварительно согласованные общие ключи, шифрованные с помощью RSA оказии или подписи RSA. Брандмауэры PIX Firewall поддерживают предварительно согласованные общие ключи или подписи RSA.
Идентификация IP-адресов и имен хостов сторон IPSec. Определение параметров всех сторон IPSec, которые собираются использовать IKE и заранее согласованные общие ключи для создания ассоциаций защиты. Эта информация будет использоваться в процессе настройки IKE.
Определение политики IKE сторон. Политика IKE определяет комбинацию параметров защиты, используемых в основном или энергичном режиме обмена IKE. Любой обмен IKE требует согласия каждой из сторон с общей (т.е. используемой совместно) политикой IKE. Допустимые политики IKE необходимо определить до начала настройки, чтобы средства IKE могли поддерживать наборы параметров, согласованные в ходе переговоров.
Замечание
Помните о том, что IKE не является синонимом ISAKMP. Маршрутизаторы Cisco и брандмауэры PIX Firewall называют свои команды IKE командами ISAKMP. Например, параметры политики IKE в брандмауэре PIX Firewall можно проверить с помощью команды show isakmp policy. На самом же деле IKE является новым протоколом, использующим более старые протоколы ISAKMP и Oakley.
Создание политик IKE
Переговоры IKE должны быть защищены, поэтому каждый обмен IKE начинается с согласования сторонами политики IKE, используемой сообщающимися сторонами IPSec. Эта политика описывает параметры, применяемые для защиты последующих сообщений согласования IKE.
Для каждой из сторон IPSec можно разрешить множество вариантов политики IKE. После того как две стороны договорятся о приемлемой политике IKE, параметры политики защиты определяются ассоциациями защиты IKE, созданными каждой стороной. От этих ассоциаций защиты зависит весь последующий трафик IKE, генерируемый в ходе переговоров согласования. Можно создать множество вариантов политики и назначить им приоритеты, чтобы быть уверенным в том, что по крайней мере одна политика будет соответствовать политике удаленной стороны.
Переговоры IKE начинаются в основном режиме первой фазы IKE. IKE пытается найти политику, подходящую для обеих сторон. Сторона, начавшая процесс согласования, посылает все варианты своей политики удаленной стороне, которая, в свою очередь, пытается найти среди них подходящую для себя. Удаленная сторона ищет соответствие, сравнивая свою политику с наивысшим приоритетом с вариантами политики, прибывшими в наборе IKE другой стороны. Удаленная сторона проверяет все свои варианты политик в порядке приоритета (от высшего к низшему), пока не будет обнаружено соответствие.
Соответствие означает, что два варианта политики содержат одинаковые значения для шифрования, хэширования, аутентификации и параметров Диффи-Хеллмана и политика удаленной стороны задает предел времени существования не меньший, чем политика, с которой выполняется сравнение. (Если значения пределов времени не равны, то используется меньшее значение.) Присваивайте меньшее значение идентификатора той политике, которая обеспечивает более надежную защиту, чтобы при сравнении первое совпадение давала политика наибольшей защиты.
Если соответствия при сравнении не найдено, IKE отказывается от дальнейших переговоров и связь IPSec не устанавливается. В противном случае IKE завершает основной режим и в быстром режиме второй фазы IKE создаются ассоциации защиты IPSec.
Определение параметров политики IKE
В рамках стандарта IKE можно указать конкретные значения для каждого параметра IKE. Значения выбираются в зависимости от уровня защиты, который вы хотите обеспечить, и типа стороны IPSec, с которой вы хотите наладить связь. В табл. 15.8 представлены пять параметров, определяющих политику IKE, а также результаты их сравнения с точки зрения защиты.
|||||Д|Ц||^^IKE
Параметр
Возможное значение
Более сильный вариант
Алгоритм шифрования сообщений
DES
3DES
Алгоритм хэширования (гарантии целостности) сообщений
MD5
SHA-I
Метод аутентификации сторон
Предварительно согласованные общие ключи
Шифрование RSA, подпись RSA
Параметры обмена ключами (идентификатор группы
Группа 1
Группа 2
Диффи-Хеллмана)
Диффи-Хеллмана
Диффи-Хеллмана
Максимальное время существования ассоциаций защиты IKE
86400 секунд
Менее 86400 секунд
Пример выбора параметров политики IKE для двух сторон
На рис. 15.16 показана упрощенная топология сети компании XYZ, используемая в примерах этой главы.
Рис. 15.16. Топология сети компании XYZ для IPSec
Шаг 2. Определение политики IPSec (вторая фаза IKE)
Планирование IPSec (вторая фаза IKE) является еще одним важным шагом, который необходимо выполнить до того, как приступить непосредственно к настройке IPSec в маршрутизаторе Cisco. Элементы политики, которые должны быть определены на этой стадии, являются следующими.
Выбор алгоритмов и параметров IPSec, дающих оптимальное соотношение степени защиты и скорости выполнения. Необходимо определить алгоритмы шифрования IPSec (преобразования), которые будут использоваться для защиты трафика. Некоторые алгоритмы IPSec требуют сделать выбор между высокой скоростью выполнения и более надежной защитой.
Параметры, идентифицирующие стороны IPSec. Необходимо выяснить IP-адреса и имена хостов всех сторон IPSec, с которыми вы предполагаете наладить связь.
Определение IP-адресов хостов и приложений, которым необходимо обеспечить защиту в локальной и удаленной системах.
Выбор метода создания ассоциаций защиты: вручную или посредством IKE.
Целью этого шага планирования является сбор данных, которые потребуются на следующих шагах процесса, чтобы свести к минимуму возможность создания неправильной конфигурации.
Важной составляющей процесса определения политики IPSec является выяснение объекта IPSec, с которым должен связываться маршрутизатор Cisco или брандмауэр PIX Firewall. Соответствующий объект должен поддержать IPSec в соответствии с документами RFC, поддерживаемыми продуктами Cisco. Это могут быть объекты различных типов, и перед вами стоит задача идентифицировать все существующие в вашем конкретном случае возможности. Параметры политики IPSec для каждой стороны необходимо определить до начала настройки IPSec. Возможными объектами IPSec могут быть следующие объекты:
маршрутизаторы Cisco;
брандмауэры PIX Firewall;
клиент Cisco Secure VPN;
концентраторы Cisco VPN серий 3000 или 5000;
продукты других производителей, поддерживающие IPSec и соответствующие документам RFC, определяющим спецификации IPSec.
Элементы политики IPSec, которые необходимо определить или выбрать, описаны в табл. 15.9.
Таблица 15.9. Параметры политики IPSec
Параметр IPSec
Возможные значения
Набор преобразований
AH-MD5 илиАН-SHA, ESP-DES или ESP-3DES, ESP-MD5-HMAC или ESP-SHA-HMAC
Режим IPSec
Алгоритм хэширования
Установка ассоциаций защиты
Максимальное время существования ассоциаций защиты IPSec
PFS
Туннельный или транспортный
MD5 или SHA-I
ipsec-isakmp или ipsec-manual
kilobytes и/или seconds
Группа 1, если используется ESP-DES, или группа 2, если используется ESP-3DES
Интерфейс
IP-адрес стороны или имя хоста
IP-адрес хостов, требующих защиты
Тип трафика, требующего шифрования
Интерфейс стороны (аппаратный или обратная связь)
Задает IP-адрес сетевого устройства или имя хоста Определяет хосты или сети, требующие защиты Любой трафик, указанный расширенными списками доступа IP
Шаг 3. Проверка текущей конфигурации
Необходимо проверить текущую конфигурацию устройства Cisco, чтобы выяснить, не было ли ранее создано политик IPSec, которые могут влиять на запланированную вами конфигурацию IPSec. Ранее установленные параметры IKE и IPSec могут и должны использоваться с целью экономии времени, затрачиваемого на создание конфигурации. Но ранее определенные параметры политики IKE и IPSec могут также влиять на политику, которую вы планируете реализовать. Например, добавленная вами новая политика IKE может быть отменена существующей, если последняя имеет более высокий приоритет. Необходимо тщательно проанализировать параметры уже существующих политик, основываясь на ваших планах создания новой политики, чтобы быть уверенным, что будет реализован именно тот вариант, который вы планируете.
Чтобы увидеть текущую конфигурацию, используйте команду write terminal (show running config в маршрутизаторах Cisco). Можно также воспользоваться соответствующими командами show (которые сейчас будут указаны), чтобы просмотреть параметры конфигурации IKE и IPSec. Проверить, были ли ранее определены политики IKE, можно с помощью команды show crypto isakmp policy в маршрутизаторах Cisco или show isakmp policy в брандмауэрах PIX Firewall.
Шаг 4. Проверка работоспособности сети
Перед тем как приступить к настройке шифрования IPSec в рамках Cisco IOS, следует убедиться, что сетевая связь между устройствами Cisco действительно существует. В этом случае, хотя для проверки связности и достаточно использовать только запросы отклика ICMP (команда ping), необходимо убедиться в том, что сеть работает с другими протоколами и портами, которым вы планируете обеспечить шифрование (например, Telnet, FTP или SQL*NET). После активизации средств IPSec поиск про-
блем связности может оказаться более сложным делом из-за возможности неправильной настройки защиты и невозможности анализировать шифрованные пакеты IPSec. К отсутствию связности могут приводить предыдущие установки защиты.
Шаг 5. Проверка движения трафика IPSec через списки доступа
Маршрутизаторы периметра обычно реализуют ограничивающую политику защиты с помощью списков доступа, в которых разрешается только трафик определенного вида, а весь остальной трафик отвергается. Такая ограничивающая политика блокирует трафик IPSec, поэтому в список доступа необходимо добавить операторы permit, разрешающие прохождение трафика IPSec.
Убедитесь в том, что списки доступа не блокируют протоколы 50 и 51 и UDP-порт 500 на интерфейсах, используемых IPSec. Протокол IKE использует порт 500 UDP. IPSec ESP связан с протоколом 50, а АН — с протоколом 51. В некоторых случаях приходится добавлять подходящие операторы к спискам доступа маршрутизатора, чтобы явно разрешить соответствующий трафик.
Набор команд списка доступа, разрешающего трафик IPSec для маршрутизатора А от маршрутизатора В, показан в примере 15.1.
, .. ... .. ..^,
Пример 15.1. Список доступа, разрешающий трафик IPSec •“
RouterAf show running-config i interface SerialO
ip address 172.16.1.1 255.255.255.0
ip access-group 101 in i
access-list 101permitahphost172.16.2.1host172.16.1.1
access-list 101permitesphost172.16.2.1host172.16.1.1
access-list 101permitudphost172.16.2.1host172.16.1.1eq isakmp
Протокольное ключевое слово esp соответствует протоколу ESP (номер 50), ключевое слово ahp — протоколу АН (номер 51), a isakmp — UDP-порту 500.
Кроме того, может потребоваться проверка брандмауэра PIX Firewall, чтобы убедиться в том, что списки доступа на его внешнем интерфейсе не блокируют трафик IPSec. Чтобы просмотреть размещенные списки доступа, используйте команду show access-list. Возможно, чтобы разрешить трафик IPSec, при этом в брандмауэр PIX Firewall придется добавить соответствующие строки списка доступа (точно так же, как объяснялось выше для маршрутизатора периметра). Набор команд списка доступа, разрешающего трафик IPSec для брандмауэра PIX 1, показан в примере 15.2. Здесь следует заметить, что адрес источника соответствует внешнему интерфейсу стороны, а источником является внешний интерфейс брандмауэра PIX 1.
access-list 102 permitaccess-list 102 permitaccess-list 102 permitaccess-list 102 permitaccess-list 102 permitaccess-list 102 permitahp host 192.168.2.2 hostesp host 192.168.2.2 hostudp host 192.168.2.2 hostahp host 192.168.2.2 hostesp host 192.168.2.2 hostudp host 192.168.2.2 host192.168.1.2192.168.1.2192.168.1.2 eq isakmp192.168.1.2192.168.1.2192.168.1.2 eq isakmp
access-list 102 permit
access-list 102 permit
access-list 102 permit
access-list 102 permit
access-list 102 permit
access-list 102 permit
ahp host 192.168.2.2 host
esp host 192.168.2.2 host
udp host 192.168.2.2 host
ahp host 192.168.2.2 host
esp host 192.168.2.2 host
udp host 192.168.2.2 host
192.168.1.2
192.168.1.2
192.168.1.2 eq isakmp
192.168.1.2
192.168.1.2
192.168.1.2 eq isakmp
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
IPSec представляет собой набор открытых протоколов защиты, объединенных с целью создания защищенных масштабируемых сетей VPN.
Двумя главными протоколами IPSec являются АН, который обеспечивает целостность и аутентификацию данных (но не конфиденциальность), и ESP, обеспечивающий все возможности АН, а также конфиденциальность данных с помощью шифрования.
Протокол IKE применяется для аутентификации сторон IPSec и упрощения процесса создания секретных ключей, используемых алгоритмами шифрования IPSec.
Процесс IKE имеет две фазы. В первой выполняется аутентификация сторон IPSec, обеспечивается создание секретного ключа и устанавливается защищенный туннель для второй фазы, в ходе которой создаются ассоциации защиты IPSec.
Ассоциации защиты IPSec согласуются и создаются в быстром режиме второй фазы IKE.
Ассоциации защиты IPSec являются односторонними и определяют параметры IPSec и секретные ключи, используемые в сеансах IPSec. Параметры ассоциаций защиты IPSec сохраняются в динамической памяти в базе данных ассоциаций защиты.
Протокол IKE использует метод обмена ключами Диффи-Хеллмана в основном режиме первой фазы IKE для создания защищенных секретных ключей, используемых алгоритмами шифрования IPSec.
Коды НМАС типа HMAC-MD5 и HMAC-SHA-1 используются IKE и IPSec для контроля целостности данных и аутентификации обмена данными.
В IPSec для аутентификации сторон IPSec в течение первой фазы IKE поддерживаются подписи RSA, шифрованные с помощью RSA оказии и заранее согласованные общие ключи.
Цифровые подписи, создаваемые с помощью методов криптографии с открытым ключом, позволяют выполнить цифровую аутентификацию сторон IPSec, а также обеспечивают сетям IPSec гибкость и простоту расширения.
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
На какие протоколы опирается IPSec и какие сервисы обеспечивает каждый из этих протоколов?
Какой из важных сервисов IPSec не обеспечивается протоколом АН?
В чем состоит различие между способами использования туннельного и транспортного режимов?
Что такое ассоциация защиты IPSec и как она создается?
Можно ли настроить конфигурацию IPSec без использования IKE?
В чем заключаются преимущества использования IKE?
Что инициирует начало процесса IKE?
Каковы цели второй фазы IKE?
Что является главной целью использования центра сертификации?
Назовите пять основных шагов процесса IPSec?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Документы RFC, связанные с IPSec, предлагают детализированные определения компонентов IPSec. Эти документы можно найти по адресу: www.ietf.org/html.charters/ ipsec-charter. html.
Проекты стандартов Internet являются рабочими документами IETF (Internet Engineering Task Force — проблемная группа проектирования Internet). Проекты стандартов Internet можно найти по адресу: www.ietf.org/html.charters/ipsec-charter.html.
Стандарты IPSec
RFC 2401. Kent S. and Atkinson R. Security Architecture for the Internet Protocol', November, 1998.
RFC 2402. Kent S. and Atkinson R. IP Authentication Header, November, 1998.
RFC 2403. Madson C. and Glenn R. The Use of HMAC-MD5-96 within ESP and AH, November, 1998.
RFC 2404. Madson C. and Glenn R. The Use ofHMAC-SHA-1-96 within ESP andAH, November, 1998.
RFC 2405. Madson C. and Doraswamy N. The ESP DES-CBC Cipher Algorithm with Explicit IV, November, 1998.
RFC 2406. Kent S. and Atkinson R. IP Encapsulating Security Payload (ESP), November, 1998.
RFC 2410. Glenn R. The NULL Encryption Algorithm and Its Use with IPSec, November, 1998.
RFC 2411. Doraswamy N., Glenn R. and Thayer R. IP Security Document Roadmap, November, 1998.
RFC 2451. Pereira R. and Adams R. The ESP 3DES CBC-Mode, November, 1998.
Шифрование
Doraswamy N., Metzger P. and Simpson W. A. The ESP Triple DES Transform, July, 1997, draft-ietf-ipsec-ciph-des3-00.txt.
FIPS-46-2. Data Encryption Standard, U.S. National Bureau of Standards Federal Information Processing Standard (FIPS) Publication 46-2, December, 1993, www.itl.nist.gov/ div897/pubs/fip46-2.htm (заменил стандарт FIPS-46-1).
IKE
Litvin M., Shamir R. and Zegman T. A Hybrid Authentication Mode for IKE, December, 1999, draft-ietf-ipsec-isakmp-hybrid-auth-03.txt.
Pereira R., Anand S. and Patel B. The ISAKMP Configuration Method, August, 1999, draft-ietf-ipsec-isakmp-mode-cfg-O5.txt.
Pereira R. and Beaulieu S. Extended Authentication within ISAKMP/Oakley (XAUTH), December, 1999, draft-ietf-ipsec-isakmp-xauth-06.txt.
RFC 2407. Piper D. The Internet IP Security Domain of Interpretation of ISAKMP, November, 1998.
RFC 2408. Maughan D., Schertler M., Schneider M. and Turner J. Internet Security Association and Key Management Protocol (ISAKMP), November, 1998.
RFC 2409. Harkins D. and Carrel D. The Internet Key Exchange (IKE), November, 1998.
RFC 2412. Orman H. The OAKLEY Key Determination Protocol, November, 1998.
Алгоритмы хэширования
FIPS-180-1. Secure Hash Standard, National Institute of Standards and Technology, U.S. Department of Commerce. April, 1995. Известен также как “59 Fed Reg 35317 (1994)”.
RFC 1321. Rivest R. The MDS Message-Digest Algorithm, April, 1992.
RFC 2085. Glenn R. and Oehler M. HMAC-MD5 IP Authentication with Replay Prevention, February, 1997.
RFC 2104. Krawczyk H., Bellare M. and Canetti R. HMAC: Keyed-Hashing for Message Authentication, February, 1997.
Криптография с открытым ключом
RFC 2437. Kaliski B. and Staddon J. PKCS #1: RSA Cryptography Specifications, October, 1998.
RFC 2631. Rescoria E. Diffie-Hellman Key Agreement Method, June, 1999.
Цифровые сертификаты и центры сертификации
Liu X., Madson С., McGrew D. and Nourse A. Cisco Systems’ Simple Certificate Enrollment Protocol (SCEP), February, 2000, draft-nourse-scep-O2.txt.
RFC 2314. Kaliski B. PKCS #10: Certification Request Syntax Version 1.5, March, 1998.
RFC 2315. Kaliski B. PKCS #7: Cryptographic Message Syntax Version 1.5, March, 1998.
RFC 2459. Housley R. Internet X.509 Public Key Infrastructure Certificate and CRL Profile, January, 1999.
Общие вопросы защиты
“Frequently Asked Questions About Today’s Cryptography 4.0”, RSA Laboratories, Redwood City, Calif, 1998. Этот список часто задаваемых вопросов с ответами раскрывает математические основы криптографии, а также некоторые вопросы применения экспортного законодательства и защиты информации.
IPSec. “Белая книга” Cisco Systems, Inc., доступная по адресу: www.cisco.com/warp/ customer/cc/cisco/mkt/security/encryp/tech/ipsec_wp.htm. Для доступа к этой странице требуется указать учетное имя и пароль Cisco Connection Online.
Kaeo M. Designing Network Security, Cisco Press, 1999.
Schneier B. Applied Cryptography: Protocols, Algorithms and Source Code in C, Second Edition, Wiley, 1995.
Изучив материал данной
Описать ком вания IPSec.
Настроит
ШИ!
, вы сможете выполнить следующее.
редназначенные для~нжд
средств шифро-
используя заранее согл; Насцюит^средства нц ис^эльзу^утентифика Проверить правильна
■ювания
>ванные
ррования
;ию слой
IPSec
КЛЮЧ!
ИВЗо
(аботы сред|
1рограммного Обеспечения Cisco IOS, аутентификации.5^
фограммного обеспечения Cisco IOS, сазий, шифрован нь&^методом RSA.
nk IPSec прогрЙ&шЖкк обеспечения
Глава
16
Настройка Cisco IOS|йдя поддержки IPSec
лаве объясняется, как настроить средства IPSec программного обеспечения
бходЖЙ нала д ион
пользуя аутентификацию с помощью заранее согласованных общих клю- , шифрованных методом RSA. Сначала рассмотрим набор команд Cisco х для настройки IPSec, а затем будут описаны действия, которые ЮЛ нить в процессе настройки. До того как приступить к изучению ма- авы, вы должны ознакомиться с терминологией и принципами ювЯнйяДРЗес. Если требуется освежить соответствующие знания в памя- главе 15, “Поддержка IPSec в сетях Cisco”.
В дани главе^бс^вными темами обсуждения являются настройка IPSec для ис- пользоваЯя заран^р. согласованных общих ключей и настройка IPSec для применения кази&аиифрованных с помощью RSA. Здесь будут описаны возможности настройки PS^b мар&рутизаторм Cisco и соответствующие процедуры настройки. После этого >удете готовы выполнить настройку средств использования подписей RSA, о кото- пойдет ре^пв^паве^|8, “Масштабирование сетей IPSec”.
стройка*1Р8ес для работы
с общими ключами
S^F"'
^№этом разделе Объясняется, как настроить средства шифрования IPSec, используя вгмюшрутизаторах Cisco заранее согласованные ключи аутентификации. В центре внимания этого раздела будет настройка маршрутизатора Cisco на выполнение задач шлюза защитыДРЗес, шифрующего и защищающего трафик сетей, находящихся за маргюутизатортми* В^можности использования заранее согласованных ключей IKE для Дугентификации сеансов IPSec настроить относительно легко, но указанный под- ходЦс;Прйемлем для сетей с большим числом сторон IPSec. На рис. 16.1 показана уп- цейная топология сети компании XYZ, используемая в примерах данной главы.
Сайт 1
S92.168.L
Маршрутизатор А
s0 172.16.1.1
Маршрутизатор В
nternet
s0 172.16.2.1
Сайт 2
192.168.2.0
n
Рис.Жк Топология сети кампании XYZ для использования IPSec в маршрутизаторах Cisco
Процесс настройки средств Cisco IOS для использования заранее согласованных ключей IKE в маршрутизаторах Cisco предполагает решение следующих основных задач.
Задача 1. Подготовка к использованию IPSec. Определение деталей политики шифрования, идентификация хостов и сетей, которые необходимо защитить, выяснение характеристик сторон IPSec, возможностей IPSec, которые будут необходимы, а также проверка того, что существующие списки доступа, применяемые для фильтрования пакетов, позволяют использовать IPSec.
Задача 2. Настройка IKE. Активизация средств IKE, создание политики IKE и проверка правильности выбранной конфигурации.
Задача 3. Настройка IPSec. Определение множеств преобразований, создание списков шифрованного доступа и криптографических карт, а также применение криптографических карт к соответствующим интерфейсам.
Задача 4. Тестирование и контроль IPSec. Проверка правильности функционирования IPSec с помощью show, debug и других аналогичных команд и решение возможных проблем.
В следующих разделах каждая из этих задач конфигурации будет обсуждаться подробно.
Задача 1. Подготовка к использованию IPSec
Перед тем как приступить непосредственно к настройке маршрутизаторов, для успешного построения сети IPSec требуется предварительное планирование. Планирование должно начинаться с определения политики защиты IPSec на основе требований общей политики защиты компании. Задача планирования подробно обсуждалась в главе 15. В процессе планирования выполняются следующие основные шаги.
Шаг 1. Определение политики IKE взаимодействия сторон IPSec (первая фаза IKE), в зависимости от числа сторон и их размещения.
Шаг 2. Определение политики IPSec для учета параметров сторон IPSec (вторая фаза IKE), в частности IP-адресов и режимов IPSec.
Шаг 3. Проверка текущей конфигурации с помощью команд write terminal, show isakmp, show crypto map и других команд show.
Шаг 4. Проверка работоспособности сети при отключенных средствах шифрования (с помощью команд ping и направления нешифрованного трафика к месту назначения).
Шаг 5. Проверка того, что списки доступа, определяющие фильтрацию пакетов, разрешают движение трафика IPSec.
В следующих разделах рассматриваются задачи, которые необходимо решить для настройки средств IPSec в маршрутизаторах Cisco.
Задача 2. Настройка IKE для работы с общими ключами.
Следующей задачей настройки IPSec является выбор параметров IKE в соответствии с той информацией о сети, которая была выяснена ранее. Процесс настройки IKE состоит из следующих шагов.
Шаг 1. Активизация или отключение IKE с помощью команды crypto isakmp enable.
Шаг 2. Создание политик IKE с помощью команд crypto isakmp policy.
Шаг 3. Выбор общих ключей с помощью команды crypto isakmp key и связанных с ней команд.
Шаг 4. Проверка конфигурации IKE с помощью команды show crypto isakmp policy.
Ниже эти шаги будут описаны подробно.
Шаг 1. Активизация или отключение IKE
Первым шагом настройки IKE является активизация или отключение IKE. Активизировать IKE глобально можно с помощью команды crypto isakmp enable, а отменить использование IKE — с помощью той же команды с префиксом по. По умолчанию протокол IKE активизирован. Этот протокол активизируется глобально для всех интерфейсов в маршрутизаторе, поэтому нет необходимости активизировать IKE для каждого интерфейса в отдельности. На интерфейсах, не используемых для IPSec, IKE можно отключить с помощью операторов списка доступа, запрещающих использование UDP- порта 500 (тем самым обеспечивается защита от атак блокирования сервиса).
Шаг 2. Создание политик IKE
Следующим шагом настройки IKE является определение набора политик IKE, используемых при создании связей IKE между сторонами IPSec. Политика IKE определяет набор параметров, которые могут использоваться в процессе переговоров согласования IKE.
В табл. 16.1 представлены элементы политики IKE, настройка которых будет обсуждаться в примерах данного раздела.
; Таблица 16.1. Пример политики IKE для двух маршрутизаторов
Параметр
Значение для маршрутизатора А
Значение для маршрутизатора В
Алгоритм шифрования сообщений
DES
DES
Алгоритм гарантии целостности (алгоритм хэширования) сообщений
MD5
MD5
Метод аутентификации сторон
Согласованный ключ
Согласованный ключ
Параметры обмена ключами (идентификатор группы Диффи-Хеллмана)
Группа 1 (768-битовый вариант алгоритма Диффи-Хеллмана)
Группа 1 (768-битовый вариант алгоритма Диффи-Хеллмана)
Предел времени существования ассоциаций защиты, установленных с помощью ISAKMP
86400 (по умолчанию)
86400 (по умолчанию)
IP-адрес стороны IPSec
172.16.2.1
172.16.1.1
Определив параметры политики IKE, используйте команду crypto isakmp policy, чтобы задать политику IKE, или команду no crypto isakmp policy, чтобы удалить соответствующую политику. Указанная команда имеет следующий синтаксис.
crypto isakmp policy приоритет
Параметр команды описан в следующей таблице.
Параметр команды
Описание
приоритет
Однозначно идентифицирует политику IKE, присваивая ей приоритет. Используйте целое число от 1 до 10000, где 1 - наивысший приоритет, а 10000 — наименьший
Эта команда открывает режим конфигурации политики IKE (режим config-isakmp), в котором можно устанавливать параметры IKE. Параметры устанавливаются с помощью ключевых слов, описания которых представлены в табл. 16.2. Если в режиме config-isakmp вы не укажете какую-то из команд, для соответствующего параметра будет использоваться значение по умолчанию.
"аблица 16.2. Ключевые слова командного режима config-isakmp
Ключевое слово
Допустимые значения
Значение по умолчанию
Описание
des
56-битовый DES-CBC
des
Алгоритм шифрования сообщений
sha md5
SHA-1 (вариант HMAC) MDS (вариант HMAC)
sha
Алгоритм гарантии целостности (алгоритм хэширования) сообщений
rsa-sig rsa-encr pre-share
Подписи RSA
Оказии, шифрованные методом RSA
Заранее согласованные ключи
rsa-sig
Метод аутентификации сторон
1
2
768-битовый вариант алгоритма Диффи-Хеллмана
1024-битовый вариант алгоритма Диффи-Хеллмана
1
Параметры обмена ключами (идентификатор группы Диффи-
Хеллмана)
lifetime секунды
exit
Любое число
86400 секунд (одни сутки)
Предел времени существования ассоциации защиты, установленной с помощью IKE. Обычно можно оставить значение, используемое по умолчанию
Выход из режима config-isakmp
В настройках каждой стороны IPSec можно указать несколько вариантов политики IKE. Перед тем как приступить к согласованию параметров ассоциаций защиты IPSec, стороны IKE “договариваются” о приемлемой политике IKE.
Пример конфигурации IKE для двух сторон
Рассмотрим примеры политики IKE для маршрутизаторов А (пример 16.1) и В (пример 16.2). Заметим только, что 43200 секунд равняется 12 часам.
crypto isakmp policy 100 hash md5
authentication pre-share crypto isakmp policy 200
authentication rsa-eig group 2
lifetime 43200
crypto isakmp policy 300 authentication rsa-encr lifetime 10000
Пример 16.2. Варианты политики IPSec для-маршрутизатора В
Ut——i^K-. - . . . —. —-..—..^ —*—_„
crypto isakmp policy 100
hash md5
authentication pre-share
crypto isakmp policy 200
authentication rsa-sig
group 2
lifetime 43200
crypto isakmp policy 300
authentication rsa-sig
lifetime 10000
Шаг 3. Согласование общих ключей
Важным шагом процесса настройки средств поддержки IKE является установка режима идентификации IKE и согласование ключей.
Установка режима идентификации
Стороны IPSec выполняют взаимную аутентификацию в ходе переговоров IKE с помощью заранее согласованных общих ключей и идентификации объекта IKE. Идентификатором объекта может быть IP-адрес маршрутизатора или имя хоста. Программное обеспечение Cisco IOS по умолчанию использует метод идентификации по IP-адресу. Чтобы использовать идентификацию по имени хоста, введите команду глобальной конфигурации crypto isakmp identity. Воспользуйтесь этой командой с префиксом по, чтобы для идентификации IKE восстановить значение по умолчанию (идентификация по адресу). Указанная команда имеет следующий синтаксис.
crypto isakmp identity {address | hostname}
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
address
Задает идентификацию IKE по IP-адресу интерфейса, используемого в процессе согласования IKE для связи с удаленной стороной. Это ключевое слово указывают тогда, когда для обмена IKE используется один интерфейс и известен IP-адрес этого интерфейса
hostname
Задает идентификацию IKE по имени хоста в комбинации с именем домена (например, myhost.domain.com). Это ключевое слово указывают тогда, когда для обмена IKE могут использоваться несколько интерфейсов или IP-адрес интерфейса неизвестен (например, при динамическом выборе IP-адресов)
Замечание
Команда crypto isakmp identity address отсутствует в конфигурации маршрутизатора, поскольку она используется по умолчанию.
Если вы используете метод идентификации по имени хоста, в конфигурации маршрутизатора необходимо указать имя хоста удаленной стороны на случай, если сервер DNS окажется недоступным. Это можно сделать, например, так, как предлагает следующая команда для маршрутизатора А.
RouterAfconfig)# ip host RouterB.domain.com 172.16.2.1■
Выбор общих ключей
Выбор общих ключей аутентификации осуществляется с помощью команды crypto isakmp key глобальной конфигурации. Ключ следует определять каждый раз, когда в политике IKE указывается использование заранее согласованных общих ключей. Чтобы удалить общий ключ аутентификации, используйте команду с префиксом по. Синтаксис команды следующий:
crypto isakmp key ключ address адрес
crypto isakmp key ключ hostname имя-хоста
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
КЛЮЧ
Указывает значение общего ключа. Используйте любую комбинацию буквенноцифровых символов длиной до 128 байт. Значения общих ключей должны быть одинаковы в устройствах обеих сторон
address
Используется тогда, когда выбрана идентификация IKE удаленной стороны по IP-адресу
адрес
Описывает IP-адрес удаленной стороны
hostname
Используется тогда, когда выбрана идентификация IKE уд аленной стороны по имени хоста
имя-хоста
Описывает имя хоста удаленной стороны. Это имя хоста, связанное с именем домена (например, myhost.domain.com)
Замечание
При использовании аутентификации IKE с согласованными общими ключами в устройствах обеих сторон IPSec должны быть указаны одинаковые значения ключей. Настоятельно рекомендуется для разных пар сторон IPSec использовать разные общие ключи. Использование одного ключа для нескольких пар IPSec потенциально рискованно и поэтому нежелательно.
Пример выбора общих ключей IKE
В примере 16.3 показан вариант настройки параметров IKE и ключей для маршрутизаторов А и В. Обратите внимание на то, что в обоих случаях для ключа используется одна и та же строка WhatLighT. Указывается метод идентификации по адресу. Политики IKE являются совместимыми. Указывать значения по умолчанию не требуется.
Я
RouterAfconfig)# crypto isakmp key WhatLighT address 172.16.2.1
RouterAfconfig)# crypto isakmp policy 100
RouterAfconfig-isakmp)# hash md5
RouterA(config-isakmp)# authentication pre-share
RouterA(config-isakmp)# exit
RouterB(config)# crypto isakmp key WhatLighT address 172.16.1.1
RouterB(config)# crypto isakmp policy 100
RouterB(config-isakmp)# hash md5
RouterB(config-isakmp)# authentication pre-share
RouterB(config-isakmp)# exit
Шаг 4. Проверка конфигурации IKE
Чтобы увидеть заданные в конфигурации и используемые по умолчанию параметры политики, воспользуйтесь командой show crypto isakmp policy. Политика IKE для маршрутизатора показана в примере 16.4; конфигурация для маршрутизатора В выглядит аналогично.■■
Пример 16.4. Политика IKE маршрутизатора А
RouterA# show crypto isakmp policy
Protection suite of priority 100
encryption algorithm: DES—Data Encryption Standard (56 bit keys).
hash algorithm:Message Digest5
authentication method:Pre-Shared Key
Diffie-Hellman group:#1 (768 bit)
lifetime:86400 seconds,no volume limit
Default protection suite
encryption algorithm:DES—Data Encryption Standard (56 bit keys).
hash algorithm:Secure Hash Standard
authentication method:Rivest-Shamir-AdlemanSignature
Diffie-Hellman group:#1 (768 bit)
lifetime:86400 seconds, no volumelimit
Задача 3. Настройка IPSec
Следующей задачей настройки IPSec в Cisco IOS является установка ранее определенных параметров шифрования IPSec. Действия, которые необходимо выполнить для этого в маршрутизаторах Cisco, являются следующими.
Шаг 1. Определение наборов преобразований с помощью команды crypto ipsec transform-set.
Шаг 2. Установка глобальных пределов существования ассоциаций защиты IPSec с помощью команды crypto ipsec security-association lifetime.
Шаг 3. Настройка списков доступа посредством команды access-list.
Шаг 4. Настройка криптографических карт с помощью команды crypto map.
Шаг 5. Применение криптографических карт к интерфейсам с помощью команд interface и crypto map.
В табл. 16.3 представлены элементы политики IPSec, настройка которых будет обсуждаться в примерах данного раздела. Поддерживаемые программным обеспечением Cisco IOS преобразования IPSec будут обсуждаться позже.
^Таблица 16.3. Элементь
। политики IPSec для двух сторон
Параметр
Значение для стороны А
Значение для стороны В
Набор преобразований
AH-MD5, ESP-DES
AH-MD5, ESP-DES
Режим IPSec
Туннельный
Туннельный
Алгоритм хэширования
MD5
MD5
Имя удаленного хоста
RouterB
RouterA
Интерфейс
Serial 0
Serial 0
IP-адрес удаленной стороны
172.16.2.1
172.16.1.1
IP-адрес хостов, которые должны быть защищены
192.168.1.0
192.168.2.0
Тип трафика для шифрования
TCP
TCP
Установка ассоциаций защиты
ipsec-isakmp
ipsec-isakmp
Ниже каждый из этих шагов настройки IPSec будет обсуждаться подробнее.
Шаг1. Определение набора преобразований
Первым шагом настройки IPSec в Cisco IOS является использование политики защиты IPSec для определения набора преобразований, представляющего собой совокупность конкретных алгоритмов IPSec, с помощью которых реализуется политика защиты для выбранного трафика. В рамках ассоциации защиты IKE выполняются операции согласования (в ходе второй фазы IKE, быстрый режим), в результате которых стороны соглашаются использовать конкретный набор преобразований для защиты потока данных. Набор преобразований объединяет следующие элементы IPSec:
механизм аутентификации данных: преобразование АН (Authentication Header — заголовок аутентификации);
механизм шифрования данных: преобразование ESP (Encapsulating Security Payload — включающий защиту полезный груз);
режим IPSec (транспортный или туннельный).
Набор преобразований определяется с помощью команды глобальной конфигурации crypto ipsec transform-set, активизирующей конфигурационный режим cryptotransform. Чтобы удалить набор преобразований, используйте указанную команду с префиксом по. Команда имеет следующий синтаксис:
crypto ipsec transform-set имя-набора преобразование!
[преобразование? [преобразование3[]
Параметры команды описаны в следующей таблице.
Параметр команды Описание
имя-набораОпределяет имя создаваемого (или изменяемого) набора преобразований
преобразование!Указывают до трех преобразований, определяющих протокол(ы) и алгоритм(ы) защиты
преобразование?IPSec. Требуется указать по крайней мере одно преобразование АН или ESP
преобразоваииеЗ
Можно указать до трех преобразований. По умолчанию для всех преобразований применяется туннельный режим. Можно указать не более одного преобразования АН и не более двух преобразований ESP. Если для создания ассоциаций защиты протокол IKE не применяется, должен использоваться один набор преобразований. Согласования такого набора преобразований не предполагается.
Программное обеспечение Cisco IOS поддерживает следующие преобразования IPSec.
Преобразования АН.
ah-md5-hmac — преобразование AH-HMAC-MD5
ah-sha-hmac — преобразование AH-HMAC-SHA
ah-rfcl828 — преобразование AH-MD5 (RFC 1828), используемое с более ранними реализациями IPSec
Замечание
АН редко используется вместе с ESP, поскольку аутентификация предлагается преобразованиями esp-sha-hmac и esp-md5-hmac. Кроме того, протокол АН несовместим со средствами NAT (Network Address Translation— трансляция сетевых адресов) и PAT (Port Address Translation— трансляция адресов портов), поскольку последние изменяют IP-адрес в заголовке пакета TCP/IP, нарушая данные аутентификации, созданные протоколом АН. Протокол АН можно использовать для аутентификации данных, но он не защищает содержимое, поскольку пакет не шифруется. АН используют вместе с ESP тогда, когда требуется максимальная защита данных.
Преобразования ESP.
esp-des — преобразование ESP, использующее шифр DES (56 бит)
esp-3des — преобразование ESP, использующее шифр 3DES(EDE) (168 бит)
esp-md5-hmac — преобразование ESP с аутентификацией HMAC-MD5; используется в комбинации с esp-des или esp-3des, чтобы обеспечить целостность пакетов ESP
esp-sha-hmac — преобразование ESP с аутентификацией HMAC-SHA; используется в комбинации с esp-des или esp-3des, чтобы обеспечить целостность пакетов ESP
esp-null — преобразование ESP, не предполагающее шифрование; используется в комбинации с esp-md5-hmac или esp-sha-hmac, если необходимо обеспечить аутентификацию ESP без шифрования
Внимание!
Не используйте параметр esp-null в сетевой среде реального предприятия, поскольку при этом потоки данных оказываются незащищенными. Этот параметр можно объединить с esp-sha-hmac или esp-md5-hmac в процессе отладки и при поиске неисправностей, чтобы анализатор пакетов мог прочитать данные пакета IPSec.
esp-rfcl829 — преобразование ESP-DES-CBC (RFC 1829), используемое с более ранними реализациями IPSec
Примеры наборов преобразований
В примерах 16.5—16.8 представлены варианты использования преобразований, обсуждавшихся выше.
Wri|№и шифрование ESP с по-
SBgK«PI|8^^режиме (по умолчанию)
crypto ipsec transform-set SECURE ah-md5-hmac esp-des
Пример 16.6. Аутентификация Е8Рж«омощью MD5 и шифрование ESP с помощью 3DES в туннельном режиме (по умолчанию)
юлюлаутентификация ESP с помощью 3DES в тун-аутентификация ESP с помощью 3DES в тун-crypto ipsec transform-set noAH esp-md5-hmac esp-des
юл
юл
аутентификация ESP с помощью 3DES в тун-
аутентификация ESP с помощью 3DES в тун-
Пример 16.7. Аутентификация АН с помо) с помощью SHA и шифрование
-нельном
crypto ipsec transform-set CPUeater ah-sha-hmac esp-sha-hmac esp-3des
Пример 16.8. Аутентификация АН с помощью SHA транспортный режим
crypto ipsec transform-set AUTH ah-sha-hmac
Анализатор команд Cisco IOS не позволит вам ввести неправильную комбинацию. Например, если указать преобразование АН, анализатор команд не позволит указать еще одно преобразование АН для того же набора преобразований.
Редактирование наборов преобразований
Если требуется изменить набор преобразований, необходимо выполнить следующие действия.
Удалить набор преобразований из криптографической карты.
Удалить набор преобразований из глобальной конфигурации.
Ввести параметры откорректированного набора преобразований.
Указать использование набора преобразований с помощью криптографической карты.
Очистить базу данных ассоциаций защиты.
Выполнить процедуру согласования ассоциаций защиты и проверить, что они функционируют должным образом.
Альтернативным вариантом является повторное введение параметров нового набора преобразований, как показано в примере 16.9.
разеваний
! Было следующее:
crypto ipsec transform-set RouterA esp-des
! Изменим на esp-MD5-hmac:
RouterAfconfig)I interface serial 0
RouterAfconfig-if )# no crypto map RouterA
RouterAf config-if)I exit
RouterAfconfig)I no crypto ipsec transform-set RouterA
RouterAfconfig)f crypto ipsec transform-set RouterA esp-MD5-hmac
RouterAfcfg-crypto-trans)t exit
RouterAfconfig)I interface serial 0
RouterAfconfig-if )t crypto map RouterA
RouterAfconfig-if)# exit
! Теперь имеем:
crypto ipsec transform-set RouterA esp-MD5-hmac
Согласование набора преобразований
Наборы преобразований согласуются в быстром режиме второй фазы IKE на основе определенных наборов преобразований. Можно выбрать множество наборов преобразований, а затем указать один из них (или сразу несколько) в записи криптографической карты. В рамках одной политики наборы преобразований должны размещаться от наиболее надежного к наименее надежному. Набор преобразований, определенный записью криптографической карты, используется при согласовании ассоциаций защиты IPSec для защиты потоков данных, определяемых списком доступа, связанным с этой записью.
В ходе согласования стороны пытаются найти набор преобразований, допустимый для обеих сторон, как показано на рис. 16.2. Если такой набор преобразований имеется, то он применяется для защиты потока данных в рамках ассоциаций защиты IPSec обеих сторон. Стороны IPSec договариваются об одном наборе преобразований для каждой ассоциации защиты (они являются односторонними).
transform-set secure esp-3destunneltransform-set idsecure esp-des, ah-sha-hmac tunneltransform-set vrysecure esp-edes, ah-sha-hmac, esp-sha-hmactunneltransform-set secure esp-3destunneltransform-set idsecure esp-des, ah-sha-hmac tunneltransform-set vrysecure esp-edes, ah-sha-hmac, esp-sha-hmactunneltransform-set 3d esp-3destunneltransform-set espah esp-des, ah-md5-hmac tunneltransform-set strong esp-3des, ah-sha-hmac, esp-sha-hmactunneltransform-set 3d esp-3destunneltransform-set espah esp-des, ah-md5-hmac tunneltransform-set strong esp-3des, ah-sha-hmac, esp-sha-hmactunnel
transform-set secure esp-3des
tunnel
transform-set idsecure esp-des, ah-sha-hmac tunnel
transform-set vrysecure esp-edes, ah-sha-hmac, esp-sha-hmac
tunnel
transform-set secure esp-3des
tunnel
transform-set idsecure esp-des, ah-sha-hmac tunnel
transform-set vrysecure esp-edes, ah-sha-hmac, esp-sha-hmac
tunnel
transform-set 3d esp-3des
tunnel
transform-set espah esp-des, ah-md5-hmac tunnel
transform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac
tunnel
transform-set 3d esp-3des
tunnel
transform-set espah esp-des, ah-md5-hmac tunnel
transform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac
tunnel
Маршрутизатор AМаршрутизатор AМаршрутизатор ВМаршрутизатор В
Маршрутизатор A
Маршрутизатор A
Маршрутизатор В
Маршрутизатор В
Рис. 16.2. Согласование набора преобразований двумя сторонами IPSec
Шаг 2. Установка глобальных пределов существования для ассоциаций защиты IPSec
Пределы существования ассоциаций защиты IPSec указывают, как долго ассоциации защиты IPSec остаются действительными, т.е. когда потребуется их переустановка. Программное обеспечение Cisco IOS поддерживает глобальное значение предела существования, применимого сразу ко всем криптографическим картам. Глобальное значение может быть изменено соответствующей записью криптографической карты. Пределы существования применимы только к ассоциациям защиты, создаваемым посредством IKE. Созданные вручную ассоциации защиты не прекращают своего существования автоматически. Перед тем как ассоциация защиты прекратит свое существование, проводятся переговоры о создании новой, чтобы обеспечить непрерывность потока данных.
Изменить глобальные значения пределов существования для ассоциаций защиты IPSec можно с помощью команды глобальной конфигурации crypto ipsec security-association lifetime. Чтобы восстановить значение предела существования, заданное по умолчанию, используйте команду с префиксом по. Указанная команда имеет следующий синтаксис:
crypto ipsec security-association lifetime
(seconds секунды | kilobytes килобайты}
Параметры команды описаны в следующей таблице.
Параметр команды Описание
seconds секундыУказывает время (в секундах), в течение которого ассоциация защиты будет действи
тельна. По умолчанию соответствующее значение равно 3600 секундам (одному часу)
kilobytes килобайты Указывает объем данных (в килобайтах), который можно передать по данной связи, до того как она станет недействительной. По умолчанию используется значение, равное 4608000 Кбайт
Специалисты Cisco советуют использовать значения, установленные по умолчанию. Значения для отдельных ассоциаций защиты IPSec можно указать с помощью криптографических карт, как будет описано ниже в подразделе “Шаг 4. Создание криптографических карт".
Шаг 3. Создание списков шифрованного доступа
Еще одним шагом настройки IPSec является настройка списков шифрованного доступа, которые используются для определения трафика IP, защищаемого (или не защищаемого) средствами IPSec. Списки шифрованного доступа в рамках IPSec выполняют следующие функции.
Выбор исходящего трафика, подлежащего защите средствами IPSec.
Обработка входящего трафика на предмет выявления трафика IPSec.
Выявление и фильтрация входящего трафика, подлежащего защите средствами IPSec.•
Удовлетворение запросов создания ассоциаций защиты IPSec в процессе согласования IKE.
При создании списков шифрованного доступа используются расширенные списки доступа IP. Списки шифрованного доступа выявляют данные, которым требуется за-
щита. Синтаксис списков шифрованного доступа ничем не отличается от синтаксиса расширенных списков доступа IP, но в списках шифрованного доступа ключевые слова интерпретируются иначе. Ключевое слово permit означает, что соответствующие пакеты должны шифроваться, a deny означает отказ от шифрования. Списки шифрованного доступа действуют подобно расширенным спискам доступа IP, применяемым к исходящему трафику интерфейса.
За более подробной информацией о расширенных списках доступа IP для трафика TCP и UDP (включая селекцию портов TCP и UDP) обратитесь к приложению В, “Настройка стандартных и расширенных списков доступа”. Здесь мы представляем описание ограниченной версии команды access-list:
access-list номер-списка-доступа {permit | deny} протокол источник групповой-адрес-источника получатель групповой-адрес-получателя [precedence приоритет] [tos гип-сервиса] [log]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
permit
Указывает необходимость шифрования трафика IP, удовлетворяющего соответствующим условиям, на основе политики шифрования, заданной соответствующей записью криптографической карты
deny
Заставляет маршрутизатор оставить трафик в открытом виде
ИСТОЧНИК
Указывает адреса сетей, подсетей и хостов
получатель
Указывает адреса сетей, подсетей и хостов
протокол
Указывает типы пакетов IP, подлежащие шифрованию
Внимание!
Незащищенный входящий трафик, идентифицированный в списке шифрованного доступа (с помощью записи криптографической карты) как трафик IPSec, но не имеющий соответствующей ассоциации защиты IPSec, будет отвергнут, поскольку предполагается, что такой трафик должен защищаться средствами IPSec.
Если одной части трафика необходимо обеспечить одну комбинацию средств защиты IPSec (например, только аутентификацию), а другой — иную (и аутентификацию, и шифрование), создайте два списка шифрованного доступа, чтобы определить два типа трафика. Эти списки доступа нужно использовать в разных записях криптографической карты, описывающих разные политики IPSec.
Внимание!
Специалисты Cisco советуют избегать употребления ключевого слова any для описания адресов источника или получателя. Настоятельно не рекомендуется использовать оператор permit any any, поскольку он означает необходимость защиты всего исходящего трафика (и защищенного трафика, направляемого стороне, указанной в соответствующей записи криптографической карты), а также всего входящего трафика. Все входящие пакеты, не защищенные средствами IPSec, при этом будут отвергнуты, включая пакеты протоколов маршрутизации, NTP (Network Time Protocol — синхронизирующий сетевой протокол), запросы отклика и ответы на них и т.д.
Определяя условия защиты пакетов в списке шифрованного доступа, будьте предельно внимательны. Если возникает необходимость применения оператора permit с ключевым словом any, разместите перед этим оператором набор операторов deny, чтобы отфильтровать трафик, который не должен защищаться шифрованием (иначе он попадет под действие оператора permit, о котором идет речь).
Настройка симметричных списков шифрованного доступа
Специалисты Cisco советуют создавать для IPSec симметричные (или “зеркальные”) списки шифрованного доступа. Как входящие, так и исходящие потоки данных оцениваются одним и тем же “исходящим” списком доступа IPSec. Критерии списка доступа применяются в “прямом” направлении к трафику, выходящему из маршрутизатора, и в “обратном” направлении к трафику, входящему в маршрутизатор. При получении шифрованных пакетов от удаленного партнера IPSec, для выявления пакетов, подлежащих дешифрованию, используется тот же список доступа, но адреса источника и получателя в списке доступа просматриваются в обратном порядке.
Пара списков шифрованного доступа, указанная в примере 16.10, поможет вам понять, почему рекомендуется использовать симметричные списки доступа.
router A (config)# access-list 151 permit tcp 192.168.1.0 0.0.0.255
192.168.2.0 0.0.0.255
routerB(config)# access-list 151 permit tcp 192.168.2.0 0.0.0.255
192.168.1.0 0.0.0.255
Обратитесь снова к сетевой диаграмме, показанной на рис. 16.1. Защита IPSec применяется на выходе интерфейса sO маршрутизатора А к трафику, направленному от хостов сети 192.168.1.0 узла 1 к хостам сети 192.168.2.0 узла 2. Соответствующая запись списка доступа в маршрутизаторе А интерпретируется следующим образом:
источник: хосты сети 192.168.1.0;
получатель: хосты сети 192.168.2.0.
Для входящего трафика, направленного от хостов сети 192.168.2.0 узла 2 к хостам сети 192.168.1.0 узла 1, тот же список доступа в маршрутизаторе А интерпретируется следующим образом:
источник: хосты сети 192.168.2.0;
получатель: хосты сети 192.168.1.0.
Шаг 4. Создание криптографических карт
При создании криптографических карт, с помощью средств IPSec можно установить ассоциации защиты для потоков данных, подлежащих шифрованию. В этом разделе рассматриваются цели создания криптографических карт, описывается команда crypto map и предлагаются примеры криптографических карт. Записи криптографических карт определяют параметры ассоциаций защиты IPSec, связывая следующие элементы конфигурации.
Трафик, который должен защищаться средствами IPSec (списком шифрованного доступа), и степень детализации трафика, защищаемого набором ассоциаций защиты.
Пункт назначения, куда направляется трафик IPSec (описание удаленной стороны IPSec ).
Локальный адрес, который должен использоваться для трафика IPSec.
Тип защиты IPSec, применяемый к указанному трафику (наборы преобразований).
Способ создания ассоциаций защиты: создание вручную или посредством IKE.
Другие параметры, которые могут понадобиться при создании ассоциаций защиты IPSec.
Параметры криптографических карт
К одному интерфейсу можно применить только одну криптографическую карту, которая может включать комбинацию средств СЕТ и IPSec с ассоциациями защиты, созданными с помощью IKE или вручную. Одну и ту же криптографическую карту могут использовать несколько интерфейсов, если соответствующая политика защиты приемлема для нескольких интерфейсов сразу. Подробная информация о применении средств СЕТ предлагается в главе 14, “Применение шифрования Cisco”.
Для одного интерфейса может понадобиться несколько криптографических карт. Но интерфейс можно связать только с одним именем криптографической карты. Поэтому в рамках одной криптографической карты создают несколько криптографических записей, указывая для каждой записи порядковый номер, чтобы тем самым сгруппировать соответствующие операторы. Номер записи определяет ее приоритет — чем ниже значение порядкового номера, тем выше приоритет. В рамках интерфейса, с которым связана криптографическая карта, трафик сначала оценивается записями с высшим приоритетом. При этом разумно начать нумерацию записей криптографической карты с достаточно большого значения (например, 100), чтобы оставить достаточно вариантов нумерации для записей с более высоким приоритетом, которые будут добавлены в будущем. Необходимость создания нескольких записей криптографической карты для одного интерфейса возникает в следующих ситуациях.
Имеются потоки данных, которые должны обрабатываться разными сторонами IPSec.
Необходимо обеспечить несколько уровней зашиты IPSec в зависимости от типа трафика, направленного одной стороне или разным сторонам IPSec (например, трафик одних подсетей необходимо аутентифицировать, а трафик других — и аутентифицировать, и шифровать). В этом случае каждый тип трафика определяется отдельным списком доступа, а в криптографической карте для каждого из списков доступа создается отдельная запись.
Необходимо использовать средства IPSec с ассоциациями защиты, установленными вручную (а не с помощью IKE), и связать их с условиями коллективного доступа. В этом случае создаются отдельные списки доступа (по одному для каждого разрешения) и для каждого из этих списков доступа указывается отдельная запись криптографической карты.
Стратегия резервирования
В криптографической карте можно указать несколько удаленных сторон с целью применения стратегий резервирования. Если в процессе IKE одна из сторон не отвечает, ей найдется альтернатива. С какой из сторон при этом свяжется маршрутизатор в процессе обмена IKE — зависит от информации, уже полученной маршрутизатором
для соответствующего потока данных. Если попытка оказывается неудачной для одной стороны, IKE пытается связаться со следующей, в соответствии со списком криптографической карты.
Динамические криптографические карты позволяют не описывать все параметры IPSec. Например, динамические криптографические карты можно использовать тогда, когда в компании имеется множество удаленных компьютеров, поддерживающих программное обеспечение клиента IPSec с разными политиками защиты. Такие криптографические карты удобны и тогда, когда туннели IPSec инициируются удаленной стороной (например, при размещении маршрутизатора IPSec перед сервером). Но динамические криптографические карты неприменимы, когда установка туннелей IPSec инициируется локально, поскольку они являются лишь шаблонами политики защиты, а не ее завершенными вариантами. Динамические криптографические карты подробно будут обсуждаться в главе 18, “Масштабирование сетей IPSec”.
Настройка криптографических карт
Команда глобальной конфигурации crypto map используется для создания или изменения записей криптографических карт и для перехода в режим конфигурации криптографической карты. Записи криптографической карты, ссылающиеся на динамические карты, должны быть записями с самым низким приоритетом (т.е. соответствующие номера записей должны иметь наивысшие значения). Чтобы удалить запись или набор записей криптографический карты, используйте указанную команду с префиксом по. Команда имеет следующий синтаксис:
crypto map имя-карты порядк-номер cisco
crypto map нмя-карты порядк-номер ipsec-manual
crypto map имя-карты порядк-номер ipsec-isakmp [dynamic имя-динамич-карты] no crypto map нмя-карты [порядк-номер]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
cisco
(Значение, принятое по умолчанию.) Указывает, что для защиты трафика, определяемого новой записью криптографической карты, будет использоваться СЕТ, а не IPSec
нмя-карты
Имя криптографической карты
порядк-номер
Номер, присваиваемый записи криптографической карты
ipsec-manual
Запрет использования IKE при создании ассоциаций защиты IPSec для трафика, определяемого новой записью криптографической карты
ipsec-isakmp
Требование использовать IKE при создании ассоциаций защиты IPSec для трафика, определяемого новой записью криптографической карты
dynamic
(необязательный) Означает, что данная запись ссылается на уже существующую динамическую криптографическую карту. При использовании этого ключевого слова команды режима конфигурации криптографической карты недоступны
имя-динамич-карты
(необязательный) Имя набора записей динамической криптографической карты, используемого в качестве шаблона политики защиты
При вводе команды crypto map открывается режим конфигурации криптографической карты (характеризующийся приглашением router(config-crypto-map)l), в котором будут доступны следующие команды.
match address [id-списка-доступа | ими]
set peer [имя-хоста | гр-адрес]
set pfs [groupl | group2]
set security-association level per-host
set security-association lifetime {seconds секунды | kilobytes килобайты}
set transform-set имя-иабора [нмя-набора2.. .имя-набораб]
set session-key {inbound | outbound} ah | esp exit
Синтаксис команд, доступных в режиме конфигурации криптографической карты, описан в следующей таблице.
Параметр
Описание
id-списка-доступа | имя
Идентифицирует (с помощью номера или имени) расширенный список доступа, используемый криптографической картой. Значение должно соответствовать номеру или имени ранее определенного расширенного списка доступа IP
имя-хоста | ip-адрес
Идентифицирует IPSec-партнера с помощью IP-адреса или имени хоста. Можно указать несколько адресов для реализации стратегии резервирования
groupl | group2
(необязательный) Определяет использование 768-битовой (groupl) или 1024-битовой (group2) группы Диффи-Хеллмана для нового обмена в рамках IPSec. По умолчанию используется groupl
set security-association level per-host
Означает необходимость запроса отдельных ассоциаций защиты IPSec для каждой пары адресов источника/получателя в списке шифрованного доступа
seconds секунды
Задает предел времени существования ассоциации защиты, по истечении которого связь становится недействительной
kilobytes килобайты
Задает предельный объем (в килобайтах) для передаваемых сторонами IPSec данных, в результате превышения которого ассоциация защиты становится недействительной
имя-иабора [имя-
набора2...имя-набораб}
Список наборов преобразований в порядке возрастания приоритета. Для записей ipsec-isakmp и dynamic можно указать до шести наборов преобразований. В процессе согласования наборы преобразований рассматриваются в порядке приоритета — от низшего значения к высшему, поэтому набору преобразований, обеспечивающему наиболее надежную защиту (например, esp-3des), следует присвоить наименьшее значение
set session-key {inbound | outbound} ah
I esp
Установка параметров ассоциации защиты вручную, включая установку вручную паролей для преобразований АН и ESP. Указывает, для каких ассоциаций защиты вводятся значения - для входящих (inbound) или исходящих (outbound)
exit
Выход из режима конфигурации криптографической карты
Определив записи криптографической карты, их можно связать с интерфейсами, используя для этого команду crypto map (в режиме конфигурации интерфейса).
Пример криптографической карты
В примере 16.11 показана конфигурация криптографической карты, в которой указаны два адресата, чтобы обеспечить избыточность. Если с одной из сторон наладить связь не удается, используется вторая сторона. Для числа сторон, указываемых в резервных целях, ограничений не предусмотрено.
Замечание
Списки доступа для записей криптографической карты с пометкой ipsec-manual могут использовать только один оператор pennit. Последующие записи будут игнорироваться. Каждый такой оператор предназначен для поддержки одного потока данных. Чтобы обеспечить поддержку множества созданных вручную ассоциаций защиты для различных видов трафика, определите несколько списков шифрованного доступа и свяжите каждый из них с отдельной записью ipsec-manual криптографической карты. Каждый такой список должен содержать только один оператор permit, определяющий защищаемый трафик. Настройка IPSec вручную описана в руководстве Security Configuration Guide.
RouterA(config)# crypto map mymap 10 ipsec-isakmp RouterA(config-crypto-map)# match address 151 routerA(config-crypto-map)# set peer 172.16.2.1 routerA(config-crypto-map)# set peer 172.16.3.1 routerA(config-crypto-map)# set pfs groupl routerA(config-crypto-map)# set transform-set mytransform routerA(config-crypto-map)# set security-association lifetime 2700 routerA(config-crypto-map)I exit
Установка ключей вручную
Ассоциации защиты IPSec можно создать вручную и не использовать для этого IKE. Специалисты Cisco советуют применять IKE, поскольку трудно обеспечить совпадение для всех значений ассоциаций зашиты между сторонами. Кроме того, алгоритм Диффи-Хеллмана является значительно более надежным методом выбора общих секретных ключей. Но если требуется, можно использовать команду set securityassociation в режиме конфигурации криптографической карты, чтобы вручную описать сеансовые ключи IPSec для конкретной записи криптографической карты.
Ассоциации защиты, создаваемые с помощью этой команды, не ограничены во времени (в отличие от ассоциаций защиты, создаваемых с помощью IKE). Сеансовые ключи сторон должны при этом совпадать. Если вы измените сеансовый ключ, ассоциация защиты, использующая этот ключ, будет удалена и инициализирована вновь.
Шаг 5. Применение криптографических карт к интерфейсам
Последним шагом настройки IPSec является применение набора записей криптографической карты к интерфейсу с помощью команды crypto map в режиме конфигурации интерфейса. Используйте данную команду с префиксом по, чтобы удалить криптографическую карту с интерфейса. Указанная команда имеет следующий синтаксис:
crypto map нмя-карты
Параметр команды имеет следующее значение.
Параметр команды Описание
нмя-картыИдентифицирует набор записей криптографической карты. Это имя, присваиваемое
при создании криптографической карты
Как только вы примените криптографическую карту, в базе данных ассоциаций защиты в памяти системы будут установлены параметры ассоциации защиты. Проверить установленные ассоциации защиты можно с помощью команды show crypto ipsec sa. С одним интерфейсом можно связать только один набор записей криптографической карты. Записи криптографической карты, имеющие одно и то же имя, но разные порядковые номера, считаются частью одного набора и применяются к интерфейсу одновременно. Запись криптографической карты с наименьшим значением порядкового номера имеет высший приоритет и оценивается первой.
В примере 16.12 показан вариант применения криптографической карты в маршрутизаторе А.
: Пример 16.12. Применение криптографической карты в маршрутизаторе А
RouterAfconfig)# interface serial О
RouterA(config-if)# crypto map RouterAmap
RouterA(config-if)# exit
RouterA(config)#
Пример конфигурации IPSec
Рассмотрим следующие примеры конфигурации для маршрутизаторов А (пример 16.13) и В (пример 16.14). Примеры были отредактированы, чтобы показать только команды, связанные с обсуждавшимися в главе вопросами.
мер 16.13. Вариант конфигурации для маршрутизатора А
RouterA# show running-config crypto isakmp policy 100 hash md5 authentication pre-share
crypto isakmp key WhatLighT address 172.16.2.1 ।
crypto ipsec transform-set RouterAset esp-des esp-md5-hmac !
i
crypto map RouterAmap 100 ipsec-isakmp set peer 172.16.2.1
set transform-set RouterAset match address 151
i
interface SerialO
ip address 172.16.1.1 255.255.255.0
ip access-group 101 in crypto map RouterAmap i
access-list101permitahphost172.16.2.1host172.16.1.1
access-list101permitesphost172.16.2.1host172.16.1.1
access-list101permitudphost172.16.2.1host172.16.1.1eqisakmp
access-list151permitip192.168.1.0 0.0.0.255192.168.2.00.0.0.255
access-list 151 deny ip any any
RouterB# show running-config
crypto isakmp policy 100 hash md5
authentication pre-share
crypto isakmp key WhatLighT address 172.16.1.1 ।
crypto ipsec transform-set RouterBset esp-des esp-md5-hmac ।
i
crypto map RouterBmap 100 ipsec-isakmp
set peer 172.16.1.1
set transform-set RouterBset match address 151
i
interface SerialO
ip address 172.16.2.1 255.255.255.0
ip access-group 101 in crypto map RouterBmap
access-list
101
permit ahp host 172.16.1.1
host
172.16.2.1
access-list
101
permit esp host 172.16.1.1
host
172.16.2.1
access-list
101
permit udp host 172.16.1.1
host
172.16.2.1 eq isakmp
access-list
151
permit ip 192.168.2.0 0.0.1
0.255
192.168.1.0 0.0.0.255
access-list
151
deny ip any any
Задача 4. Тестирование и контроль IPSec
Завершающей задачей процесса настройки IPSec для работы с общими ключами является проверка текущих установок и функциональных возможностей IPSec. Программное обеспечение Cisco IOS предлагает ряд команд show, clear и debug, с помощью которых можно проконтролировать работу IKE и IPSec. Их использование обсуждается в следующих разделах.
Команды IKE
Команды, описанные в следующих разделах, можно использовать для проверки конфигурации и действия IKE.
Команда show crypto isakmp policy
Команду show crypto isakmp policy режима EXEC (режим интерактивного командного процессора Cisco IOS) можно использовать для того, чтобы выяснить параметры политики IKE, как показано в примере 16.15.
RouterA# show crypto isakmp policy
Protection suite of priority 100
encryption algorithm:
DES—Data Encryption Standard (56 bit keys).
hash algorithm:
Message Digest 5
authentication method:
Rivest-Shamir-Adleman Encryption
Diffie-Hellman group:
#1 (768 bit)
lifetime:
86400 seconds, no volume limit
Default protection suite encryption algorithm:
DES—Data Encryption Standard (56 bit keys).
hash algorithm:
Secure Hash Standard
authentication method:
Rivest-Shamir-Adleman Signature
Diffie-Hellman group:
#1 (768 bit)
lifetime:
86400 seconds, no volume limit
Команда show crypto isakmp sa
Команду show crypto isakmp sa режима EXEC можно использовать для того, чтобы увидеть параметры всех текущих ассоциаций защиты IKE, как показано в примере 16.16.
Пример 16.16. Все установленные ассоциации защиты для
RouterA# show crypto isakmp sa dstsrcstateconn-idslot
172.16.1.1172.16.2.1 QM_IDLE930
Команда clear crypto isakmp
Команду clear crypto isakmp глобальной конфигурации можно применять для очистки активных соединений IKE. Эта команда имеет следующий синтаксис:
clear crypto isakmp [id-соедниеиня]
Параметр команды описан в следующей таблице.
Параметр команды Описание
id-соедииеиня (необязательный) Идентифицирует соединение, которое требуется очистить. Если значение параметра не указано, будут очищены все существующие соединения
Если параметр id-соедниеиня в данной команде не указан, будут очищены все существующие соединения IKE. Команды в примере 16.17 иллюстрируют применение команды очистки соединений IKE между маршрутизаторами А и В.
Пример16.1/ГРезулвтат рнистои средийениОС^^ Ж
RouterA# show crypto isakmp sa dstsrcstate conn-id slot
172.16.1.1172.16.2.1 QM_IDLE930
RouterA# clear crypto isakmp 93
2w4d: ISADB: reaper checking SA,
RouterA# dst
show crypto isakmp sa srcstateconn-id slot
Команда debug crypto isakmp
Команда debug crypto isakmp режима EXEC используется для отображения сообщений о событиях IKE. Использование этой команды с префиксом по отключает вывод отладочных данных. Синтаксис команды следующий:
debug crypto isakmp
Команды IPSec
Команды, описываемые в следующих разделах, можно применять для проверки параметров конфигурации и контроля действия IPSec.
Команда show crypto ipsec transform-set
Командой show crypto ipsec transform-set режима EXEC можно воспользоваться для проверки размещенных наборов преобразований. Указанная команда имеет следующий синтаксис:
show crypto ipsec transform-set [tag нмя-набора^
Параметр команды описан в следующей таблице.
Параметр команды
Описание
tag имя-иабора
(необязательный) Показывает только набор преобразований, имеющий указанное имя
Если ключевое слово tag не используется, будут показаны все множества преобразований, размещенные в маршрутизаторе.
Команда show crypto map
Команду show crypto map режима EXEC применяют для просмотра конфигурации криптографической карты. Если эту команду использовать без дополнительных ключевых слов, будут показаны все криптографические карты, размещенные в маршрутизаторе. Синтаксис указанной команды следующий: show crypto map [interface интерфейс | tag имя-карты^
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
interface интерфейс
(необязательный) Отображает только набор записей криптографический карты, применяемый к указанному интерфейсу
tag имя-карты
(необязательный) Отображает только набор записей криптографический карты с указанным именем
Команда show crypto ipsec security-association lifetime
С помощью команды show crypto ipsec security-association lifetime режима EXEC можно выяснить значения пределов существования ассоциаций защиты для конкретной записи криптографической карты. Эта команда не имеет параметров или дополнительных ключевых слов.
Команда show crypto ipsec sa
Команда show crypto ipsec sa режима EXEC применяется для просмотра установок, используемых текущими ассоциациями защиты. Если команда вводится без до-
полнительных ключевых слов, отображается информация обо всех ассоциациях защиты. Синтаксис указанной команды следующий:
show crypto ipsec sa [map имя-карты | address | identity] [detail]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
шар нмя-карты
(необязательный) Показывает все существующие ассоциации защиты, созданные для данной криптографической карты
address
(необязательный) Показывает все существующие ассоциации защиты, упорядоченные сначала по адресу получателя, а затем по протоколу (АН или ESP)
identity
(необязательный) Показывает только информацию о потоке. Не отображает информацию об ассоциации защиты
detail
(необязательный) Отображает подробную информацию счетчиков ошибок. По умолчанию отображается информация счетчиков ошибок отправки/приема высшего уровня
Команда debug crypto ipsec
Команда debug crypto ipsec режима EXEC предназначена для вывода информации о событиях IPSec. При использовании этой команды с префиксом по вывод отладочных данных отключается.
Команда clear crypto sa
Команда clear crypto sa глобальной конфигурации используется для того, чтобы очистить ассоциации защиты IPSec. Синтаксис указанной команды следующий: clear crypto ва peer {ip-адрес | имя-стороны^ clear crypto sa map нмя-карты clear crypto sa entry адрес-получателя протокол spi clear crypto sa counters
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
ip-адрес
IP-адрес удаленной стороны
нмя-стороны
Имя удаленной стороны (точное доменное имя — например, remotepeer.domain.com)
нмя-карты
Имя набора криптографических карт
адрес-получателя
IP-адрес вашей или удаленной стороны
протокол
Указывает либо протокол АН, либо ESP
spi
Определяет индекс параметров защиты (SPI), значение которого можно проверить с помощью команды show crypto ipsec sa
Если ключевые слова peer, map, entry и counters не использовать, то будут удалены все ассоциации защиты IPSec.
Если ассоциации защиты были созданы с помощью IKE, они удаляются, и создание новых ассоциаций защиты для дальнейшего трафика IPSec потребует новых переговоров о согласовании параметров (при использовании IKE ассоциации защиты IPSec создаются только тогда, когда это необходимо.)
Если ассоциации защиты установлены вручную, то они удаляются и устанавливаются снова (если IKE не используется, ассоциации защиты IPSec создаются сразу же по завершении процесса изменения конфигурации.)
Сообщения системы об ошибках
Программное обеспечение Cisco IOS может генерировать множество полезных сообщений, связанных с диагностикой ошибок IKE. Два типа таких сообщений будут описаны ниже.
Ошибка аутентификации ассоциации защиты IKE
Сообщение, показанное в примере 16.18, указывает на то, что процесс IKE не может быть продолжен из-за ошибки аутентификации ассоциации защиты IKE.
Пример 16.18. Сообщение системы об ошибке IKE - • -, i
%CRYPTO-6-IKMP_SA_NOT_AUTH: Cannot accept Quick Mode exchange from %15i if SA is not authenticated!
Это сообщение говорит о том, что ассоциация защиты IKE с удаленной стороной не была аутентифицирована, но сторона пытается перейти в быстрый режим обмена. Соответствующий обмен может выполняться только для аутентифицированной ассоциации защиты. В этом случае рекомендуется связаться с администратором удаленной стороны, чтобы исправить ошибки конфигурации.
Несоответствие параметров политики IKE
В примере 16.19 представлено еще одно сообщение системы об ошибке IKE.
[ Пример 16.19. Сообщение системы об ошибке 1КЕ>с i
%CRYPTO-6-IKMP_SA_NOT_OFFERED: Remote peer %15i responded with attribute
[символы] not offered or changed
Стороны IKE ведут переговоры о политике на основе предложенного инициатором списка допустимых альтернативных наборов параметров защиты. Это сообщение свидетельствует о том, что отвечающая сторона в своем ответе предложила политику IKE, которую инициатор не предлагал. В этом случае рекомендуется связаться с администратором удаленной стороны, чтобы исправить ошибки конфигурации.
Пример отладки
В примере 16.20 показаны сообщения отладки IKE и IPSec при нормальном течении процесса установки IPSec (обратите внимание на комментарии в тексте примера).
| Пример 16.20. Сообщения отладки IKE и IPSec при нормальном течении ■
■ ^-—-,процесса установки IPSec-""j
RouterAt debug crypto ipsec Crypto IPSEC debugging is on RouterAt debug crypto isakmp Crypto ISAKMP debugging is on RouterAt
*Feb 29 08:08:06.556 PST: IPSEC(sa_request): , (key eng. msg.) src= 172.16.1.1, dest= 172.16.2.1, src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), dest_proxy= 192.168.2.0/255.255.255.0/0/0 (type=4), protocol» ESP, transform» esp-des esp-md5-hmac , lifedur» 3600s and 4608000kb, spi= 0x0(0), conn_id= 0, keysize» 0, flags» 0x4004
I Соответствующий трафик от узла1 к узлу 2 активизирует основной режимISAKMP.
*Feb 2908:08:06.556PST:ISAKMP(4):beginning Main Mode exchange
*Feb 2908:08:06.828PST:ISAKMP(4):processing SA payload, messageID=0
*Feb 2908:08:06.828PST:ISAKMP(4):Checking ISAKMP transform 1
against priority 100 policy
*Feb 2908:08:06.828PST:ISAKMP:encryption DES-CBC
*Feb 2908:08:06.828PST:ISAKMP:hash MDS
*Feb 2908:08:06.828PST:ISAKMP:default group 1
*Feb 2908:08:06.832PST:ISAKMP:auth pre-share
*Feb 29 08:08:06.832 PST: ISAKMP (4): atts are acceptable. Next payload is 0
/ Стороны IPSec нашли подходящую политику ISAKMP
*Feb 29 08:08:06.964 PST: ISAKMP (4): SA is doing pre-shared key authentication
I Согласованы ключи аутентификации
*Feb 29 08:08:07.368 PST: ISAKMP (4): processing KE payload, message ID = 0
*Feb 29 08:08:07.540 PST: ISAKMP (4): processing NONCE payload, message ID = 0
*Feb 2908:08:07.540PST:ISAKMP(4):SKEYID state generated
*Feb 2908:08:07.540PST:ISAKMP(4):processing vendor id payload
*Feb 2908:08:07.544PST:ISAKMP(4):speaking to another IOS box
*Feb 2908:08:07.676PST:ISAKMP(4):processing ID payload, messageID=0
*Feb 2908:08:07.676PST:ISAKMP(4):processing HASH payload, messageID= 0
*Feb 29 08:08:07.680 PST: ISAKMP (4): SA has been authenticated with 172.16.2.1
/ Основной режим завершен.
! Стороны аутентифицированы, и секретные ключи сгенерированы.
! Переходим к быстрому режиму.
*Feb 29 08:08:07.680 PST: ISAKMP (4): beginning Quick Mode exchange, M-ID of 1079597279
*Feb 29 08:08:07.680 PST: IPSEC(key_engine): got a queue event...
*Feb 29 08:08:07.680 PST: IPSEC(spi_response): getting spi 3658276911d for SA
from 72.16.2.1 to 172.16.1.1 for prot 3
*Feb 29 08:08:08.424 PST: ISAKMP (4): processing SA payload.
message ID = -1079597279
*Feb 2908:08:08.424PST:ISAKMP (4): CheckingIPSec proposal1
*Feb 2908:08:08.424PST:ISAKMP: transform 1,ESP_DES
*Feb 2908:08:08.424PST:ISAKMP: attributesin transform:
*Feb 29 08:08:08.424 PST: ISAKMP:encaps is 1
*Feb 2908:08:08.424PST:ISAKMP:SAlifetype in seconds
*Feb 2908:08:08.424PST:ISAKMP:SAlifeduration (basic) of 3600
*Feb 2908:08:08.428PST:ISAKMP:SAlifetype in kilobytes
*Feb 2908:08:08.428PST:ISAKMP:SAlifeduration (VPI) of
0x0 0x46 0x50 0x0
*Feb 29 08:08:08.428 PST: ISAKMP:authenticator is HMAC-MD5
*Feb 29 08:08:08.428 PST: ISAKMP (4): atts are acceptable.
*Feb 29 08:08:08.428 PST IPSEC(validate_proposal_request): proposal part #1, (key eng. msg.) dest= 172.16.2.1, src= 172.16.1.1, dest_proxy= 192.168.2.0/255.255.255.0/0/0 (type=4), src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), protocol3 ESP, transform3 esp-des esp-md5-hmac , lifedur3 0s and Okb, spi= 0x0(0), conn_id= 0, keysize3 0, flags3 0x4
*Feb 29 08:08:08.432 PST: ISAKMP (4): processing NONCE payload.
message ID = -10 79597279
*Feb 29 08:08:08.432 PST: ISAKMP (4): processing ID payload.
message ID = -1079597279
*Feb 29 08:08:08.432 PST: ISAKMP (4): processing ID payload.
message ID 3 -1079597279
/ Подходящая политика IPSec согласована и аутентифицирована.
! Устанавливаются следующие ассоциации защиты.
*Feb 29 08:08:08.436 PST ISAKMP (4): Creating IPSec SAs
*Feb 29 08:08:08.436 PST:inbound SA from 172.16.2.1 to 172.16.1.1
(proxy 192.168.2.0to 192.168.2.0)
*Feb 2908:08:08.436PST:has spi 365827691 and conn_id5andflags4
*Feb 2908:08:08.436PST:lifetime of 3600 seconds
*Feb 2908:08:08.440PST:lifetime of 4608000 kilobytes
*Feb 2908:08:08.440PST:outbound SA from 172.16.1.1to172.16.2.1
(proxy 92.168.1.0to 192.168.1.0)
*Feb 2908:08:08.440PST:has spi 470158437 and conn_id6andflags4
*Feb 2908:08:08.440PST:lifetime of 3600 seconds
*Feb 2908:08:08.440PST:lifetime of 4608000 kilobytes
*Feb 29 08:08:08.440 PST: IPSEC(key_engine): got a queue event...
*Feb 29 08:08:08.440 PST: IPSEC(initialize_sas): , (key eng. msg.) dest= 172.16.1.1, src= 172.16.2.1, dest_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), src_proxy= 192.168.2.0/255.255.255.0/0/0 (type=4), protocol3 ESP, transform3 esp-des esp-md5-hmac , lifedur3 3600s and 4608000kb, spi= 0xl5CE166B(365827691), conn_id= 5, keysize3 0, flags3 0x4
*Feb 29 08:08:08.444 PST: IPSEC(initialize_sas): , (key eng. msg.) src= 172.16.1.1, dest= 172.16.2.1, src_proxy= 192.168.1.0/255.255.255.0/0/0 (type=4), dest_proxy= 192.168.2.0/255.255.255.0/0/0 (type=4), protocol3 ESP, transform3 esp-des esp-md5-hmac , lifedur3 3600s and 4608000kb, spi= 0xlC060C65(470158437), conn_id= 6, keysize3 0, flags3 0x4
*Feb 29 08:08:08.444 PST: IPSEC(create_sa): sa created,
(sa) sa dest= 172.16.1.1, sa_prot= 50, sa_spi= 0xl5CE166B(365827691), sa trans= esp-des esp-md5-hmac , sa conn id= 5
*Feb 29 08:08:08.444 PST: IPSEC(create_sa): sa created, (sa) sa_dest= 172.16.2.1, sa_prot= 50,
sa_spi= 0xlC060C65(470158437), sa_trans= esp-des esp-md5-hmac , sa conn_id= 6
/ Ассоциации защиты IPSec установлены и можно начинать защищенный обмен данными. RouterA#
Настройка IPSec для работы с шифрованными оказиями
Шифрованные по методу RSA оказии обеспечивают надежный метод аутентификации сторон IPSec и соответствующих сообщений в процессе обмена ключами Диффи-Хеллмана. Оказия представляет собой псевдослучайное целое число, значение которого шифруется с помощью алгоритма RSA. Это шифрованное значение используется для аутентификации сторон IPSec подобно заранее согласованным ключом.
Недостаток этого метода аутентификации заключается в том, что шифрованные оказии допускают возможность отречения — получатель сообщения не сможет доказать, что отправителем сообщения является сторона, указанная в сообщении в качестве источника. (Невозможность отречения обеспечивают подписи RSA.) Еще один недостатком является сложность настройки системы для работы с шифрованными оказиями.
Для использования шифрованных с помощью RSA оказий требуется, чтобы стороны имели открытые ключи RSA партнеров, но центр сертификации использовать для этого не требуется. У сторон есть две возможности получить открытые ключи партнеров, участвующих в обмене данными:
ввести значения ключей RSA вручную (в конфигурацию соответствующих устройств);
использовать подписи RSA, которые применялись ранее в процессе успешно проведенного обмена IKE с удаленной стороной.
В этом разделе подчеркиваются различия между процессами настройки шифрования RSA и использования согласованных ключей. Более подробную информацию вы найдете в документации Cisco IOS, ссылки на которую имеются в конце этой главы.
Процесс настройки IPSec для использования шифрования RSA очень напоминает процесс настройки IPSec для работы с согласованными ключами, за исключением нескольких важных моментов. Задачи, которые при этом необходимо решить, можно сформулировать следующим образом.
Задача 1. Подготовка к использованию IPSec, предполагающая определение политики шифрования RSA и выбор метода распределения открытых ключей RSA
Задача 2. Размещение значений ключей RSA вручную.
Задача 3. Настройка параметров IKE, соответствующих применению шифрования RSA в качестве метода аутентификации в рамках политики IKE.
Задача 4. Настройка конфигурации IPSec, выполняемая аналогично настройке IPSec для работы с согласованными ключами.
Задача 5. Тестирование и контроль IPSec, а также выполнение дополнительных команд управления открытыми ключами RSA
Задача 1. Подготовка к использованию IPSec
Непосредственно подготовка к применению шифрования RSA заключается в следующем.
Выбор методов распределения ключей в зависимости от числа и размещения сторон IPSec. Критерием выбора шифрования RSA является небольшое число сторон IPSec и возможность внесетевого распределения открытых ключей RSA.
Выбор метода аутентификации. Применение шифрования RSA для более надежной аутентификации по сравнению с методом использования заранее согласованных общих ключей.
Определение политик IKE для сообщающихся сторон. Определение элементов политики для каждой из сторон, в частности выяснение точных имен доменов и хостов (при шифровании RSA используется идентификация IKE по имени хоста).
Выяснение IP-адресов маршрутизаторов и имен хостов сторон IPSec. Необходимо выяснить параметры всех сторон IPSec, которые будут использовать IKE для создания ассоциаций защиты, точно так же как это требовалось при использовании согласованных ключей.
Проверка правильности значений открытых ключей RSA в текущей конфигурации маршрутизаторов сообщающихся сторон.
Задача 2. Настройка шифрования RSA
Данную задачу можно разделить на ряд шагов, отличающихся от тех, которые выполнялись при использовании заранее согласованных общих ключей. Настройка ключей RSA предполагает выполнение следующих действий.
Шаг 1. Составление плана настройки шифрования RSA с целью уменьшения вероятности ошибок.
Шаг 2. Внесение в конфигурацию маршрутизатора имен хоста и домена (если они еще не были указаны).
Шаг 3. Генерирование ключей RSA.
Щаг 4. Ввод значений открытых ключей RSA. Этот шаг состоит из нескольких более мелких шагов. Здесь нужно быть предельно внимательным — ошибки при вводе ключей ведут к тому, что ключи работать не будут.
Шаг 5. Управление ключами RSA. Удаление старых ключей является частью процесса настройки. Старые ключи могут занимать много места.
Шаг1. План использования ключей RSA
До того как начать ввод конкретных команд, необходимо составить план размещения ключей шифрования RSA. Этот шаг планирования поможет свести число ошибок конфигурации к минимуму. Действия при этом должны быть следующими.
Идентификация сторон, которые будут использовать шифрование RSA Выяснение параметров всех сторон IPSec, предполагающих использование шифрованных оказий. Обычно это маршрутизаторы Cisco с программным обеспечением Cisco IOS.
Выбор типа ключей RSA. Принятие решения о том, какие ключи RSA использовать: общие или специальные.
Определение длины модуля для ключей RSA. Выбор длины модуля из диапазона от 360 до 2048 бит. При генерировании модуля свыше 512 бит может понадобиться несколько минут. Чем больше длина модуля, тем надежнее соответствующий ключ RSA.
Получение открытых ключей RSA удаленных сторон. Необходимо получить строки открытых ключей RSA всех сторон. Строка ключа представляет собой большое шестнадцатеричное число. Стороны должны обменяться соответствующими значениями каким-то защищенным способом.
Шаг 2. Указание имен хоста и домена маршрутизатора
Необходимо указать имена хоста и домена, соответствующие маршрутизатору, поскольку шифрование RSA использует их наряду со значением оказии для идентификации объекта IKE. Ниже описаны команды, которые необходимо при этом использовать (более подробные описания команд вы найдете в руководствах Security Configuration Guide и Security Command Reference).
Укажите имя хоста для маршрутизатора с помощью команды hostname имя. Имя хоста используется при генерировании ключей RSA и идентификации объекта IKE.
Введите команду ip domain-name имя, чтобы описать имя домена по умолчанию, используемое для завершения свободных имен хостов. Не включайте в него точку, отделяющую свободное имя (имя узла) от имени домена. Чтобы отключить использование DNS, используйте эту команду с префиксом по.
Определите статическое отображение имен хостов в адреса с помощью команды ip host name address, если сервер имен доменов будет не способен определить имена доменов. Чтобы удалить отображение имен в адреса, используйте эту команду с префиксом по.
ШагЗ. Генерирование ключей RSA
Вручную настройте параметры ключей RSA, а затем проверьте сгенерированные ключи, выполнив следующие действия.
Создайте ключи RSA с помощью команды crypto key generate rsa [usage-keys]. Необязательное ключевое слово usage-keys заставляет систему сгенерировать две пары специальных ключей RSA (одну пару для шифрования, а другую — для подписи) вместо одной пары универсальных ключей.
Проверьте значение созданного открытого ключа RSA с помощью команды show crypto key mypubkey rsa привилегированного режима EXEC.
Пар ключей RSA по умолчанию не существует. Ключи RSA генерируются парами — один открытый и один личный. Если маршрутизатор уже имеет ключи RSA, то при вводе команды crypto key generate rsa появляется предупреждение и предложение о замене существующих ключей новыми. Соответствующая команда не сохраняется в конфигурации маршрутизатора, но созданные с помощью этой команды ключи сохранятся в секретной части памяти NVRAM (содержимое которой нельзя увидеть или скопировать в память другого устройства).
Ключи специального назначения
При генерировании ключей специального назначения будут созданы две пары ключей RSA. Одна пара используется политиками IKE, определяющими аутентифи-
кацию с помощью подписей RSA, а другая — политиками IKE, определяющими аутентификацию с помощью шифрованных оказий.
Ключи специального назначения имеет смысл создавать тогда, когда вы планируете использовать оба типа аутентификации RSA. При наличии таких ключей, каждый из них предъявляется только по мере необходимости (применение для двух методов аутентификации одного ключа увеличивает “засветку” этого ключа).
Универсальные ключи
При генерировании универсальных ключей создается только одна пара ключей RSA, и она используется политиками IKE, определяющими использование как подписей RSA, так и шифрованных с помощью RSA оказий. Таким образом, пара универсальных ключей может использоваться чаще, чем пара ключей специального назначения.
Длина модуля
Процесс генерирования ключей может занять много времени, в зависимости от типа маршрутизатора и выбираемой длины ключа. При генерировании ключей RSA необходимо указать длину модуля. Белее длинный модуль обеспечивает более сильную защиту, но тогда для создания ключей требуется больше времени, а для аутентификации первой фазы IKE необходимо выполнение большего числа операций. Для надежности защиты Cisco рекомендует указывать для модулей значение, не меньшее 1024. В табл. 16.4 показано, сколько времени требуется для создания ключей при разных длинах модуля.
Маршрутизатор
360 бит
512 бит
1024 бит
2048 бит
Cisco 2500
11 с
20 с
4 мин 38 с
Более 1 часа
Cisco 4700
Менее 1 с
1 с
4с
50 с
Пример генерирования ключей RSA
В примере 16.21 показан диалог команды crypto key generate rsa при генерировании универсальных ключей.
I г^^™^™™^-„пгг-—»——^^^_^. ,
Пример 16 Л. Диалог команды crypto key generate rsa при генерировании
универсальных ключей
RouterA(config)! crypto key generate rsa
The name for the keys will be: RouterA.cisco.com
Choose the size of the key modulus in the range of 360 to 2048 for
your Signature Keys.
Choosing a key modulus greater than 512 may take a few minutes.
How many bits in the modulus [512]: 512 Generating RSA keys ... [OK]
% Key pair was generated at: 23:59:59 UTC Feb 29 2000
RouterA# show crypto key mypubkey rsa
Key name: RouterA.cisco.com
Usage: General Purpose Key
Key Data:
305C300D06092A864886F70D0101010500034B003048024100A9443B62FDACFB
CCDB878419AE1CD895B309531EDD30D1380219D64636E0154D7C6F334DC1F6E0
C929A25E521688A1295907F4E98BF9206A81CE5728A21116E30203010001
Шаг 4. Ввод значений открытых ключей RSA
Вы должны вручную ввести открытые ключи RSA каждой из сторон, выполнив следующие действия.
Введите команду crypto key pubkey-chain rsa.
Укажите addressed-key или named-key и введите адрес или имя. (Если для идентификации IKE указан параметр address, выберите addressed-key, a named-key выбирается тогда, когда для идентификации IKE указан параметр hostname.)
Введите значение открытого ключа RSA стороны-партнера.
Замечание
Обе стороны IPSec должны использовать один и тот же тип ключей (именованные или адресованные). Например, если вы укажете addressed-key, то и удаленная сторона должна указать addressed-key. То же можно сказать и о применении команды named-key.
Чтобы ввести открытые ключи RSA удаленной стороны, необходимо выполнить следующие действия.
Введите команду crypto key pubkey-chain rsa, чтобы перейти в режим конфигурации открытых ключей. Эта команда открывает режим config-pubkey-chain, в котором у вас имеется возможность указать открытые ключи RSA сторон вручную. Укажите, каким будет ключ (именованным или адресованным, ключом шифрования или ключом подписи), используя для этого следующие команды, addressed-key адрес-ключа [encryption | signature] named-key имя-ключа [encryption | signature]
Эти команды определяют, открытый ключ RSA какой удаленной стороны вы собираетесь вводить. В результате ввода этих команд открывается режим configpubkey-key. Об этих командах необходимо знать следующее:
если удаленная сторона использует для идентификации IKE имя хоста, воспользуйтесь командой named-key и укажите в качестве имени ключа полное доменное имя удаленной стороны (например, somerouter.domain.com);
если удаленная сторона использует для идентификации IKE IP-адрес, примените команду addressed-key и укажите в качестве имени ключа IP-адрес удаленной стороны;
необязательное ключевое слово encryption указывает на то, что определяемый открытый ключ RSA будет ключом специального назначения, используемым для шифрования RSA;
необязательное ключевое слово signature указывает на то, что определяемый открытый ключ RSA будет ключом специального назначения, используемым для подписей RSA;
если ни encryption, ни signature не указывать, будут определены универсальные ключи.
Укажите открытый ключ RSA удаленной стороны, выполнив следующие действия:
введите команду key-string (эта команда открывает режим config-pubkey);
введите (в шестнадцатеричном формате) строку открытого ключа RSA удаленной стороны, скопированную с соответствующего устройства удаленной стороны;
введите команду quit (в результате чего маршрутизатор вернется в режим config-pubkey-key).
Повторите указанные действия, чтобы описать открытые ключи RSA всех других сторон IPSec, использующих шифрованные с помощью RSA оказии в политике IKE.
Выйдите из режима pubkey-key, воспользовавшись командой exit.
Вернитесь в режим глобальной конфигурации, нажав <Ctrl+Z>.
Проверьте список всех открытых ключей RSA, хранимых в памяти маршрутизатора, или ознакомьтесь с подробной информацией о конкретном открытом ключе RSA, воспользовавшись для этого следующей командой.
show crypto key pubkey-chain rsa [name имя-ключа | address адрес-ключа]
В следующих разделах приводятся примеры размещения открытых ключей RSA сторон.
Пример размещения универсального открытого ключа RSA с помощью команды addressed-key
В примере 16.22 показаны команды, выполняемые при размещении универсального открытого ключа RSA с помощью команды addressed-key. Перед этим вы должны использовать команду show crypto key pubkey-chain rsa, чтобы выяснить, какие типы ключей уже определены, с целью перехода в соответствующий режим с помощью команды crypto key pubkey-chain rsa. Обратите внимание на то, что для поля Usage в примере указано General, поскольку был определен универсальный ключ.
Пример 6.22. Размещение адресованного универсального открытого,
lllllllli^^
RouterA(config)I crypto key pubkey-chain rsa
RouterA(config-pubkey-chain)# addressed-key 172.16.2.1
RouterA(config-pubkey-key)I key-string
Enter a public key as a hexadecimal number ....
RouterA(config-pubkey)# <Строка открытого ключа RSA маршрутизатора В в шестнадцатеричном формате>
RouterA(config-pubkey)# quit,
RouterA(config-pubkey-key)# *Z
RouterA# show crypto key pubkey-chain rsa
Codes: M - Manually configured, C - Extracted from certificate
Code Usage IP-Address Name
M General 172.16.2.1
Пример размещения открытого ключа шифрования RSA с помощью команды addressed-key
В примере 16.23 используется ключевое слово encryption, в результате чего создается ключ, используемый только для шифрования RSA.
П ример 16.23. Размещение адресованного открытого'ключа" ||||||||^^Ш^^^К ; -У., У^^У
RouterAfconfig)! crypto key pubkey-chain rsa
RouterAfconfig-pubkey-chain)! addressed-key 172.16.2.1 encryption
RouterAfconfig-pubkey-key)! key-string
Enter a public key as a hexadecimal number ....
RouterA(config-pubkey)! <Строка открытого ключа RSA маршрутизатора B>
RouterAfconfig-pubkey)! quit
RouterA(config-pubkey-key)! exit (или AZ)
RouterAfconfig-pubkey-chain)! exit
RouterAfconfig)I quit
RouterAf show crypto key pubkey-chain rsa
Codes: M - Manually configured, C - Extracted from certificate
Code Usage IP-Address Name
M Encrypt 172.16.2.1
Пример размещения универсального открытого ключа RSA с помощью команды named-key
В примере 16.24 используется команда named-key. Эта команда должна применяться тогда, когда маршрутизатор имеет только один интерфейс, выполняющий функции IPSec.
RouterAfconfig)! crypto key pubkey-chain rsa
RouterAfconfig-pubkey-chain)! named-key routerB.cisco.com
RouterA (config-pubkey-key)! key-s tring
Enter a public key as a hexadecimal number ....
RouterA(config-pubkey)! <Строка открытого ключа RSA маршрутизатора B>
RouterA(config-pubkey)! quit
RouterA(config-pubkey-key)! exit (или AZ)
RouterA(config-pubkey-chain)! exit
RouterA(config)! quit
RouterA! show crypto key pubkey-chain rsa
Codes: M—Manually configured, C—Extracted from certificate
Code Usage IP-AddressName
MGeneral 172.16.2.1routerb.cisco.com
Чтобы отобразить подробную информацию о конкретном открытом ключе RSA, хранящемся в маршрутизаторе, используйте ключевые слова name или address, как показано в примере 16.25.
Пример 16,25. ОтображениеХподробной информации об^гпфытом ключе RSA, сохраненном в маршрутизаторе1
RouterA! show crypto key pubkey-chain rsa address 172.16.2.1
Key name: routerB.cisco.com
Usage: General Purpose KeySource: ManualData:305C300D 06092A86 4886F70D 01010105C283B198 F57BF7E8 FF1018BC 90826E89EBD6302E C134FB9E 6A34DDF2 46FE0921Usage: General Purpose KeySource: ManualData:305C300D 06092A86 4886F70D 01010105C283B198 F57BF7E8 FF1018BC 90826E89EBD6302E C134FB9E 6A34DDF2 46FE092100034B00 30480241 00DF6544 9A837659 6E20943C E3992543 AF9BF7A0 107911ED 377B7F63 D8702364 B1020301 000100034B00 30480241 00DF6544 9A837659 6E20943C E3992543 AF9BF7A0 107911ED 377B7F63 D8702364 B1020301 0001
Usage: General Purpose Key
Source: Manual
Data:
305C300D 06092A86 4886F70D 01010105
C283B198 F57BF7E8 FF1018BC 90826E89
EBD6302E C134FB9E 6A34DDF2 46FE0921
Usage: General Purpose Key
Source: Manual
Data:
305C300D 06092A86 4886F70D 01010105
C283B198 F57BF7E8 FF1018BC 90826E89
EBD6302E C134FB9E 6A34DDF2 46FE0921
00034B00 30480241 00DF6544 9A837659 6E20943C E3992543 AF9BF7A0 107911ED 377B7F63 D8702364 B1020301 0001
00034B00 30480241 00DF6544 9A837659 6E20943C E3992543 AF9BF7A0 107911ED 377B7F63 D8702364 B1020301 0001
Шаг 5. Управление ключами RSA
Для удаления всех ключей RSA вашего маршрутизатора используйте команду crypto key zeroize rsa глобальной конфигурации.
Замечание
Применение команды write erase в маршрутизаторе не приводит к удалению всех ключей. Чтобы удалить ваши собственные открытые ключи, используйте команду crypto key zeroize rsa.
Удаление открытых ключей RSA
Чтобы удалить открытые ключи RSA удаленной стороны из своего маршрутизатора, выполните следующие действия.
Используйте команду show crypto key pubkey-chain rsa, чтобы выяснить параметры ключа RSA, который вы собираетесь удалить. Параметрами ключа являются его назначение, тип (именованный или адресованный) и имя.
Войдите в режим конфигурации ключей с помощью команды crypto key pubkeychain rsa.
Удалите открытый ключ RSA удаленной стороны с помощью команды no named- key имя-ключа [encryption | signature] или по addressed-key адрес-ключа [encryption | signature]. Укажите при этом полное доменное имя или IP-адрес удаленной стороны.
Возвратитесь в режим глобальной конфигурации с помощью команды exit.
В примере 16.26 показано, как удалить открытый ключ RSA удаленной стороны.
ssiiiis®ssiiiis®открытого ключа RSAоткрытого ключа RSA
ssiiiis®
ssiiiis®
открытого ключа RSA
открытого ключа RSA
RouterA(config)# crypto key pubkey-chain rsa
RouterA(config-pubkey-chain)# no addressed-key 172.16.2.1
RouterA(config-pubkey-chain)# no named-key routerB.cisco.com encryption
RouterA(config-pubkey-chain)t no named-key routerB.cisco.com signature
Задача 3. Настройка IKE для работы с шифрованными оказиями
Настройка IKE для шифрования RSA предполагает выбор шифрования RSA в качестве метода аутентификации в рамках политики IKE. Шифрование RSA выбирается с помощью команды crypto isakmp policy, которая переводит систему в командный
режим config-isakmp. После этого вы можете указать метод аутентификации rsa-encr, как показано в примере 16.27.
Пример 16.27. Выбор метода аутентификации rsa-encr
Router (config)# crypto isakmp policy 110
Router(config-isakmp)# authentication rsa-encr
Router(config-isakmp)# exit
Обратите внимание на то, как в примере 16.28 обозначается шифрование RSA среди других параметров политики (политика по умолчанию не показана).
Пример 16.28. Шифрование RSA среди других параметров политики
Router (config)# show crypto isakmp policy
Protection suite of priority 110
encryption algorithm: DES - Data Encryption Standard (56 bit keys).
hash algorithm:Message Digest5
authentication method:Rivest-Shamir-AdlemanEncryption
Diffie-Hellman group:#1 (768 bit)
lifetime:86400 seconds,novolumelimit
Замечание
Остальные задачи и действия, касающиеся настройки IKE и IPSec, аналогичны тем, которые выполняются при использовании согласованных ключей и описаны выше в разделах “Задача 2. Настройка IKE для работы с общими ключами”, “Задача 3. Настройка IPSec” и “Задача 4. Тестирование и контроль IPSec".
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Перед тем как приступить к изменению конфигурации устройств, специалисты Cisco советуют рассмотреть все элементы политики шифрования для IKE и IPSec — чтобы уменьшить вероятность ошибок конфигурации и иметь под рукой информацию, которая может понадобиться в процессе настройки.
Основными предварительными шагами при настройке IPSec являются проверка текущей конфигурации IPSec, выяснение параметров сторон IPSec, проверка связности сети без шифрования и того, что списки доступа маршрутизатора разрешают трафик IPSec.
Наборы преобразований состоят из одного или нескольких преобразований IPSec, определяющих непосредственно преобразование и режим IPSec.
Наборы преобразований можно группировать в криптографической карте, чтобы иметь возможность согласовать подходящий набор преобразований в быстром режиме второй фазы IKE.
Списки шифрованного доступа используют расширенные списки доступа IP для определения трафика, который должен быть шифрованным.
Списки шифрованного доступа действуют аналогично спискам исходящего доступа, в которых команда разрешения (permit) означает необходимость шифрования.
Между списками шифрованного доступа соответствующих сторон должно быть “зеркальное” соответствие.
Криптографические карты объединяют все параметры IPSec и применяются к интерфейсам, открывая возможность создания ассоциаций защиты IPSec.
Тестирование IPSec и поиск соответствующих неполадок выполняется с помощью команд show и debug.
При использовании шифрованных оказий для аутентификации необходимо выбрать пары ключей RSA, обменяться открытыми ключами RSA и указать метод rsa-encr для аутентификации IKE.
Практическое занятие. Настройка IPSec Cisco IOS для работы с общими
ключами
В ходе этого практического занятия будет выяснено, как настроить средства поддержки IPSec в сети гипотетической компании XYZ. Прочитайте план практического занятия, рассмотрите схему топологии сети, ознакомьтесь с политикой защиты, а затем проанализируйте предлагаемые примеры конфигурации, чтобы увидеть, как требования политики защиты реализуются в виде команд маршрутизатора Cisco.
План практического занятия
Компании XYZ необходимо гарантировать целостность потока данных при обмене между центральным офисом и удаленным подразделением. Компания хотела бы также обеспечить быструю и надежную связь с удаленным подразделением через Internet, вместо создания линии, использующей технологию ретрансляции кадров. Было принято решение создать защищенную сеть VPN, связывающую территориальную сеть предприятия и сеть удаленного подразделения. Для создания VPN компания предпочитает использовать уже имеющийся маршрутизатор периметра.
Топология
На рис. 16.3 показана схема части сети компании XYZ, настройки которой будут обсуждаться в ходе этого практического занятия. В центре внимания будут находиться маршрутизаторы периметра взаимодействующих сторон.
Политика защиты сети
Давайте рассмотрим политику сетевой защиты, которую намерена реализовать компания XYZ.
Необходимо использовать Internet, чтобы связать сеть удаленного подразделения с корпоративной сетью и обеспечить возможность передачи данных.
Необходимо аутентифицировать трафик между корпоративной сетью и филиалами, чтобы никто не мог модифицировать или фальсифицировать пакеты во время их передачи.
Обозре- Сервер ватель сертификацииWeb 192.168.255.2Обозре- Сервер ватель сертификацииWeb 192.168.255.2Брандмауэр PIXБрандмауэр PIXеОЮ.1.1.1еОЮ.1.1.1Клиент СерверКлиент СерверУдаленный доступУдаленный доступ10 1 2 0 Сервер ' ' ' сетевого доступа10 1 2 0 Сервер ' ' ' сетевого доступаУдаленный клиент .1 s0Удаленный клиент .1 s0192.168.1.0/24192.168.1.0/24Бастионный хостБастионный хост,1е0,1е0.3.3"Грязная"ДМ3"Грязная"ДМ3.1 е2192,168.11.0/24 Защищенная.1 е2192,168.11.0/24 Защищенная,3е1,3е1Бастионный хостБастионный хостДМ3ДМ3Бастионный хостБастионный хостСбытСбытСервер CiscoSecure ACS, Web, FTP, TFTP, syslogСервер CiscoSecure ACS, Web, FTP, TFTP, syslogСервер SMTPСервер SMTPМаршрутизатор территориальной сетиМаршрутизатор территориальной сетиРис. 16.3. Маршрутизаторы периметра сети компании XYZ должны использовать IPSecРис. 16.3. Маршрутизаторы периметра сети компании XYZ должны использовать IPSecСервер DNSСервер DNS10U0 ИС .10110U0 ИС .101
Обозре- Сервер ватель сертификации
Web 192.168.255.2
Обозре- Сервер ватель сертификации
Web 192.168.255.2
Брандмауэр PIX
Брандмауэр PIX
еОЮ.1.1.1
еОЮ.1.1.1
Клиент Сервер
Клиент Сервер
Удаленный доступ
Удаленный доступ
10 1 2 0 Сервер ' ' ' сетевого доступа
10 1 2 0 Сервер ' ' ' сетевого доступа
Удаленный клиент .1 s0
Удаленный клиент .1 s0
192.168.1.0/24
192.168.1.0/24
Бастионный хост
Бастионный хост
,1е0
,1е0
.3
.3
"Грязная"
ДМ3
"Грязная"
ДМ3
.1 е2192,168.11.0/24 Защищенная
.1 е2192,168.11.0/24 Защищенная
,3е1
,3е1
Бастионный хост
Бастионный хост
ДМ3
ДМ3
Бастионный хост
Бастионный хост
Сбыт
Сбыт
Сервер CiscoSecure ACS, Web, FTP, TFTP, syslog
Сервер CiscoSecure ACS, Web, FTP, TFTP, syslog
Сервер SMTP
Сервер SMTP
Маршрутизатор территориальной сети
Маршрутизатор территориальной сети
Рис. 16.3. Маршрутизаторы периметра сети компании XYZ должны использовать IPSec
Рис. 16.3. Маршрутизаторы периметра сети компании XYZ должны использовать IPSec
Сервер DNS
Сервер DNS
10U0 ИС .101
10U0 ИС .101
Целостность потока данных между корпоративной сетью и филиалами через Internet должно гарантировать шифрование DES с 56-битовым ключом.
Для аутентификации IKE следует использовать заранее согласованные общие ключи.
Пример конфигурации маршрутизатора периметра
Рассмотрим вариант конфигурации маршрутизатора Perimeter! в сети компании XYZ (пример 16.29). Здесь показана одна из возможных конфигураций, реализующих описанную выше политику защиты для IPSec. Можно настроить маршрутизатор иначе, обеспечив выполнение тех же требований. Обратите внимание на комментарии, объясняющие связь команд конфигурации с конкретными требованиями политики защиты.
Команды, связанные с неиспользуемыми интерфейсами, и другие не относящиеся к рассматриваемому вопросу команды были из листинга удалены. (Показанная конфигурация соответствует маршрутизатору Cisco 1720.)
ер 16.29. Вариант конфигурации IPSec для маршрутизатора
Current configuration: ।
version 12.0 ।
hostname Perimeterl i
boot system flash cl700-osy56i-mz_120-3_T3.bin.
।
/ Использование согласованных общих ключей IKE для аутентификации I crypto isakmp policy 108 hash md5 authentication pre-share
crypto isakmp key mens address 172.16.2.1 i
/ Целостность трафика через Internet (между корпоративной сетью и удаленными офисами) I обеспечивается шифрованием DES с 56-битовым ключом.
।
crypto ipsec transform-set 1&2 esp-des esp-md5-hmac crypto map shared 10 ipsec-isakmp set peer 172.16.2.1 set transform-set 162 match address 151
I I interface SerialO ip address 172.16.1.1 255.255.255.252 ip access-group 101 in crypto map shared
I ! interface Seriall no ip address no ip directed-broadcast shutdown
।
interface FastEthernetO ip address 192.168.1.2 255.255.255.0 ip access-group 102 in ।
ip classless
ip route 0.0.0.0 0.0.0.0 172.16.1.2 no ip http server
! Адрес 192.168.1.10 соответствует статике PIX, указывающей на хост NT1 ! С адресом 10.1.1.4.
access-list 1 permit 192.168.1.10
access-list 16 permit 192.168.255.2
access-list 16 deny any log
[Следующие 3 строки разрешают трафик IPSec
access-list
101
permit ahp host 172.16.2.1 host 172.16.1.1
access-list
101
permit esp host 172.16.2.1 host 172.16.1.1
access-list
101
permit udp host 172.16.2.1 host 172.16.1.1 eq isakmp
access-list
101
deny ip 127.0.0.0 0.255.255.255 any log
access-list
101
deny ip 255.0.0.0 0.255.255.255 any log
access-list
101
deny ip 224.0.0.0 7.255.255.255 any log
access-list
101
deny ip host 0.0.0.0 any log
access-list
101
deny ip 192.168.1.0 0.0.0.255 any log
access-list
101
deny ip 10.0.0.0 0.255.255.255 any log
access-list
101
deny udp any any eq snmp
access-list
101
permit tcp any host 192.168.1.4 eq smtp
access-list
101
permit tcp any host 192.168.1.3 eq www
access-list
101
permit tcp any host 192.168.1.3 eq 443
access-list
101
permit tcp any host 192.168.1.3 eq ftp
access-list
101
permit tcp any host 192.168.1.3 gt 1023
access-list
101
permit icmp any 192.168.1.0 0.0.0.255 echo-reply
access-list
101
permit icmp any host 172.16.1.1 echo-reply
access-list
101
permit icmp host 192.168.255.2 host 172.16.1.1 echo
access-list
101
permit udp any host 192.168.1.3 eq domain
access-list
101
permit tcp host 192.168.255.2 host 192.168.1.3 eq nntp
access-list
101
permit udp host 192.168.255.2 host 192.168.1.3 eq ntp
access-list
101
deny icmp any host 192.168.1.1 echo log
access-list
101
deny tcp any host 192.168.1.1 eq telnet log
access-list
101
deny tcp any host 172.16.1.1 eq telnet log
access-list
101
deny tcp any host 192.168.1.2 eq telnet log
access-list
101
deny ip any any log
access-list
102
permit ip 192.168.1.0 0.0.0.255 any
access-list
102
deny ip any any log
access-list
151
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list
151
deny ip any any
no cdp run
!
line con 0 exec-timeout 0 0 logging synchronous login local transport input none
line aux 0
no exec
login local line vty 0 4
access-class 1 in login local
i
end
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Какая политика IKE (первая фаза) принимается по умолчанию?
Почему для просмотра политик IKE нужно использовать команду show crypto isakmp policy, а не show running-config?
Какие протоколы и порты должны быть доступны для интерфейса, использующего IPSec?
Как активизировать IKE для одного конкретного интерфейса, но не для другого?
Сколько преобразований ESP можно определить одновременно?
Где можно указать предел времени существования ассоциации защиты IPSec?
Какая команда используется для того, чтобы определить трафик, подлежащий защите?
Как применить криптографическую карту к интерфейсу?
Когда инициализируются ассоциации защиты IPSec при настройке IKE?
Вы считаете, что IPSec работает неправильно. Проверив конфигурацию, вы не смогли определить причину возникновения проблемы. Что вам делать дальше?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Обратитесь к главе “IP Security and Encryption Overview” руководства Cisco IOS Release 12.0 Security Configuration Guide, чтобы выяснить, как IPSec и связанные с IPSec протоколы поддерживаются в маршрутизаторах Cisco.
Конфигурация IKE
В руководстве Cisco IOS Release 12.0 Security Configuration Guide (см. раздел “IP Security and Encryption” главы “Configuring Internet Key Exchange Security Protocol”) вы найдете общее описание процесса настройки IKE в маршрутизаторах Cisco.
В руководстве Cisco IOS Release 12.0 Security Command Reference (см. раздел “IP Security and Encryption” главы “Router and Network Monitoring Commands") содержатся описания конкретных команд, которые можно использовать для настройки системы защиты в маршрутизаторах Cisco.
Конфигурация IPSec
В руководстве Cisco IOS Release 12.0 Security Configuration Guide (см. раздел “IP Security and Encryption” главы “Configuring IPSec Network Security”) вы найдете общее описание процесса настройки IPSec в маршрутизаторах Cisco.
В руководстве Cisco IOS Release 12.0 Security Command Reference (см. раздел “IP Security and Encryption” главы “Configuring IPSec Network Security”) содержатся описания конкретных команд, которые можно использовать для настройки IPSec в маршрутизаторах Cisco.
Расширенные списки доступа IP
В руководстве Cisco IOS Release 12.0 Network Protocols Configuration Guide. Part 1 (cm. раздел “Filter IP Addresses" главы “Configuring IP Services”) содержится информация о том, как настроить стандартные и расширенные списки доступа.
В руководстве Cisco IOS Release 12.0 Network Protocols Configuration Guide. Part 1 (cm. раздел “IP Addressing and Services” главы “IP Services Commands”) предлагается описание конкретных команд стандартных и расширенных списков доступа.
Системные сообщения об ошибках и сообщения отладки
В документе Cisco IOS Release 12.0 Cisco IOS Software System Error Messages вы найдете конкретную информацию, касающуюся системных сообщений об ошибках.
В документе Cisco IOS Release 12.0 Debug Command Reference представлена конкретная информация, касающаяся команд debug и их сообщений.
Глава
17
Настройка IPSecрандмауэре FIX Firewall
В
ОДьзо]
а
ве показано, как настроить средства IPSec в брандмауэре PIX Firewall с ;м заранее согласованных ключей аутентификации. Здесь описываются
. выполняемые в процессе настройки параметров IPSec, рассматри-
а
ia
,суждать
анной
т1
PIX1
при про дет i
На ри
которые обеспеч
оск
Фу раз ода
тся связанные ,.
ия. 3ai ершается
НИИ
длагал
Cisco
ходны
5,6
ау
ме
леи
ным
вы
и
за
делью эт<
оманды чтфигурациответствую
ее согласо
ций
ючи. Н аутентиф лемо для б :сс, вы смей
IPSec команды брандмауэра PIX Firewall и примеры их использо-лава практическим занятием, демонстрирующим на примере сетижности использования IPSec в брандмауэре PIX Firewall.
дачи и действия, описанные в данной главе, почти идентичны тем, выполнить при размещении общих ключей в рамках программного
ршрутизатор А
hternet
ОГВ
П по
еО 192.168.1.1 s0 172.16.1.2 sO 172.16.2.2 eO 192.168.2.1
м. главу 16). Применяемые команды тоже мало чем отличаются, аммный код для IPSec, используемый в программном обеспе- есен разработчиками в брандмауэр PIX Firewall.
PIX Firewall хороши тем, что все они вводятся в режиме подчиненных режимов, что упрощает задачи конфигурации
1ия. Чтобы больше узнать о том, как IKE и IPSec работают с Юбщими ключами, снова обратитесь к главе 16.
ется настройка брандмауэра PIX Firewall на выполнение Sec, который должен шифровать и защищать трафик сетей, ром, используя для аутентификации заранее согласованные параметры использования согласованных общих ключей сеансов IPSec относительно легко, но такое решение не числа клиентов IPSec. Освоив описанный в данной главе оить систему на использование подписей RSA (эта тема бу- щей главе).'
а упрощенная топология сети компании XYZ, используемая в
Сайт 2
10.2.1.4
Маршрутизатор В PIX2
. 1. Топология сети компании XYZ для использования IPSec в брандмауэрах PIX Firewall
В процессе настройки средств шифрования IPSec брандмауэра PIX Firewall, использующих согласованные общие ключи, необходимо решить следующие четыре задачи.
Задача 1. Подготовка к использованию IPSec. Данная задача включает определение деталей политики шифрования, идентификацию хостов и сетей, которые необходимо защитить, выяснение характеристик сторон IPSec, возможностей IPSec, которые будут необходимы, а также проверку того, что существующие списки доступа, применяемые д ля фильтрования пакетов, позволяют использовать IPSec.
Задача 2. Настройка IKE для работы с заранее согласованными ключами. Предполагает активизацию средств IKE, создание политики IKE и проверку правильности выбранной конфигурации.
Задача 3. Настройка IPSec. Определение множеств преобразований, создание списков шифрованного доступа и криптографических карт, а также применение криптографических карт к соответствующим интерфейсам.
Задача 4. Тестирование и контроль IPSec. Использование show, debug и других аналогичных команд для проверки правильности функционирования IPSec и решения возможных проблем.
В следующих разделах каждая из этих задач конфигурации будет обсуждаться подробно.
Задача 1. Подготовка к использованию IPSec
Для успешной реализации сети IPSec требуется тщательно спланировать процесс настройки взаимодействующих брандмауэров PIX Firewall и других объектов IPSec. Настройка параметров шифрования IPSec может оказаться достаточно сложным делом. Необходимо начать с определения деталей политики защиты IPSec, основываясь на общей политике защиты компании, описываемой в приложении Б, “Политика сетевой защиты компании XYZ” (см. также главу 15, “Поддержка IPSec в сетях Cisco”, в которой содержится более подробная информация о том, как планировать настройку IPSec). Планирование для IPSec предполагает выполнение следующих действий.
Шаг 1. Определение политики IKE (первая фаза IKE, основной режим) для связи между сторонами IPSec в зависимости от числа и размещения сторон.
Шаг 2. Определение политики IPSec (вторая фаза IKE, быстрый режим), в частности такие параметры сторон IPSec, как IP-адреса, а также наборы преобразований и режимы IPSec.
Шаг 3. Проверка текущей конфигурации с помощью команд write terminal, show isakmp, show isakmp policy, show crypto map и других команд show.
Шаг 4. Проверка того, что сеть работает без шифрования, чтобы избежать основных проблем маршрутизации (для этого используется команда ping и тестовый трафик до включения средств шифрования).
Шаг 5. Проверка того, что существующие списки доступа в маршрутизаторе периметра и брандмауэре PIX Firewall позволяют трафик IPSec; в противном случае соответствующий трафик будет отфильтрован.
Задача 2. Настройка IKE для работы с общими ключами
Следующей задачей настройки IPSec в брандмауэре PIX Firewall является ввод в конфигурацию параметров IKE, значения которых были выяснены ранее. Не забывайте о том, что в командах настройки брандмауэра PIX аббревиатура ISAKMP является синонимом IKE. Настройка параметров IKE предполагает выполнение следующих шагов.
Шаг 1. Активизация или отключение IKE с помощью команды isakmp enable.
Шаг 2. Создание политик IKE с помощью команд isakmp policy.
Шаг 3. Выбор общих ключей с помощью команды isakmp key и связанных с ней команд.
Шаг 4. Проверка конфигурации IKE с помощью команды show isakmp [policy],
В следующих разделах эти шаги будут описаны подробно.
Шаг 1. Активизация или отключение IKE
Первым шагом настройки IKE является активизация или отключение IKE на интерфейсах, используемых для создания туннелей IPSec. Чтобы активизировать или отключить IKE для конкретного интерфейса, воспользуйтесь командой isakmp enable. По умолчанию протокол IKE активизирован, и чтобы отключить его, воспользуйтесь указанной командой с префиксом по. Данная команда имеет следующий синтаксис:
isakmp enable имя-иитерфейса
Параметр команды представлен в следующей таблице.
Параметр команды Описание
имя-иитерфейсаИмя интерфейса, который должен использоваться для переговоров о согласовании IKE
Шаг 2. Создание политик IKE
Следующим шагом настройки средств поддержки IKE в брандмауэре PIX Firewall является определение набора политик IKE. Цель — создание связи IKE между двумя конечными точками IPSec. Используйте значения параметров политики IKE, определенные на стадии планирования.
В табл. 17.1 указаны элементы политики IKE, настройка которых рассматривается в примерах данной главы.
Таблица 17.1; Пример политики IKEЙгаябрайдмау^ра FIX Firewall' Л-: ^'/-Ч
ПараметрЗначение для стороны АЗначение для стороны В
Алгоритм шифрования сообщенийDESDES
Алгоритм гарантии целостности (алгоритм хэ-MD5MD5
ширования) сообщений
Окончание табл. 7.1
Параметр
Значение для стороны А
Значение для стороны В
Метод аутентификации сторон
Заранее согласованные общие ключи
Заранее согласованные общие ключи
Параметры обмена ключами (идентификатор группы Диффи-Хеллмана)
Группа 1 (768-битовая группа Диффи-Хеллмана)
Группа 1 (768-битовая группа Диффи-Хеллмана)
Предел времени существования ассоциаций защиты, установленных с помощью IKE
. 86400 (значение, принятое по умолчанию)
86400 (значение, принятое по умолчанию)
IP-адрес удаленной стороны IPSec
192.168.2.2
192.168.1.2
Для определения политики IKE используется команда isakmp policy. Политика IKE задает набор параметров, которые должны применяться в процессе согласования IKE. Чтобы удалить политику IKE, воспользуйтесь этой командой с префиксом по. Указанная команда имеет следующий синтаксис:
isakmp policy приоритет authentication {pre-share | rsa-sig}
isakmp policy приоритет encryption {des | 3des}
isakmp policy приоритет {groupl | group2}
isakmp policy приоритет hash (md5 | sha}
isakmp policy приоритет lifetime секунды
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
policy приоритет
Идентифицирует политику IKE и присваивает ей приоритет. Используйте целое число в диапазоне от 1 до 65534, где 1 определяет наивысший приоритет, а 65534 — наименьший
authentication pre-share
authentication rsa-sig
encryption dee
Предписывает использование метода аутентификации на основе заранее согласованных общих ключей
Предписывает использование метода аутентификации на основе подписей RSA
Предписывает использование в политике IKE шифрования DES-CBC с 56-битовым ключом. Указанное значение принимается по умолчанию
encryption 3dee groupl
Предписывает использование в политике IKE шифрования на основе “тройного” DES
Предписывает использование в политике IKE 768-битовой группы Диффи- Хеллмана. Указанное значение принимается по умолчанию
group2 hash mdS
Предписывает использование в политике IKE 1024-битовой группы Диффи-Хеллмана Предписывает использование в политике IKE алгоритма MD5 (вариант НМАС) в качестве алгоритма хэширования
hash sha
Предписывает использование в политике IKE алгоритма SHA-1 (вариант НМАС) в качестве алгоритма хэширования. Это алгоритм хэширования, используемый по умолчанию
lifetime секунды
Указывает время (в секундах), в течение которого ассоциация защиты будет существовать, до того как станет недействительной. Используйте целое значение из диапазона от 60 до 86400 секунд (последнее соответствует одним суткам).
Обычно используют значение по умолчанию, равное 86400
Если для политики не указать какую-либо из этих команд, для соответствующего параметра будет использоваться значение по умолчанию. Можно восстановить использование значения по умолчанию с помощью соответствующей команды с префиксом по. Например, чтобы восстановить использование des в качестве метода шифрования, отменив ранее указанное предписание применять 3des, можно воспользоваться командой no isakmp policy 100 encryption.
За более подробной информацией о вопросах функционирования политики IKE обратитесь к главе 15, “Поддержка IPSec в сетях Cisco”.
Пример конфигурации IKE для двух сторон
В примерах 17.1 и 17.2 показаны варианты политик IKE для брандмауэров PIX 1 и PIX 2. Обратите внимание на то, что политика с номером 300 в брандмауэре PIX 1 совпадает с политикой 100 в брандмауэре PIX 2. Значения по умолчанию не показаны.
Пример 17.1. Варианты политики IKE для брандмауэра PIX1
crypto isakmp policy 100
authentication rsa-sig
crypto isakmp policy 200
authentication pre-share
crypto isakmp policy 300
hash md5
authentication pre-share
Пример 17.2. Варианты политики IKE для брандмауэра PIX 2
crypto isakmp policy 100
hash md5
authentication pre-share
crypto isakmp policy 200
authentication rsa-sig
group2 lifetime 5000
crypto isakmp policy 300
authentication rsa-sig
lifetime 10000
Шаг 3. Выбор согласованных общих ключей
Еще одним шагом настройки средств поддержки IKE в брандмауэре PIX Firewall является необязательная активизация режима идентификации и размещение общих ключей. Соответствующие действия описываются в следующих разделах.
Установка режима идентификации
Стороны IPSec аутентифицируют друг друга в процессе согласования IKE посредством применения заранее согласованных общих ключей и идентификации объекта IKE. Идентификация может выполняться либо по IP-адресу стороны, либо по имени хоста. Брандмауэр PIX Firewall по умолчанию использует идентификацию по IP-адресу. Если вы реши-
те использовать идентификацию по имени хоста, необходимо указать этот метод с помощью команды конфигурации isakmp identity. Используйте указанную команду с префиксом по, чтобы восстановить метод идентификации IKE, принятый по умолчанию (идентификация по адресу). Команда имеет следующий синтаксис:
isakmp identity (address | hostname}
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
address
Задает идентификацию IKE с помощью IP-адреса интерфейса, используемого для связи с удаленной стороной в процессе согласования IKE.
Это ключевое слово обычно применяется тогда, когда для обмена IKE сторона использует только один интерфейс и известен IP-адрес этого интерфейса
hostname
Задает идентификацию IKE по имени хоста и домена (например, myhost.domain.com). Это ключевое слово применяется тогда, когда для обмена IKE сторона может использовать несколько интерфейсов или IP-адрес интерфейса неизвестен (например, при динамическом выборе IP-адресов)
Если используется метод идентификации по имени хоста, необходимо с помощью команды name указать имя хоста для удаленной стороны на случай, если сервер имен доменов (сервер DNS) окажется недоступным или не сможет обработать имя. Указанная команда имеет следующий синтаксис:
name 1р_адрес имя
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
1р_адрес
IP-адрес хоста, имя которого указывает команда
ИМЯ
Имя, присваиваемое указанному IP-адресу. Допустимыми символами для имени являются a-z, A-Z, 0-9 и символ подчеркивания. Имя не должно начинаться с цифры. Если имя содержит более 16 символов, команда name генерирует сообщение об ошибке
В примере 17.3 показана команда, задающая в брандмауэре FIX 1 имя для брандмауэра PIX 2.
^Пример 17.3. Определение имени для брандмауэра ИХ 2 в брандмауэре PIX1 ■
Pixl(config)# name PIX2.domain.com 192.168.2.2
Выбор общих ключей
Для выбора общих ключей аутентификации необходимо воспользоваться командой конфигурации isakmp key. Ключ необходимо определять каждый раз, когда указывается использование заранее согласованных общих ключей в политике IKE. Чтобы удалить общий ключ аутентификации, используйте указанную команду с префиксом по. Синтаксис команды следующий:
isakmp key ключ address адрес [netmask ласка]
isakmp key ключ hostname имя-хоста
Параметр команды
Описание
КЛЮЧ
Значение общего ключа. Используйте любую комбинацию буквенно-цифровых символов длиной до 128 байт. Значения общих ключей должны быть одинаковы в устройствах обеих сторон
address
Используется тогда, когда выбрана идентификация IKE удаленной стороны по IP-адресу
адрес
IP-адрес удаленной стороны. Можно указать адрес 0.0.0.0, который означает, что данный ключ может использоваться любой стороной IPSec, имеющей соответствующий ключ
hostname
Используется тогда, когда выбрана идентификация IKE удаленной стороны по имени хоста
имя-хоста
Имя хоста удаленной стороны. Это имя хоста, скомбинированное с именем домена (например, myhost.domain.com)
netmask маска
(необязательный) Описывает сетевую маску. С адресом 0.0.0.0 можно использовать сетевую маску 0.0.0.0, указывающую на то, что данный ключ применим для любой стороны, не имеющей ключа, связанного с ее IP-адресом
Замечание
При использовании метода аутентификации IKE с заранее согласованными общими ключами в устройствах обеих сторон IPSec должны быть указаны одинаковые значения ключей. При этом настоятельно рекомендуется для разных пар сторон IPSec использовать разные общие ключи. Использование одного ключа для нескольких пар IPSec не рекомендуется, поскольку это несет в себе потенциальный риск.
Шаг 4. Проверка конфигурации IKE
Чтобы увидеть параметры размещенных политик и политик, принятых по умолчанию, воспользуйтесь командой show isakmp [policy]. Результат наших настроек политики IKE для брандмауэра PIX 1 показан в примере 17.4 (конфигурация PIX 2 при этом аналогична).
[ Пример 17.4. Политика IKE для брандмауэра PIX1
Pixl# show isakmp policy
Protection suite of priority 100
encryption algorithm:
DES - Data Encryption Standard (56-bit keys)
hash algorithm:
Message Digest 5
authentication method:
Pre-Shared Key.
Diffie-Hellman group:
11 (768 bit)
lifetime:
86400 seconds, no volume limit
Default protection suite encryption algorithm:
DES - Data Encryption Standard (56-bit keys)
hash algorithm:
Secure Hash Standard
authentication method:
Rivest-Shamir-Adleman Signature
Diffie-Hellman group:
11 (768 bit)
lifetime:
86400 seconds, no volume limit
Команда show isakmp отображает параметры размещенных политик аналогично тому, как это делает команда write terminal (пример 17.5).
, Пример 17.5. Отображение параметров политик командой show ieakmp -
Pixl# show isakmp
isakmp enable outside
isakmp policy 100 authentication rsa-sig
isakmp policy 100 encryption 3des
isakmp policy 100 hash sha
isakmp policy 100 group 1
isakmp policy 100 lifetime 86400
Команда write terminal отображает параметры размещенных политик. В примере 17.6 показан вариант соответствующего вывода.
и Пример 17.6. Отображение параметров политик командой write terminal
Pixi# write terminal
hosthame Pixl
isakmp enable outside
isakmp key ciscol234 address 192.168.2.2 netmask 255.255.255.255
isakmp policy 100 authentication pre-share
isakmp policy 100 encryption des
isakmp policy 100 hash sha
isakmp policy 100 group 1
isakmp policy 100 lifetime 86400
Здесь общим ключом является cisco1234, а удаленной стороной — брандмауэр PIX 2 с адресом 192.168.2.2.
Задача 3. Настройка IPSec
Еще одной задачей настройки средств поддержки IPSec в брандмауэре PIX Firewall является размещение ранее определенных параметров IPSec. В этом разделе описываются действия, выполняемые в процессе настройки IPSec. Давайте рассмотрим действия, осуществляемые в процессе настройки шифрования IPSec в брандмауэре PIX Firewall, и соответствующие команды (в дальнейшем каждый из указанных ниже шагов будет описан подробно).
Шаг 1. Настройка списков шифрованного доступа с помощью команды access-list.
Шаг 2. Настройка наборов преобразований с помощью команды crypto ipsec transform-set.
Шаг 3. (Необязательный.) Установка глобальных пределов существования ассоциаций защиты IPSec посредством команды crypto ipsec security-association lifetime.
Шаг 4. Настройка криптографических карт с помощью команды crypto map.
Шаг 5. Применение криптографических карт к интерфейсам посредством команды crypto map имя-карты interface интерфейс.
Шаг 6. Проверка конфигурации IPSec с помощью множества предназначенных для этого команд show.
В табл. 17.2 указаны элементы политики шифрования IPSec, настройка которых рассматривается в примерах данной главы.
|дйблица 17.2. Политики IPSec для двух сторон .
Параметр
Значение для стороны А
Значение для стороны В
Набор преобразований
AH-MD5, ESP-DES
AH-MD5, ESP-DES
Режим IPSec
Туннельный
Туннельный
Алгоритм хэширования
MD5
MD5
Имя хоста удаленной стороны
PIX2
PIX1
Интерфейс
Ethernet 0 (внешний)
Ethernet 0 (внешний)
IP-адрес удаленной стороны
192.168.2.2
192.168.1.2
IP-адрес хостов, которые должны быть защищены
10.1.1.0
10.1.2.0
Тип трафика для шифрования
TCP
TCP
Установка ассоциаций защиты
ipsec-isakmp
ipsec-isakmp
Шаг 1. Создание списков шифрованного доступа
Списки шифрованного доступа используются для того, чтобы определить 1Р-трафик, который следует (или не следует) защищать средствами IPSec. Списки шифрованного доступа выполняют для IPSec следующие функции:
указывают поток данных, который должен защищаться средствами IPSec;
выбирают исходящий трафик, который должен защищаться средствами IPSec;
обрабатывают входящий трафик, чтобы отбросить трафик, который должен быть защищен средствами IPSec;
определяют, принимать ли запросы создания ассоциаций защиты IPSec для соответствующих потоков данных в процессе согласования IKE.
Для создания списков шифрованного доступа используются обычные списки доступа. Списки шифрованного доступа выявляют трафик, который должен защищаться. Синтаксис списков шифрованного доступа не отличается от синтаксиса обычных списков доступа, но значения ключевых слов интерпретируются иначе: permit означает, что соответствующие пакеты должны шифроваться, a deny — что пакеты шифроваться не должны. Списки шифрованного доступа подобны спискам доступа, применяемым к исходящему трафику интерфейса брандмауэра PIX Firewall.
Используя списки шифрованного доступа, можно указать параметры соответствующего трафика. Список шифрованного доступа определяется с помощью команды access-list. Чтобы удалить список доступа, используйте эту команду с префиксом по. Указанная команда имеет следующий синтаксис:
access-list имя списка [deny | permit] протокол источник маска источника
[оператор порт [порт]] получатель маска_получателя [оператор порт [порт]]
Параметр команды
Описание
имя_ списка deny
Указывает имя или номер списка доступа
Запрещает использование IPSec для защиты пакета. Не позволяет защищать посредством шифрования трафик, определенный в контексте конкретной записи криптографической карты
permit
Выбирает пакет для защиты IPSec. Заставляет систему защитить с помощью шифрования весь трафик IP, соответствующий указанным условиям, используя для этого политику, описанную посредством соответствующей записи криптографической карты
протокол
Указывает название или номер протокола IP. Может быть одним из ключевых слов icmp, ip, tcp или udp или же целым числом от 1 до 254, представляющим номер протокола IP. Чтобы указать соответствие любому протоколу Internet, используйте ключевое слово ip
источник получатель
Указывают адрес сети или хоста, откуда пакет отсылался или где был принят. Имеется три способа задания адреса источника или получателя:
использование 32-битового значения в формате десятичных значений, разделенных точками;
использование ключевого слова any в качестве аббревиатуры для параметров источник и маска-источника или получатель и маска_получателя, обозначающего выбор 0.0.0.0 0.0.0.0; это ключевое слово использовать не рекомендуется;
использование host источник или host получатель, что обозначает выбор 255.255.255.255 для параметров маска-источника или маска_получателя
маска-источника
ма ска^получа теля
Указывает биты группового адреса (сетевую маску), который должен применяться к значению источник или получатель:
используйте 32-битовое значение в формате четырех десятичных значений, разделенных точками; укажите 0 для тех битов, которые должны игнорироваться;
используйте ключевое слово any в качестве аббревиатуры для параметров источник и маска-источиика или получатель и маска_получателя, что обозначает выбор 0.0.0.0 0.0.0.0; это ключевое слово использовать не рекомендуется;
используйте host источник или host получатель, что обозначает выбор 255.255.255.255 для параметров маска-источника или маска_получателя
оператор
(необязательный) Указывает порт или диапазон портов, с которыми должен сравниваться порт источника или получателя. Допустимыми значениями являются It (“меньше, чем”), gt ("больше, чем”), eq ("равно”), neq (“не равно”) и range (диапазон, включающий крайние значения). Оператор range требует указания двух номеров портов. Для остальных операций необходимо указать один номер порта
порт
Разрешенные для использования IP-сервисы, основанные на протоколе TCP или UDP. Укажите порты с помощью имен или чисел из диапазона от 0 до 65535
Вот некоторые дополнительные сведения о списках доступа:
брандмауэр FIX Firewall версии 5.0 поддерживает протокол IP со степенью детализации только на уровне сетей, подсетей и хостов;
брандмауэр PIX Firewall версии 5.1 поддерживает детализацию на уровне протоколов TCP или UDP и соответствующих портов;
использование диапазонов портов значительно увеличивает число туннелей IPSec, которые могут начинаться или заканчиваться в брандмауэре PIX; для каждого порта создается новый туннель.
Любой незащищенный входящий трафик, который соответствует записи permit списка шифрованного доступа в криптографической карте и помечен как трафик IPSec, будет отвергнут.
Если вам нужно, чтобы определенная часть трафика получала один тип защиты IPSec (например, только аутентификацию), а другая — иной (например, как аутентификацию, так и шифрование), необходимо создать два списка шифрованного доступа, определяющие два разных типа трафика.
Внимание!
Специалисты Cisco советуют избегать ключевого слова any при описании адресов источника или получателя. Настоятельно не рекомендуется использовать оператор permit any any, поскольку он требует защиты всего исходящего трафика (а также всего защищенного трафика, направляемого стороне, указанной в соответствующей записи криптографической карты) и всего входящего. В результате все входящие пакеты, не защищенные средствами IPSec, будут отвергнуты. Кроме того, может существенно возрасти нагрузка на процессор и снизиться пропускная способность сети.
Будьте предельно внимательны при определении условий защиты пакетов в списке шифрованного доступа. Перед использованием в операторе permit ключевого слова any необходимо применять набор операторов deny, чтобы отфильтровать трафик, который не должен защищаться с помощью шифрования (иначе он попадет под действие оператора permit, о котором идет речь).
Более подробная информация о том, как настроить списки шифрованного доступа, содержится в разделе “Шаг 3. Создание списков шифрованного доступа” главы 16.
Настройка симметричных списков шифрованного доступа
Cisco рекомендует создавать для взаимодействующих сторон IPSec “зеркальные” списки шифрованного доступа. Списки шифрованного доступа двух взаимодействующих сторон должны быть симметричны. Например, критерии для источника в брандмауэре PIX 1 должны быть точно такими же, как критерии для получателя в брандмауэре PIX 2, а критерии для получателя в брандмауэре PIX 1 должны быть точно такими же, как критерии для источника в брандмауэре PIX 2. В любом брандмауэре PIX Firewall входящий и исходящий трафики оцениваются с помощью одного списка исходящего доступа IPSec. Критерии этого списка доступа применяются в прямом направлении к потоку, покидающему брандмауэр PIX Firewall, и в противоположном — к потоку, входящему в брандмауэр. При получении шифрованных пакетов от удаленной стороны IPSec брандмауэр PIX Firewall использует тот же список доступа, чтобы определить, какие входящие пакеты необходимо дешифровать, просматривая в нем адреса источника и получателя в обратном порядке.
Представленная в примере 17.7 пара списков шифрованного доступа иллюстрирует причину, по которой рекомендуется использовать симметричные списки доступа (см. также рис. 17.1, на котором показана схема соответствующей сети).
I Пример 17.7, Пара списков шифрованного доступа
Pixl(config)# show static
static (inside,outside) 192.168.1.9 10.1.1.4 netmask 255.255.255.255 0 0
Pixl(config)# show access-list
access-list 110 permit ip host 192.168.1.9 host 192.168.2.9
Pix2(config)# show static
static (inside,outside) 192.168.2.9 10.2.1.4 netmask 255.255.255.255 0 0
Pix2(config)# show access-list
access-list 101 permit ip host 192.168.2.9 host 192.168.1.9
В этом примере для узла 1 защита IPSec применяется к трафику между хостами узлов 1 и 2. В брандмауэрах PIX Firewall выполняется трансляция сетевых адресов. Хост 10.1.1.4 узла 1 статически отображается в глобальный адрес 192.168.1.10 в брандмауэре PIX 1, а хост 10.2.1.4 узла 2 — в глобальный адрес 192.168.2.10 в брандмауэре PIX 2. Списки доступа используют глобальный адрес в команде static, чтобы описать нужный трафик. Для трафика от хоста узла 1 к хосту узла 2 запись списка доступа в брандмауэре PIX 1 оценивается следующим образом:
источником является хост 192.168.1.10 (статически отображаемый в 10.1.1.4);
получателем является хост 192.168.2.10 (статически отображаемый в 10.2.1.4).
Для входящего трафика от хоста узла 2 к хосту узла 1 та же запись списка доступа в брандмауэре PIX 1 оценивается следующим образом:
источником является хост 192.168.2.10 (статически отображаемый в 10.2.1.4).
получателем является хост 192.168.1.10 (статически отображаемый в 10.1.1.4).
Шаг 2. Настройка наборов преобразований
Следующим шагом настройки средств поддержки IPSec в брандмауэре PIX Firewall является использование политик защиты IPSec для определения наборов преобразований. Набор преобразований представляет собой комбинацию конкретных преобразований IPSec, реализующих политику защиты для соответствующего трафика. В рамках процесса IKE согласование параметров ассоциаций защиты IPSec происходит в быстром режиме второй фазы IKE, когда стороны договариваются об использовании конкретного набора преобразований для защиты соответствующего потока данных. Наборы преобразований состоят из следующих элементов IPSec:
механизм аутентификации полезного груза — преобразование АН;
механизм шифрования полезного груза — преобразование ESP;
режим IPSec — транспортный или туннельный.
Набор преобразований определяется с помощью команды конфигурации crypto ipsec transform-set. Чтобы удалить набор преобразований, используйте указанную команду с префиксом по. Эта команда имеет следующий синтаксис:
crypto ipsec transform-set имя-набора преобразование!
[ преобразование2 [преобразованиеЗ]]
Параметр команды
Описание
имя-набора
преобразование! преобразование? преобразование!
Определяет имя создаваемого (или изменяемого) набора преобразований
Указывают до трех преобразований, определяющих протоколы защиты IPSec и соответствующие алгоритмы. Каждое преобразование представляет протокол защиты IPSec (ESP, АН или сразу оба) и алгоритм, который вы хотите использовать
Можно указать до трех преобразований. По умолчанию для всех преобразований используется туннельный режим. Можно указать не более одного преобразования АН и не более двух преобразований ESP. Позаботьтесь о том, чтобы для сообщающихся сторон были указаны соответствующие наборы преобразований.
Если для создания ассоциаций защиты протокол IKE не применяется, необходим один набор преобразований. Согласования такого набора преобразований не предполагается. Если в наборе преобразований указан протокол ESP, можно указать только шифрование ESP или шифрование и аутентификацию ESP.
Возможности поддержки IPSec в брандмауэре PIX Firewall показаны в табл. 17.3.
рТабл.ицё 17.3. Преобразования IPSec, поддерживаемые брандмауэро*Гр1х|
Преобразование Описание
ah-md5-hmac
Преобразование AH-HMAC-MD5, используемое для аутентификации
ah-sha-hmac
Преобразование AH-HMAC-SHA, используемое для аутентификации
esp-des
Преобразование ESP, использующее шифрование DES (56 бит)
esp-3des
Преобразование ESP, использующее шифрование 3DES(EDE) (168 бит)
esp-md5-hmac
Преобразование ESP с аутентификацией HMAC-MD5, используемой с esp-des или esp-3des с целью дополнительной гарантии целостности пакетов ESP
esp-sha-hmac
Преобразование ESP с аутентификацией HMAC-SHA, используемой с esp-des или esp-3des с целью дополнительной гарантии целостности пакетов ESP
Выбор преобразований
Выбор набора преобразований IPSec может оказаться достаточно сложной задачей. Следующие рекомендации могут помочь вам в выборе преобразований, подходящих для вашего конкретного случая.
Если необходимо обеспечить конфиденциальность данных, включите в набор преобразований шифрование ESP.
Чтобы обеспечить сервис аутентификации, включите в набор преобразование аутентификации ESP или преобразование АН.
Чтобы обеспечить аутентификацию как для данных, так и для внешнего заголовка IP, включите в набор преобразование АН.
Чтобы обеспечить аутентификацию данных (с помощью ESP или АН), можете выбрать алгоритм аутентификации MD5 или SHA (варианты НМАС).
Алгоритм SHA в общем считается более надежным, чем MD5, но работает он медленнее.
Примеры наборов преобразований
В набор преобразований может входить одно преобразование АН и не более двух преобразований ESP. Некоторые рекомендуемые наборы показаны в примерах 17.8 и 17.9.
^Пример 1^8. Шифрование Е$Р.с помощью 56-битового MS’ ^^ ‘^:^^- И аутентификация Еб^суЬмрщью SHA^ в^гуннельном. »^®^Ж*^ 'ре^м^пе yetori4»iiitoX ®6e«flwii«№dw^^
более высокую производитель^;^,' jж
esp-des esp-sha-hmac
Пример 17.9. Шифрование ES P с помощью 3DES и аутентификация ES^^;
^^^^R^ помощью SHA-1 в туннельном режиме (по умолчанию)».
^й^М> "Й|8Ьспечива«йцибб(ки^нй^^^'Х ^
esp-3des esp-sha-hmac
Замечание
Как и в маршрутизаторах Cisco, АН редко используется вместе с ESP, поскольку аутентификация предлагается преобразованиями esp-sha-hmac и esp-md5-hmac. Протокол АН несовместим также со средствами NAT (Network Address Translation — трансляция сетевых адресов) и PAT (Port Address Translation — трансляция адресов портов), поскольку последние изменяют IP-адрес в заголовке пакета TCP/IP, нарушая данные аутентификации, созданные протоколом АН. Протокол АН можно использовать только для аутентификации данных; он не защищает содержимое пакета, поскольку пакет не шифруется.
Согласование наборов преобразований
Наборы преобразований согласуются в быстром режиме второй фазы IKE на основе наборов преобразований, которые были определены ранее. Можно выбрать множество наборов преобразований, а затем указать один или несколько из них в записи криптографической карты. В рамках одной политики наборы преобразований должны размешаться от наиболее надежного к наименее надежному. Набор преобразований, определяемый записью криптографической карты, используется при согласовании параметров ассоциации защиты IPSec для защиты потока данных, указанного списком доступа соответствующей записи криптографической карты.
В ходе согласования стороны пытаются найти набор преобразований, одинаковый для обеих сторон, как показано на рис. 17.2. При наличии такого набора преобразований он выбирается и применяется для защиты соответствующего потока данных ассоциаций зашиты IPSec обеих сторон. Стороны IPSec договариваются об одном наборе преобразований для каждой ассоциации защиты (которые являются односторонними).
Шаг 3. Установка глобальных пределов существования для ассоциаций защиты IPSec
Пределы существования ассоциаций защиты IPSec определяют, как долго ассоциации зашиты IPSec остаются действительными, т.е. когда потребуется их переустановка. Бранд-
мауэр PIX Firewall поддерживает глобальное значение предела существования, применимого сразу ко всем криптографическим картам. Это глобальное значение может быть изменено в соответствующей записи криптографической карты. Пределы существования применимы только к ассоциациям защиты, создаваемым посредством IKE. Созданные вручную ассоциации защиты не прекращают своего существования автоматически. Перед тем как ассоциация защиты прекратит свое существование, ведутся переговоры о создании новой, чтобы обеспечить непрерывность потока данных.
transform-set secure esp-3des tunneltransform-set idsecure esp-des, ah-sha-hmac tunneltransform-set vrysecure esp-3des, ah-sha-hmac, esp-sha-hmactunneltransform-set secure esp-3des tunneltransform-set idsecure esp-des, ah-sha-hmac tunneltransform-set vrysecure esp-3des, ah-sha-hmac, esp-sha-hmactunneltransform-set 3d esp-3des tunneltransform-set espah esp-des, ah-md5-hmac tunneltransform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac tunneltransform-set 3d esp-3des tunneltransform-set espah esp-des, ah-md5-hmac tunneltransform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac tunnel
transform-set secure esp-3des tunnel
transform-set idsecure esp-des, ah-sha-hmac tunnel
transform-set vrysecure esp-3des, ah-sha-hmac, esp-sha-hmac
tunnel
transform-set secure esp-3des tunnel
transform-set idsecure esp-des, ah-sha-hmac tunnel
transform-set vrysecure esp-3des, ah-sha-hmac, esp-sha-hmac
tunnel
transform-set 3d esp-3des tunnel
transform-set espah esp-des, ah-md5-hmac tunnel
transform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac tunnel
transform-set 3d esp-3des tunnel
transform-set espah esp-des, ah-md5-hmac tunnel
transform-set strong esp-3des, ah-sha-hmac, esp-sha-hmac tunnel
Puc. 17.2. Согласование набора преобразований двумя сторонами IPSec
Изменить глобальные значения пределов существования ассоциаций защиты IPSec можно с помощью команды конфигурации crypto ipsec security-association lifetime. Чтобы снова установить глобальное значение пределов существования (по умолчанию), используйте эту же команду с префиксом по. Указанная команда имеет следующий синтаксис:
crypto ipsec security-association lifetime {seconds секунды |
kilobytes килобайты}
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
seconds секунды
Указывает время (в секундах), в течение которого ассоциация защиты будет существовать, до того как станет недействительной. По умолчанию соответствующее значение равно 28800 секундам (8 часов)
kilobytes килобайты
Указывает объем данных (в килобайтах), который могут передать стороны IPSec в рамках данной ассоциации защиты, до того как она станет недействительной. По умолчанию используется значение, равное 4608000 Кбайт (1 час при 10 Мбайт/с)
Специалисты Cisco советуют использовать значения, установленные по умолчанию. Иные значения для ассоциаций защиты IPSec можно указать с помощью криптографических карт, как будет объясняться ниже в разделе “Настройка криптографических карт”.
Примеры установки глобальных пределов для ассоциаций защиты IPSec
Одним из общих принципов криптоанализа является то, что при наличии достаточного времени или достаточного объема данных, защищенных одним ключом шифрования, противник может вычислить соответствующий ключ. По мере развития методов криптоанализа время эффективного использования ключа уменьшается. Брандмауэр PIX Firewall позволяет настроить параметры продолжительности существования ключей с помощью команды crypto ipsec security-association lifetime. Рассмотрим вариант установки глобального предела существования для ассоциаций защиты IPSec, показанный в примере 17.10.
■ Пример 17.10. Установка глобального предела существования для ассоциаций защиты IPSec
crypto ipsec security-association lifetime kilobytes 1382400
Указанный предел существования соответствует передаче данных со скоростью около 3 Мбит/с в течение одного часа и вполне подходит для брандмауэра PIX Firewall, размещенного за маршрутизатором периметра с WAN-интерфейсом Е1, связанным с поставщиком услуг Internet, обеспечивающим скорость передачи 2.048 Мбит/с. В примере 17.11 указан предел времени существования, равный 15 минутам, который, пожалуй, слишком мал, но ограничивает и время, предоставляемое противнику для взлома ключа.
crypto ipsec security-association lifetime seconds 900
Перед тем как ключ прекратит свое существование, протокол IKE согласует следующий на основе имеющихся значений пределов существования для ассоциаций защиты IPSec, чтобы обеспечивалась непрерывность перехода от ключа к ключу без разрыва соединения.
Шаг 4. Создание криптографических карт
Для IPSec необходимо создать соответствующие записи криптографических карт, чтобы установить ассоциации защиты для потоков данных, подлежащих шифрованию. Записи криптографических карт, создаваемые для IPSec, устанавливают параметры ассоциаций защиты, связывая вместе следующие элементы IPSec:
тип трафика, подлежащего защите средствами IPSec (список шифрованного доступа);
степень детализации трафика, защищаемого множеством ассоциаций защиты;
направление, в котором должен отсылаться защищенный с помощью IPSec трафик (параметры удаленной стороны IPSec);
локальный адрес, используемый для трафика IPSec;
тип защиты IPSec, применяемый к данному потоку (наборы преобразований);
метод создания ассоциаций защиты: вручную или с помощью IKE;
пределы существования ассоциаций защиты IPSec;
другие параметры, которые могут понадобиться при создании ассоциаций защиты IPSec.
В следующих разделах будут рассмотрены параметры криптографических карт, команда crypto шар, возможности конфигурации криптографических карт и соответствующие примеры.
Параметры криптографических карт
К одному интерфейсу можно применить только один набор записей криптографической карты, который может включать комбинацию ассоциаций защиты IPSec, установленных как с помощью IKE, так и вручную. Несколько интерфейсов могут использовать один и тот же набор записей криптографической карты, если к нескольким интерфейсам применяется одна политика.
Если требуется создать более одной записи криптографической карты для одного интерфейса, используйте для записей порядковые номера, чтобы выстроить их по приоритету: при этом меньшие номера означают высший приоритет. В рамках интерфейса, с которым связан набор записей криптографической карты, трафик сначала оценивается записями с высшим приоритетом. Необходимость в создании множества записей криптографической карты для одного интерфейса возникает в следующих ситуациях.
Имеются потоки данных, которые должны обрабатываться разными сторонами IPSec.
Необходимо обеспечить разные уровни защиты IPSec различным типам трафика (направленного одной стороне или разным сторонам IPSec) — например, если трафик между одним множеством подсетей должен быть аутентифицирован, а трафик между другим множеством подсетей необходимо и аутентифицировать, и шифровать. В этом случае разные типы трафика должны быть определены в двух отдельных списках доступа, а в криптографической карте для каждого из этих списков доступа должны быть созданы отдельные записи.
Некоторые ассоциации защиты устанавливаются вручную (а не с помощью IKE), но их необходимо связать с условиями коллективного доступа. В этом случае следует создать отдельные списки доступа (по одному для каждого разрешения) и указать отдельную запись криптографической карты для каждого из этих списков доступа.
Резервные шлюзы
В криптографической карте можно указать несколько удаленных сторон, чтобы иметь возможность использовать резервные шлюзы. Если одна из сторон не ответит, ей найдется альтернатива. С какой из сторон при этом свяжется ваш брандмауэр PIX Firewall, — зависит от того, какую информацию уже получил брандмауэр (данные или сообщение запроса) для соответствующего потока данных. Если попытка оказывается неудачной для одной стороны, процесс IKE пытается связаться со следующей, в соответствии со списком криптографической карты.
Если параметры криптографической карты, гарантирующие совместимость с параметрами других сторон, неизвестны, используйте динамические криптографические карты. Их удобно использовать, когда установка туннелей IPSec инициируется удаленной стороной (например, размещенным перед сервером брандмауэром PIX Firewall, выполняющим функции IPSec). Динамические криптографические карты неприменимы, когда установка туннелей IPSec инициируется локально, поскольку они являются лишь шаблонами политики защиты, а не ее завершенными вариантами.
Запись динамической криптографической карты является, по существу, записью обычной криптографической карты, в которой определены не все параметры. Она служит шаблоном политики, в котором отсутствующие параметры динамически определяются позже (в результате согласования IPSec), чтобы обеспечивалось соответствие требований сторон. Это позволяет сторонам обмениваться данными IPSec с брандмауэром PIX Firewall даже в том случае, когда брандмауэр PIX Firewall не имеет специальной записи криптографической карты, соответствующей требованиям второй стороны.
Настройка криптографических карт
Команда конфигурации crypto map используется для создания или изменения записей криптографических карт. Записи криптографической карты, ссылающиеся на динамические карты, должны быть записями с самым низким приоритетом (т.е. должны иметь наивысшие значения порядковых номеров). Чтобы удалить запись или набор записей криптографической карты, используйте данную команду с префиксом по. Указанная команда имеет следующий синтаксис:
crypto map имя-карты порядк-иомер {ipsec-isakmp | ipsec-manual}
[dynamic имя-дииамич-карты{
crypto map имя-карты порядк-иомер match address имя-списка-доступа
crypto map имя-карты порядк-иомер set peer {имя-хоста | ip-адрес}
crypto map имя-карты порядк-иомер set pfs [groupl | group2]
crypto map имя-карты порядк-иомер set security-association lifetime {seconds секунды | kilobytes килобайты^
crypto map имя-карты порядк-иомер set transform-set имя-иабора!
[имя-иабораб]
crypto map имя-карты client authentication имя-сервера-ааа
crypto map имя-карты client configuration address {initiate | respond}
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя-карты
Имя, присваиваемое набору записей криптографической карты
порядк-иомер
Номер, присваиваемый записи криптографической карты
ipsec-manual
Указывает, что для защиты трафика, определяемого новой записью криптографической карты, при создании ассоциаций защиты IPSec не будет использоваться IKE
ipsec-isakmp
Указывает, что для защиты трафика, определяемого новой записью криптографической карты, при создании ассоциаций защиты IPSec будет использоваться IKE
dynamic
(необязательный) Говорит о том, что запись криптографической карты ссылается на уже существующую динамическую карту. При использовании этого ключевого слова, команды режима конфигурации криптографической карты недоступны
Параметр команды
Описание
имя-динамич-карты
(необязательный) Указывает имя набора записей динамической криптографической карты, используемого в качестве шаблона политики защиты
match address
Указывает список доступа для записи криптографической карты
имя- списка -доступа
Идентифицирует именованный список шифрованного доступа. Имя должно совпадать со значением параметра name соответствующего именованного списка шифрованного доступа
set peer
Указывает сторону IPSec в записи криптографической карты. Повторяя эту команду, можно указать несколько сторон. (Стороной является интерфейс, определающий конечную точку связи IPSec)
имя-хоста
Идентифицирует сторону по имени хоста. Это имя стороны, связанное с именем домена (например, myhost.example.com)
ip-адрес set pfs
Идентифицирует сторону по ее IP-адресу
Указывает, что протокол IPSec должен запросить опцию PFS (Perfect Forward
Secrecy — совершенная прямая секретность). Если опция PFS активизирована, то каждый раз при согласовании новой ассоциации защиты выполняется новый обмен Диффи-Хеллмана. Опция PFS обеспечивает дополнительную защиту создаваемым секретным ключам за счет снижения производительности системы
groupl
Указывает, что в дальнейшем при обмене Диффи-Хеллмана в рамках IPSec должна использоваться 768-битовая группа Диффи-Хеллмана. Используется с преобразованием esp-des
group2
Указывает, что в дальнейшем при обмене Диффи-Хеллмана в рамках IPSec должна использоваться 1024-битовая группа Диффи-Хеллмана. Используется с преобразованием esp-3des
seconds секунды
Указывает время (в секундах), в течение которого ассоциация защиты будет существовать, до того как станет недействительной. По умолчанию соответствующее значение равно 3600 секундам (одному часу)
kilobytes килобайты
Указывает объем данных (в килобайтах), который могут передать стороны IPSec в рамках данной ассоциации защиты, до того как она станет недействительной. По умолчанию используется значение, равное 4608000 Кбайт. Значение предела существования ассоциации защиты, указанное в записи криптографической карты, заменяет соответствующее глобальное значение
set transform-set
Указывает, какие наборы преобразований могут использоваться с данной записью криптографической карты. Разместите наборы преобразований в порядке приоритета, причем набор с наивысшим приоритетом (обеспечивающий самую надежную защиту) следует указать первым
имя-набора
Указывает имя набора преобразований. Для записи ipsec-manual криптографической карты можно указать только один набор преобразований. Для записи ipsec- isakmp или динамической записи можно указать до шести наборов преобразований
имя-сервера-ааа
Указывает имя сервера ААА, выполняющего аутентификацию пользователя в процессе аутентификации IKE. Двумя допустимыми значениями этого параметра являются TACACS+ и RADIUS
initiate
Указывает, что брандмауэр PIX firewall пытается установить IP-адрес для удаленной стороны
respond
Указывает, что брандмауэр PIX Firewall должен принять запрос установки IP-адреса от запрашивающей стороны
Вот некоторые дополнительные рекомендации, касающиеся настройки и размещения криптографических карт:
идентифицируйте криптографическую карту с помощью ее уникального имени и соответствующего порядкового номера;
используйте ipsec-isakmp для поддержки сервера сертификации;
после ввода записей криптографической карты набор записей можно связать с интерфейсом с помощью команды crypto map имя-карты interface имя-интерфенса.
Замечание
Списки доступа для записей криптографической карты с пометкой ipsec-manual могут использовать только один оператор permit. Последующие записи будут игнорироваться. Каждый такой оператор предназначен для поддержки одного потока данных. Чтобы обеспечить поддержку множества созданных вручную ассоциаций защиты для различных видов трафика, определите несколько списков шифрованного доступа и свяжите каждый из них с отдельной записью ipsec-manual криптографической карты. Каждый такой список должен содержать только один оператор permit, определяющий защищаемый трафик.
В примере 17.12 показан вариант криптографической карты, в которой указаны два адресата, чтобы обеспечить избыточность.
SFlfSIiiiN^карта с указанием двух сторон
Pixl(config)# crypto map mymap 10 ipsec-isakmp
Pixl(config)# match address 151
Pixl(config)# set peer 192.168.2.2
Pixl(config)# set peer 192.168.3.2
Pixl(config)# set pfs groupl
Pixl(config)# set transform-set mytransform
Pixl(config)# set security-association lifetime 2700
Если с одной из сторон наладить связь не удается, используется второй адрес. Для числа сторон, указываемых в резервных целях, ограничения не предусмотрено.
Установка ключей вручную
Ассоциации защиты IPSec можно создать вручную, без использования IKE. Специалисты Cisco советуют использовать IKE, поскольку трудно обеспечить совпадение для всех значений ассоциаций защиты между сторонами. Кроме того, алгоритм Диффи-Хеллмана является значительно более надежным методом выбора общих секретных ключей. Но если требуется, можно использовать команды crypto map, чтобы вручную описать сеансовые ключи IPSec и другие параметры ассоциаций защиты для конкретной записи криптографической карты.
Ассоциации защиты, создаваемые с помощью команды crypto map, не ограничены во времени (в отличие от ассоциаций защиты, создаваемых с помощью IKE). Сеансовые ключи сторон должны при этом совпадать. Если вы измените сеансовый ключ, ассоциация защиты, использующая этот ключ, будет удалена и инициализирована вновь. Подробную информацию о настройке IPSec вручную вы найдете в разделе “Configuring Manual IPSec” главы “Configuring IPSec” руководства Configuration Guide for the Cisco Secure FIX Firewall
Шаг 5. Применение криптографических карт к интерфейсам
Следующим шагом настройки IPSec является применение созданной криптографической карты к соответствующему интерфейсу. Примените криптографическую карту к связанному с Internet интерфейсу брандмауэра PIX Firewall с помощью команды crypto map в режиме конфигурации. Используйте эту команду с префиксом по, чтобы удалить криптографическую карту с интерфейса. Указанная команда имеет следующий синтаксис:
crypto map имя-карты interface нмя-ннтерфейса
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
имя-карты interface имя-ннтерфейса
Имя набора записей криптографической карты
Указывает интерфейс, который брандмауэр PIX Firewall будет использовать для идентификации (представления себя удаленной стороне). Если активизирован протокол IKE и вы используете центр сертификации, то это должен быть интерфейс с адресом, указанным в сертификате, выданном сервером СА
Туннели IPSec могут заканчиваться на любом интерфейсе брандмауэра PIX Firewall. Но это не значит, что трафик, приходящий извне, должен заканчиваться на внутреннем интерфейсе. На внутреннем интерфейсе должен заканчиваться трафик внутренней сети. Трафик, приходящий извне, должен заканчиваться на внешнем интерфейсе. А интерфейс ДМ3 должен быть конечной точкой трафика ДМ3.
Как только вы применяете криптографическую карту, в базе данных ассоциаций защиты в памяти системы устанавливаются параметры ассоциации защиты. Соответствующие ассоциации защиты будут установлены, как только обнаружится трафик, определенный списком шифрованного доступа.
С одним интерфейсом можно связать только один набор записей криптографической карты. Если некоторые записи криптографической карты имеют одно и то же имя, но разные номера, они считаются частью одного набора и применяются все к интерфейсу. Запись криптографической карты с наименьшим порядковым номером имеет высший приоритет и оценивается первой.
В примере 17.13 показан вариант применения криптографической карты к внешнему интерфейсу.
тримерй7ДЗ; Применение криптографической карты к внешнему •интерфейсу
crypto map mymap interface outside
Шаг 6. Проверка конфигурации IPSec
Последним шагом настройки средств поддержки IPSec в брандмауэре PIX Firewall является проверка конфигурации IPSec с помощью подходящих для этого команд show.
Чтобы увидеть параметры всех размещенных списков доступа, воспользуйтесь командой show access-list. В примере 17.14 значение hitcnt=0 указывает на то, что не было выявлено потоков данных, требующих использования этого списка доступа.
Pix2# show access-list
access-list 101 permit ip host 192.168.2.9 host 192.168.1.9 (hitcnt=0)
С помощью команды show crypto ipsec transform-set можно узнать об определенных в настоящий момент наборах преобразований. Эта команда имеет следующий синтаксис:
show crypto ipsec transform-set [tag имя-набора^
Параметр команды представлен в следующей таблице.
Параметр команды Описание
tag имя-набора(необязательный) Показывает только набор преобразований, имеющий указанное имя
Если ключевое слово tag не используется, будут показаны все множества преобразований, размещенные в брандмауэре FIX Firewall.
В примере 17.15 показаны наборы преобразований с именами mine и vrysecure.
Pixfirewall# show crypto ipsec transform-set
Transform set mine: { esp-des } will negotiate = { Tunnel, },
Transform set vrysecure: { esp-3des ah-sha-hmac esp-sha-hmac } will negotiate = { Tunnel, },
Команду show crypto ipsec security-association lifetime можно использовать для того, чтобы выяснить глобальные значения пределов существования ассоциаций защиты IPSec. В примере 17.16 глобальные значения этих пределов оказываются равными 2305000 Кбайт и 3600 с.
Pixl# show crypto ipsec security-association lifetime
Security-association lifetime: 2305000 kilobytes/3600 seconds
С помощью команды show crypto map можно проверить конфигурацию криптографической карты. Если эту команду использовать без дополнительных ключевых слов, будут показаны все криптографические карты, размещенные в брандмауэре PIX Firewall. Синтаксис указанной команды следующий:
show crypto map [interface интерфейс | tag имя-карты^
Параметры команды описаны в следующей таблице.
В примере 17.17 показаны варианты криптографических карт для брандмауэров PIX 1 и PIX 2. Обратите внимание на то, как криптографическая карта связывает вместе все шесть характеризующих IPSec значений.
Параметр команды Описание
interface интерфейс (необязательный) Отображает набор записей криптографической карты, применяемый к указанному интерфейсу
tag имя-карты(необязательный) Отображает набор записей криптографической карты с указан
ным именем
|;Прййе|И7.;Я7£К|жлпп^а^^^
Pixl(config)# show crypto map
Crypto Map "peer2" 10 ipsec-isakmp
Peer = 192.168.2.2
access-list 101 permit ip host 192.168.1.9 host 192.168.2.9 (hitcnt=0)
Current peer: 192.168.2.2
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ pix2, }
Pix2(config)t show crypto map
Crypto Map "peerl" 10 ipsec-isakmp
Peer = 192.168.1.2
access-list 101 permit ip host 192.168.2.9 host 192.168.1.9 (hitcnt=0)
Current peer: 192.168,1.2
Security association lifetime: 4608000 kilobytes/28800 seconds
PFS (Y/N): N
Transform sets={ pixl, }
Задача 4. Тестирование и контроль IPSec
Завершающей задачей настройки IPSec для работы с общими ключами является проверка того, что параметры IKE и IPSec были указаны правильно и вся система работает должным образом. Брандмауэр PIX Firewall предлагает ряд команд show, clear и debug, которые оказываются полезными для проверки и контроля IKE и IPSec. Эти команды и будут обсуждаться в данном разделе.
Проверка конфигурации и функционирования IKE
Чтобы проверить конфигурацию и действие IKE, можно использовать команды, описанные в табл. 17.4.
Таблица 17.4. Команды, применяемые для проверки IKE .
КомандаОписание
show isakmpОтображает параметры политик IKE в формате, подобном формату команды write
terminal
show isakmp policy Отображает параметры созданных и принятых по умолчанию политик IKE
Проверка конфигурации и функционирования IPSec
Чтобьг проверить конфигурацию и действие IPSec в брандмауэре PIX Firewall, можно использовать команды, описанные в табл. 17.5.
[таблица 17.5. Команды, применяемые для проверки IPSec
Команда
Описание
show access-list
Выводит список операторов access-list, заданных в конфигурации. Используется для проверки того, что списки шифрованного доступа выделяют соответствующий трафик. Указывает число пакетов, которые соответствовали данному списку доступа
show crypto map
Отображает списки шифрованного доступа, связанные с криптографической картой. Выводит параметры размещенных криптографических карт
show crypto ipsec transform-set show crypto ipsec securityassociation lifetime
Выводит информацию о размещенных наборах преобразований IPSec
Выводит установленные глобальные значения пределов существования ассоциаций защиты IPSec
Мониторинг и управление связями IKE и IPSec
Можно осуществлять мониторинг процессов установки IKE и IPSec и управлять связями IKE и IPSec между брандмауэром PIX Firewall и другими сторонами IPSec с помощью команд, описанных в табл. 17.6.
^При*
меняемые для проверки IKE и IPSec1
Команда
Описание
show isakmp sa
Показывает текущее состояние ассоциаций защиты IKE
show crypto ipsec sa
Показывает текущее состояние ассоциаций защиты IPSec. Полезна для проверки того, что трафик действительно шифруется
clear crypto isakmp sa
Очищает ассоциации защиты IKE
clear crypto ipsec sa
Очищает ассоциации защиты IPSec
debug crypto isakmp
Показывает связи IKE между брандмауэром PIX Firewall и сторонами IPSec
debug crypto ipsec
Показывает связи IPSec между брандмауэром PIX Firewall и сторонами IPSec
Команда show isakmp sa полезна для просмотра информации о всех существующих ассоциациях защиты IKE объекта IPSec, как показано в примере 17.18.
conn-id slot930conn-id slot930
conn-id slot
930
conn-id slot
930
Pixl# show isakmp sa dstsrcstate
192.168.1.2192.168.2.2 QM_IDLE
Команда clear isakmp очищает активные соединения IKE, как показано в примере 17.19.
Пример 17.19. Команда clear isakmp, используемая для очистки активных !; соединений IKE1 v-
Pixlt show crypto isakmp sa dstsrcstate conn-id slot
192.168.1.2192.168.2.2 QM_IDLE930
Pixlt clear crypto isakmp 93 2w4d: ISADB: reaper checking SA, Pixlt show crypto isakmp sa dstsrcstate conn-id slot
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Задача планирования для IPSec должна включать определение типов трафика для шифрования, хостов и сетей, которым требуется защита, и шлюзов IPSec, в которых должны заканчиваться туннели.
Команда isakmp policy используется для того, чтобы указать использование общих ключей для аутентификации и определить параметры политики IKE.
Выбор преобразований IPSec означает выбор между степенью защиты и производительностью системы.
Преобразования IPSec группируются в наборы, а сами наборы могут быть сгруппированы в криптографических картах, где сначала указываются наборы преобразований, обеспечивающие наиболее сильную защиту.
Списки шифрованного доступа действуют подобно исходящим спискам доступа, но permit в списках шифрованного доступа означает шифрование.
Между списками шифрованного доступа соответствующих сторон должно быть “зеркальное” соответствие.
Криптографические карты объединяют элементы конфигурации IPSec и применяются к интерфейсам, открывая возможность создания ассоциаций защиты IPSec.
Любой интерфейс брандмауэра PIX Firewall может служить конечной точкой туннелей IPSec для трафика, поступающего на этот интерфейс.
Команда show crypto шар показывает все параметры IPSec, используемые для установки ассоциаций защиты IPSec.
Процедуры и команды конфигурации брандмауэров PIX Firewall и маршрутизаторов Cisco приблизительно одинаковы. Основное различие заключается в том, что команды брандмауэра PIX Firewall не имеют подчиненных режимов.
Практическое занятие. Настройка средств IPSec брандмауэра PIX Firewall для работы с общими
ключами
В ходе этого практического занятия будет выяснено, как настроить средства поддержки IPSec в сети гипотетической компании XYZ. Прочитайте план практического занятия, рассмотрите схему топологии сети, ознакомьтесь с политикой защиты, а затем проанализируйте предлагаемые примеры конфигурации, чтобы увидеть, как требования политики защиты реализуются в виде команд брандмауэра PIX Firewall.
План практического занятия
' Компания XYZ хотела бы использовать брандмауэры PIX Firewall для создания защищенной сети VPN между узлами, связанными через Internet. Вашей задачей является настройка шлюза защиты VPN, использующего связь IPSec между двумя брандмауэрами PIX Firewall с применением согласованных общих ключей и позволяющего доступ к Web-серверу.
Топология
На рис. 17.3 показана схема части сети компании XYZ, настройки которой будут обсуждаться в ходе этого практического занятия. В центре внимания будут находиться брандмауэры PIX Firewall взаимодействующих сторон.
Политика защиты сети
Политика сетевой защиты, которую намерена реализовать компания XYZ, заключается в следующем.
Необходимо использовать Internet, чтобы связать сеть удаленного подразделения с корпоративной сетью и обеспечить возможность передачи данных.
Необходимо аутентифицировать трафик между корпоративной сетью и филиалами, чтобы никто не мог модифицировать или фальсифицировать пакеты во время их передачи.
Для аутентификации необходимо использовать заранее согласованные общие ключи IKE и алгоритм MD5.
Целостность потока данных между корпоративной сетью и филиалами через Internet должно обеспечивать шифрование DES с 56-битовым ключом.
Трафик Web между внутренними серверами NT всех узлов должен шифроваться.
internetinternetWebWeb192.168.255.2192.168.255.2Обозре- Сервер ватель сертификацииОбозре- Сервер ватель сертификацииМаршрутизатор периметраМаршрутизатор периметраWeb-cepsep Internet 176.16.1.20Web-cepsep Internet 176.16.1.20Удаленное подразделение 172.16.2.1Удаленное подразделение 172.16.2.1s0172.16.1.1 ,2e1s0172.16.1.1 ,2e1192.168.1.0/24192.168.1.0/24.3.3Бастионный хостБастионный хостБастионный хостБастионный хост"Грязная"ДМ3"Грязная"ДМ3.1e0.1e0Брандмауэр PIXБрандмауэр PIXУдаленный доступУдаленный доступУдаленный клиентУдаленный клиент10.1.2.0 СеРвеР сетевого доступа10.1.2.0 СеРвеР сетевого доступаКлиент СерверКлиент СерверeO 10.1.1.1eO 10.1.1.1J ®2192.168.11.0/24 ЗащищеннаяJ ®2192.168.11.0/24 Защищенная,3e1,3e1Бастионный хостБастионный хостДМ3ДМ3Бастионный хостБастионный хостСбытСбытСервер SMTPСервер SMTPNT 1: Сервер CiscoSecure ACS, Web, FTP, TFTP, syslogNT 1: Сервер CiscoSecure ACS, Web, FTP, TFTP, syslogМаршрутизатор территориальной сетиМаршрутизатор территориальной сетиСервер DNSСервер DNS101Л0 .ИС .101101Л0 .ИС .101
internet
internet
Web
Web
192.168.255.2
192.168.255.2
Обозре- Сервер ватель сертификации
Обозре- Сервер ватель сертификации
Маршрутизатор периметра
Маршрутизатор периметра
Web-cepsep Internet 176.16.1.20
Web-cepsep Internet 176.16.1.20
Удаленное подразделение 172.16.2.1
Удаленное подразделение 172.16.2.1
s0172.16.1.1 ,2e1
s0172.16.1.1 ,2e1
192.168.1.0/24
192.168.1.0/24
.3
.3
Бастионный хост
Бастионный хост
Бастионный хост
Бастионный хост
"Грязная"
ДМ3
"Грязная"
ДМ3
.1e0
.1e0
Брандмауэр PIX
Брандмауэр PIX
Удаленный доступ
Удаленный доступ
Удаленный клиент
Удаленный клиент
10.1.2.0 СеРвеР сетевого доступа
10.1.2.0 СеРвеР сетевого доступа
Клиент Сервер
Клиент Сервер
eO 10.1.1.1
eO 10.1.1.1
J ®2192.168.11.0/24 Защищенная
J ®2192.168.11.0/24 Защищенная
,3e1
,3e1
Бастионный хост
Бастионный хост
ДМ3
ДМ3
Бастионный хост
Бастионный хост
Сбыт
Сбыт
Сервер SMTP
Сервер SMTP
NT 1: Сервер CiscoSecure ACS, Web, FTP, TFTP, syslog
NT 1: Сервер CiscoSecure ACS, Web, FTP, TFTP, syslog
Маршрутизатор территориальной сети
Маршрутизатор территориальной сети
Сервер DNS
Сервер DNS
101Л0 .ИС .101
101Л0 .ИС .101
Puc. 17.3. Компании XYZ требуется создать конфигурацию шлюза защиты VPN между брандмауэрами PIX Firewall
Пример конфигурации для брандмауэра PIX 1
Рассмотрим вариант конфигурации брандмауэра PIX 1 в сети компании XYZ, показанный в примере 17.20. В этом примере реализуются описанные выше требования политики защиты для IPSec. Здесь показана одна из возможных конфигураций, реализующих данную политику. Можно настроить брандмауэр иначе, обеспечив выполнение тех же требований. Обратите внимание на комментарии, объясняющие связь команд конфигурации с конкретными требованиями политики защиты. В данном примере показана конфигурация для брандмауэров PIX 515. Команды, связанные с неиспользуемыми интерфейсами, и другие не относящиеся к рассматриваемому вопросу команды были из листинга удалены.
p 17.20. Вариант конфигурации для брандмауэра PIX1
/ Настройка IP-адресов для всех интерфейсов брандмауэра PIX Firewall ip address outside 192.168.1.1 255.255.255.0
ip address inside 10.1.1.3 255.255.255.0
ip address dmz 192.168.11.1 255.255.255.0
global (outside) 1 192.168.1.10-192.168.1.254 netmask 255.255.255.0
/ Создание глобального пула на внешнем интерфейсе, активизация NAT. nat (inside) 1 10.0.0.0 255.0.0.0 0 0
/ Создание статической трансляции между глобальным и внутренним адресами
/ сервера Windows NT.
static (inside,outside) 192.168.1.10 10.1.1.4 netmask 255.255.255.255 0 0
I Список шифрованного доступа указывает, что трафик между внутренними серверами
! Windows NT за брандмауэрами PIX должен шифроваться.
/ IP-адреса источника и получателя являются глобальными IP-адресами статик.
1 Списки доступа брандмауэров демонстрируют зеркальное соответствие.
access-list 101 permit ip host 192.168.1.10 host 192.168.2.10
/ Каналы позволяют доступ ICMP и Web с целью тестирования.
conduit permit icmp any any
conduit permit top host 192.168.1.10 eq ww any
route outside 0.0.0.0 0.0.0.0 192.168.1.2 1
/ Разрешение IPSec обойти список доступа и другие ограничения.
sysopt connection permit-ipsec
/ Определяет использование esp-des в наборе преобразований криптографической карты.
crypto ipsec transform-set pix2 esp-des
crypto map peer2 10 ipsec-isakmp
/ Определяет криптографическую карту.
crypto map peer2 10 match address 101
.' Определяет удаленную сторону в криптографической карте путем указания IP-адреса
1 внешнего интерфейса удаленного брандмауэра PIX.
crypto map peer2 10 set peer 192.168.2.1
/ Определяет использование данного набора преобразований в криптографической карте. crypto map peer2 10 set transform-set pix2
I Связывает криптографическую карту с внешним интерфейсом брандмауэра PIX.
i Как только криптографическая карта связывается с интерфейсом, / политики IKE и IPSec становятся активными.
crypto map peer2 interface outside
/ Активизирует IKE на внешнем интерфейсе.
isakmp enable outside
I Определяет общий ключ IKE.
isakmp key cisco!23 address 192.168.2.1 netmask 255.255.255.255
/ Определяет политику IKE, использующую общие ключи для аутентификации.
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash sha
/ Определяет использование группы 1 Диффи-Хеллмана. Можно было бы использовать группу 2,
I обеспечивающую более сильную защиту вместе с преобразованием esp-3des,
I но для этого потребуется больше процессорного времени.
isakmp policy 10 group 1
I Определяет параметры длительности существования IKE.
isakmp policy 10 lifetime 86400
Пример конфигурации для брандмауэра PIX 2
В примере 17.21 показан вариант конфигурации для брандмауэра PIX 2.
пример 17.21 .Вариант конфигурации длябрандмауэра PIX 2•
/ Настройка IP-адресов для всех интерфейсов брандмауэра PIX Firewall.
ip address outside 192.168.2.1 255.255.255.0
ip address inside 10.2.1.3 255.255.255.0
ip address dmz 192.168.12.1 255.255.255.0
global (outside) 1 192.168.2.10-192.168.2.254 netmask 255.255.255.0
/ Создание глобального пула на внешнем интерфейсе, активизация NAT. nat (inside) 1 10.0.0.0 255.0.0.0 0 0
/ Создание статической трансляции между глобальным и внутренним адресами
! сервера Windows NT.
static (inside,outside) 192.168.2.10 10.2.1.4 netmask 255.255.255.255 0 0
/ Список шифрованного доступа указывает, что трафик между внутренними серверами
1 Windows NT за брандмауэрами PIX должен шифроваться. IP-адреса источника н получателя
I являются глобальными IP-адресами статик. Списки доступа
/ брандмауэров PIX 1 и PIX 2 являются зеркальными отражениями друг друга. access-list 101 permit ip host 192.168.2.10 host 192.168.1.10
/ Каналы позволяют доступ ICMP н Web с целью тестирования.
conduit permit icmp any any
conduit permit top host 192.168.2.10 eq www any route outside 0.0.0.0 0.0.0.0 192.168.2.2 1 ! Разрешение iPSec обойти список доступа и другие ограничения. sysopt connection permit-ipsec
I Определяет использование esp-des в наборе преобразований криптографической карты. crypto ipsec transform-set pixl esp-des crypto map peerl 10 ipsec-isakmp
I Определяет криптографическую карту. crypto map peerl 10 match address 101 / Определяет удаленную сторону в криптографической карте путем указания IP-адреса ! внешнего интерфейса удаленного брандмауэра PIX.
crypto map peerl 10 set peer 192.168.1.1
! Определяет использование данного набора преобразований в криптографической карте. crypto map peerl 10 set transform-set pixl
! Связывает криптографическую карту с внешним интерфейсом брандмауэра PIX.
! Как только криптографическая карта связывается с интерфейсом, 1 политики IKE и IPSec становятся активными.
crypto map peerl interface outside
! Активизирует IKE на внешнем интерфейсе.
isakmp enable outside
! Определяет общий ключ IKE.
isakmp key cisco!23 address 192.168.2.2 netmask 255.255.255.255
/ Определяет политику IKE, использующую общие ключи для аутентификации.
isakmp policy 10 authentication pre-share
isakmp policy 10 encryption des
isakmp policy 10 hash sha
/ Определяет использование группы 1 Диффи-Хеллмаиа. Можно было бы использовать группу 2,
! обеспечивающую более сильную защиту вместе с преобразованием esp-3des,
/ но для этого потребуется больше процессорного времени.
isakmp policy 10 group 1
Определяет параметры длительности существования IKE.
isakmp policy 10 lifetime 86400
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Укажите преимущества и недостатки использования согласованных общих ключей для аутентификации.
Какая команда используется для ввода общих ключей?
Как можно увидеть параметры политик IKE в конфигурации брандмауэра PIX?
Как активизировать IKE для одного интерфейса, но не для другого?
Сколько преобразований может быть определено в одном наборе?
Как задать пределы существования ассоциации защиты IPSec в брандмауэре PIX Firewall?
Какая команда используется для определения трафика, подлежащего защите?
Когда инициализируются ассоциации защиты IPSec при использовании IKE?
Как можно увидеть информацию о событиях IKE, происходящих при обмене между сторонами IPSec?
Почему IKE не удается успешно завершить согласование общих ключей для следующих примеров конфигурации (рис. 17.22 и 17.23)?
crypto isakmp policy 100
authentication rsa-sig
group 2
lifetime 5000
crypto isakmp policy 200
hash md5
authentication pre-share
crypto isakmp policy 300
authentication rsa-encr
lifetime 10000
Пример 17.23. PIX2Пример 17.23. PIX2
Пример 17.23. PIX2
Пример 17.23. PIX2
crypto isakmp policy 100 authentication rsa-sig group 1 lifetime 5000
crypto isakmp policy 200 authentication rsa-sig lifetime 10000
crypto isakmp policy 300 hash sha
authentication pre-share
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Чтобы выяснить подробности, касающиеся настройки средств IPSec в брандмауэре PIX Firewall, обратитесь к руководству Configuration Guide for the Cisco Secure PIX Firewall, PIX Firewall Release 5.1. Наиболее информативными являются следующие главы этого руководства.
Configuring IPSec. Предлагает обзор возможностей настройки IPSec и описания соответствующих процедур настройки.
Command Reference. Содержит подробные описания команд брандмауэра PIX Firewall.
Configuration Examples. Предлагает примеры конфигурации IPSec для брандмауэра PIX Firewall.
ть следую«весе настрой)ть следую«весе настрой)Изучив материал данной главы, высмо:
ть следую
«весе настрой)
ть следую
«весе настрой)
центра сертифм^ХИй в маршрутизаторах и брандмауэрах PIX Firewall.Настроит^ ^р^гства поддержки центра сертификации в маршрутизаторах Ciscoцентра сертифм^ХИй в маршрутизаторах и брандмауэрах PIX Firewall.Настроит^ ^р^гства поддержки центра сертификации в маршрутизаторах CiscoНастроить расширенные*возможности‘*аутентификации IPSec в брандмауэ $ PLXRre^ill.Настроить расширенные*возможности‘*аутентификации IPSec в брандмауэ $ PLXRre^ill.торе Cisco!торе Cisco!и.
центра сертифм^ХИй в маршрутизаторах и брандмауэрах PIX Firewall.
Настроит^ ^р^гства поддержки центра сертификации в маршрутизаторах Cisco
центра сертифм^ХИй в маршрутизаторах и брандмауэрах PIX Firewall.
Настроит^ ^р^гства поддержки центра сертификации в маршрутизаторах Cisco
Настроить расширенные*возможности‘*аутентификации IPSec в брандмауэ $ PLXRre^ill.
Настроить расширенные*возможности‘*аутентификации IPSec в брандмауэ $ PLXRre^ill.
торе Cisco!
торе Cisco!
tip*Я?я
Пров^итьфравильность функциониров разместить динамическиекриптографич 'брандмауэрах PIX EirewalL
•^Настроить параметры режима IPSec в
^PIXFiAt™ *'
средств поддержки центра серти-средств поддержки центра серти-е карты вмаршруЪйаторах Cisco ие карты вмаршруЪйаторах Cisco ийаторах Cisco и ^шцшауэрахйаторах Cisco и ^шцшауэрахйния конечных точек туннелей в маршрутизайния конечных точек туннелей в маршрутизаастроитБ*средства распозг
средств поддержки центра серти-
средств поддержки центра серти-
е карты вмаршруЪйаторах Cisco и
е карты вмаршруЪйаторах Cisco и
йаторах Cisco и ^шцшауэрах
йаторах Cisco и ^шцшауэрах
йния конечных точек туннелей в маршрутиза
йния конечных точек туннелей в маршрутиза
Глава
18
^Масштабирование сетей IPSec
>й главе объясняется, как настроить сети IPSec, состоящие из маршрутизато- Xgi брандмауэров PIX Firewall, чтобы они обладали хорошими возможностями Цицания и могли поддерживать большое число взаимодействующих сторон ' вая при этом надежную и управляемую защиту. Глава начинается с
В|
^-ров (^ масщ-
N.
конеч
позн
как настроить средства поддержки центра сертификации (сервера чить возможность использования цифровых подписей RSA для ау; В этой же главе объясняется, как настроить маршрутизатор Cisco Firewall для поддержки удаленного доступа с помощью клиента заканчивается обсуждением того, как настроить средства рас- чек туннелей.
: центров сертификации в марф^т%заторах и брандмауэрах
^ объж «зато
этом разд<
ка
и в ки
мандахи е задачи; й главе вкра ги, и бс центре исание
15, “П различных
дет
ЦИИ
маршрут каж^го
ние
мы
вах дер
сертифи Задача ши
,ется, как настроить средства поддержки центров сертифи- 1 Cisco и брандмауэрах PIX Firewall. В целом процедуры на- стройств примерно одинаковы, имеются лишь небольшие интаксисе.
вия не зависят от выбираемого метода аутентификации. В саны процедуры, которые были представлены в других гла- но рассматриваются действия, требующиеся только для под- ации или имеющие какие-то особенности.
вера СА (Certificate Authority — центр сертификации) вы най-
Структура открытых ключей и поддержка центров сертифика- ржка IPSec в сетях Cisco”.
ах процесса настройки конфигурации IPSec для поддержки цен- ешаются следующие задачи.
товка к использованию IPSec. Определение деталей политики
: выбор метода аутентификации, выяснение параметров сервера фикация хостов и сетей, которые необходимо защитить, определе- ктеристик сторон IPSec, возможностей IPSec, которые будут необходи- также проверка того, что существующие списки доступа, применяемые ильтрования пакетов, позволяют использовать IPSec.
Задача 2. Настройка средств поддержки центров сертификации. Установка значений имен устройств Cisco и соответствующих доменов, генерирование ключей, описание сервера СА, аутентификация и запрос собственных сертификатов.
Задача 3. Настройка ЖЕ для IPSec. Активизация средств ЖЕ, создание политики IKE и проверка правильности выбранной конфигурации. После этого IKE может установить ассоциации защиты IPSec, позволяющие открыть сеансы IPSec.
Задача 4. Настройка IPSec. Определение наборов преобразований, создание списков шифрованного доступа и криптографических карт, а также применение криптографических карт к соответствующим интерфейсам. Выполняемые при этом действия аналогичны действиям, описанным в предыдущих главах (за исключением выбираемого метода аутентификации), и поэтому не обсуждаются в данной главе.
Задача 5. Проверка конфигурации VPN. Использование show, debug и других аналогичных команд для проверки правильности шифрования IPSec и решения возможных проблем.
В следующих разделах каждая из этих задач конфигурации будет обсуждаться подробно.
Задача 1. Подготовка к использованию IPSec
Для успешного масштабирования сети VPN на основе IPSec требуется тщательно спланировать процесс настройки конкретных маршрутизаторов Cisco, брандмауэров PIX Firewall и других объектов IPSec. Настройка параметров шифрования IPSec может оказаться достаточно сложным делом. Необходимо начать с определения деталей политики защиты IPSec, основываясь на общей политике защиты компании. Такое планирование предполагает выполнение следующих шагов.
Шаг 1. Определение политики IKE (первая фаза IKE, основной режим). Определение политик ЖЕ для сторон IPSec в зависимости от числа и размещения сторон.
Шаг 2. Планирование поддержки центров сертификации. Определение параметров сервера СА (сервер сертификации). Это означает, в частности, выяснение типа используемого сервера СА, его IP-адреса и возможностей контакта с администратором.
Шаг 3. Определение политики IPSec (вторая фаза ЖЕ, быстрый режим). Выяснение таких параметров сторон IPSec, как IP-адреса и допустимые режимы IPSec. Настройка криптографических карт, объединяющих все элементы политики IPSec.
Шаг 4. Проверка текущей конфигурации. Использование подходящих команд конфигурации маршрутизатора Cisco или брандмауэра PIX Firewall (например, команд write terminal, show isakmp [policy] и show crypto map) для выяснения текущей конфигурации.‘
Шаг 5. Проверка работы сети без шифрования. Проверка того, что сеть работает без шифрования, чтобы избежать основных проблем маршрутизации. Для проверки сетевой связности при использовании необходимых сервисов IP можно воспользоваться командой ping.
Шаг 6. Проверка совместимости списков доступа с IPSec. Проверка того, что маршрутизаторы периметра и устройства IPSec позволяют движение трафика IPSec. На этом шаге необходимо воспользоваться командой show access-lists.
Параметры политики IKE должны быть выяснены для каждой из сторон до начала настройки IKE. На рис. 18.1 показана упрощенная топология сети компании XYZ, используемая в примерах данной главы.
Центр сертификации 192.168.255.2Центр сертификации 192.168.255.2
Центр сертификации 192.168.255.2
Центр сертификации 192.168.255.2
Рис. 18.1. Топология сети компании XYZ, используемая в примерах
В табл. 18.1 представлены детали политики IKE, которые будут размещены в примерах этой главы.
Таблица 18.1. Пример политики IKE для маршрутизатора Cisco #,
и брандмауэра FIX FirewallЙ
ПараметрПараметрЗначение для стороны А Значение для стороны В
Параметр
Параметр
Алгоритм шифрования сообщенийDES
Алгоритм гарантии целостности (алгоритмMD5
хэширования) сообщений
Метод аутентификации сторонПодписиRSA
Параметры обмена ключами (идентификаторГруппа1(768-битовая группа
группы Диффи-Хеллмана)Диффи-Хеллмана)
Предел времени существования ассоциаций 86400 (значение защиты, установленных с помощью IKEпо умолчанию)
IP-адрес маршрутизатора Cisco удаленной192.168.2.2
стороны
IP-адрес брандмауэра PIX Firewall удален-172.16.2.1
ной стороны
DES
MD5
Подписи RSA
Группа 1 (768-битовая группа Диффи-Хеллмана)
86400 (значение по умолчанию)
192.168.1.2
172.16.1.1
Шаг 2. Планирование поддержки центров сертификации
Это уникальный шаг рассматриваемого процесса. Лучше всего подготовить данные для настройки заранее, чтобы сразу внести их в конфигурацию, когда это потребуется. Основные задачи такого планирования заключаются в следующем.
Определение типа сервера СА, который придется использовать. Серверы СА могут иметь самые разные конфигурации и возможности. До начала действий, связанных непосредственно с настройкой вашей сети, необходимо определить, какой из них лучше всего подходит для ваших целей. Необходимо выяснить, в частности (но не только), тип требуемого ключа RSA, возможности CRL (Certificate
Revocation Lists — списки отзыва сертификатов) и поддержки режима RA (Registration Authority — центр регистрации).
Выяснение IP-адреса, имя хоста и URL для сервера СА.
Выяснение контактной информации для связи с администратором сервера СА. Если процесс настройки не является полностью автоматическим, необходимо проверить подлинность размещаемых сертификатов.
табл. 18.2 показан набор параметров сервера СА, которые будут использоваться в примерах данной главы.
Таблица 18.2. Набор параметров сервера С Ai
ПараметрЗначение для сервера СА
Тип сервера САEntrust
Имя хостаentrust-ca
IP-адрес192.168.255.2
URLwww.entrust-ca.com
Возможности контакта с администратором1-800-555-1212
Замечание
Шаги 3-6 задачи 1 идентичны тем шагам, которые выполнялись при настройке общих ключей. Подробное описание этих шагов предлагалось в разделах “Задача 1. Подготовка к использованию IPSec” глав 16 и 17.
Задача 2. Настройка средств поддержки центров сертификации
Теперь необходимо ввести специальные команды, активизирующие поддержку центров сертификации, используя параметры, определенные на стадии планирования. В этом разделе будут описаны действия, которые необходимо выполнить в процессе настройки средств поддержки центров сертификации, причем сначала будет предложен план соответствующих действий, а затем детали его реализации для маршрутизаторов Cisco и брандмауэра FIX Firewall. Процесс настройки средств поддержки сертификации в маршрутизаторах Cisco и брандмауэре FIX Firewall состоит из перечисленных ниже шагов. Эти шаги будут описаны подробнее в последующих разделах.
Перед тем как приступить непосредственно к процессу настройки средств сертификации, убедитесь в том, что таймер маршрутизатора Cisco или брандмауэра PIX Firewall установлен на текущие время, день, месяц и год. В противном случае центр сертификации может отвергнуть или, наоборот, принять сертификаты с неправильным штампом времени. Протокол PKI Cisco использует показания таймера для того, чтобы убедиться в действительности списков отозванных сертификатов (списков CRL). Показания календаря и часов маршрутизатора Cisco можно установить с помощью команды глобальной конфигурации clock timezone и команды clock set привилегированного режима ЕХЕС. Можно также (в качестве опции) заставить маршрутизатор Cisco использовать для установки времени сервер NTP (Network Time Protocol — синхронизирующий сетевой протокол). Календарь и часы брандмауэра PIX Firewall устанавливаются с помощью команды clock set.
Шаг 1. Управление использованием NVRAM (необязательный шаг). Сертификаты и списки CRL могут занимать значительную часть памяти NVRAM (Non-Volatile Random Access Memory — энергонезависимое ОЗУ) в маршрутизаторах Cisco и флэш-памяти в брандмауэрах PIX Firewall. Поэтому может понадобиться управление использованием этой памяти.
Шаг 2. Установка имен хоста и домена для маршрутизатора Cisco или брандмауэра PIX Firewall. Имена устройства и соответствующего домена используются для идентификации IKE, генерирования ключей RSA, а также в сертификатах, поэтому эти имена должны быть точно указаны.
Шаг 3. Генерирование пары ключей RSA. Ключи RSA используются для аутентификации удаленной стороны IPSec.
Шаг 4. Объявление центра сертификации. Чтобы описать центр сертификации, который должно использовать ваше внешнее устройство Cisco, воспользуйтесь командой глобальной конфигурации crypto са identity. Используйте эту команду с префиксом по, чтобы удалить всю информацию о идентификации и сертификатах, связанных с данным центром сертификации.
Шаг 5. Аутентификация центра сертификации. Устройство Cisco должно аутентифицировать центр сертификации посредством получения сертификата, содержащего открытый ключ центра сертификации и подписанного самим центром сертификации.
Шаг 6. Запрос собственного сертификата. В результате выполнения этого шага вы получите от центра сертификации сертификат своего маршрутизатора.
Шаг 7. Сохранение конфигурации. По завершении настройки параметров устройства Cisco для поддержки центров сертификации, необходимо сохранить его конфигурацию.
Шаг 8. Проверка конфигурации поддержки центров сертификации. С помощью соответствующих команд можно проверить параметры ваших сертификатов и сертификатов других сторон.
Шаг 9. Мониторинг и поддержка возможностей взаимодействия центров сертификации (необязательный шаг). Необходимость в этом шаге зависит только от ваших запросов.
Шаг1. Управление использованием памяти
Сертификаты, ключи RSA и списки CRL могут использовать значительную часть памяти NVRAM в маршрутизаторах Cisco и флэш-памяти в брандмауэрах PIX Firewall.
В некоторых случаях локальное хранение сертификатов и списков CRL не представляет проблем. Но в других случаях памяти может не хватать, особенно если ваш центр сертификации поддерживает возможности центра регистрации и большое число списков CRL, которые предполагается сохранять в вашем маршрутизаторе Cisco или брандмауэре PIX Firewall.
Чтобы сэкономить память, можно потребовать, чтобы сертификаты и списки CRL не сохранялись локально, а запрашивались у центра сертификации или сервера LDAP (Lightweght Directory Access Protocol — облегченный протокол службы каталогов). Сертификаты и списки CRL используются каждый раз при установке или обновлении ассоциаций защиты. Это позволит освободить память, но одновременно снизит производительность системы.
Чтобы указать, что сертификаты и списки CRL не должны храниться локально в вашем маршрутизаторе Cisco, а должны запрашиваться с сервера СА или LDAP, включите режим запросов с помощью команды глобальной конфигурации crypto са certificate query.
Шаг 2. Установка имен хоста и домена
Для поддержки центров сертификации нужно указать имена хоста и домена маршрутизатора Cisco или брандмауэра PIX Firewall, если это еще не было сделано. Это необходимо, потому что устройство Cisco присваивает имя FQDN (Fully Qualified Domain Name — полностью определенное доменное имя) ключам и сертификатам, используемым средствами IPSec, а имя FQDN состоит из имени хоста и соответствующего имени IP-домена. Например, имя сертификата pixl.xyz.com состоит из имени хоста pixl, присвоенного брандмауэру PIX, и имени 1Р-домена xyz.com брандмауэра PIX. Чтобы указать имена хоста и IP-домена для маршрутизаторов Cisco и брандмауэров PIX Firewall, используются команды, которые обсуждаются в следующих разделах.
В качестве опции можно определить статическое отображение имени хоста в адрес в кэше имен хостов на случай, если сервер DNS будет недоступен или не сможет обработать имя хоста удаленной стороны. Имена, которые вы определяете, формируют нечто наподобие таблицы хостов, хранящейся локально в маршрутизаторе Cisco или брандмауэре PIX Firewall.
Установка имен хоста и домена маршрутизатора Cisco
Чтобы описать или изменить имя хоста для маршрутизатора Cisco, можно использовать команду глобальной конфигурации hostname. Эта команда имеет следующий синтаксис:
hostname имя
Параметр команды представлен в следующей таблице.
Параметр командыОписание
имяУказывает новое имя хоста для маршрутизатора Cisco
Можно определить имя домена, используемое по умолчанию, т.е. имя, которое программное обеспечение Cisco IOS будет использовать для автоматического завершения неполных имен (имен, указанных без имени домена). Для этого следует воспользоваться командой глобальной конфигурации ip domain-name. Чтобы отменить использование имени домена по умолчанию, используйте эту команду с префиксом по. Указанная команда имеет следующий синтаксис:
ip domain-name имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяУказывает имя домена, используемое по умолчанию для автоматического заверше
ния неполных имен (состоящих только из имени хоста). Не включайте в соответствующую строку начальную точку, отделяющую имя хоста от имени домена
Можно также использовать команду глобальной конфигурации ip host, чтобы определить статическое отображение имени хоста в адрес в кэше имен хостов, если сервер DNS не сможет обработать имя хоста удаленной стороны. Чтобы удалить такое
статическое отображение, используйте эту команду с префиксом по. Указанная команда имеет следующий синтаксис:
ip host имя адрес! [адрес2...адрес®]
Параметры команды описаны в следующей таблице.
Параметр команды Описание
ИМЯ
Описывает имя хоста. Первый символ может быть буквой или цифрой. Если используется цифра, то имеются ограничения на операции, которые можно выполнять
адрес!
адрес2...адрес®
Указывает связанный с хостом IP-адрес
(необязательный) Указывает дополнительный связанный с хостом IP-адрес. С одним именем хоста можно связать до восьми адресов
Вариант конфигурации, показанный в примере 18.1, включает команды этого раздела, которые может использовать компания XYZ для настройки своих сетевых устройств.
Router(config)f hostname routerA
routerA(config )f ip domain-name xyz.com
routerA(config)I ip host xyzcaserver 192.168.255.2
Установка имен хоста и домена для брандмауэра PIX Firewall
Чтобы описать или изменить имя хоста для брандмауэра PIX Firewall, можно использовать команду глобальной конфигурации hostname. Эта команда имеет следующий синтаксис:
hostname имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяУказывает новое имя хоста для строки запроса брандмауэра PIX firewall. Имя может со
держать до 16 буквенно-цифровых символов как верхнего, так и нижнего регистров
Чтобы изменить имя домена IPSec, можно использовать команду domain-name. Указанная команда имеет следующий синтаксис:
domain-name имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяЗадает имя IP-домена брандмауэра PIX Firewall
Чтобы идентифицировать хост по его текстовому имени, можно использовать команду name. Имена, которые вы определяете, формируют нечто наподобие таблицы хостов, хранящейся локально в брандмауэре PIX Firewall. Указанная команда имеет следующий синтаксис:
name ip-адрес имя
Параметры команды описаны в следующей таблице.
Параметр команды Описание
ip-адресУказывает IP-адрес хоста, которому присваивается имя
имяОписывает имя, присваиваемое IP-адресу. Допустимыми символами являются a-z,
A-Z, 0-9 и символ подчеркивания. Имя не может начинаться с цифры. Если имя содержит более 16 символов, команда name генерирует сообщение об ошибке
Вариант конфигурации, показанный в примере 18.2, включает команды этого раздела, которые может использовать компания XYZ для настройки своих сетевых устройств.
i Пример 18.2. Установка имен хоста и домена для брандмауэра PIX Firewall
Pixfirewall(config)# hostname PIX1
PIX1 (config)# domain-name xyz.com
PlXl(config)# name xyzcaserver 192.168.255.2
ШагЗ. Генерирование ключей RSA
Чтобы реализовать поддержку центров сертификации, нужно сгенерировать пары ключей RSA в маршрутизаторах Cisco и брандмауэрах PIX Firewall. Пары ключей RSA используются для подписи и шифрования сообщений управления ключами IKE, и их необходимо сгенерировать до того, как вы запросите сертификат для вашего маршрутизатора Cisco или брандмауэра PIX Firewall.
По умолчанию пары ключей RSA не создаются. Если же маршрутизатор Cisco или брандмауэр PIX Firewall уже имеет ключи RSA, то при вводе команды, с помощью которой генерируются ключи, вы получите предупреждение и запрос о замене существующих ключей на новые.
Ключи RSA генерируются парами — один открытый и один личный. Открытый ключ RSA посылается серверу СА в процессе регистрации. Личный ключ сохраняется в памяти NVRAM (маршрутизатор Cisco) или флэш-памяти (брандмауэр PIX Firewall).
Перед тем как ввести команду, генерирующую пару ключей RSA, убедитесь в том, что маршрутизатору Cisco или брандмауэру PIX Firewall назначены имена хоста и 1Р-домена. Без имен хоста и домена вы не сможете создать пару ключей. Команда, используемая для создания ключей RSA, не сохраняется в конфигурации маршрутизатора Cisco или брандмауэра PIX Firewall. Но сами ключи, генерируемые этой командой, сохраняются в секретной части памяти NVRAM маршрутизатора Cisco или в файле перманентных данных в флэш-памяти брандмауэра PIX Firewall (содержимое которого никогда не открывается пользователю и который нельзя скопировать в другое устройство).
Существует два типа пар ключей RSA: пары ключей специального назначения и пары универсальных ключей. При генерировании пары ключей RSA можно указать, какого типа ключи должны быть сгенерированы. Более подробная информация о типах ключей RSA предлагается в разделе “Шаг 3. Генерирование ключей RSA” главы 16. Обратите внимание на то, что сервер сертификации Entrust требует генерирования пар ключей подписи и шифрования, хотя ключи шифрования для поддержки СА не используются.
Создание пары ключей RSA маршрутизатора Cisco
Для создания пары ключей RSA используется команда глобальной конфигурации crypto key generate rsa. Указанная команда имеет следующий синтаксис:
crypto key generate rsa [usage-keys]
Параметр команды описан в следующей таблице.
Параметр команды Описание
usage-keys(необязательный) Говорит о том, что должны быть созданы две пары ключей RSA специ
ального назначения (т.е. одна пара ключей шифрования и одна пара ключей подписи). Если это ключевое слово не указано, генерируется одна пара универсальных ключей
При вводе команды crypto key generate rsa система предлагает ввести длину модуля от 512 до 2048 байт. Чем больше длина модуля, тем больше времени потребуется для создания ключей, но в этом случае созданные ключи будут иметь более высокую степень защиты.
Подробная информация о вопросах использования команды crypto key generate rsa содержится в разделе “Шаг 3. Генерирование ключей RSA” главы 16.
Создание пары ключей RSA брандмауэра FIX Firewall
Для создания пары ключей RSA используется команда конфигурации са generate rsa. Указанная команда имеет следующий синтаксис:
са generate rsa {key | specialkey} длииа_модуля
Параметры команды описаны в следующей таблице.
Параметр команды Описание
key specialkey
Указывает, что необходимо создать одна пару универсальных ключей RSA
Указывает, что необходимо создать две пары ключей RSA специального назначения, а не одну пару универсальных ключей
длина_модуля
Определяет длину модуля ключа от 512 до 2048 бит. При выборе значения больше 1024 бит процесс генерирования ключа может занимать несколько минут
В примере 18.3 представлен вариант команды, генерирующей универсальные ключи RSA.
Пример 18.3. Генерирование универсального ключа RSA
Pixfirewall(config)# са generate rsa key 512
Шаг 4. Объявление центра сертификации
Следующим шагом настройки средств поддержки центров сертификации является объявление сервера СА, заключающееся в выборе имени сервера СА и указании параметров, используемых для связи с этим сервером. После ввода команд объявления сервера СА маршрутизатор Cisco или брандмауэр FIX Firewall запросит открытый ключ RSA сервера сертификации и зарегистрируется в сервере СА, используя протокол SCEP (Simplified Certification Enrollment Protocol — упрощенный протокол регистрации сертификатов). Команды и процедуры настройки маршрутизатора Cisco и брандмауэра PIX Firewall немного отличаются. Каждый поставщик серверов СА, поддерживающих продукты системы Cisco, требует указания разных параметров.
Объявление сервера СА в маршрутизаторе Cisco
Для объявления сервера СА в маршрутизаторе Cisco используется команда глобальной конфигурации crypto са identity. Команда присваивает имя серверу СА и открывает режим идентификации СА (режим ca-identity), в котором можно ввести параметры, необходимые для настройки связи с соответствующим сервером СА Используйте эту команду с префиксом по, чтобы удалить информацию об идентификации и сертификаты, связываемые с данным сервером СА. Указанная команда имеет следующий синтаксис:
crypto са identity имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяСоздает имя для сервера СА. (Если сервер СА уже описан и вы хотели бы только из
менить его характеристики, укажите имя, которое вы уже определили ранее.) Сервер СА может требовать конкретное имя (например, имя домена). Имя имеет только локальное значение. Оно не должно совпадать с именем, определенным в устройстве любой другой стороны VPN. На это имя ссылаются другие команды СА
После ввода команды crypto са identity открывается режим ca-identity, в котором можно задать характеристики сервера СА с помощью следующих команд.
КомандаОписание
enrollment
url
Указывает URL сервера CA. Данная команда используется всегда
enrollment
mode ra
Указывает режим RA. Необходима только тогда, когда система СА обеспечивает возможности RA (центр регистрации). Режим RA требуется, в частности, сервером Entrust
query url
Указывает URL сервера LDAP. Необходима только тогда, когда система СА обеспечивает возможности RA и поддержку протокола LDAP
enrollment
retry-period
(необязательный) Указывает, сколько времени маршрутизатор должен ждать, до того как послать повторный запрос сертификата
enrollment
retry-count
(необязательный) Указывает, сколько запросов сертификата должен послать маршрутизатор, до того как отказаться от дальнейших попыток
crl optional
(необязательный) Говорит о том, что маршрутизатор может принимать сертификаты других сторон, если список CRL недоступен
В примере 18.4 показан вариант использования команды crypto са identity и перехода в режим идентификации СА, а также представлен список команд, доступных в этом режиме.
^рт^г^"^^^ -.„.^^^-.^-^^^, ,,., .^^^.^^^^^^ ^» „^.^ ^^^^.^.-^^ -таяд
Пример 18,4. Использование команды crypto са ’ Mentity и переход w режим идентификации СА
.^±<а--Х2^з<&я-2М-™^.^__£^!^S£to-^U^e^^
Router (config )# crypto ca identity mycaserver
Router(ca-identity)t ?
CA identity configuration commands:
crlCRL option
default Set a command to its defaults enrollment Enrollment parameters
exitExit from certificateauthorityidentity entry mode
noNegate a command or setitsdefaults
queryQuery parameters
router(ca-identity)!enrollment ?
http-proxy HTTP proxy server forenrollment
mode raMode supported by theCertificate Authority
retryPolling parameters
urlCA server enrollment URL\
В примере 18.5 объявляется сервер СА и указываются его характеристики. Для сервера СА, размещенного по адресу http://my_ca_server, определяется имя mycaserver. В этом примере также указано использование сервером СА возможностей регистрации (RA). Сценарии СА сохраняются там, где принято по умолчанию, а сервер СА использует протокол SCEP вместо LDAP. Это минимально возможная конфигурация, требуемая для описания сервера СА, использующего RA; это пример объявления сервера Entrust. Сервер сертификации Entrust требует, чтобы стороны IPSec работали с сервером RA (Registration Authority — центр регистрации), который затем передает получаемые запросы непосредственно серверу СА.
’Пример 18.5. Объявление сервера С А.
router(config)# crypto са identity mycaserver
router(са-identity)! enrollment url http://my_ca_server
router(са-identity)! enrollment mode ra router(са-identity)! exit
Вариант применения команд, связанных с объявлением сервера сертификации Verisign, показан в примере 18.6. IP-адресом сервера onsiteipsec.verisign.com является 172.31.0.2. Обратите внимание на то, что здесь требуется и устанавливается режим СА, но он явно не описан, поскольку является режимом по умолчанию. В данном случае для хранения сертификатов используется необязательный сервер LDAP с адресом URL dirserv.xyz.com внутренней сети XYZ.
Пример 18.6. Вариант применения команд, связанных с сервером Verisign
router(config)! crypto ca identity myvscaserver
router(ca-identity)I enrollment retry connt 100
router(са-identity)! enrollment url http://onsiteipsec.verisign.com
router (са-identity)! query url Idap://dirserv.xyz.com
! Эти сертификаты должны храниться сервером LDAP.
router(са-identity)! crl optional
Объявление сервера CA в брандмауэре FIX Firewall
Объявление сервера СА в брандмауэре PIX Firewall состоит из двух шагов: непосредственно объявления сервера СА и настройки параметров связи СА. Командный режим брандмауэра PIX Firewall не имеет подчиненных режимов, поэтому эквивален-
том команды маршрутизатора crypto са identity в брандмауэре PIX Firewall являются две команды: са identity и са configure.
Шаг 4А. Объявление СА в брандмауэре PIX Firewall. Сервер СА, который должен использоваться брандмауэром PIX Firewall, описывается командой са identity в режиме конфигурации. В качестве опций можно указать место размещения сценария CGI сервера СА и IP-адрес сервера LDAP, если это необходимо. Указанная команда имеет следующий синтаксис:
са identity са_мнемоника са_1р-адрес(:са_место-сценария] [1 dap_ip-адрес]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
са мнемоника
Имя сервера СА. Введите любую строку на свое усмотрение. (Если сервер СА уже описан и вы хотели бы только изменить его характеристики, укажите имя, которое вы уже определили ранее.) Сервер СА может требовать конкретное имя (например, имя домена)
са_1р-адрес
IP-адрес сервера СА
; са_место-сценарня
По умолчанию сценарием на сервере СА является /cgi-bin/pkiclient.exe с указанным размещением. Если администратор СА разместил сценарий CGI в другом месте, укажите место размещения и имя сценария с помощью команды са identity
1с!ар_1р-адрес
(необязательный) Указывает IP-адрес сервера LDAP. По умолчанию запросы сертификатов и списков CRL выполняются по протоколу PKI Cisco. Если сервер СА поддерживает протокол LDAP, функции запроса могут также выполняться в рамках LDAP
В примере 18.7 показан вариант использования команды са identity.
F^"
йПрймёр'1&7.Вариантиспо.п^йвЖ<иякомзндыса^^
Pixfirewall(config)# са identity ca.xyz.com 192.168.255.2
Шаг 4Б. Настройка параметров связи СА для брандмауэра PIX Firewall. Параметры связи СА задаются с помощью команды са configure в режиме конфигурации. Эту команду можно использовать для того, чтобы указать, с каким объектом следует контактировать для получения сертификата: с СА или RA. Для каждого типа поддерживаемых серверов СА следует использовать свои параметры. Указанная команда имеет следующий синтаксис:
са configure са_мнемоннка {са | га} задержка чнсло_повторов [crloptional]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
са мнемоника
Имя сервера СА. Используйте имя, которое вы указали в команде са identity
са или га
Указывает, с каким объектом (СА или RA) следует контактировать при использовании команды са configure. Некоторые системы СА предлагают возможности сервера RA, с которым брандмауэр PIX Firewall должен контактировать вместо СА
задержка
Указывает, сколько времени (в минутах) должен ждать брандмауэр PIX Firewall, до того как послать повторный запрос сертификата, если не получит от сервера СА ответ на предыдущий запрос. Значения могут выбираться из диапазона от 1 до 60. По умолчанию брандмауэр повторяет запросы через минуту
Параметр команды
Описание
ЧНСЛО-ПОВТОрОВ
Указывает, сколько запросов сертификата должен послать брандмауэр PIX Firewall, до того как отказаться от дальнейших попыток. Значения могут выбираться из диапазона от 1 до 100. По умолчанию выбирается значение 0, что означает отсутствие ограничений на число повторных запросов сертификата у сервера СА
crloptional
Разрешает брандмауэру PIX Firewall принимать сертификаты других сторон, даже если необходимый список CRL для брандмауэра недоступен. По умолчанию параметр crloptional не используется
В примере 18.8 показан вариант использования команд, связанных с сервером Verisign.
Пример 18.8. Команды определения сервера Verisign
Pixfirewall(config)! са onsitelpsec.verisign.com 172.31.0.2
Pixfirewall(config)I ca configure ca.xyz.com са 1 20 crloptional
IP-адресом сервера onsiteipsec.verisign.com является 172.31.0.2, Обратите внимание на то, что здесь указан режим СА.
Вариант определения сервера Entrust показан в примере 18.9.
' Пример 18.9. Команды определения сервера Entrust ';
Pixfirewall(config)! са identity ca.xyz.com 192.168.255.2 192.168.255.2
Pixfirewall(config)! ca configure ca.xyz.com га 1 20 crloptional
IP-адресом этого сервера CA является 192.168.255.2, Обратите внимание на то, что здесь указан режим RA. Второй IP-адрес определяет сервер запросов LDAP, размещенный по тому же адресу.
Шаг 5. Аутентификация СА
Следующий шаг настройки средств поддержки СА — аутентификация сервера СА — состоит из следующих действий.
Введение команды для получения сертификата, содержащего открытый ключ СА и подписанного самим сервером СА (чтобы гарантировать, что ключ является действительным).
Аутентификация вручную сертификата, подписанного самим сервером СА, посредством взаимодействия с администратором сервера СА и сравнения “профилей” сертификата (хэш-кодов).
Аутентификация СА в маршрутизаторе Cisco
Чтобы получить открытый ключ сервера СА, можно использовать команду crypto са authenticate в режиме глобальной конфигурации. Если при вводе этой команды указать режим RA (используя команду enrollment mode га), то вместе с сертификатом СА сервер СА возвратит сертификаты подписи и шифрования RA. Указанная команда имеет следующий синтаксис:
crypto са authenticate нмя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяСоответствует имени, используемому в команде crypto са identity
После ввода команды crypto са authenticate необходимо вручную проверить открытый ключ СА посредством взаимодействия с администратором СА и сравнения “профилей” исходного и полученного сертификатов СА.
Вариант использования команды crypto са authenticate показан в примере 18.10.
Пример 18Л0. Использование команды crypto са authenticate,
Router(config)# crypto ca authenticate mycaserver
Certificate has the following attributes:
Fingerprint: 1A5416D6 2EEE8943 D11CCEE1 3DEE9CE7
% Do you accept this certificate? [yes/по]: у
Команда отображает “профиль” сертификата СА и спрашивает, принимаете ли вы сертификат. Прежде чем ответить “да”, вы вручную проверяете значение “профиля" вместе с администратором сервера СА.
Аутентификация СА в брандмауэре FIX Firewall
Аутентификация сервера СА выполняется посредством получения его открытого ключа и сертификата при использовании команды са authenticate в режиме конфигурации. После ввода команды необходимо вручную проверить открытый ключ СА, установив связь с администратором сервера СА и сравнив “профили" исходного и полученного сертификатов. Сервер RA, если он используется (как в случае сервера Entrust), играет роль прокси-сервера для СА Указанная команда имеет следующий синтаксис: са authenticate са_мнемоннка [профиль]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
са_мнемоннка
Имя сервера СА. Используйте имя, указанное командой са identity
профиль
Ключ, состоящий из буквенно-цифровых символов, который брандмауэр PIX Firewall использует для аутентификации сертификата СА. Указывать профиль не обязательно; он используется для аутентификации открытого ключа СА внутри сертификата СА
Брандмауэр FIX Firewall отвергнет сертификат СА, если значение профиля, которое вы укажете в данной команде, будет отличаться от значения, указанного в сертификате СА
В зависимости от того, какой сервер СА вы используете, у вас может возникнуть необходимость запросить у локального администратора СА значение соответствующего профиля.
Имеется также возможность аутентифицировать сертификат открытого ключа вручную посредством простого сравнения двух значений профиля при получении сертификата СА, не вводя это значение в указанную команду.
Вариант аутентификации сертификата СА показан в примере 18.11.
| Пример'18.11. Аутёнтйфикацйясервера СА.^л? уё^' ;’v^'"^^ . I
Pixfirewall(config)#crypto ca authenticate ca,xyz.com
Шаг 6. Запрос собственного сертификата
Еще одним шагом настройки средств поддержки сервера СА является запрос от сервера СА сертификата для вашего устройства IPSec. Этот процесс называется также регистрацией устройства в сервере СА.
Маршрутизаторы Cisco можно зарегистрировать с помощью команды crypto са enroll, а брандмауэры PIX Firewall — с помощью команды са enroll. В процессе регистрации у вас запрашивается пароль вызова, который может использоваться администратором сервера СА для вашей идентификации. Пароль сохраняется вместе с другой информацией о регистрации вашего сертификата в сервере СА; он может понадобиться при отзыве сертификата, так что для вас очень важно помнить этот пароль. Запишите его и сохраните в надежном месте.
Команда регистрации запрашивает столько сертификатов, сколько имеется пар ключей RSA. Эту команду потребуется использовать только один раз, даже если вы имеете пары ключей RSA специального назначения. Вашему устройству Cisco необходимо иметь подписанный сервером СА сертификат для каждой пары ключей RSA. Если были созданы универсальные ключи, в результате выполнения этой команды будет получен один сертификат, соответствующий одной паре универсальных ключей RSA Если были созданы ключи специального назначения, эта команда получит два сертификата, соответствующие каждой из пар ключей RSA специального назначения. Если вы уже имеете сертификат для ваших ключей, не сможете выполнить эту команду: вместо этого вам будет предложено сначала удалить имеющиеся сертификаты.
Если ваше устройство Cisco начнет процесс перезагрузки после ввода соответствующей команды регистрации, но до того как вы получите сертификат, вам придется ввести команду снова.
Перед вводом этой команды свяжитесь с администратором вашего сервера СА, поскольку администратору необходимо аутентифицировать ваше устройство Cisco вручную перед тем, как выдать сертификат(ы). После ввода соответствующей команды регистрации свяжитесь с администратором вашего сервера СА, чтобы с его помощью вручную проверить подлинность сертификата СА для вашего устройства Cisco. Введенная команда регистрации не сохраняется в конфигурации устройства Cisco.
Запрос сертификата для маршрутизатора Cisco
Сертификаты СА для всех пар ключей RSA маршрутизатора Cisco запрашиваются с помощью команды crypto са enroll глобальной конфигурации. Используйте эту команду с префиксом по, чтобы удалить уже имеющиеся данные регистрации. Указанная команда имеет следующий синтаксис:
crypto са enroll имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имя Имя сервера СА. Используйте имя, указанное при объявлении сервера СА в команде crypto са identity
После ввода команды crypto са enroll у вас будет запрашиваться дополнительная информация. Сначала вы получите запрос, предлагающий определить пароль вызова. Этот пароль может содержать до 80 символов и понадобится вам в том случае, если вы попытаетесь отменить действие сертификата. Когда вы запросите у администратора СА отмену сертификата, вы должны будете предъявить пароль вызова, чтобы обеспечить защиту от “фальшивых” или ошибочных запросов отмены. Этот пароль не сохраняется в вашей системе, поэтому вам нужно его запомнить. Если вы утратите пароль, администратор СА сможет отменить действие сертификата, но для этого вам потребуется предъявить доказательства личности администратора маршрутизатора.
Вам необходимо также указать, должен ли включаться в сертификат серийный номер вашего маршрутизатора. Серийный номер не используется IPSec или IKE, но может использоваться сервером СА либо для аутентификации сертификата, либо для сопоставления в дальнейшем данного сертификата с конкретным маршрутизатором. (Обратите внимание на то, что сохраняемый в данном случае серийный номер является серийным номером внутренней платы, а не тем номером, который указан на корпусе устройства.) Спросите у администратора вашего сервера СА, следует ли указывать серийные номера устройств. Если вы сомневаетесь, каким должен быть ответ на этот вопрос, укажите серийный номер. Обычно не требуется указывать IP-адрес, поскольку он привязывает сертификат к конкретному объекту, и если маршрутизатор будет перемешен, вам придется получить новый сертификат. Наконец, маршрутизатор может иметь множество IP-адресов, любой из которых может использоваться с IPSec.
Если вы укажете, что IP-адрес должен включаться в сертификат, от вас потребуют описать интерфейс IP-адреса. Этот интерфейс должен соответствовать интерфейсу, к которому вы применяете криптографическую карту. Если вы применяете наборы криптографических карт не к одному интерфейсу, а к нескольким, укажите интерфейс, который вы задали в команде crypto map local-address. Вариант регистрации маршрутизатора в сервере СА показан в примере 18.12.
^Гример 18.12. Регистрация устройства с помощью сервера С А
Router(config)# crypto са enroll mycaserver % Start certificate enrollment ..
% Create a challenge password. You will need to verbally provide this password to the CA Administrator in order to revoke your certificate. For security reasons your password will not be saved in the configuration. Please make a note of it.
Password: <mypassword>
Re-enter password: <mypassword>
% The subject name in the certificate will be: routerA.cisco.com % Include the router serial number in the subject name? [yes/по]: у % The serial number in the certificate will be: 11365470 % Include an IP address in the subject name? [yes/по]: n Request certificate from CA? [yes/по]: у
% Certificate request sent to Certificate Authority
% The certificate request fingerprint will be displayed.
% The 'show crypto ca certificate' command will also show the fingerprint.
Router)config)#
Через некоторое время маршрутизатор получит сертификат от сервера СА и отобразит сообщение, подобное показанному в примере 18.13.
. Пример 18.13. Сообщение СА
Router(config)# Fingerprint: 01234567 89ABCDEF FEDCBA98 75543210 %CRYPTO-6-CERTRET: Certificate received from Certificate Authority
Router(config)i
Если необходимо, администратор маршрутизатора может проверить полученное значение профиля с помощью администратора сервера С А.
Запрос сертификата для брандмауэра PIX Firewall
Сертификаты СА для всех пар ключей RSA брандмауэра PIX Firewall запрашиваются с помощью команды са enroll. Указанная команда имеет следующий синтаксис: са enroll са_мнемоника пароль_вызова [serial] [1р_адрес]
Параметры команды описаны в следующей таблице.
Параметр команды
Описание
са_мнемоннка
Имя сервера СА. Используйте имя, которое вы указали в команде са identity
пароль_вызова
Задает пароль, обеспечивающий администратору сервера СА определенные возможности идентификации пользователя, запрашивающего отмену сертификата. Может содержать до 80 символов
serial
(необязательный) Указывает серийный номер брандмауэра PIX Firewall
ip_ адрес
IP-адрес брандмауэра PIX Firewall
Если необходимо отменить текущий запрос регистрации, используйте команду по са enroll.
Пароль вызова требуется при отмене сертификата брандмауэра PIX Firewall. Запросив у администратора сервера СА отмену вашего сертификата, необходимо предъявить пароль вызова, используемый в качестве средства защиты от ложных или ошибочных запросов отмены. Этот пароль не сохраняется в вашей системе, поэтому нужно его запомнить. Если вы забудете пароль, администратор СА сможет отменить действие сертификата брандмауэра PIX Firewall, но для этого ему потребуется удостоверить личность администратора брандмауэра PIX Firewall.
Обычно не требуется указывать IP-адрес, поскольку он привязывает сертификат к конкретному объекту, и если маршрутизатор будет перемещен, вам придется получить новый сертификат. Наконец, маршрутизатор может иметь множество IP-адресов, любой из которых может использоваться с IPSec.
Серийный номер брандмауэра PIX Firewall указывать не обязательно. Если вы укажете параметр serial, в полученный сертификат будет включен серийный номер устройства. Серийный номер не используется IPSec или IKE, но может использоваться сервером СА либо для аутентификации сертификата, либо для сопоставления в дальнейшем данного сертификата с конкретным маршрутизатором.
IP-адрес брандмауэра PIX Firewall тоже необязателен. Если вы укажете параметр ip адрес, в полученный сертификат будет включен IP-адрес устройства. Обычно не требуется указывать IP-адрес, поскольку он привязывает сертификат к конкретному
объекту, и если брандмауэр PIX Firewall будет перемещен, вам придется получить новый сертификат.
При настройке IKE для аутентификации на основе сертификатов, важно обеспечить соответствие идентификации IKE и типа используемого сертификата. Команда са enroll, используемая для получения сертификатов, по умолчанию запрашивает сертификат, предполагающий идентификацию по имени хоста. С другой стороны, для команды isakmp identity по умолчанию применяется идентификация по адресу, а не по имени хоста. Если идентификация основывается на использовании адреса, а для аутентификации применяются подписи RSA, то аутентификация основного режима IKE завершится аварийно. Этого несоответствия можно избежать, если использовать команду isakmp identity hostname. Тогда в основном режиме первой фазы IKE стороны будут использовать аутентификацию на основе адресов хостов.
Вариант команды аутентификации сервера СА показан в примере 18.14. Строка mypasswordl234567 в этой команде является паролем, который не сохраняется в конфигурации локального устройства, но регистрируется сервером СА.
; Пример 18.14. Пример аутентификации СА'<
Pixfirewall(config)lca enroll ca.xyz.com mypasswordl234567
После ввода этой команды свяжитесь с администратором вашего сервера СА, чтобы с его помощью вручную проверить подлинность сертификата СА для вашего брандмауэра PIX Firewall.
Шаг 7. Сохранение конфигурации
Целью данного шага настройки средств поддержки СА является сохранение конфигурации в памяти устройства. Соответствующие процедуры маршрутизаторов Cisco и брандмауэров PIX Firewall при этом различаются.
Конфигурация маршрутизатора Cisco. После настройки конфигурации маршрутизатора Cisco для поддержки сервера СА, необходимо сохранить настройки с помощью команды copy running-config startup-config, которая сохраняет текущую конфигурацию маршрутизатора в памяти NVRAM.
Конфигурация брандмауэра PIX Firewall. Сохраните параметры поддержки сервера СА брандмауэра PIX Firewall с помощью команд са save all и write memory. Команда са save all позволяет сохранить пары ключей RSA брандмауэра PIX Firewall, сертификаты СА, RA, сертификаты брандмауэра PIX Firewall и списки CRL сервера СА в перманентном файле флэш-памяти, содержимое которого не исчезнет между перезагрузками. Команда no са save удаляет сохраненные данные из флэш-памяти брандмауэра PIX Firewall. Сама команда са save не сохраняется в конфигурации брандмауэра PIX Firewall между перезагрузками. Команда write memory сохраняет текущие настройки СА в флэш-памяти.
Шаг 8. Проверка конфигурации средств поддержки СА
На этом шаге выполняется проверка того, что устройство Cisco настроено правильно и успешно зарегистрировано сервером СА. Маршрутизаторы Cisco и брандмауэры PIX Firewall предлагают ряд команд show для контроля параметров поддержки сервера СА. Эти команды и будут обсуждаться в данном разделе.
Проверка параметров поддержки СА в конфигурации маршрутизатора Cisco
Для проверки параметров поддержки сервера СА в конфигурации маршрутизатора Cisco можно использовать две команды. Команда show crypto са certificates отображает информацию о вашем сертификате, сертификате сервера СА и сертификатах RA, а команда show crypto key mypubkey позволяет увидеть ключи RSA маршрутизатора и других сторон IPSec, регистрируемых с помощью СА.
В примере 18.15 показан результат применения команды show crypto са certificates.
It! ри мер 18.15. Результат п^ймёнения ко мандШ1Й1Йё^, У
router# show crypto са certificates
Certificate
Subject Name
Name: routerA.xyz.com
IP Address: 172.16.1.1
Status: Available
Certificate Serial Number: 0123456789ABCDEF0123456789ABCDEF
Key Usage: General Purpose
CA Certificate
Status: Available
Certificate Serial Number: 3051DF7123BEE31B8341DFE4B3A338E5F
Key Usage: Not Set
В примере 18.16 представлен вариант вывода команды show crypto key mypubkey rsa. Для этого маршрутизатора ранее были сгенерированы ключи RSA специального назначения с помощью команды crypto key generate rsa.
Пример 18.16. Вывод команды show crypto key mypubkey rsa .
router# show crypto key mypubkey rsa
% Key pair was generated at: 06:87:49 UTC Feb 29 2000
Key name: routerA.xyz.com
Usage: Signature Key
Key Data:
005C300D 06092A864886F70D0101010500034B003048024100C5E23B55D6AB22
04AEF1BA A54028A69ACC01C5129D99E464CAB820847EDAD9DF0B4E4C73A05DD2
BD62A8A9 FA603DD2E2A8A6F898F76E28D58AD221B583D7A4710203010001
% Key pair was generated at:06:07:50UTC Feb29 2000
Key name: myrouter.domain.com
Usage: Encryption Key
Key Data:
003020174A7D385B1234EF29335FC9732DD50A37C4F4B0FD9DADE748429618D5
18242BA32EDFBDD34296142ADDF7D3D8084076852F2190A00B43F1BD9A8A26DB
07953829791FCDE9A98420F06A82045B90288A26DBC644687789F76EEE21
В примере 18.17 показан вывод команды show crypto key pubkey-chain rsa.
Пример 18.17. |0|||||1|^^
НйаМаМивмшаЕАЖЖйЖйЗиш^авйбЖй^
routeri show crypto key pubkey-chain rsa
Codes:
М - Manually Configured, С - Extracted from certificate
Code М
М С
С С
UsageIP-addressName
Signature172.16.3.1routerC.xyz.com
Encryption172.16.3.1routerC.xyz.com
Signature172.16.2.1routerB.xyz.com
Encryption172.16.2.1routerB.xyz.com
General172.16.4.1routerD.xyz.com
В примере 18.17 показаны два вручную размещенных открытых ключа RSA специального назначения для устройства routerC. Там же показаны три ключа, полученные из сертификатов сторон: ключи специального назначения (ключи шифрования и подписи) для стороны routerB и универсальный ключ стороны routerD. Ключи сторон, извлеченные из сертификатов, обозначены символом “С” в столбце кода. Ключи, размещенные вручную, обозначены символом “М”. После аутентификации стороны с помощью подписи RSA, открытый ключ RSA этой стороны должен появиться в списке открытых ключей с кодом С.
В примере 18.18 представлена выборка команд конфигурации маршрутизатора, настроенного для поддержки сервера СА.
Пример 18.18. Конфигурация маршрутизатора, настроенного . ч>: - - т для поддержки сервера СА
-—4—.,— routerAi show running-config
।
hostname routerA
i
ip domain-name xyz.com i
crypto ca identity mycaserver enrollment mode ra
enrollment url http://xyzcaserver:80
query url ldap://xyzcaserver crl optional
crypto ca certificate chain entrust
certificate 37C6EAD6
30820299 30820202 A0030201 02020437 C6EAD630 0D06092A
864886F7 0D010105
(certificates concatenated)
Проверка параметров поддержки CA в конфигурации брандмауэра PIX Firewall
Для проверки параметров поддержки СА в конфигурации брандмауэра PIX Firewall можно использовать команды, описанные в табл. 18.3.
Таблица 18.3. Команды-проверки параметров поддержки сервера СА в брандмауэре PIX Firewall
Команда
Описание
show са identity show са configure show са certificate
Показывает текущие установки идентификации СА, сохраненные в ОЗУ
Показывает установки параметров связи СА
Показывает сертификаты брандмауэра PIX Firewall, серверов СА и RA. Используется для проверки успешного завершения процесса регистрации СА
show ca mypubkey rsa
Показывает пару (или пары) открытых ключей RSA брандмауэра PIX Firewall
В примере 18.19 показан вариант вывода команды show са mypubkey rsa.
Pixfirewalli show ca mypubkey rsa
% Key pair was generated at: 15:34:55 Feb 29 2000
Key name: ca.xyz.comUsage: General Purpose KeyKey Data:305c300d 06092a86 4886f70d 010101056e7ed9a2 32883ca9 319a4b30 e74708886e2fdl2c 5b3ffa98 8c5adc59 Iec84d78Key name: ca.xyz.comUsage: General Purpose KeyKey Data:305c300d 06092a86 4886f70d 010101056e7ed9a2 32883ca9 319a4b30 e74708886e2fdl2c 5b3ffa98 8c5adc59 Iec84d7800034b00 30480241 00c31f4a ad32f60d 87732e83 c909fbl7 fb5cae70 3de738cf 90bdb53f 2218cfe7 3f020301 0001.00034b00 30480241 00c31f4a ad32f60d 87732e83 c909fbl7 fb5cae70 3de738cf 90bdb53f 2218cfe7 3f020301 0001.
Key name: ca.xyz.com
Usage: General Purpose Key
Key Data:
305c300d 06092a86 4886f70d 01010105
6e7ed9a2 32883ca9 319a4b30 e7470888
6e2fdl2c 5b3ffa98 8c5adc59 Iec84d78
Key name: ca.xyz.com
Usage: General Purpose Key
Key Data:
305c300d 06092a86 4886f70d 01010105
6e7ed9a2 32883ca9 319a4b30 e7470888
6e2fdl2c 5b3ffa98 8c5adc59 Iec84d78
00034b00 30480241 00c31f4a ad32f60d 87732e83 c909fbl7 fb5cae70 3de738cf 90bdb53f 2218cfe7 3f020301 0001.
00034b00 30480241 00c31f4a ad32f60d 87732e83 c909fbl7 fb5cae70 3de738cf 90bdb53f 2218cfe7 3f020301 0001.
В примере 18.20 представлена конфигурация брандмауэра PIX Firewall, настроенного для поддержки сервера СА.
Пример 18.20. Конфигурация брандмауэра PIX Firewall, настроенного для „ { поМермам сервера СА >^с;.^^?|«^#У‘-лv^$^^
Pixl# write terminal i hostname Pixl domain-name xyz.com i
ca identity ca.xyz.com 192.168.255.2:cgi-bin/pkiclient.exe 192.168.255.2
ca configure ca.xyz.com га 1 100 crloptional
Шаг 9. Мониторинг и управление взаимодействием СА
По завершении настройки средств для поддержки сервера СА в маршрутизаторе Cisco или брандмауэре PIX Firewall вам может понадобиться решить некоторые (необязательные) задачи сопровождения, которые должны помочь обеспечить корректное функционирование системы. В этом разделе описаны следующие (необязательные) шаги, которые могут выполняться как для маршрутизаторов Cisco, так и для брандмауэров PIX Firewall.
Запрос списка отозванных сертификатов (списка CRL).
Удаление ключей RSA маршрутизатора или брандмауэра.
Удаление сертификатов из конфигурации.
Удаление открытых ключей удаленной стороны.
Запрос списка CRL
Периодически у сервера СА следует запрашивать список CRL (список отозванных сертификатов). Если ваше устройство Cisco имеет список CRL, срок действия которого еще не истек, но вы подозреваете, что содержание списка уже устарело, необходимо немедленно загрузить самый последний список CRL, чтобы заменить старый. Соответствующий запрос выполняется с помощью команды crypto са cri request в маршрутизаторе Cisco или команды са cri request в брандмауэре PIX Firewall. Вручную список CRL запрашивается только тогда, когда сервер СА не поддерживает возможности RA.
В списке CRL представлены все сертификаты сетевых устройств, которые были отозваны (т.е. их действие отменено). Отозванные сертификаты не будут признаны вашим устройством Cisco, поэтому ни одно устройство IPSec с отозванным сертификатом не сможет обменяться данными IPSec с вашим устройством Cisco.
Когда ваше устройство Cisco впервые получает сертификат удаленной стороны, оно загружает и список CRL с сервера СА. Ваше устройство Cisco затем проверяет CRL, чтобы убедиться, что сертификат соответствующей стороны не был отозван. Если этот сертификат указан в списке CRL, устройство не примет его и не аутентифицирует соответствующую сторону.
Список CRL может повторно использоваться с последующими сертификатами до тех пор, пока не истечет срок его действия. Если ваше устройство Cisco получит сертификат удаленной стороны после того, как истечет срок действия CRL, оно автоматически загрузит новый список CRL. Команда запроса CRL в конфигурации устройства не сохраняется.
Конфигурация запроса CRL в маршрутизаторе Cisco. Чтобы немедленно запросить новый список CRL у сервера СА, воспользуйтесь командой crypto са cri request режима глобальной конфигурации. Используйте эту команду только в том случае, если ваш сервер СА не поддерживает возможности RA Указанная команда имеет следующий синтаксис:
crypto са cri request имя
Параметр команды описан в следующей таблице.
Параметр команды Описание
имяИмя сервера СА. Используйте имя, указанное при объявлении сервера СА в команде
crypto са identity
В примере 18.21 показана команда немедленной загрузки самой последней версии CRL в маршрутизатор.
Пример 18.21. Загрузка самой последней версии CRL в маршрутизатор J
Router(config)# crypto са cri request mycaserver
Конфигурация запроса CRL в брандмауэре PIX Firewall. Брандмауэр PIX Firewall запрашивает список CRL так же, как и маршрутизатор Cisco, но брандмауэр PIX Firewall автоматически запрашивает CRL у сервера СА в разное время, в зависимости от того, находится сервер СА в режиме RA или нет. Если сервер СА не находится в
режиме RA, список CRL запрашивается после каждой перезагрузки, когда система обнаруживает, что у нее нет действительного списка CRL (т.е. списка отозванных сертификатов, срок действия которого не истек). Если сервер СА находится в режиме RA, список CRL не может быть получен до тех пор, пока в рамках 1КЕ не будет получен сертификат удаленной стороны, потому что сам сертификат содержит информацию о том, куда брандмауэр FIX Firewall должен обратиться за соответствующим списком CRL. Когда срок действия CRL истекает, брандмауэр FIX Firewall автоматически запрашивает новый список. Пока не будет получен новый действительный список CRL, брандмауэр PIX Firewall не будет принимать сертификаты удаленных сторон.
Чтобы получить новый список CRL от сервера СА немедленно, в брандмауэре PIX Firewall следует использовать команду са crl request режима конфигурации. Указанная команда имеет следующий синтаксис:
са crl request са_мнемоника
Параметр команды описан в следующей таблице.
Параметр команды Описание
са_мнемоника Имя сервера СА. Используйте имя, указанное при объявлении сервера СА в команде crypto са identity
В примере 18.22 показано, как брандмауэр PIX Firewall получает обновленный список CRL от сервера СА с именем mycaserver.
; Пример 18.22. Получение обновленного списка отозванных сертификатов ' :от сервера СА-
Pixfirewall(config)# са crl request mycaserver
Удаление ключей RSA и сертификатов устройства
При определенных обстоятельствах может возникнуть необходимость удалить имеющиеся ключи RSA вашего маршрутизатора Cisco или брандмауэра PIX Firewall. Например, вы считаете, что ключи RSA по каким-то причинам больше использоваться не должны и их необходимо удалить. Кроме того, может возникнуть необходимость изменить имя хоста устройства Cisco, что приведет к изменению полного доменного имени устройства, в котором размещаются ключи RSA. При удалении ключей RSA необходимо также удалить сертификаты соответствующего устройства Cisco, сгенерировать новые ключи RSA, снова настроить средства поддержки СА и перерегистрировать устройство в сервере СА, как описано ниже.
Удаление ключей RSA и сертификатов СА для маршрутизатора Cisco. Чтобы удалить ключи RSA и сертификаты СА маршрутизатора Cisco, выполните следующее.
Удалите все ключи RSA маршрутизатора Cisco с помощью команды crypto key zeroize rsa режима глобальней конфигурации. Если вы вводите эту команду, должны также удалить сертификаты СА.
Вручную удалите сертификаты маршрутизатора из конфигурации маршрутизатора. Чтобы удалить сертификат маршрутизатора или сертификат RA из конфигурации маршрутизатора, используйте следующие команды режима глобальной конфигурации:
show crypto ca certificates — отображает информацию о сертификатах, хранимых в маршрутизаторе, включая порядковый номер сертификата, который вы собираетесь удалить;
crypto ca certificate chain имя — открывает режим конфигурации цепочки сертификата;
no certificate иомер-сертифихата — удаляет сертификат, используя порядковый номер, который вы отметили ранее.
Замечание
Можно также удалить весь объект СА, в результате чего удаляются все сертификаты, связанные с сервером СА, — сертификат вашего маршрутизатора, сертификат СА и все сертификаты RA. Чтобы удалить объект СА, воспользуйтесь командой no crypto ca identity имя в режиме глобальной конфигурации.
Запросите у администратора СА отзыв сертификатов вашего маршрутизатора. При этом нужно предъявить пароль вызова, который вы создали тогда, когда получали сертификаты маршрутизатора с помощью команды crypto ca enroll.
Удаление ключей RSA и сертификатов СА для брандмауэра PIX Firewall. Чтобы удалить ключи RSA и сертификаты СА брандмауэра PIX Firewall, выполните следующую процедуру.
Удалите все ключи RSA брандмауэра PIX Firewall с помощью команды key zeroize rsa режима конфигурации. Эта команда удаляет все ключи RSA, которые ранее были созданы брандмауэром PIX Firewall. После ввода этой команды нужно выполнить следующие две дополнительные операции, чтобы удалить сертификаты СА.
Вручную удалите сертификаты брандмауэра PIX Firewall из конфигурации с помощью команды no ca identity. В результате будут удалены все сертификаты, выданные сервером СА, и сам объект СА.
Запросите у администратора СА отзыв сертификатов вашего брандмауэра PIX Firewall. При этом необходимо предъявить пароль вызова, который вы создали, когда получали сертификаты брандмауэра PIX Firewall с помощью команды crypto ca enroll.
Замечание
Удалить все пары ключей RSA, сертификаты СА, RA и брандмауэра PIX Firewall, а также списки CRL из перманентного файла флэш-памяти можно с помощью команды no ca save в режиме конфигурации.
Удаление открытых ключей RSA
При определенных обстоятельствах может понадобиться удаление открытых ключей RSA других сторон из конфигурации вашего маршрутизатора Cisco. Например, если вы подозреваете, что целостность какого-то открытого ключа нарушена, необходимо его удалить. Обратитесь к разделу “Удаление открытых ключей RSA” главы 16, где описаны действия, которые необходимо выполнить при удалении открытого ключа RSA удаленной стороны.
Задача 3. Настройка IKE для IPSec
В процессе настройки IPSec для поддержки сервера СА необходимо установить определенные ранее параметры IKE. В этом разделе описаны действия, выполняемые для настройки параметров политики IKE. Обратите внимание на то, что в данном случае процесс настройки IKE практически идентичен процессу настройки IKE для использования общих ключей, но здесь выбирается другой метод аутентификации.
Процесс настройки IKE предполагает выполнение следующих шагов.
Шаг 1. Активизация или отключение IKE с помощью команды crypto isakmp enable в маршрутизаторах Cisco или команды isakmp enable в брандмауэрах PIX Firewall.
Шаг 2. Создание политик IKE, предлагающих поддержку подписей RSA, с помощью команды crypto isakmp policy в маршрутизаторах Cisco или команды isakmp policy в брандмауэрах PIX Firewall. Это уникальный шаг процесса настройки IKE для поддержки сервера СА. Настройка средств поддержки СА осуществляется в результате выбора метода аутентификации IKE, основанного на использовании подписей RSA. При этом необходимо выполнить следующее.
В маршрутизаторе Cisco следует ввести команду authentication rsa-sig для политики IKE.
В брандмауэре PIX Firewall нужно ввести команду isakmp policy приоритет authentication rsa-sig для политики IKE.
Шаг 3. Проверка конфигурации IKE с помощью команд show и debug, как в случае использования общих ключей.
Более подробная информация о настройке IKE в маршрутизаторах Cisco и брандмауэрах PIX Firewall содержится в разделах “Задача 3. Настройка IPSec” главы 16 (для маршрутизаторов Cisco) и “Задача 3. Настройка IPSec” главы 17 (для брандмауэров PIX Firewall).
Задача 4. Настройка IPSec
Настройка IPSec предполагает определение наборов преобразований, создание списков шифрованного доступа и записей криптографических карт, а также применение наборов записей криптографических карт к интерфейсам. Выполняемые при этом действия не зависят от метода аутентификации (при условии, что используется IKE), и поэтому описания этих действий здесь не повторяются. Соответствующие описания содержатся в разделах “Задача 3. Настройка IPSec” главы 16 (для маршрутизаторов Cisco) и “Задача 3. Настройка IPSec” главы 17 (для брандмауэров PIX Firewall).
Задача 5. Проверка конфигурации VPN
Последней задачей процесса настройки средств для поддержки сервера СА является проверка того, что все действия предыдущих задач настройки были выполнены правильно и в результате была создана правильная конфигурация СА, IKE и IPSec. В этом разделе описаны методы и команды проверки параметров поддержки сервера СА в рамках конфигурации VPN. Команды и процедуры, касающиеся конфигурации IKE и IPSec, отличаются только в выборе метода аутентификации, и поэтому их описания в данной главе не дублируются.
Проверка конфигурации параметров поддержки СА в маршрутизаторе Cisco
В этом разделе описаны команды, используемые в маршрутизаторах Cisco для проверки настройки средств поддержки сервера СА.
Конфигурацию и сертификаты СА можно проверить с помощью команд, описанных в табл. 18.4.
: Таблица 18.4. Команды проверки конфигурации и сертификатов СА , |- маршрутизатора Cisco 'г -г- у "i
КомандаОписание
show crypto са certificates Отображает информацию о сертификате вашего устройства, а также о сертификатах СА и RA
show crypto key mypubkey Отображает информацию о ключах RSA вашего маршрутизатора и других сторон IPSec, зарегистрированных с помощью сервера СА
Вывод сообщений отладки СА активизируется с помощью команды, показанной в табл. 18.5.
|таблица^1&5. Команда crnngauggw' pSIr^Cisco
КомандаОписание
debug crypto pkiОтображает данные об обмене SCEP между маршрутизатором и
сервером СА
Ключи RSA и сертификаты СА можно удалить с помощью команд, показанных в табл. 18.6.
Таблица 18.6. Команды удаления ключей RSA и сертификатов СА'
- маршрутизатора Cisco. i
КомандаОписание
crypto key zeroize rsaУдаляет все ключи RSA, которые ранее были сгенерированы маршрутизато
ром. После ввода этой команды необходимо также ввести команду по crypto са identity, чтобы удалить сертификаты СА, и запросить у администратора сервера СА отмену сертификатов вашего маршрутизатора
no crypto са identity имя Вручную удаляет сертификаты маршрутизатора из конфигурации устройства и удаляет все сертификаты, выданные сервером СА
Проверка конфигурации параметров поддержки СА в брандмауэре PIX Firewall
В этом разделе приводятся команды, которые можно использовать в брандмауэрах PIX Firewall для проверки настройки средств поддержки сервера СА.
Конфигурацию СА можно проверить с помощью команд, описанных в табл. 18.7.
Вывод сообщений отладки СА активизируется с помощью команды, показанной в табл. 18.8.
Таблица 18.7. Команды проверки конфигурации и сертификатов СА брандмауэра PIX Firewall
Команда
Описание
show са identity
Отображает информацию о сервере СА, который будет использовать ваш брандмауэр PIX Firewall
show са configure
Отображает значения параметров взаимодействия между брандмауэром PIX Firewall и сервером СА
show са mypubkey rsa show ca certificate
Отображает информацию об открытых ключах RSA брандмауэра PIX Firewall
Отображает информацию о текущем состоянии запрошенных сертификатов, а также соответствующую информацию о полученных сертификатах (например, о сертификатах СА и RA)
Таблица 18.8. Команда отладки регистрации СА для брандмауэра PIX Firewall
Команда
Описание
debug crypto са
Отображает сообщения обмена между брандмауэром PIX Firewall и сервером СА
Ключи RSA и сертификаты СА можно удалить с помощью команд, показанных в табл. 18.9.
Таблица 18.9. Команды удаления ключей RSA и сертификатов СА брандмауэра PIX Firewall‘
Команда
Описание
са zeroize rsa
Удаляет все ключи RSA, которые ранее были сгенерированы. После ввода этой команды необходимо также ввести команду no са identity, чтобы удалить сертификаты СА, и запросить у администратора сервера СА отмену сертификатов вашего брандмауэра PIX Firewall
no са identity
Вручную удаляет сертификаты брандмауэра PIX Firewall из конфигурации устройства и удаляет все сертификаты, выданные сервером СА
Масштабирование поддержки VPN в сетях Cisco
Маршрутизаторы Cisco, брандмауэры PIX Firewall и клиент CiscoSecure VPN могут применяться для создания сетей VPN удаленного доступа, использующих IPSec. Динамические криптографические карты, настройки режима IKE и расширенная аутентификация IPSec — все эти возможности IPSec могут использоваться для создания сетей VPN.
Конфигурация связи VPN между узлами может допускать масштабирование, что в совокупности со средствами распознавания конечных точек туннелей в маршрутизаторах Cisco позволяет создавать очень большие и сложные сети.
В этом разделе предлагается обзор возможностей конфигурации, обеспечивающих поддержку сетей удаленного доступа и масштабирования межузловых связей. После краткого обсуждения каждой из этих возможностей предлагаются описания соответст-
вующих процессов настройки для маршрутизаторов Cisco и брандмауэров PIX Firewall. Для лучшего понимания материала этого раздела желательно ознакомиться с документами, указанными в разделе “Ссылки” в конце главы.
Настройка динамических криптографических карт
Маршрутизаторы Cisco и брандмауэры PIX Firewall поддерживают динамические криптографические карты. Использование динамических криптографических карт может упростить конфигурацию IPSec и рекомендуется в тех сетях, где стороны не всегда известны заранее. Примером могут быть мобильные пользователи (клиенты VPN), которые получают динамически присваиваемые IP-адреса. Сначала мобильным клиентам необходимо пройти процедуру аутентификации в локальном маршрутизаторе Cisco или брандмауэре PIX Firewall, использующем IKE, на основе каких-то признаков, отличных от IP-адреса (например, с помощью полностью определенного доменного имени). По завершении аутентификации запрос установки ассоциаций защиты может быть выполнен с помощью динамической криптографической карты, которой позволено принимать запросы (в соответствии с локальной политикой защиты) от заранее неизвестных сторон.
Динамические криптографические карты доступны только для использования в рамках IKE. Запись динамической криптографической карты является, по существу, записью криптографической карты, в которой определены не все параметры. Такая запись выполняет роль шаблона политики, в котором отсутствующие параметры будут динамически размещены позже (в результате процесса согласования IPSec) таким образом, чтобы удовлетворить требования удаленной стороны. Это дает возможность связывающимся сторонам обменяться данными IPSec даже в том случае, если соответствующее устройство Cisco не имеет записи криптографической карты, в точности отвечающей всем требованиям удаленной стороны.
Динамические криптографические карты используются устройствами Cisco тогда, когда создание ассоциаций защиты IPSec инициирует удаленная сторона.
Настройка динамической криптографической карты в маршрутизаторе
Настройка динамических криптографических карт в маршрутизаторах Cisco выполняется следующим образом.
Шаг 1. Ввод команды crypto dynamic-map имя-карты порядк-номер, открывающей режим config-dynamic-crypto-map.
Шаг 2. Настройка параметров динамической криптографической карты. Для каждой записи динамической криптографической карты при этом требуется только команда set transform-set. Команда set peer обычно не используется, поскольку параметры удаленной стороны неизвестны.
Шаг 3. Связывание динамической криптографической карты с обычной криптографической картой с помощью команды crypto map имя-карты порядк-иомер ipsec-isakmp [dynamic имя-дииамич-карты].
Шаг 4. Связывание криптографической карты с интерфейсом посредством перехода в режим конфигурации интерфейса и ввода команды crypto map имя-карты.
В примере 18.23 показаны параметры динамической криптографической карты в маршрутизаторе Cisco.
Пример 18.23. Динамическая криптографическая карта ;в маршрутизаторе Cisco
————,— —————
crypto ipsec transform-set mine esp-3des i
crypto dynamic-map dynomap 210 set transform-set mine match address 110
1 crypto map mymap 30 ipsec-isakmp dynamic dynomap 1•
interface SerialO crypto map mymap
I access-list 110 permit tcp 10.0.1.0 0.0.0.255 10.0.2.0 0.0.0.255
Настройка динамической криптографической карты в брандмауэре PIX Firewall
Настройка динамических криптографических карт в брандмауэрах PIX Firewall выполняется следующим образом.
Шаг 1. Определение наборов преобразований, разрешенных для данной записи динамической криптографической карты. Укажите наборы преобразований в порядке приоритета, причем набор с наивысшим приоритетом должен быть указан первым. Чтобы указать набор преобразований, используйте команду crypto dynamic-map имя-динамич-карты динамич-порядк-номер set transform-set имя-набораЦ, имя-иабора2, имя-набора9]. Дополнительно с помощью серии команд crypto dynamic-map можно указать список доступа, параметры удаленной стороны, пределы существования IPSec и опцию PFS.
Замечание
Можно использовать команду nat (1имя_интерфейса’) 0 access-list имя_списка, чтобы освободить трафик, удовлетворяющий условиям команды access-list, от услуг сервиса NAT (сервис трансляции сетевых адресов). Соответствующая команда accesslist не должна использовать селекторы портов.
Шаг 2. Добавление набора записей динамической криптографической карты к статической криптографической карте с помощью команды crypto map имя-карты порядк-номер ipsec-isakmp dynamic имя-динамич-карты. Помните о том, что записи криптографической карты, ссылающиеся на динамические карты, должны иметь самый низкий приоритет (т.е. самые большие порядковые номера).
Шаг 3. Применение с помощью команды crypto map имя-карты interface имя- интерфейса криптографической карты к интерфейсу, в рамках которого будет оцениваться трафик IPSec.
В примере 18.24 показан вариант конфигурации динамической криптографической карты в брандмауэре PIX Firewall, устанавливающей список доступа.
Пример 18.24. Конфигурация динамической криптографической карты в :; л< брандмауэре PIX Firewall, устанавливающей список доступа
crypto ipsec transform-set mysetl esp-3des esp-md5-hmac
crypto dynamic-map dynomap 10
match address 110
crypto dynamic-map dynomap 10 set transform-set mysetl
crypto map mymap 200 ipsec-isakmp dynamic dynomap
crypto map mymap interface outside
access-list 110 permit ip 10.1.1.0 0.0.0.255 10.2.1.0 0.0.0.255 nat (outside) 0 access-list 110
Настройка режима IKE mode config
При настройке режима IKE mode config шлюз защиты (маршрутизатор Cisco или брандмауэр PIX Firewall) может загрузить IP-адрес (и другие параметры конфигурации сетевого уровня) в систему клиента VPN (удаленной стороны) в ходе процесса согласования IKE. Используя эту возможность, шлюз защиты предоставляет клиенту IKE IP-адрес, который должен использоваться в качестве “внутреннего" IP-адреса, инкапсулированного в пакет IPSec, подобно протоколу DHCP (Dynamic Host Configuration Protocol — протокол динамической конфигурации хоста) для клиентов коммутируемого доступа. Это обеспечивает клиенту VPN известный IP-адрес, который может использоваться в операторах сравнения, реализующих требования политики IPSec. Существует два типа режима IKE mode config.
Инициатива шлюза. Соответствующий режим конфигурации инициирует шлюз. После ответа клиента протокол IKE модифицирует данные, идентифицирующие отправителя, сообщение обрабатывается, и клиент получает ответ.
Инициатива клиента. Соответствующий режим конфигурации инициирует клиент. Шлюз использует для ответа IP-адрес, который назначен для клиента.
Настройка режима IKE mode config в маршрутизаторе
Маршрутизатор Cisco настраивается для режима IKE mode config с помощью динамической криптографической карты. Настройка режима IKE mode config в маршрутизаторе Cisco выполняется в режиме глобальной конфигурации.
Шаг 1. Определение пула IP-адресов, присваиваемых клиенту VPN, с помощью команды ip local pool имя-пула начальный-адрес конечный-адрес.
Шаг 2. Создание ссылки на пул локальных адресов в рамках политики IKE с помощью команды crypto isakmp client configuration address-pool local имя-пула.
Шаг 3. Создание динамической криптографической карты для режима IKE mode config с помощью команды crypto dynamic-map нмя-дииамич-карты дннамич- порядк-иомер. Эта команда открывает режим config-dynamic-crypto-map.
Шаг 4. Настройка параметров динамической криптографической карты с последующим выходом из соответствующего режима. Для записей динамической криптографической карты потребуется только команда set transform-set.
Шаг 5. Настройка режима IKE mode config на инициирование и/или ответ с помощью команды crypto map имя client-configuration address {initiate | respond).
Шаг 6. Связывание динамической криптографической карты, использующей режим IKE mode config, с глобальной криптографической картой IPSec с помощью команды crypto map имя-карта порядк-иомер ipsec-isakmp [dynamic имя- дииамич-карты] .
Шаг 7. Применение криптографической карты к интерфейсу посредством перехода в режим конфигурации интерфейса и ввода команды crypto map имя-карта.
В примере 18.25 показан вариант конфигурации режима IKE mode config в маршрутизаторе Cisco.
S
""5R$?" "” “ г^ттт,:-*— — ——T ’■—7: " "
ример 18.25. Конфигурация режима IKE mode config
в маршрутизатаре.С18со . 4 V. ;.
crypto ipsec transform-set mysetl esp-3des esp-md5-hmac
crypto isakmp client-config address-pool local sitelclients
crypto dynamic-map dynomodecfg 1
set transform-set mysetl
crypto map modecfg client-configuration address initiate
crypto map modecfg client-configuration address respond
crypto map modecfg 1 ipsec-isakmp dynamic dynomodecfg
ip local pool sitelclients 10.1.1.1 10.1.1.254
Настройка режима IKE mode config в брандмауэре PIX Firewall
Настройка режима IKE mode config в брандмауэре PIX Firewall выполняется после настройки IKE.
Шаг 1. Определение пула IP-адресов с помощью команды ip local pool имя-пула иа- чальиый-адрес [коиечиый-адрес].
Шаг 2. Создание ссылки на пул локальных адресов в конфигурации IKE с помощью команды isakmp client configuration address-pool local имя-пула [имя-интерфейса].
Шаг 3. Создание динамической криптографической карты для режима IKE mode config с помощью команды crypto dynamic-map имя-дииамич-карты дииамич-порядк-иомер.
Шаг 4. Настройка параметров динамической криптографической карты с помощью команды crypto dynamic-map имя-дииамич-карты дииамич-порядк-иомер set transform-set имя-иабора! [имя-иабора9]. Дополнительно можно указать и другие команды динамической карты (например, match address).
Шаг 5. Определение криптографической карты для настройки клиентов с помощью команды crypto map имя-карта client configuration address {initiate | respond).
Шаг 6. Связывание динамической криптографической карты, использующей режим IKE mode config, с глобальной криптографической картой IPSec с помощью команды crypto map имя-карта порядк-иомер ipsec-isakmp [dynamic имя-дииамич-карты].
Шаг 7. Применение криптографической карты к интерфейсу путем ввода команды crypto map имя-карта interface имя-иитерфейса.
В примере 18.26 представлена часть команд конфигурации брандмауэра РК Firewall, настроенного как устанавливать IP-адреса для клиентов, так и отвечать на запросы IP- адресов от клиентов, пакеты которых прибывают на внешний интерфейс, использующий динамическую криптографическую карту без явно описанного адреса удаленной стороны.
Пример 18.26. Использование динамической криптографической карты i i-'..- - *’ •/.•; без явного указания удаленной стороны " ' ’Vv^;^‘
ip local pool remoteclient 172.30.1.1-172.30.1.254
crypto isakmp client configuration address-pool local remoteclient outside:
crypto ipsec transform-set pc esp-des esp-md5-hmac
crypto dynamic-map dyno 10
set transform-set pc
crypto map dyno client configuration address initiate
crypto map dyno client configuration address respond
crypto map dynmap 10 ipsec-isakmp dynamic dyno
crypto map dynmap interface outside
Настройка расширенной аутентификации IPSec
Брандмауэр FIX Firewall поддерживает возможности расширенной аутентификации (Xauth) в рамках протокола IKE. Средства Xauth в сети VPN позволяют использовать сервис аутентификации пользователя с помощью удаленной базы данных защиты TACACS+ или RADIUS. Эти средства предназначены для клиентов VPN. Аутентификация пользователя выполняется с помощью запроса имени и пароля пользователя и сравнения введенных пользователем данных с информацией, хранящейся в базе данных TACACS+ или RADIUS. Параметры Xauth устанавливаются между первой фазой IKE (фаза аутентификации устройства IKE) и второй фазой IKE (фаза согласования ассоциаций защиты IPSec). Если процесс согласования параметров Xauth завершается аварийно, ассоциации защиты IPSec не создаются, а ассоциации зашиты IKE удаляются.
Настройка средств расширенной аутентификации IPSec в брандмауэре PIX Firewall
Чтобы активизировать возможности Xauth в брандмауэре PIX Firewall, после настройки параметров IKE выполните следующие действия.
Шаг 1. Установите базовый сервер ААА с помощью команды aaa-server тег_группы (имя_иитерфейса) host ip-cepsepa ключ.
Шаг 2. Активизируйте возможности Xauth с помощью команды crypto map имя-карты client authentication тег-группы-ааа. Убедитесь в том, что вы указали в команде crypto map client authentication тот же тег группы сервера ААА, что и в команде aaa-server.
Шаг 3. Можно также разрешить брандмауэру FIX Firewall не использовать сервис XAuth для удаленных клиентов IPSec, не требующих аутентификации Xauth, но использующих совместно тот же интерфейс, что и клиенты VPN. Если брандмауэр FIX Firewall настроен на использование заранее согласованных общих ключей, то, чтобы указать исключения Xauth, воспользуйтесь командой
isatanp key строка-ключа address ip-адрес [по-xauth]. Если брандмауэр FIX Firewall настроен на использование подписей RSA, то для тех же целей следует воспользоваться командой isatanp peer fqdn fqdn [по-xauth].
В примере 18.27 представлена часть команд конфигурации брандмауэра FIX Firewall, настроенного на аутентификацию клиентов VPN средствами XAuth с помощью сервера защиты TACACS+ с адресом 10.1.1.4.
[ПриМер^ 8127. ria^£bto^tS^^ft^jipalpix^^
I - ?^^£v^^ спомоцп^мрвб
aaa-server TACACS+ outside host 10.1.1.4 secretl23
crypto map mymap client authentication TACACS+
isatanp key ciscol234 address 172.16.2.2 255.255.255.255 no-xauth
isatanp peer fqdn site2.xyz.com no-xauth
Брандмауэр FIX Firewall не будет применять средства XAuth для клиентов IPSec, использующих общие ключи и имеющих адрес 172.16.2.2 или использующих подписи RSA и имеющих полностью определенное доменное имя site2.xyz.com.
Настройка средств распознавания конечных точек туннелей
Динамическое распознавание конечных точек туннелей — сервис TED (Tunnel Endpoint Discovery) — является дополнительной возможностью IPSec, позволяющей маршрутизаторам Cisco, настроенным с помощью динамических криптографических карт, инициировать сеансы IPSec со сторонами, параметры которых не были заранее указаны в конфигурации.
Сервис TED оказывается полезным в больших сетях IPSec со сложной топологией, имеющих множество узлов, которым требуется создать ассоциации защиты друг с другом. С помощью TED сети IPSec можно масштабировать в условиях очень сложной топологии, не имея заранее заданных настроек для всех возможных сторон IPSec в криптографических картах каждого маршрутизатора сети.
Сервис TED расширяет возможности динамических криптографических карт, позволяя любому устройству с поддерживающей сервис TED динамической криптографической картой установить ассоциацию защиты IPSec со стороной, которая не была определена в криптографической карте.
Сервис TED использует метод отправки зондирующего сообщения инициатором связи, чтобы выяснить, какая из сторон IPSec отвечает за хост-адресат или подсеть. После выяснения адреса соответствующей стороны инициатор начинает с ней обычный обмен первой фазы IKE (основной режим). Зондирующее сообщение TED является специальным пакетом IKE (UDP-порт 500), посылаемым инициирующей стороной в направлении сети назначения или хоста, которому направлялся исходный трафик в соответствии с указаниями в списке шифрованного доступа. Маршрутизатор удаленной стороны распознает зонд TED и, вместо того чтобы передать зондирующее сообщение фактическому адресату, возвращает свой адрес в качестве конечной точки туннеля адресата. Отвечающая сторона также узнает из зондирующего сообщения адрес инициирующей стороны.
Средства TED имеют следующие ограничения.
Они доступны только при использовании динамических криптографических карт.
Для сторон, использующих сервис TED, недоступны средства выравнивания нагрузки..
Чтобы создать запись динамической криптографической карты, использующей TED, воспользуйтесь следующими командами режима глобальной конфигурации.
Шаг 1. Настройте динамическую криптографическую карту, которая будет использовать TED, с помощью команды crypto dynamic-map имя-динамич-карты динамич- порядк-иомер. Эта команда открывает режим config-dynamic-crypto-map.
Шаг 2. Настройте параметры динамической криптографической карты, а затем выйдите из соответствующего режима. Укажите набор преобразований с помощью команды set transform-set и список доступа с помощью команды match address.
Шаг 3. Добавьте динамическую криптографическую карту в набор статических криптографических карт с помощью команды crypto map имя-карты порядк-номер ipsec-isakmp dynamic имя-дииамич-карты [discover]. Ключевое слово discover активизирует сервис TED.
В примере 18.28 показана конфигурация маршрутизатора Cisco, настроенного на использование TED для трафика, исходящего от сети 10.1.0.0 за маршрутизатором и направленного в адрес сети 10.2.0.0 неизвестного маршрутизатора удаленной стороны.
Пример 18.28. Конфигурация маршрутизатора Cisco, настроенного на использование TED
interface Serial 0
crypto map ted
crypto ipsec transform-set mysetl esp-3des esp-md5-hmac
crypto dynamic-map probe 1
set transform mymapl
match address 103
crypto map ted 1 ipsec-isakmp dynamic probe discover
access-list 103 permit ip 10.1.0.0 0.0.255.255 10.2.0.0 0.0.255.255
Резюме
В этом разделе кратко представлены вопросы, рассмотренные в данной главе.
Использование серверов СА (сервер сертификации) открывает возможности масштабирования сетей IPSec с помощью надежного гаранта аутентификации сторон IPSec в процессе обмена IKE, исключающего необходимость настройки параметров ключей сообщающихся сторон вручную.
Серверы СА предлагаются производителями средств сетевой зашиты в виде программного обеспечения, приобретаемого, устанавливаемого и управляемого конечным пользователем, или управляемого сервиса, на предоставление которого конечный пользователь может оформить подписку.
Большинство шагов настройки маршрутизаторов Cisco и брандмауэров PIX Firewall для поддержки сервера СА соответствуют действиям, выполняемым при
настройке средств поддержки общих ключей, но некоторые действия, которые касаются планирования настроек СА и непосредственно настройки средств поддержки СА, а также настройки IKE для аутентификации с помощью подписей RSA, являются уникальными для данного процесса.
Параметры сервера СА необходимо внести в конфигурацию до начала процедуры настройки IKE.
Устройства Cisco должны зарегистрироваться в сервере СА с помощью протокола SCEP, предназначенного для автоматизации процесса регистрации СА.
Для каждого сервера СА, поддерживающего устройства IPSec компании Cisco, процесс конфигурации соответствующих устройств будет иметь свои особенности.
При использовании поддержки сервера СА одновременно в маршрутизаторах Cisco и брандмауэре PIX Firewall применяйте метод аутентификации IKE с помощью подписей RSA.
Процесс настройки IPSec в данном случае ничем не отличается от описанного в предыдущих главах процесса настройки IPSec для работы с общими ключами или шифрованными оказиями.
Маршрутизаторы Cisco и брандмауэры PIX Firewall поддерживают возможности удаленного доступа, включая динамические криптографические карты, расширенную аутентификацию и режим IKE mode config.
Маршрутизаторы Cisco поддерживают средства распознавания конечных точек туннелей, которые могут упростить процесс создания сложных сетей VPN на базе IPSec.
Контрольные вопросы
Ответьте на следующие вопросы, касающиеся некоторых ключевых фактов и понятий, рассмотренных в этой главе.
Каковы преимущества использования сервера САдля аутентификации сторон IPSec?
Какие поставщики предлагают серверы СА в виде программного обеспечения, которое устанавливается и управляется конечным пользователем и способно взаимодействовать с устройствами VPN компании Cisco в рамках протокола SCEP?
Какой метод аутентификации IKE используется для поддержки СА?
Как увидеть информацию о сертификатах СА в конфигурации маршрутизатора?
Требуется ли для поддержки сервера СА какая-то специальная конфигурация IPSec?
Когда обязательно нужно использовать динамические криптографические карты?
Какова общая процедура настройки динамических криптографических карт в брандмауэре PIX Firewall?
Когда следует использовать режим IKE mode config?
Насколько полезной оказывается расширенная аутентификация IKE в условиях топологии удаленного доступа, инициатором которой выступает клиент VPN?
Какая команда используется для настройки возможностей распознавания конечных точек туннелей?
Ссылки
Темы, рассмотренные в этой главе, достаточно сложны, поэтому для более полного их понимания и применения приобретенных знаний на практике требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о сути проблем, обсуждавшихся в этой главе.
Стандарты СА и соответствующие обзоры
“Certificate Authority Support for IPSec Overview”, November, 1999. “Белая книга” Cisco, доступна по адресу: www.cisco.com/warp/public/cc/cisco/mkt/security/encryp/prodlit/821_pp.htm.
“Cisco Systems’ Simple Certificate Enrollment Protocol”, January, 2000. “Белая книга” Cisco, доступна по адресу: www.cisco.com/warp/public/cc/cisco/mkt/security/tech/scep_wp.htm.
Настройка С А в рамках Cisco IOS Software
Cisco IOS Security Configuration Guide, Release 12.1. В главе “Configuring Certification Authority Interoperability” этого руководства предлагается обзор возможностей настройки средств поддержки сервера СА для маршрутизаторов Cisco.
Cisco IOS Security Command Reference, Release 12.1. В главе “Certification Authority Interoperability Commands” этого руководства описываются команды, используемые для настройки средств поддержки сервера СА в маршрутизаторах Cisco.
Поддержка сервера СА для брандмауэра
PIX Firewall
Для выяснения подробностей, касающихся настройки средств поддержки сервера СА в рамках IPSec для брандмауэра PIX Firewall, обратитесь к руководству Configuration Guide for the PIX Firewall, Version 5.1. Наиболее информативными являются следующие главы этого руководства.
Configuring IPSec. Предлагает обзор возможностей настройки поддержки сервера СА в рамках IPSec и описания соответствующих процедур настройки.
Command Reference. Содержит подробные описания команд брандмауэра PIX Firewall.
Configuration Examples. Предлагает примеры конфигурации IPSec для брандмауэра PIX Firewall с поддержкой сервера СА.
Стандарты IPSec и документы RFC
draft-nourse-scep-02.txt. Xiaoyi Liu, Cheryl Madson, David McGrew and Andrew Nourse. Cisco Systems’ Simple Certificate Enrollment Protocol (SCEP), February, 2000.
RFC 2314. Kaliski B. PKCS # 10: Certification Request Syntax Version 1.5, March, 1998.
RFC 2315. Kaliski B. PKCS #7: Cryptographic Message Syntax Version 1.5, March, 1998.
RFC 2459. Housley R., Ford W., Polk W., and Solo D. Internet X.509 Public Key Infrastructure Certificate and CRL Profile, January, 1999.
Программа поддержки безопасности
Указанный ниже адрес URL создан в рамках программы поддержки безопасности (Security Associates Program). Здесь представлен список продуктов PKI и СА, совместимых с продуктами Cisco. Для доступа к этому адресу требуется ввести имя пользователя и пароль ССО: www.cisco.com/warp/customer/cc/so/neso/sqso/csap/index.shtml.
Часть
VII
Приложения
Приложение А. Структура сети компании XYZ
Приложение. Б. Политика сетевой защиты компании XYZ
Приложение В. Настройка стандартных и расширенных списков, Приложение Г;-Ответы на контрольные вопросы
Приложение
А
Структура сети компании XYZ
/ Описываемая в этом приложении структура сети компании XYZ используется во 'всех'главах книги, чтобы можно было связать в одно целое те принципы защиты и ‘ варианты их реализации, которые вы изучите. Все IP-адреса и сетевые устройства, для которыхабыли разработаны примеры практических занятий, соответствуют тем, которые указаны в данном приложении.
,В приложении предлагается описание структуры гипотетической компании XYZ. ,^ЗДесь показаНо/иачальное состояние сети, до того как компания начала в плановом ‘Vy порядке применять методы сетевой защиты. В каждой главе книги объясняется, как 1 реализовать-конкретные технологии сетевой защиты Cisco, чтобы сеть компании XYZ 7 от главы к главе становилась все более защищенной.
‘, В конце приложения показана схема защищенной сети компании XYZ, полученная в -- результате реализации предлагаемых в книге технологий защиты. В описании модели сети компании "ЖТ- испйьзуются ссылки на реальное сетевое оборудование Cisco, применяе-
< мое на практическихзанятиях в рамках курса MCNS (Управление защитой сетей Cisco).
Общая характеристика компании XYZ компания XYZ является одной из растущих компаний Силиконовой Долины. Ис- торичес^^ложилось гак, что сетевая среда компании была полностью открытой: она допуск^йчюлныйудоступ; ко всем сетевым ресурсам. Недавно, как было обнаружено г^<Й1едрм информационных систем (ИС), компания стала жертвой многочисленных се- тев1^ вторжений.
Теперь компания) осознает, что ее сеть уязвима, поэтому она готова потратить часть своих средствша то, чтобы с помощью средств сетевой защиты, предлагаемых KON^HHeft^isco, обеспечить себе безопасную работу в сети. Компания XYZ уже является ^зстаточно <активным потребителем продукции Cisco, а сеть компании по- стро^нана использовании стека протоколов TCP/IP. В защите нуждаются три струк-
,. турных сегмента сети — территориальная сеть, удаленный доступ и доступ к Internet.
’ «Компания XYZ хотела бы ограничить доступ внутренних и внешних пользователей к важным данным ша серверах, контролировать исходящий трафик, усовершенствовать систему ац^ризации, аутентификации и практику сетевого аудита. Управление компании инф^мирбвано о возможностях IPSec и сетях VPN (Virtual Private Network — виртуальная частная сеть). Им требуется квалифицированная консультация по поводу того, ^. ^как идентифицировать угрозы нарушения зашиты сети и выбрать соответствующую по- ^1итику заШиты, а также необходима экспертиза конфигурации сети с точки зрения воз- Жможности применения решений зашиты, предлагаемых компанией Cisco.
Отдел информационных систем отвечает за работу сети всей компании. Приложения территориальной сети и файловые серверы размещаются на серверах Windows NT, которые доступны всем подразделениям компании (включая подразделения разработки и сбыта) и связаны с сетями партнеров. Отдел информационных систем использует систему сетевого управления на базе сервера Windows NT и соответствующее программное обеспечение сетевого управления. В рамках территориальной сети используются маршрутизаторы Cisco и коммутаторы Ethernet.
Компания XYZ намеревается ограничить доступ внутренних и внешних пользователей к важным данным, размещенным на серверах подсетей разработки и сбыта, поскольку руководство обеспокоено тем, что к данным этих серверов могут получить несанкционированный доступ посторонние лица. На рис. А.1 показана схема сети компании до применения технологий защиты Cisco. Как видно из схемы, не были задействованы даже настройки маршрутизатора, обеспечивающие защиту внутренней сети.
Разработки
СерверWebСерверWebСервер Сервер SMTP DNSСервер Сервер SMTP DNS
СерверWeb
СерверWeb
Сервер Сервер SMTP DNS
Сервер Сервер SMTP DNS
Рис. А. I. Схема сети компании XYZ в ее исходном незащищенном состоянии
Удаленный доступ
Компания XYZ имеет небольшую группу мобильных пользователей (это представители подразделения сбыта и системные инженеры), использующих портативные компьютеры с установленными системами Windows 95/NT. Этим пользователям требуется доступ к серверам соответствующих подразделений. Некоторым служащим регулярно необходим дистанционный доступ к сети компании со своих компьютеров с установленными на них системами Windows 95/NT. Кроме того, компания имеет несколько удаленных филиалов, в которых установлены маршрутизаторы Cisco 1720, использующие маршрутизацию по запросу для связи с территориальной сетью головного офиса. Компания планирует разрешить подключение к территориальной сети и поставщикам, разрешив им удаленный доступ к сети подразделения разработки. Для управления удаленным доступом компания XYZ использует серверы сетевого доступа Cisco 3640, связанные с коммутаторами Ethernet серии Catalyst и маршрутизаторами Cisco 4700 территориальной сети.
Компания XYZ обеспокоена тем, что через серверы сетевого доступа несанкционированный удаленный доступ к сети могли получать посторонние лица. Руководство компании хотело бы контролировать удаленный доступ к сети, который в настоящий момент неуправляем.
Доступ к Internet
Компания XYZ имеет скоростное соединение с сетью поставщика услуг Internet (ISP). Линия ISP соединена с маршрутизатором периметра Cisco 1720 территориальной сети. Внешними пользователями Internet являются клиенты компании и служащие, получающие доступ к корпоративному бастионному узлу, на котором имеется сервер Web (с информацией о продуктах компании) и сервер FTP (содержащий демонстрационное программное обеспечение и документацию соответствующих продуктов). Цель компании — ограничить внешний доступ из Internet к бастионному узлу. Внутренними пользователями Internet являются служащие, которым доступ к Internet необходим для исследований. Компания намеревается разрешить своим служащим неограниченный доступ к Internet. Внутренние и внешние пользователи имеют возможность обмениваться сообщениями электронной почты, однако ввиду того, что присоединенные к сообщениям файлы и непроверенные приложения могут являться источником проблем, компания хотела бы иметь более совершенные средства управления трафиком SMTP.
Специалисты компании XYZ подозревают, хотя и не имеют пока неоспоримых доказательств, что недоброжелательно настроенные лица получали доступ к сети компании через Internet. Web-узел компании был варварски разрушен. Настройки маршрутизатора связи с Internet в результате атаки были изменены так, что легальные пользователи не могли получить доступ к Internet вообще.
Подразделения компании
В использовании и защите сети заинтересованы три подразделения компании, а именно: подразделения информационных систем, разработки и сбыта.
Подразделение информационных систем
Данное подразделение имеет один сервер Windows NT, который является центром сетевого управления. Это подразделение отвечает за административный контроль и
общее функционирование сети, серверов и рабочих станций, имея доступ ко всем сетевым устройствам через Telnet.
Подразделение сбыта
Структура подсети сбыта имеет следующие характеристики.
Рабочие станции подсети функционируют под управлением Windows 95/NT.
Мобильные торговые представители и инженеры подразделения сбыта используют портативные компьютеры с установленными системами Windows 95.
Удаленные филиалы для доступа к территориальной сети головного офиса применяют маршрутизаторы Cisco 1720 и маршрутизацию по запросу.
Приложения поддержки продаж, базы данных сбыта и файловый сервер размещены на сервере Windows NT.
Удаленные пользователи получают доступ к серверу сетевого доступа Cisco 3640 с помощью модемов и аналоговых линий удаленного доступа.
Подразделение сбыта связано с остальной частью территориальной сети через коммутатор Ethernet типа Catalyst и порт Ethernet маршрутизатора Cisco 4700.
Служащим этого подразделения необходимо иметь доступ только к своим серверам Windows NT.
Подразделение разработки
Структура подсети отдела разработок имеет следующие характеристики.
Рабочие станции подсети функционируют под управлением UNIX или Windows NT.
Инженеры, которым требуется дистанционный доступ к сети компании, имеют как обычные персональные, так и мобильные компьютеры с установленными на них системами Windows NT.
Удаленные пользователи получают доступ к серверу сетевого доступа Cisco 3640 с помощью модемов и аналоговых линий удаленного доступа.
Подразделение разработки имеет свои серверы Windows NT с информацией о разрабатываемых продуктах, доступ к которой для других пользователей должен быть закрыт.
Подразделение разработки связано с остальной частью территориальной сети через коммутатор Ethernet типа Catalyst и порт Ethernet маршрутизатора Cisco 4700.
Цели сетевой защиты компании XYZ
На основе применения технологий защиты Cisco компания XYZ в конечном счете хотела бы обезопасить свою сетевую среду. Она надеется получить в свое распоряжение защищенную сеть, подобную показанной на рис. А.2
Компания XYZ имеет удаленный сегмент сети, который является почти зеркальным образом основной части корпоративной сети, но с другими IP-адресами. Топология этой защищенной сети показана на рис. А.З.
nternet
Web-сервер Обозреватель Сервер
Web
Маршрутизатор периметра
Удаленное подразделение 172.16.2.1
sO 172.16.1.1 ,2e1
.1 eO
Internet 172.16.1.20
10.1.2.0
Удаленный клиент
Бастионный Бастионный Сенсор
узел узел CiscoSecure IDS
1e2 192.168.11.0/24
"Грязная'
192.168.1.0/24 ДМ3
«Ж? BP»«-WP«fl>
.4 Защищенная
Ц ДМ3
.3 е1
Бастионный Бастионный
узел
еО 10. .1.
.1 SO
Сбыт
Клиент
Сервер
Сервер сетевого доступа
Маршрутизатор территориальной сети
узел
Удаленныйдоступ
10.1.1.0
ИС
Сервер CiscoSecure ACS, Сервер Web, FTP, TFTP, syslog SMTP
C^p УпРав" Сенс°Р DNS ляющий CiscoSecure узел IDS CiscoSecure
IDS
Рис. A.2. Защищенная сеть компании XYZ
nternet
Обозреватель Сервер
Web
Удаленное подразделение 172.16.1.1
Web-сервер Internet 172.16.1.20
Маршрутизатор периметра
,2е1
S0 172.16.2.1
.1 eO
сертификации192.168.255.2
10.2.2.0
Удаленный клиент
192.168.2.0
Бастионный Бастионный Сенсор
"Грязная'
ДМ3
узел узел CiscoSecure оIDS
,1е2 192.168.12.0
Брандмауэр PIX ^Ц^
,3е1
.4 Защищенная
Ч ДМ3
еО 10.2.1.1
.1 sO
Сбыт
Клиент
Сервер
Сервер сетевого доступа
Маршрутизатор территориальной сети
Бастионный Бастионный
узел
узел
Удаленныйдоступ
10.2.1.0
ИС
.100.101
Сервер CiscoSecure ACS,Web, FTP, TFTP, syslog
- -*«X. .а
SMTP
DNS
узел IDS CiscoSecure
IDS
Рис. АЗ. Удаленный сегмент сети компании XYZ, являющийся зеркальным образом корпоративной сети
Приложение
Б
Политика сетевой защиты мпании XYZПолитика сетевой защиты мпании XYZпикапика
Политика сетевой защиты мпании XYZ
Политика сетевой защиты мпании XYZ
пика
пика
приложении предлагается пример политики сетевой защиты компании политики отражают конечные цели, которые должны быть достиг- создаваемой системы сетевой безопасности. Предлагаемая здесь по- 1яется просто примером и не может быть ни объектом для критики, о ш । ики защиты реального предприятия.
. Распределение полномочий и сфер |мйсЫ
■каждый слу||вщиДкак,зррегистрированный пользователь внутренней сети XYZ, име- ^г свои прай доступа?к информации. Чтобы способствовать обеспечению сетевой тезопасности^^лост^сти информации, каждый пользователь должен подчиняться требованиям п8литики*|ащиты. Компания XYZ следует принципу "необходимого знания”, сознательй избегая предоставления служащему информации, которая не тре- буйтся длядЖодоенАэго работы.
знамена политика
олитика разработана доя следующих категорий служащих:
■юльзовател^сёги, которые должны действовать в соответствии с политиком защиты;
|йерсонал;слу>^ьц|рддержки систем, который реализует требования политики за- Жцитьг^Ьсуществляет ее поддержку;
"адёнёджеры, в сфере компетенции которых находится защита данных и связанные с ней расходы;
t управлениекомпании, желающее обеспечить целостность сети наряду с простотой
■ ее использования и минимальными расходами на ее содержание;
юрисдгы и аудиторы компании, которые должны быть заинтересованы в поддержке вы^ойдепутации компании.
Область действия политики защиты
Данная политика является составной частью документа болаа высокого уровня (“Общие трабования базопасности компании XYZ”), в котором опрадаляются задачи и общая структура систамы базопасности компании XYZ. Данная политика рагламанти- руат возможности интарактивного доступа к корпоративной информации для служащих компании и аа субподрядчиков, а также для других лиц, включая даловых перт- наров, диларов и клиентов.
Лица, уполномоченные контролировать политику сетевой защиты
Собранна акционеров неделяет правланиа компании и руководиталай высшего звана управления всеми полномочиями, необходимыми для резреботки, реелизеции, внедрения и осуществления дельнейшей поддержки политики зещиты в соответствии с действующими местными, национальными и международными законами. Отватстван- ность за внадраниа политики защиты насут руководители отделе информеционной безопесности и юридического отделе компении XYZ.
Заинтересованные стороны
Все пользователи сети компении XYZ, системные администраторы и персонал соот- ватствующих служб сопровождения должны оказывать содайствиа в сохранании как цалостности корпоративной сати и еа вычислительных ресурсов, тек и целостности и конфиданциальности информации, обрабатываемой этими ресурсеми.
Ответственность зе разработку, поддержку и реелизецию политики сетевой зещиты возлагаатся на:
вице-президента компании по вопросам информационных систам и руководителя отделения информационных систам;
вице-президента компании по вопросам разработок;
вица-празиданта компании по вопросам маркетинга и сбыта;
руководителя отделе информеционной безопесности;
директоре отделе сетей и талекоммуникеций отделения информеционных систем;
стершего менеджере отделе эксплуатации отделения информеционных систем;
диспетчере службы упревления корпореции;
юридического представителя корпореции.
Обязанности системного администратора
В обязенности системных администраторов сетевого оборудовения и многопользовательских узлов входит реализация сладующих требований.
Учетные записи должны создаваться только для индивидуальных лиц.
Внутри компании XYZ учатныа имана и другиа зависящие от систамы представления учетных зеписей пользоветалей (непример, универсельные идентификеторы UNIX) должны быть глобально уникальными (с идентификатором “patrov” должен ессоцииро- ваться только один пользователь во всей компении). Если одно учетное имя используется срезу не нескольких узлех, это имя должно представлять одно и то же лицо.
Прогреммные зеплеты зещиты и обновленные обрезы систем сетевого оборудо- вения, рекомендуемые уполномоченным представителем отделения информеци-
онной безопасности, должны устанавливаться на приоритетной основе с учетом важности таких обновлений.
Система управления именами и паролями пользователей должна строиться в соответствии с требованиями данной политики сетевой защиты.
Недействительные учетные записи пользователей должны ликвидироваться.
Системные файлы конфигурации должны храниться на защищенном TFTP- сервере. Совместный доступ к этим файлам должен быть запрещен, и они не должны быть общедоступными. Для доступа к соответствующему TFTP-хосту со стороны маршрутизаторов Cisco желательно использовать возможности гср, защищенные средствами Kerberos.
Файлы системного журнала должны анализироваться ежедневно. О признаках серьезных инцидентов защиты необходимо немедленно сообщать ответственному представителю отдела информационной безопасности. Отчеты о незначительных нарушениях (например, о многочисленных аварийно завершенных попытках входа в систему) следует направлять в отдел информационной безопасности не реже одного раза в неделю.
Следует активно и регулярно использовать специальные средства управления сетевой защитой, разработанные в помощь системным администраторам для выявления ненадежных паролей и точек уязвимости, а также проверки целостности конфигурации системы и файлов (такими средствами являются, например, CiscoSecure Scanner, система обнаружения вторжений CiscoSecure IDS, Cisco Netsys, Crack, COPS, Tyger и Tripwire).
Процедура сопровождения политики защиты
Заинтересованные лица компании должны пересматривать и обновлять политику защиты не реже одного раза в год.
Под руководством уполномоченного представителя отдела информационной безопасности отделение информационных систем без предварительного объявления должно проводить внеплановые проверки системы защиты, результаты которых должны представляться в виде отчета.
Процедура реализации
Директор отдела сетей и телекоммуникаций несет ответственность за разработку проекта структуры сети, в котором должны быть указаны точная топология сети и сетевое оборудование, необходимые для того, чтобы реализовать политику сетевой защиты.
После подключения к сети нового оборудования и систем необходимо проверять, соответствуют ли они и их настройки данной политике защиты.
Обучение пользователей
Знакомство с политикой защиты и ее поддержка должны стать частью служебной политики. Одним из условий работы в компании должно быть ежегодное письменное подтверждение служащими согласия с политикой приемлемого использования сетевых ресурсов.
Информирование служащих о методах психологической разведки
Служащие компании должны проявлять осторожность, обсуждая деловые вопросы с лицами, не являющимися работниками компании. Убедитесь в целесообразности такого обсуждения, прежде чем сообщать о принципах ведения дел в компании.
Политика приемлемого использования сетевых ресурсов
Политика приемлемого использования сетевых ресурсов определяет то, что компания считает приемлемым (и неприемлемым) при внутреннем и внешнем доступе, при использовании программного обеспечения и аппаратных средств с учетом дополнительных ограничений, накладываемых общегосударственными или местными законами и правовыми актами.
Приемлемое использование ресурсов сети
Отдельные служащие и подразделения внутри компании XYZ, отвечающие за поддержку связи между сетью компании XYZ и сетями других субъектов деловой активности, должны принять меры, которые сводили бы к минимуму риск нарушения системы информационной безопасности компании.
Неприемлемое использование ресурсов сети
Пользователям, не являющимся системными администраторами, не разрешается иметь доступ к файлам конфигурации системы (например, к файлам конфигурации маршрутизаторов или /etc/passwd) и копировать их с сетевого оборудования или сетевых серверов.
Пользователям не разрешается получать (и пытаться получать) доступ ЕХЕС и корневой доступ (или эквивалентный вид доступа) к сетевому оборудованию и узлам, которые формируют сеть и инфраструктуру информационной системы компании XYZ, если в их служебные обязанности это не входит.
Требование соответствия
Пользователи должны действовать в соответствии с директивами данной политики защиты, а также ее будущих изменений или дополнений. Доступ к инфраструктуре сети компании и ее данным является привилегией, связываемой с работой в компании, а не правом пользователя. Как таковая, компания имеет право изменить привилегии доступа пользователя по собственному усмотрению и в любой момент. Отказ подчиниться требованиям компании в сфере использования инфраструктуры данных может повлечь за собой наказание в виде дисциплинарного взыскания вплоть до увольнения служащего.
Политика идентификации и аутентификации
Политика идентификации и аутентификации определяет технические возможности и процедуры, используемые для идентификации и авторизации доступа.
Управление паролями
При выборе и использовании паролей необходимо учитывать следующие рекомендации.
Пароли, если это возможно, должны состоять из нескольких слов со знаками как верхнего, так и нижнего регистров, включать специальные символы и цифры и содержать не менее восьми символов (например, deltA9Cog, china&fish или run7w00deN).
Пароль следует менять ежеквартально (т.е. каждые три месяца).
Для каждой учетной записи, имеющейся в распоряжении пользователя, должен выбираться отдельный уникальный пароль.
Не следует записывать пароли.
Не следует сообщать пароли никому, даже сотрудникам.
Аутентификация пользователей
Для аутентификации пользователей компания XYZ собирается использовать удаленную базу данных защиты с применением протокола TACACS+.
Политика доступа к Internet
Компания XYZ осознает, что Internet является важной составляющей бизнеса, но это повышает риск нарушения защиты. Политика доступа к Internet определяет следующие принципы управления таким доступом.
Приемлемое использование Internet
Исходящий доступ к Internet может свободно использоваться служащими в интересах компании. Удаленные пользователи компании тоже имеют право на такой доступ. При этом должны быть установлены разумные ограничения на общее время сеанса и время ожидания.
Использование брандмауэра
Чтобы исключить возможность несанкционированного доступа к территориальной сети компании из Internet, необходимо использовать систему брандмауэра, состоящую, как минимум, из маршрутизатора периметра и бастионного узла. Следует определить правила фильтрации пакетов, чтобы контролировать доступ к сети через периметр, а информацию о соответствующих нарушениях правил направлять серверу syslog.
Общедоступные сервисы
Входящий доступ из Internet к территориальной сети компании должен быть строго ограничен, если соответствующий поток данных через Internet не защищен шифрованием на сетевом уровне. Входящий доступ из Internet к бастионному узлу должен быть ограничен для трафика электронной почты, HTTP, FTP и других аналогичных потоков.
Политика доступа к территориальной сети
Политика доступа к территориальной сети компании определяет методику назначения уровней доступа пользователям сети.
Доверительные отношения
Доступ к узлам территориальной сети разрешается на основе иерархии уровней доверия, присваиваемых каждому служащему его менеджером. Компания XYZ стремится к балансу между простотой доступа пользователей и надежностью защиты сети.
Определяется пять уровней доверия. Присваиваемый служащему уровень доверия зависит от задач, которые ему приходится выполнять в соответствии со служебными обязанностями. Необходимо установить и использовать технические средства для контроля неукоснительного выполнения правил доверительных отношений.
Доступ внешних пользователей к узлам территориальной сети компании запрещается, если только такой доступ не санкционирован специально соответствующей службой отделения информационных систем по заявке менеджера отдела.
Защита сетевого оборудования
Доступ ЕХЕС или корневой доступ к сетевому оборудованию запрещается всем, кроме служащих отделения информационных систем, указанных старшим менеджером отдела эксплуатации отделения информационных систем. Для защиты особо важных потоков данных между внутренними серверами должно использоваться шифрование сетевого уровня.
Политика удаленного доступа
Служащие, получающие доступ к корпоративной сети компании XYZ из своих домашних офисов и из других точек через линии удаленного доступа, должны четко понимать ответстаенность за соблюдение мер защиты, которыми сопровождаются привилегии удаленного доступа.
Удаленный доступ означает расширение внутренней сети компании XYZ, что открывает потенциальный путь доступа ко всей информации компании, аключая самую важную и секретную. Таким образом, исключительно важно, чтобы служащие, пользующиеся привилегиями удаленного доступа, приняли все меры, гарантирующие доступ к внутренней сети только служащим компании и уполномоченным подрядчикам.
Любой компьютер, используемый для доступа к внутренней сети компании XYZ, либо должен быть зещищен паролями, либо его конфигурация не должна позволять несанкционированному пользователю запускать коммуникационные программы, инициализирующие соединение с сетью компании XYZ. Отделение информационных систем компании XYZ должно четко указать, какие механизмы или утилиты защиты файлов должны при этом использоааться, а парольная защита должна исключать возможность обойти ее (например, с помощью перезапуска компьютера).
Устанавливаемые при удаленном доступе соединения должны аутентифицироваться средствами TACACS+ или с помощью идентификационных карт и соответствующих серверов.
Мобильный доступ
Служащие, которым требуется доступ к территориальной сети компании, должны получать такой доступ только через серверы сетевого доступа, контролируемые отделением информационных систем. При этом служащие должны использовать поддерживаемые отделением информационных систем компьютеры под управлением Windows 95, 98, 2000 или компьютеры Apple Macintosh с программным обеспечением удаленного доступа, рекомендованным отделением информационных систем.
Служащие компании XYZ и другие авторизованные стороны (в частности, дилеры и клиенты) для доступа к корпоративной сети могут использовать удаленные соединения. Удаленный доступ должен строго контролироваться средствами аутентификации с применением одноразовых паролей.
Служащие компании, которым предоставлены привилегии удаленного доступа, несут ответственность за то, чтобы соответствующими средствами удаленного доступа к ресурсам информационной системы компании XYZ не могли воспользоваться посторонние лица.
Домашний доступ
Служащие компании XYZ, которые предпочитают работать дома, могут использовать удаленные соединения, связывающие их домашние компьютеры с корпоративной сетью. Всегда, когда это возможно, для таких удаленных соединений с корпоративной сетью должны использоваться средства аутентификации CHAP.
Обязательства удаленных пользователей
Пользователи, получающие привилегии удаленного доступа, должны подписать документ, в котором говорится об их понимании важности защиты информации компании XYZ от разглашения. Документ должен также четко указывать на их согласие подчиняться требованиям защиты, сформулированным в этом документе и документах политики защиты высших уровней.
Доступ из филиалов
Чтобы обеспечить защиту корпоративной сети, все возможности удаленного доступа к территориальной сети компании из филиалов должны получить явное одобрение отделения информационных систем.
Доступ для деловых партнеров (экстрасеть)
Для обеспечения защиты корпоративной сети все возможности удаленного доступа к территориальной сети компании со стороны деловых партнеров должны получить явное одобрение отделения информационных систем. Управление таким доступом должно осуществляться с помощью брандмауэра.
Политика шифрования
Все транзакции удаленного доступа должны защищаться средствами шифрования. Выбираемый алгоритм шифрования должен обеспечивать баланс между необходимым уровнем защиты соответствующей транзакции и скоростью обработки данных.
Процедура обработки инцидентов
Стороны, заинтересованные в успешной реализации политики защиты компании XYZ, должны разработать детальную процедуру обработки инцидентов, включающую сценарии поведения для всех возможных вариантов нарушения защиты. Процедура обработки инцидентов, подобно “поваренной книге”, должна гарантировать, что последствия любых инцидентов будут исправлены в самые сжатые сроки служащими отделения информационных систем на основе четкого распределения их обязанностей. Процедура обработки инцидентов должна освещать следующие вопросы.
Система обнаружения вторжений
Чтобы обеспечить получение жизненно важной информации о состоянии периметра защиты, следует использовать программное обеспечение обнаружения вторжений
(например, систему CiscoSecure IDS). Работающая в реальном масштабе времени и предназначенная для применения в масштабах реального предприятия, система обнаружения вторжений, задачей которой является выявление, регистрация и пресечение несанкционированной активности в секторе ДМ3 (“демилитаризованная зона”) периметра сети, должна предлагать следующие возможности.
Система обнаружения вторжений должна допускать масштабирование и обладать достаточной скоростью работы, чтобы администраторы могли централизованно осуществлять мониторинг сетевой активности в секторе ДМ3.
Система обнаружения вторжений должна иметь многоуровневую иерархию, позволяющую администраторам быстро добавлять новые системы текущего контроля по мере расширения сети.
Центральная станция управления должна допускать дистанционное управление конфигурацией удаленных систем через интуитивно понятный графический пользовательский интерфейс, интегрированный в систему сетевого управления, чтобы организация имела возможность осуществлять мониторинг состояния защиты соединений из единого центра. Это гарантирует согласованное применение политики защиты в масштабах всего предприятия.
Станция управления должна также сохранять генерируемые ею информирующие и предупреждающие сообщения в соответствующей архивной базе данных. Информация о времени начала атак, об их типах, точках назначения и продолжительности должна регистрироваться с целью дальнейшего анализа.
Процедура реагирования на инциденты
Детализированная процедура реагирования на инциденты должна иметь вид рабочего документа, созданного под руководством старшего менеджера отдела эксплуатации отделения информационных систем, и должна обновляться ежеквартально или же в недельный срок после регистрации серьезного инцидента нарушения защиты. Соответствующий документ должен быть одобрен вице-президентом компании по вопросам информационных систем и уполномоченным представителем отдела информационной безопасности. Процедура реагирования на инциденты должна представлять собой план ответа компании на атаки, чтобы в случае возникновения инцидента все ресурсы компании были направлены на разрешение проблемы, а не на выяснение того, что следует предпринять. Процедура должна освещать следующие вопросы.
Подготовка персонала и планирование действий служащих во время инцидента. Для служащих отдела эксплуатации отделения информационных систем должны быть организованы занятия (не менее 16 часов в год), в ходе которых они должны научиться распознавать инциденты защиты и применять процедуру реагирования на них. Содержащий описание процедуры документ должен также определять форму и продолжительность подготовки.
Выявление инцидента. Системный администратор должен следить за сообщениями системы обнаружения вторжений в течение всего дня, чтобы вовремя выявить инцидент. Файлы системных журналов должны проверяться ежечасно и анализироваться в конце дня. Ответственность за выявление инцидента возлагается на старшего администратора системы, во время дежурства которого произошел инцидент. Процедура реагирования на инциденты должна использовать уровни приоритетов инцидентов защиты в соответствии с рекомендациями, предложенными в документе RFC 2196, “Site Security Handbook".
Обработка инцидента. Процедура реагирования на инциденты защиты должна определять, как системные администраторы должны действовать в случае выявления инцидента. Ниже предлагается список действий, которые необходимо предпринять:
идентифицировать тип атаки и уровень приоритета;
выяснить время начала и окончания атаки;
идентифицировать источник атаки;
определить компьютер или сетевые системы, которые были целью атаки;
проследить путь атаки к ее источнику, чтобы выяснить, какие сети и вычислительные системы не были при этом затронуты;
попытаться помешать успешному завершению атаки; изолировать систему, которая подверглась атаке;
известить соответствующих ответственных лиц;
защитить доказательства проведения атаки (например, соответствующие файлы журнала);
восстановить работоспособность сервисов отделения информационных систем (если это возможно).
Документирование инцидента и извлечение уроков. Под руководством старшего менеджера отдела эксплуатации отделения информационных систем следует подготовить письменный отчет, в котором должна содержаться следующая информация:
данные инвентаризации активов атакованных систем;
описание уроков, которые можно извлечь из случившегося;
рекомендации по пересмотру политики сетевой защиты, если это требуется;
рекомендации по выявлению и наказанию виновных в проведении атаки.
Ответственные лица
В табл. Б.1 представлен список членов группы реагирования на инциденты, ответственных за применение политики сетевой защиты компании в случае инцидента.
Ответственные лицаОтветственные лицаРолиРоли
Ответственные лица
Ответственные лица
Роли
Роли
Старший системный администратор, во время работы которого происходит инцидентСтарший менеджер отдела эксплуатации отделения информационных системСтарший системный администратор, во время работы которого происходит инцидентСтарший менеджер отдела эксплуатации отделения информационных систем
Старший системный администратор, во время работы которого происходит инцидент
Старший менеджер отдела эксплуатации отделения информационных систем
Старший системный администратор, во время работы которого происходит инцидент
Старший менеджер отдела эксплуатации отделения информационных систем
Выявление инцидента защиты и принятие соответствующих мер
Составление отчета об инциденте
Главное координирующее лицо
Определение способа реагирования на инцидент
Координация действий системных администраторов в случае выявления серьезных инцидентов защиты
Должен быть доступен через пейджер или мобильный телефон в любое время суток
Связь с вышестоящими лицами руководящей цепи
Окончание табл. Б.1
Ответственные лица
Роли
Представитель отдела информационной безопасности
Передача информации об инциденте официальной группе реагирования на инциденты (например, группе CERT)
Инициатор применения законов
Вице-президент по вопросам информационных систем и технологий
Работа с группой исполнителей по вопросам коммуникаций внутри и вне компании
Предоставление сведений о состоянии дел в компании агентствам новостей и другим внешним организациям (единственное лицо, уполномоченное делать соответствующие заявления)
Организация составления отчета о ликвидации инцидента защиты и внесения соответствующих изменений в процедуры с целью исключения инцидентов в будущем
Юридический представитель корпорации
Координация действий, целью которых является наказание нарушителей
Санкционирование внешних связей
Приложение
в
Настройка стандартных и ширенных списков доступа
.. В _ сложении предлагается обзор вариантов настройки стандартных и расширен- лс^сдисдо^додапа IP программными средствами Cisco IOS Software. Это приложение ючй«з^ "' 6 поскольку стандартные или расширенные списки доступа IP использу- гся мног^м^' ми защиты Cisco, предлагаемыми Cisco IOS Software, поэтому не ' ешает иметьпод рукой сводку основных сведений о структуре списков доступа.
Список Эоступ^П*. представляет собой последовательный набор условий разрешения и запрета,>,прйменяемыхк IP-адресам, протоколам и портам TCP и UDP. Списки доступа разрешаюгагли запрещают определенным интерфейсам принимать или отправлять пакеты. Cisco IOS Software поддерживает следующие типы списков доступа IP.
«^Стандартные* списки доступа IP, в которых для операций сравнения использу-
ются адреса источника.
'А ш'А шРасширенные списки доступа IP, в которых для операций сравнения применяются адреса- источника и получателя. В таких списках доступа при сравнении может использоваться информация о протоколе и портах TCP или UDP, что обеспечивает более гибкие возможности управления.
'А ш
'А ш
Динамические расширенные списки доступа IP позволяют управлять доступом пользователей уз заданных источников к заданным ресурсам с помощью аутен-
, тификации пользователей.
•^ Рефлексивные списки доступа дают возможность фильтровать пакеты IP на ос
*; нове информации обратного потока сеанса.
G? помощью списков доступа IP обеспечивается поддержка двух главных методов сетевой защиты — фильтрации пакетов и разделения транспортных потоков.
фильтрация пакетов позволяет управлять движением пакетов в сети, ограничивать сетевой трафик, проходящий через интерфейсы маршрутизатора Cisco, и доступ к се- ^тевым ресурсамедщузлов и сетей с определенными IP-адресами. Например, с помощью фильтрациипакетов в маршрутизаторе периметра можно разрешить трафик из Internet толжо/к бастионному узлу или защититься от фальсификации IP-адресов. Фильтрация пакетов с помощью списков доступа может использоваться для контроля додала к сети и сетевому оборудованию. Например, с помощью стандартного списка доступа 1Р^иожно указать, с каких удаленных IP-адресов разрешается администрирование мар&рутизатора или коммутатора Ethernet средствами Telnet.
Разделение транспортных потоков означает выделение “допустимого” трафика, к которому следует применить определенное защитное действие. Расширенные списки доступа IP могут использоваться в криптографических картах, определяющих трафик, который должен шифроваться средствами СЕТ и IPSec программного обеспечения Cisco IOS Software.
Типы списков доступа IP и соответствующие им номера представлены в табл. В.1.
доступа и их номера
Тип списка доступа
Диапазон номеров списка
Стандартный список IP
Расширенный список IP
Список мостового доступа для фильтрации кодов протокольного типа
Список доступа AppleTalk
Список мостового доступа для фильтрации 48-битовых МАС-адресов или кодов поставщика
Стандартный список IPX (Internetwork Packet Exchange - протокол межсетевого пакетного обмена)
Расширенный список IPX
IPX SAP (Service Advertising Protocol — протокол извещения об услугах)
Расширенный список мостового доступа для фильтрации 48-битовых МАС- адресов или кодов поставщика
Список доступа с обобщенными адресами IPX
Стандартный список доступа IP (дополнительный диапазон)
Расширенный список доступа IP (дополнительный диапазон)
Простой список доступа с ограничением скорости передачи для политики QoS (качества сервиса), использующий команду access-list rate limit
1-99
100-199
200-299
600-699
700-799
800-899
900-999
1000-1099
1100-1199
1200-1299
1300-1999
2000-2699
1-99 или 100-199
IP-адресация и общая структура списков доступа
В этом разделе представлен обзор правил IP-адресации, включая правила выбора масок сетей и подсетей. Здесь будут рассмотрены вопросы, являющиеся общими как для стандартных, так и расширенных списков доступа IP, в частности групповые маски адресов, явный запрет всех масок, неявные маски, а также вопросы конфигураций типичного списка доступа и основные правила настройки таких списков. Представленная в этом разделе информация необходима, поскольку для создания эффективных списков доступа требуется четкое понимание принципов IP-адресации.
IP-адресация
IP-адрес имеет длину 32 бит и разбивается на две части. Первая часть определяет адрес сети, а вторая — адрес хоста. Адрес хоста может быть (необязательно) разбит на
адрес подсети и собственно адрес хоста. При использовании адресов подсетей сетевой адрес можно разделить на адреса меньших сетей.
Чтобы представлять двоичные числа длиной до 32 бит, в IP-адресах используют разделитель — десятичную точку. Каждый десятичный “разряд” представляет 8битовое двоичное число, или октет (т.е. байт). Например, адрес 192.168.20.204 представляет двоичное число 11000000.10101000.00010100.11001100.
Каждый из 8 бит байта имеет свой десятичный весовой коэффициент, как показано в табл. В. 2. Если двигаться справа налево, то весовыми коэффициентами будут 1, 2, 4, 8, 16, 32, 64 и 128. Минимальным значением для байта является 0 (когда все биты равны 0), а максимальным — 255 (когда все биты равны 1). В поле хоста IP-адреса значение 255 резервируется для широковещательных сообщений, предназначенных для всех хостов сети.
Весовой коэффициент битв
128
64
32
16
8
4
2
1
Десятичный экаивалент
Значения битов
0
0
0
0
0
0
0
0
0
Значения битов
1
1
1
1
1
1
1
1
255
Распределением IP-адресов управляет сетевой информационный центр Internet (Internet Network Information Center — InterNIC), имеющий для этого соответствующие полномочия. InterNIC также является главным хранилищем документов RFC (Requests for Comments — запрос комментариев), в которых описывается то, как работают протоколы Internet.
Классы сетей
IP-адресация, о которой идет речь, используется для пяти различных классов сетей. Левые крайние биты IP-адреса указывают сетевой класс, который может быть одним из следующих.
Класс А предназначен для обозначения небольшого числа очень крупных сетей, поскольку в них для сетевого адреса предоставляется только 7 бит. Каждая из сетей класса А может иметь свыше 16 миллионов узлов. Все IP-адреса класса А уже распределены.
Класс В предоставляет 14 бит для сетевого адреса и 16 бит для адреса хоста. Этот класс адресов предлагает хорошее сочетание адресных пространств сетей и хостов.
Класс С предоставляет 22 бит для сетевого адреса. Однако при этом для поля адреса хоста остается только 8 бит, так что число хостов в сети класса С может оказаться ограничивающим фактором.
Адреса класса D резервируются для многоадресных групп, как формально описано в документе RFC 1112. В адресах класса D четыре бита высшего порядка установлены равными 1, 1, 1 и 0.
Адреса класса Е также определяются в рамках IP, но резервируются для использования в будущем. В адресах класса Е все четыре старших бита устанавливаются равными 1.
В табл. В.З описаны диапазоны адресов и стандартные сетевые маски для сетей классов А-С, которые используются чаще всего. Старшие биты первого октета определяют диапазон адресов для каждого класса.
Таблица В.З. Адреса и подсети классов А, В и С
Класс
Старшие биты
Первый байт
Стандартная маска
А
0
от 1.0.0.0 до 126.0.0.0
255.0.0.0
В
10
от 128.1.0.0 до 191.254.0.0
255.255.0.0
С
110
от 192.0.1.Одо 223.255.254.0
255.255.255.0
На рис. ВЛ показаны форматы адресов для IP-сетей классов А, В и С. Каждый сетевой адрес полного IP-адреса состоит из одного или нескольких байтов, и каждый сетевой адрес попадает точно на границу байта. Остальная часть IP-адреса состоит из байтов хоста, которые в сетевом адресе описывают адреса хостов.
Рис. В. 1. Поля сети и хоста для сетей классов А, В и С
Адреса подсетей ,
Сети IP можно разделять на меньшие элементы, называемые подсетями. Это позволяет “разбить” выбранную для сети предприятия IP-схему на меньшие элементы. Подсети создаются посредством “заимствования” крайних слева (главных) битов поля хоста IP-адреса для обозначения подсети, как показано на рис. В.2. Структурно IP- адрес с подсетью состоит из поля сети, поля подсети и поля идентификатора хоста. Если вы решили использовать 8 бит для подсети в IP-адресе класса В, то третий байт будет обозначать номер подсети. Подсети удобно использовать тогда, когда желательно разделить сеть организации на части, например, чтобы скрыть внутреннюю сложность сети от внешних наблюдателей, или же для более эффективного использования поля идентификатора хоста в общей структуре IP-адреса. Маска подсети используется для того, чтобы отличить адрес хоста от адреса сети.
1
Адрес класса В без подсети
Класс В
уv> Уv7
СетьХост
Адрес класса В с подсетью
Класс В
0
КY/ VуJ VYi
СетьПодсетьХост
Рис. В.2. Пример использования подсети в сетевом адресе класса В; 8 бит, заимствованных у поля хоста, позволяют указать до 16 подсетей сетевого адреса
Битами подсети становятся старшие разряды поля хоста. Чтобы определить маску подсети для некоторого адреса, сложите десятичные значения, соответствующие битам, равным 1.
224= 128+64+32= 11100000
Ввиду того, что маска подсети определяется не границами байта, а битами, придется конвертировать десятичный адрес с точками-разделителями в двоичный, а затем выполнить обратное преобразование. Выполнять такие преобразования вам поможет табл. В.4.
I 1. J " *
®Ж@1|вГнты бит^Я
:ке подсети I
Весовой коэффициент бита
128
64
32
16
8
4
2
1
Десятичный эквивалент
Значения битов
1
0
0
0
0
0
0
0
128
Значения битоа
1
1
0
0
0
0
0
0
192
Значения битов
1
1
1
0
0
0
0
0
224
Значения битов
1
1
1
1
0
0
0
0
240
Значения битов
1
1
1
1
1
0
0
0
248
Значения битов
1
1
1
1
1
1
0
0
252
Значения битов
1
1
1
1
1
1
1
0
254
Значения битов
1
1
1
1
1
1
1
1
255
В табл. В.5 представлены данные, которые помогут определить адреса подсетей для адресов классов В и С. Особенно полезно использование подсетей в адресах класса А, где поле хоста довольно велико (три байта).
Сетевые администраторы создают адреса подсетей, выделяя для маски подсети часть поля хоста IP-адреса. При этом размеры подсетей выбираются с учетом потребностей организации и перспектив роста ее сети. Сетевая маска указывается в на-
стройках сетевого оборудования, которое формирует сеть. Сетевые устройства используют маски подсетей, чтобы выяснить, какая часть адреса применяется для сети, а какая — для хоста. При получении и отправке пакетов сетевое оборудование сравнивает IP-адреса пакетов с маской подсети, чтобы определить поля сети, подсети и хоста. Длины полей сети, подсети и хоста могут быть разными.
Ll!^."” м-Подсет""«^aSiS^J^^. . .
Маска подсети
Подсети класса В Число подсетейЧисло хостов
255.255.192.0
216382
255.255.224.0
68190
255.255.240.0
144094
255.255.248.0
302046
255.255.252.0
621022
255.255.254.0
126510
255.255.255.0
254254
255.255.255.128
510126
255.255.255.192
102262
255.255.255.224
204630
255.255.255.240
409414
255.255.255.248
81906
255.255.255.252
163822
Маска подсети
Подсети класса С Число подсетейЧисло хостов
255.255.255.192
262
255.255.255.224
630
255.255.255.240
1414
255.255.255.248
306
255.255.255.252
622
Групповые маски
И в стандартных, и в расширенных списках доступа IP групповые маски используются для того, чтобы определить, соответствует ли пакет какой-либо из строк списка доступа. Групповые маски подобны маскам сети и подсети, поскольку они тоже задаются 32битовыми представлениями в десятичном формате с точками-разделителями.
Групповая маска используется следующим образом. Значение 0 бит групповой маски означает, что соответствующий бит адреса подлежит проверке с помощью правил, заданных списком доступа, а значение 1 говорит о том, что соответствующий бит адреса “не является важным” и поэтому может игнорироваться. По этой причине би-
ты со значением 0 в маске иногда называют существенными, а биты со значением 1 — несущественными. В табл. В.6 предлагаются примеры групповых масок в десятичном и двоичном виде.
Таблица В.6. Примеры групповых масок
Значения битов
Десятичное представление
128
64
32
16
8
4
2
1
Результат
0
0
0
0
0
0
0
0
0
Проверка всех битов адреса
15
0
0
0
0
1
1
1
1
Проверка первых четырех битов адреса
252
1
1
1
1
1
1
0
0
Проверка последних двух битов адреса
255
1
1
1
1
1
1
1
1
Отказ от проверки адреса
При правильном комбинировании групповых масок у администратора имеется возможность указать любые наборы IP-адресов и даже отдельные адреса для проверки (в соответствующих строках запрета или разрешения доступа).
Список доступа может содержать любое число обычных или групповых адресов. Групповой адрес имеет ненулевую маску и поэтому потенциально соответствует не одному конкретному адресу, а группе адресов. Не забывайте о том, что важным в списке доступа является и порядок операторов, поскольку обработка списка доступа завершается после первого же обнаруженного совпадения. В табл. В.7 предлагаются примеры IP-адресов и масок списка доступа, а также результаты соответствующих проверок. При рассмотрении табл. В.6 и В.7 следует помнить о следующих правилах сравнения адресов с групповыми масками:
0 означает, что данный бит должен соответствовать битам адреса;
1 означает, что соответствия битов адресов не требуется.
Таблица В.7. Примеры групповых масок списка доступа и результаты
Адрес
Групповая маска
Результат
о.о.о.о
255.255.255.255
Любой адрес
131.108.0.0
0.0.255.255
Сеть 131.108.0.0
131.108.7.8
О.О.О.О
Соответствующий адрес хоста или подсети
255.255.255.255
О.О.О.О
Локальное широковещание
131.120.121.5
0.0.7.255
Только подсеть 131.120.121.0 (в предположении, что маской подсе-
ти является 255.255.248.0)
Общие задачи настройки списков доступа
Для использования стандартных и расширенных списков доступа IP необходимо решить две задачи — создать соответствующий список доступа IP и применить его к интерфейсу или терминальной линии.
Создайте список доступа в режиме глобальной конфигурации, указав номер списка доступа и условия доступа. Номер списка доступа выберите с помощью табл. В.1.
Определите стандартный список доступа IP, указав адреса источника и групповые значения.
Определите расширенный список доступа IP, указав адреса источника и получателя, идентификатор протокола и, если необходимо, информацию о портах для некоторых протоколов (чтобы определить более точные параметры контроля).
Чтобы проверить доступные имена и синтаксис соответствующих команд, можно использовать контекстно-зависимую справку, вызываемую с помощью ввода ? в рамках интерфейса пользователя Cisco IOS.
Примените список доступа к интерфейсам или терминальным линиям в режиме конфигурации интерфейса.
Созданный список доступа можно применить к одному или нескольким интерфейсам и терминальным линиям. Списки доступа могут применяться как к внешним, так и к внутренним интерфейсам.
Принципы построения списков доступа
Придерживайтесь следующих общих правил, чтобы создаваемые вами списки доступа делали именно то, что вы планировали.
Движение от частного к общему. Организуйте список доступа так, чтобы ссылки на конкретные сети или подсети размещались перед более общими ссылками. Например, отфильтруйте IP-адреса по порядку от частного к общему: сначала хосты, затем подсети, конкретные сети и только затем любые сети. Если конкретный адрес размещен после общего адреса и они взаимосвязаны, то конкретный адрес не будет обрабатываться никогда. Поэтому если необходимо сначала отфильтровать адрес конкретного хоста, а затем разрешить все другие адреса, убедитесь в том, что соответствующая строка с адресом конкретного хоста указана первой.
Первенство часто используемого. Разместите условия, которые используются чаще всего, перед условиями, применяемыми реже, чтобы на обработку списка доступа тратилось меньше процессорного времени (но при этом не нарушайте правило “от частного к общему”).
Неявный запрет всего. Если в конце списка не указан оператор явного разрешения всего (permit any), такой список по умолчанию запрещает весь трафик, не удовлетворяющий ни одному из условий списка.
Добавление новых строк в конец списка. Добавляемые впоследствии условия всегда помещаются в конец списка доступа. При использовании нумерованных списков доступа нельзя выборочно вставлять или удалять строки условий, но можно выборочно удалять строки при использовании именованных списков IP (это касается возможностей Cisco IOS Release 11 2, обсуждаемых ниже в разделе “Именованные
списки доступа IP”). Отредактировать список доступа (чтобы затем снова применить его) можно с помощью любого текстового редактора или специальной программы типа Access List Manager, предлагаемой компанией Cisco System.
Неопределенность списка доступа эквивалентна разрешению всего. Если список доступа применяется к интерфейсу с помощью команды ip access-group до того, как создана хотя бы одна строка списка доступа, результатом будет разрешение любого трафика. Список доступа “начинает жить” тогда, когда применяются его условия доступа. Если ввести в список только одну строку разрешения доступа для конкретного хоста, то, как только вы нажмете клавишу <Enter>, список превратится из разрешения всего в запрет почти всего (по правилу неявного запрета). Поэтому необходимо завершить создание всего списка доступа до того, как применять его к интерфейсу.
Настройка стандартных списков доступа IP
В этом разделе объясняется, как настроить стандартный список доступа IP. Стандартные списки доступа IP разрешают или запрещают прохождение пакетов на основе сравнения IP-адресов источника. Для номеров стандартных списков доступа IP выделен диапазон чисел от 1 до 99. Стандартные списки доступа IP настраивать проще, чем расширенные, но они менее гибки, поскольку не могут применяться для фильтрации адресов получателя или типов трафика. На рис. В.З показано, как с помощью стандартного списка доступа IP можно запретить доступ к сети в зависимости от адреса источника.
Рис. В.З. Стандартный список доступа IP запрещает или разрешает движение пакетов в зависимости от значения IP-адреса источника пакета (указанный здесь список доступа запрещает доступ к сети)
Внимание!
Начиная с Cisco IOS Software Release 11.1 структура списков доступа IP была существенно дополнена. Расширения, предлагаемые в версии 11.1 и более поздних, совместимы с предыдущими версиями. При переходе от более ранних версий к версии 11.1 списки доступа конвертируются автоматически, но обратной совместимости нет. Поэтому если вы сохраните список доступа в виде образа, а затем используете более старое программное обеспечение, то в соответствующей системе этот список доступа не будет интерпретирован корректно, что может привести к серьезным проблемам защиты. Поэтому перед тем, как загружать программное обеспечение версии 11.1 или более поздние образы, сохраните старый файл конфигурации.
Обработка стандартных списков доступа
Стандартный список доступа IP является последовательным набором условий разрешения и запрета, применяемых к IP-адресам источника. Маршрутизатор по очереди сравнивает адреса с условиями списка доступа в том порядке, в каком эти условия указаны. Первое обнаруженное совпадение определяет, примет маршрутизатор пакет или отвергнет его. Ввиду того, что маршрутизатор останавливает проверку условий сразу же после первого совпадения, порядок размещения условий оказывается очень важным. Если совпадений с условиями не обнаружится, маршрутизатор отвергнет пакет. Пакеты входящего и исходящего трафиков обрабатываются стандартными списками доступа IP по-разному.
Обработка трафика входящих сообщений
Давайте обсудим процесс обработки стандартного списка доступа IP при фильтрации входящего трафика. Схема процесса показана на рис. В.4. По получении пакета маршрутизатор проверяет адрес источника пакета и начинает его последовательное сравнение со строками условий списка доступа. Если в списке доступа обнаруживается разрешение для данного адреса источника, маршрутизатор выходит из списка доступа и продолжает обработку пакета в соответствии с настройками маршрутизатора. Если список доступа запрещает адрес, маршрутизатор отвергает пакет и возвращает ICMP-сообщение Host Unreachable (хост недоступен).
Рис. В. 4. Обработка входящего трафика с помощью стандартного списка доступа IP
Не забывайте о том, что если строки сравнения в списке доступа закончатся, пакет будет отвергнут. Это важное правило следует помнить при создании списков доступа. Последним правилом в списке доступа является неявный запрет всего трафика. Оно встроено
в программное обеспечение Cisco IOS Software и не отображается в конфигурации маршрутизатора. Весь трафик, который явно не разрешен, неявным образом запрещается. При реализации политики защиты на практике правило неявного запрета оказывается полезным, поскольку по умолчанию список доступа определяет закрытую политику защиты и поэтому не требуется указывать какие-либо запрещающие условия. Убедитесь в том, что для трафика, который должен проходить через интерфейс, определены операторы явного разрешения, иначе соответствующий трафик будет отвергнут. Правило неявного запрета применимо и к стандартным, и к расширенным спискам доступа IP.
Обработка трафика исходящих сообщений
Теперь рассмотрим процесс обработки стандартного списка доступа IP при фильтрации исходящего трафика. Схема процесса показана на рис. В.5. Для стандартных списков доступа IP, применяемых к исходящему трафику, при получении и маршрутизации пакета в рамках соответствующего интерфейса маршрутизатор проверяет адрес источника пакета и сравнивает его со строками условий списка доступа. Если в списке доступа имеется разрешение для данного адреса источника, маршрутизатор пересылает пакет дальше. Если список доступа запрещает адрес, маршрутизатор отвергает пакет и возвращает ICMP-сообщение Host Unreachable (хост недоступен).
Сообщение ICMP Передача пакета
Рис. В. 5. Обработка исходящего трафика с помощью стандартного списка доступа IP
Замечание
Различие между стандартными и расширенными списками доступа IP заключается главным образом в том, что последние проверяют не только адрес источника в пакете, но и другую информацию.
Команды стандартного списка доступа
Для создания строк стандартного списка доступа используют команду access-list. Рассмотрим синтаксис этой команды, применяемой со стандартными списками доступа, access-list номер-списка-доступа {deny | permit}.
{источник [групповой-адрес-источника] | [log]}
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
номер-списка -доступа
Задает список, в который добавляется данная строка; Значением должно быть число от 1 до 99
deny | permit
Определяет действие (запрет или разрешение), которое должно применяться к трафику с указанных адресов
источник
Указывает IP-адрес источника
групповой-адрес-
(необязательный) Определяет биты группового адреса, который должен приме-
источника
няться к значению источник:
используйте 32-битовое значение в формате четырех десятичных значений, разделенных точками. Укажите 1 для тех битов, которые должны игнорироваться соответствующей строкой списка доступа
используйте ключевое слово any в качестве аббревиатуры, обозначающей 0.0.0.0 для параметра источник и 255.255.255.255 для параметра группо- вой-адрес-источника
если значение этого поля не указано, устанавливается маска 0.0.0.0
log
(необязательный) Генерирует информацию о выявлении соответствующих строке пакетов, направляемую консоли или серверу syslog (структура сообщений, посылаемых консоли, контролируется командой logging console)
Чтобы применить существующий список доступа к интерфейсу, используется команда ip access-group в режиме конфигурации интерфейса. Любой интерфейс может иметь как входной, так и выходной списки доступа (при условии, что они оба либо стандартные, либо расширенные). Давайте рассмотрим синтаксис команды ip access-group.
ip access-group иомер-списка-доступа {in | out}
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
ном ер-списка -доступа
Задает номер списка доступа. Значением должно быть число от 1 до 99
in
Фильтрация входящих пакетов
out
Фильтрация исходящих пакетов
С помощью команды no access-list иомер-списка-доступа в режиме глобальной конфигурации можно удалить список из конфигурации. Можно также отменить применение списка доступа к интерфейсу или линии, воспользовавшись командой no ip access-group иомер-списка-доступа в режиме конфигурации интерфейса.
Неявные маски
Чтобы сократить объем данных, вводимых с клавиатуры при создании списков доступа, и упростить конфигурацию, можно использовать неявные маски стандартных списков доступа IP. Неявная маска упрощает задачу создания списков доступа, когда требуется вводить большое число конкретных адресов. Неявные маски автоматически используются тогда, когда в строке списка доступа не указана групповая маска. К адресу IP, указанному в качестве источника, применяется неявная групповая маска 0.0.0.0, означающая проверку всех битов адреса при принятии решения о запрете или разрешении трафика. Единственным ограничением является то, что IP-адрес источника должен описывать адрес хоста, а не сети или подсети. Рассмотрим следующие три примера стандартных списков доступа IP с неявными масками.
access-list 1 permit 10.1.1.3
access-list 1 permit 172.16.21.3
access-list 1 permit 192.168.244.196
Первая строка является примером указания конкретного хоста в конфигурации IP- адреса класса А. Ввиду того, что маска не определена, подразумевается применение маски 0.0.0.0, так что в списке доступа будут использоваться все биты IP-адреса. Неявная маска превращает указанную строку списка доступа в строку access-list 1 permit 10.1.1.3 0.0.0.0. Вторая и третья строки являются примерами неявных масок для адресов классов В и С.
Размещение стандартных списков доступа
Размещение списков доступа может оказаться сложным делом, но обычно стандартные списки доступа IP размещаются как можно ближе к маршрутизатору адресата, чтобы иметь наилучшие возможности для управления защитой и сохранить при этом достаточную гибкость доступа. Некоторые общие рекомендации, касающиеся размещения списков доступа, иллюстрируются с помощью схемы на рис. В.6.
10.3.0.1
RouterA (config) t access-list 3 deny 10.3.0.1
RouterA (config) t access-list 3 permit any
RouterA (config) t interface e1
RouterA (config-if) t ip access-group 3 in
Рис. B.6. Возможности размещения стандартных списков доступа IP
Если целью политики защиты является запрет доступа хоста Z к хосту V при условии неизменности других правил доступа, то на каком из показанных маршрутизаторов и на каком из его интерфейсов следует разместить список доступа? Список доступа должен быть размещен в маршрутизаторе А. Причина в том, что в стандартном списке доступа IP
можно использовать только адрес источника. Если в какой-то точке маршрута трафик будет запрещен, недоступными окажутся и все далее размещенные хосты.
Список доступа можно разместить в виде выходного списка на ЕО, но лучше разместить его в виде входного списка на Е1, чтобы не приходилось обрабатывать маршруты пакетов, которые затем будут запрещены.
Каким окажется результат в случае размещения списка доступа на других маршрутизаторах?
Маршрутизатор В. Хост Z не сможет соединяться с хостами V и W.
Маршрутизатор С. Хост Z не сможет соединяться с хостами V, W и X.
Маршрутизатор D. Хост Z не сможет соединяться с хостами V, W, X и Y.
Типичные ошибки в стандартных списках доступа
Рассмотрим некоторые ошибки программирования стандартных списков доступа IP на примере следующих строк.
access-list 1 permit 172.16.129.231 ।
access-list 1 permit 0.0.0.0
access-list 1 permit 192.168.0.0 i
access-list 1 deny 0.0.0.0 255.255.255.255
access-list 1 deny any
В этом примере стандартного списка доступа IP содержатся следующие ошибки.
IP-адрес в первой строке на самом деле является адресом подсети с маской подсети 255.255.240.0, так что вместо неявной маски 0.0.0.0 здесь следует использовать групповую маску 0.0.15.255 (см. табл. В.7).
permit 0.0.0.0 требует точного соответствия адресу О.О.О.О. В большинстве случаев этот адрес не действителен, так что список на самом деле запрещает весь трафик (по правилу неявного запрета).
permit 192.168.0.0, скорее всего, является ошибкой конфигурации. Целью, вероятно, являлось 192.168.0.0 0.0.255.255. Адрес 192.168.0.0 зарезервирован для ссылок на сеть и не должен использоваться для обозначения хоста, а сеть и подсети представляются явными масками. В результате список запрещает любой трафик, опять же по правилу неявного запрета.
deny О.О.О.О 255.255.255.255 и deny any просто не нужны, поскольку они дублируют функцию неявного запрета всего трафика, которая автоматически применяется при несоответствии пакета ни одной из строк списка доступа (запрет всего трафика и комбинация О.О.О.О 255.255.255.255 являются эквивалентными). Тем не менее системные администраторы считают хорошей практикой размещение оператора deny any в конце списка, так что последняя строка на самом деле ошибкой не является.
Пример стандартного списка доступа
Рассмотрим пример конфигурации для сети, показанной на рис. В.7. На рисунке показана конфигурация списка доступа для маршрутизатора А.
10.0.0.0
RouterA (config) t access-list 2 permit 10.48.0.3
RouterA (config) t access-list 2 deny 10.48.0.0 0.0.255.255
RouterA (config) I access-list 2 permit 10.0.0.0 0.255.255.255
RouterA (config) t access-list 2 deny any
RouterA (config) t interface ethernet 0
RouterA (config-if) t ip access-group 2 in
Рис. B. 7. Пример стандартного списка доступа для маршрутизатора А
Давайте выясним, кто может соединиться с хостом А. Может ли хост В соединиться с хостом А? Да. Это разрешается первой строкой, в которой используется неявная маска хоста.
Может ли хост С соединиться с хостом А? Нет. Хост С находится в подсети, запрещенной второй строкой.
Может ли хост D соединиться с хостом А? Да. Хост D находится в подсети, явно разрешенной третьей строкой.
Могут ли пользователи из Internet соединиться с хостом А? Нет. Доступ пользователей извне явно не разрешен, поэтому такой доступ будет запрещен командой ip access-group 2 deny any.
Настройка расширенных списков доступа IP
В этом разделе объясняется, как настроить расширенный список доступа IP, который позволяет реализовать более избирательное управление фильтрацией и выбором трафика, чем стандартный список доступа. После краткого обзора структуры расширенных списков доступа будет выяснено, как происходит обработка расширенных списков доступа с помощью средств программного обеспечения Cisco IOS Software. В этом же разделе рассматриваются команды настройки расширенных списков доступа IP и приводится несколько примеров. Раздел завершается обсуждением возможностей размещения расширенных списков доступа.
Стандартные списки доступа IP предлагают быструю настройку и не создают чрезмерной нагрузки на систему при анализе сетевого трафика на основе адресов источника. Расширенные списки доступа IP обеспечивают более широкие возможности управления фильтрацией на основе протокола транспортного уровня, адреса получателя и номера порта приложения. Эти возможности позволяют ограничить трафик на основе характеристик использования сети, как показано на рис. В.8. Соответствующая схема предполагает, что маршрутизатор периметра контролирует доступ к внутренним серверам и приложениям с помощью расширенных списков доступа IP, применяемых к трафику из Internet. Альтернативным вариантом контроля доступа к серверам и приложениям внутренней сети является использование расширенных списков доступа IP на внутренних маршрутизаторах.
СбытСбытTelnetTelnetnternetnternetSQLSQLFTPFTPУчетУчетSMTPSMTPПроизводствоПроизводствоИСИСМаршрутизатор периметраМаршрутизатор периметраРис. В.8. Расширенные списки доступа IP реализуют возможности фильтрации с учетом протокола транспортного уровня, адресов источника и получателя, а также номера порта приложенияРис. В.8. Расширенные списки доступа IP реализуют возможности фильтрации с учетом протокола транспортного уровня, адресов источника и получателя, а также номера порта приложенияРасширенный список доступа IP фильтрует входящий трафик, контролируя доступ к" внутренним серверным приложениям
Сбыт
Сбыт
Telnet
Telnet
nternet
nternet
SQL
SQL
FTP
FTP
Учет
Учет
SMTP
SMTP
Производство
Производство
ИС
ИС
Маршрутизатор периметра
Маршрутизатор периметра
Рис. В.8. Расширенные списки доступа IP реализуют возможности фильтрации с учетом протокола транспортного уровня, адресов источника и получателя, а также номера порта приложения
Рис. В.8. Расширенные списки доступа IP реализуют возможности фильтрации с учетом протокола транспортного уровня, адресов источника и получателя, а также номера порта приложения
Обработка расширенных списков доступа
Операторы списка доступа действуют последовательно в том порядке, в каком они указаны в списке. Если данные в заголовке пакета и операторе списка доступа совпадают, для этого пакета все остальные операторы игнорируются, а продвижение пакета разрешается или запрещается, в зависимости от указанного в операторе условия. Если для очередного условия совпадения не обнаруживается, проверяется следующая строка в списке доступа, и это повторяется до тех пор, пока не будет достигнут конец списка.
Расширенные списки доступа IP можно использовать для проверки адреса источника, протокола и адреса получателя. Списки доступа IP предлагают параметры
фильтрации, зависящие от протокола и конфигурации сети. Например, могут проверяться порты TCP или UDP, что позволяет маршрутизаторам фильтровать данные на прикладном уровне.
Давайте рассмотрим процесс обработки пакетов при использовании расширенных списков доступа IP (рис. В.9). Маршрутизатор проверяет каждый пакет, сравнивая адреса источника и получателя, протокол и его параметры с теми значениями, которые указаны в условиях списка доступа. Если условия удовлетворяются и список доступа разрешает движение, то пакет передается дальше. Если удовлетворенное условие оказывается оператором deny, маршрутизатор отвергает пакет и возвращает ICMP- сообщение Host Unreachable (хост недоступен).
Сообщение ICMP Передача пакета ‘Если указано в списке доступа
Рис. В.9. Расширенный список доступа IP проверяет адрес источника, протокол и адрес получателя в указанном порядке
Команды расширенного списка доступа IP
Строки списка доступа для сложного фильтра трафика создаются с помощью команды access-list. Рассмотрим синтаксис команды access-list для расширенных списков доступа IP.
access-list иомер-списка-доступа [dynamic дииамическое-имя [timeout минуты]] (deny | permit} протокол источник групповой-адрес-источиика получатель групповой-адрес-получателя [precedence приоритет] [tos тип-сервиса] [log]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
номер-списка-доступа
Задает список, которому принадлежит строка. Значением должно быть число в диапазоне от 100 до 199
dynamic динамическое- имя
(необязательный) Указывает, что данный список доступа является динамическим и используется для защиты типа замка
timeout минуты
(необязательный) Указывает предел времени (в минутах), в течение которого в динамическом списке доступа может сохраняться строка доступа, используемая для защиты типа замка. По умолчанию это время бесконечно, что позволяет строке оставаться в списке все время
deny | permit
Действие (запрет или разрешение), которое должно применяться к трафику с указанными адресами
протокол
Имя или номер IP-протокола. Может быть одним из протокольных ключевых слов ahp, eigrp, esp, gre, icmp, igmp, igrp, ip, ipinip, nos, ospf, pep, top, udp или целым числом из диапазона от 0 до 255, представляющим номер IP- протокола. Чтобы указать соответствие любому протоколу Internet (включая ICMP, TCP и UDP), используйте ключевое слово ip. Альтернативным вариантом является использование протокольных ключевых слов icmp, top и udp с параметрами, соответствующими конкретному протоколу
источник и получатель
Номер сети или хоста в виде 32-битового значения в десятичном формате с точками-разделителями. Чтобы упростить конфигурацию, можно использовать ключевые слова any и host
групповой-адрес- источника
Биты группового адреса, применяемого к источнику. Значения 0 соответствуют битам, подлежащим сравнению, а значения 1 — “несущественным” битам. Возможны следующие три способа описания группового адреса источника.
Использование 32-битового значения в виде четырех десятичных чисел, разделенных точками. Значения 1 размещаются в тех битовых позициях, которые можно игнорировать.
Использование ключевого слова any, обозначающего пару значений 0.0.0.0 255.255.255.255 для параметров источники групповой-адрес-источника.
Использование представления host источник, по умолчанию предполагающего значение 0.0.0.0 для параметра групповой-адрес-источника
групповой-адрес- получателя
Биты группового адреса, применяемого к адресу получателя. Значения 0 соответствуют битам, которые следует сравнивать, а значения 1 - “несущественным" битам. Для описания группового адреса получателя допустимы следующие три варианта.
Использовать 32-битовое значение в виде четырех десятичных чисел, разделенных точками (значения 1 размещаются в тех битовых позициях, которые можно игнорировать).
Использовать ключевое слово any, обозначающее пару значений 0.0.0.0 255.255.255.255 для параметров получатель и групповой-адрес- получателя.
Использовать представление host получатель, по умолчанию предполагающее значение 0.0.0.0 для параметра групповой-адрес-получателя
precedence приоритет (необязательный) Описывает пакеты, которые могут фильтроваться с учетом приоритета. Задается числом от 0 до 7 или по имени.
critical (5)
flash (3)
flash-override (4)
immediate (2)
internet (6)
network (7)
priority (1)
routine (0)
tos тнп-сервнса (необязательный) Описывает пакеты, которые могут фильтроваться с учетом типа сервиса, заданного соответствующим числом или по имени.
max-reliability (2)
max-throughput (4)
min-delay (8)
min-monetary-cost (1)
normal (0)
log(необязательный) Генерирует информацию о выявлении соответствующих строке паке
тов, направляемую консоли или серверу syslog (структура сообщений, посылаемых консоли, контролируется командой logging console). Помните о там, что использование этого ключевого слова требует дополнительных компьютерных ресурсов
Ключевые слова расширенной маски
Ключевое слово any в позиции источника или получателя означает соответствие любому адресу и эквивалентно указанию 0.0.0.0 255.255.255.255, как иллюстрирует следующий пример.
access-list 101 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255
! эквивалентное представление:
access-list 101 permit ip any any
Ключевое слово host в позиции источника или получателя означает, что следующий за ключевым словом адрес должен интерпретироваться так, как будто для него указана маска О.О.О.О.
access-list 101 permit ip О.О.О.О 255.255.255.255 172.16.6.3 О.О.О.О
! эквивалентное представление:
access-list 101 permit ip any host 172.16.6.3
Синтаксис команд ICMP
С помощью команды access-list icmp создаются строки списка для сложного фильтра трафика. Протокольное ключевое слово icmp указывает, что для команды access-list используется альтернативный синтаксис, предполагающий применение специальных параметров, доступных для данного протокола.
Рассмотрим синтаксис команды access-list icmp, используемой в расширенных списках доступа.
access-list номер-списка-доступа [dynamic дииамическое-имя [timeout минута]]
{deny | permit} icmp источник групповой-адрес-источника получатель
групповой-адрес-получателя [icmp-тип [icmp-код) | 1стр-сообщение[
[precedence приоритет^ [tos тип-сервиса] [log]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
icmp
icmp-тип
Указывает протокол ICMP
(необязательный) Описывает пакеты, которые могут фильтроваться по типу сообщения ICMP. Тип задается числом из диапазона от 0 до 255
icmp-код
(необязательный) Описывает отфильтрованные по типу сообщения ICMP пакеты, которые могут также фильтроваться по коду сообщения ICMP. Код является числом из диапазона от 0 до 255
icmp-сообщеиие
(необязательный) Описывает пакеты, которые могут фильтроваться по символическому имени, представляющему тип или некоторую комбинацию типа и кода сообщения ICMP
Имена, типы и коды сообщений ICMP
Cisco IOS Release 10.3 и более поздние версии позволяют использовать символические имена сообщений, что упрощает процесс конфигурации и делает сложные списки доступа более понятными. При использовании символических имен для настройки средств фильтрации ping не обязательно помнить, что означает сообщение 8 или 0. Вместо этого в командах конфигурации можно использовать echo и echo-reply.
В табл. В.8 в алфавитном порядке представлены имена сообщений ICMP с указанием ICMP-типа и ICMP-кода (если последний предусмотрен).
I Таблица В.8. Имена,- типы и коды сообщений ICMP
Имя сообщения ICMP
ICMP-тип
ICMP-код
Описание
administratively- prohibited
3
13
Административный запрет
alternate-address
6
Нет
Альтернативный адрес
conversion-error
31
Нет
Ошибка конвертирования дейтаграммы
dod-host-prohibited
3
10
Доступ к хосту запрещен
dod-net-prohibited
3
9
Доступ к сети запрещен
echo
8
Нет
Запрос отклика (ping)
echo-reply
0
Нет
Ответ на запрос отклика
general-parameter- problem
12
0
Проблема параметра; указатель показывает ошибку
host-isolated
3
8
Хост-источник изолирован
Имя сообщения ICMP
ICMP-типICMP-код Описание
host-precedence- unreachable
314Хост недоступен по приоритету
host-redirect
51Переадресация хоста
host-tos-redirect
53Переадресация типа сервиса хоста
host-tos-unreachable
312Недоступность хоста для сервиса указан
ного типа
host-unknown
37Хост неизвестен
host-unreachable
31Хост недоступен
information-reply information-request log-input
16НетОтвет на запрос информации
15НетЗапрос информации
НетНетРегистрация совпадения имени сообще
ния ICMP и соответствующего типа, кода или параметра
mask-reply mask-request mobile-redirect
18НетОтвет на запрос маски
17НетЗапрос маски
32НетПереадресация мобильного хоста
net-redirect
50Переадресация дейтаграммы сети
net-tos-redirect
52Сетевая переадресация типа сервиса
net-tos-unreachable
311Недоступность сети для сервиса указан
ного типа
net-unreachable
30Недоступность сети
network-unknown
36Сеть неизвестна
no-room-for-option
122Нехватка места для запрошенного пара
метра; неподходящая длина
option-missing packet-too-big
121Отсутствие запрошенного параметра
34Требуется фрагментация и устанавливает
ся бит фрагментации (DF)
parameter-problem port-unreachable precedence-unreachable protocol-nnreachable reassembly-timeout
12НетЛюбые проблемы параметров
33Недоступность порта
315Ограничение приоритета
32Недоступность протокола
111Превышение предела времени сборки со
общения
redirect
5НетВсе виды переадресации
router-advertisement
9НетОбъявления маршрутизатора
router-solicitation
10НетЗапрос объявлений маршрутизатора
source-quench
4НетОтключение источника
Имя сообщения ICMP
ICMP-тип
ICMP-код
Описание
source-route-failed
3
5
Ошибка маршрутизации от источника
time-exceeded
11
Нет
Любые сообщения о превышении времени
timestamp-reply
14
0
Ответ на запрос штампа времени
timestamp-request
13
0
Запрос штампа времени
traceroute
30
Нет
Трассировка
ttl-exceeded
11
0
Превышение предписанного времени существования пакета при транзите
unreachable
3
Нет
Все виды недоступности адресата
Замечание
Регистрировать пакеты, которые соответствуют коду сообщения ICMP, можно с помощью ключевого слова log-input. В следующем примере список доступа требует регистрировать пакеты сообщений ICMP типа 3 с кодом 4 (недоступность ICMP, слишком большая длина пакета) для всех IP-адресов.
router(config)! access-list 101 permit icmp any any log-input 3 4
router! show access-lists 101
Extended IP access list 101
permit icmp any any packet-too-big log-input
Синтаксис команд TCP
С помощью команды access-list tcp создаются строки списка для сложного фильтра трафика. Протокольное ключевое слово tcp указывает, что для команды access-list используется альтернативный синтаксис, предполагающий применение специальных параметров, доступных для данного протокола.
Рассмотрим синтаксис команды access-list tcp, используемой в расширенных списках доступа.
access-list номер-спнска-доступа [dynamic дннамнческое-имя [timeout минуты]] {deny | permit} tcp источник групповой-адрес-нсточннка [оператор порт [порт]] получатель групповой-адрес-получателя [оператор порт [порт]] [established] [precedence приоритет} [tos тнп-сервнса] [log]
Описания параметров команды представлены в следующей таблице.
Параметр команды Описание
tcpУказывает протокол TCP
оператор(необязательный) Определяет условие сравнения, применяемое к портам источника
и получателя. Задается ключевым словом It, gt, eq, neg или range
порт(необязательный) Целое число из диапазона от 0 до 65535 или имя, представля ю-
щее номер порта TCP. Имена портов TCP могут использоваться только при фильтрации трафика TCP
established (необязательный) Устанавливает обмен Telnet (или обмен иного типа) только в одном направлении: для совпадения требуется, чтобы в TCP-дейтаграмме был установлен бит АСК (уведомление) или RST (сброс)
Зарезервированные ключевые слова и номера портов TCP
Расширенные списки доступа IP могут фильтровать пакеты с учетом номеров портов источника и/или получателя. Программное обеспечение Cisco IOS Software с помощью команды access-list позволяет фильтровать любые номера портов TCP. В команде access-list можно указать либо номер порта, либо соответствующее ключевое слово. Cisco IOS предлагает удобные ключевые слова, которые можно использовать вместо номеров портов. Кроме того, вместо номера порта можно использовать знак ?, и тогда соответствующая команда отобразит номера портов, связанных с соответствующими протокольными именами.
В табл. В.9 представлен список ключевых слов TCP, а также краткие описания TCP-портов и номера портов для ключевых слов, поддерживаемых командой accesslist. Чтобы ознакомиться с полным списком поддерживаемых портов, обратитесь к документу RFC 1700.
Е
аблица В.9. Часто используемые имена и номера портов TCP ,я :
Ключевое слово
Описание
Номер порта
bgp
Протокол BGP (Border Gateway Protocol - пограничный межсетевой протокол)
179
chargen
Генератор символов
19
cmd
Команды удаленного управления (remd)
514
daytime
Время дня
13
discard
Отказ
9
domain
Служба имен доменов
53
echo
Эхо (отклик)
7
exec
Сервис Exec (rsh)
512
finger
Сервис Finger
79
ftp
Протокол FTP (File Transfer Protocol - протокол передачи файлов)
21
ftp-data
Соединения FTP-данных (используется редко)
20
gopher
Сервис Gopher
70
hostname
Сервер имен хостов NIC (Network Information Center—сетевой информационный центр)
101
ident
Протокол IDENT
113
ire
Internet Relay Chat (протокол разговора по Internet)
194
klogin
Вход в систему Kerberos
543
kshell
Оболочка (командный процессор) Kerberos
544
login
Начало сеанса (rlogin)
513
Ключевое слово
Описание
Номер порта
ipd
Сервис принтера
515
nntp
Протокол NNTP (Network News Transfer Protocol—сетевой протокол передачи новостей)
119
pim-auto-
PIM Auto-RP (Peripheral Interface Manager - менеджер периферийного интерфей-
496
rp
ca; Route Processing — обработка маршрута)
pop2
Протокол POP (Post Office Protocol — почтовый протокол) версии 2
109
рорЗ
Протокол POP версии 3
110
smtp
Протокол SMTP (Simple Mail Transfer Protocol - простой протокол электронной почты)
25
sunrpc
Вызов удаленных процедур Sun
111
syslog
Сервис Syslog
514
tacacs
Система TACACS (Terminal Access Controller Access Control System — система управления доступом к контроллеру терминального доступа)
49
talk
Сервис Talk
517
telnet
Сервис Telnet
23
time
Время
37
UUCP
Программа копирования UNIX-UNIX
540
vhois
Второе имя, “ник" сетевого пользователя
43
WWW
World Wide Web (протокол HTTP)
80
Синтаксис команд UDP
С помощью команды access-list udp создаются строки списка для сложного фильтра трафика. Протокольное ключевое слово udp указывает, что для команды access-list используется альтернативный синтаксис, предполагающий применение специальных параметров, доступных для данного протокола.
Рассмотрим синтаксис команды access-list udp, используемой в расширенных списках доступа.
access-list номер-спнска-доступа [dynamic дннамическое-нмя [timeout минуты]] {deny | permit} udp источник групповой-адрес-источннка [оператор порт [порт]] получатель групповой-адрес-получателя [оператор порт [порт]]
[precedence приоритет^ [tos тип-сервнса[ [log]
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
udp
Указывает протокол UDP
оператор
(необязательный) Описывает условие сравнения, применяемое к портам источника и получателя. Задается ключевым словом It, gt, eq, neq или range
порт
(необязательный) Целое число из диапазона от 0 до 65535 или имя, представляющее номер порта UDP. Имена портов UDP могут использоваться только при фильтрации трафика UDP
Зарезервированные ключевые слова и номера портов UDP
Расширенные списки доступа IP могут фильтровать пакеты с учетом номеров портов источника и/или получателя. Программное обеспечение Cisco IOS Software с помощью команды access-list позволяет фильтровать любые номера портов UDP. В команде access-list можно указать либо номер порта, либо соответствующее ключевое слово. Cisco IOS предлагает удобные ключевые слова, которые можно использовать вместо номеров портов. Кроме того, вместо номера порта можно использовать знак ?, и тогда соответствующая команда отобразит номера портов, связанных с соответствующими протокольными именами.
В табл. В. 10 представлен список ключевых слов UDP, а также краткие описания UDP-портов и номера портов для ключевых слов, поддерживаемых командой accesslist. Для ознакомления с полным списком поддерживаемых портов обратитесь к документу RFC 1700.
тёблицаМ^О. Поля расшйренйок) списка доступа 1Р,зарёзёр1зи^
Ключевое слово
Описание
Номер порта
biff
Сервис Biff (почтовые уведомления, служба comsat)
512
bootpc
Клиент ВООТР (Bootstrap Protocol — протокол начальной самозагрузки)
68
bootps
Сервер ВООТР
67
discard
Отказ
9
dnsix
Аудит протокола защиты DNSIX
195
domain
Служба имен доменов
53
echo
Эхо (отклик)
7
isakmp
Протокол ISAKMP (Internet Security Association and Key Management Protocol — протокол управления ассоциациями и ключами безопасности в сети Internet)
500
mobile-ip
Регистрация мобильного протокола IP
434
naaeserver
Сервис имен IEN116 (устаревший)
42
netbios-dgm
Сервис дейтаграмм NetBIOS (Network Basic Input Output System — сетевая базовая система ввода-вывода)
138
netbios-ns
Сервис имен NetBIOS
137
ntp
Протокол NTP (Network Time Protocol — синхронизирующий сетевой протокол)
123
pim-auto-rp
PIM Auto-RP (Peripheral Interface Manager — менеджер периферийного интерфейса; Route Processing — обработка маршрута)
496
rip
Протокол RIP (Routing Information Protocol — протокол маршрутной информации)
520
snap
Протокол SNMP (Simple Network Management Protocol — простой протокол сетевого управления)
161
snmptrap
Прерывания SNMP
162
sunrpc
Вызов удаленных процедур Sun
111
Ключевое слово
Описание
Номер порта
syslog
Регистрация системных событий (сервис Syslog)
514
tacacs
Система TACACS (Terminal Access Controller Access Control System — система управления доступом к контроллеру терминального доступа)
49
talk
Сервис Talk
517
tftp
Протокол TFTP (Trivial File Transfer Protocol — простейший протокол передачи данных)
69
time
Время
37
who
Сервис Who (rwho)
513
xdmcp
Протокол менеджера управления X Display
177
Размещение расширенных списков доступа IP
Поскольку расширенные списки доступа IP позволяют фильтровать пакеты не только на основе адресов источника, размещение таких списков не предполагает особых ограничений. Поэтому чаще всего главным аргументом в пользу того или иного варианта размещения такого списка доступа оказываются требования политики защиты.
Если целью является минимизация объема пересылаемых данных и максимальное быстродействие, то списки доступа можно разместить в маршрутизаторах периметра сети, чтобы уменьшить поток данных, пересекающих периметр, и число сообщений о недоступности хостов. Если частью политики сетевой защиты является более строгий контроль доступа к конкретным внутренним узлам, можно разместить списки доступа в маршрутизаторах, наиболее близких к защищенным хостам. Не следует размещать списки доступа в центральных и магистральных маршрутизаторах, поскольку это приведет к дополнительным задержкам.
Вот некоторые рекомендации, касающиеся размещения списков доступа.
Минимизируйте путь запрещаемого трафика (и, соответственно, число посылаемых ICMP-сообщений о недоступности объектов)
Не допускайте запрещаемый трафик к магистральным объектам
Мощность маршрутизатора должна быть достаточной для того, чтобы справиться с нагрузкой, создаваемой списком доступа
Разместите списки доступа на соответствующих интерфейсах, чтобы обеспечить наиболее эффективную защиту трафика
Обслуживание сложных списков доступа может оказаться непростым делом, поэтому проверяйте вносимые в списки изменения перед тем, как включить их в конфигурацию сети предприятия
Не забывайте о том, что с расширением сети усложняется процесс сопровождения списков доступа
Рассмотрим пример расширенного списка доступа IP для разрешения и защиты трафика электронной почты в Internet. На рис. В. 10 показана схема сети и соответствующие команды конфигурации маршрутизатора В.
Interface ethernet 1
Ip access-group 103 In
access-list 103 permit tcp any 172.16.1.0 0.0.255.255 established access-list 103 permit tcp any host 172.16.1.3 eq smtp
Рис. B.10. Расширенный список доступа IP в маршрутизаторе разрешаеттрафик электронной почты Internet, обеспечивая при этом защиту
В этом примере интерфейс Ethernet 1 является частью сети 172.16.0.0 класса В, а хост электронной почты имеет адрес 172.16.1.3. Ключевое слово established, используемое только для протокола TCP, указывает на установленное соединение. Для совпадения требуется, чтобы в TCP-пакете был установлен бит АСК или RST (это и означает, что пакет принадлежит существующему соединению). Если установлен бит SYN, указывающий на инициализацию сеанса, пакет отвергается.
Замечание
TCP-хосты должны создавать сеансы, ориентированные на установление соединений. Чтобы обеспечить надежный транспортный сервис, установка соединения выполняется с помощью процедуры трехходового квитирования. Данная процедура использует два флаговых бита в заголовке TCP-пакета. Бит синхронизации (SYN) используется для того, чтобы инициализировать соединение, а бит квитирования (АСК) — для подтверждения SYN. Процедура трехходового квитирования выполняется следующим образом.
Первый узел (маршрутизатор А на рис. В.10) инициализирует создание соединения, посылая пакет с установленным битом SYN, означающим запрос соединения.
Второй узел (маршрутизатор В) получает пакет SYN и отвечает пакетом подтверждения с установленным битом АСК.
Первый узел (маршрутизатор А) также отвечает установленным битом АСК. После этого может начинаться пересылка данных.
Второй пример расширенного списка доступа IP ■
Рассмотрим пример расширенного списка доступа IP, разрешающего пересылку пакетов сервера имен/доменов, ICMP-пакетов запроса отклика и ответов на такие запросы. На рис. В. 11 показана схема сети и соответствующие команды конфигурации маршрутизатора В.
interface serial 0 ip access-group 104 in ।
access-list 104 permit tcp any 172.16.1.0 0.255.255.255 established access-list 104 permit tcp any host 172.16.1.3 eq smtp access-list 104 permit udp any eq domain any access-list 104 permit icmp any any echo access-list 104 permit icmp any any echo-reply
Рис. B.ll. Расширенный список доступа IP, разрешающий движение пакетов сервера имен/доменов и ICMP-пакетов Echo и Echo Reply
Проверка конфигурации списка доступа
В этом разделе объясняется, как проверить конфигурацию списка доступа. Существует немало команд, которые оказываются полезными при проверке конфигурации списка доступа. Это, в частности, команды show access-lists, clear access-list counters и show line. Команду show running-config удобно использовать для отображения текущей конфигурации списков доступа. Все эти команды вводятся в привилегированном режиме ЕХЕС.
С помощью команды show access-lists можно отобразить списки доступа для всех протоколов. Чтобы отобразить все имеющиеся списки доступа IP, следует использовать команду show ip access-list. Чтобы проверить конкретный список доступа, воспользуйтесь командой show ip access-list \номер-списка-доступа | имя]. Можно также использовать команду show running-config, которая позволяет увидеть созданные списки доступа.
Система учитывает число пакетов, проходящих через каждую строку списка доступа. Значения соответствующих счетчиков отображаются с помощью команды show access-lists. Эти счетчики могут оказаться полезными при поиске ошибок в списке доступа, когда нужно определить, какая из строк списка запрещает или разрешает движение пакета. Счетчики могут помочь и при решении эксплуатационных задач,
когда, например, требуется определить, какие строки списка доступа используются чаще всего. Чтобы очистить счетчики списка доступа, воспользуйтесь командой clear access-list counters в режиме EXEC. Для очистки счетчиков конкретного списка доступа примените команду clear access-liet counters [номер-списка-доступа | имя].
Команда show line применяется для отображения информации о терминальных линиях.
Вывод команды show ip access-list демонстрирует содержимое определенных в настоящий момент списков доступа IP. Рассмотрим следующий пример вывода команды show access-lists, в котором указано число совпадений, обнаруженных для соответствующего списка доступа.
plrlfshow access-lists
Extended IP access "list" 100
deny tcp host 10.1.1.2 host 10.1.1.1 eq telnet (3 matches)
deny tcp host 10.1.2.2 host 10.1.2.1 eq telnet
permit ip any any (629 matches)
Именованные списки доступа IP
Для создания именованного (не нумерованного) списка доступа IP примените команду ip access-list. Именованные списки доступа используются для настройки рефлексивных списков доступа и для контекстного управления доступом. Именованные списки доступа вводятся в режиме глобальной конфигурации. Команда ip access-list впервые появилась в Cisco IOS Release 11.2.
Команда ip access-list открывает режим конфигурации списка доступа, в котором с помощью команд deny и permit требуется определить условия доступа. Параметр standard или extended в команде ip access-list определяет вид приглашения и опции, доступные в режиме конфигурации списка доступа.
С помощью команды ip access-group список доступа применяется к соответствующему интерфейсу.
Команда ip access-list имеет следующий синтаксис.
ip access-list {standard | extended} имя
Описания параметров команды представлены в следующей таблице.
Параметр команды
Описание
standard
Указывает стандартный список доступа IP
extended
Указывает расширенный список доступа IP
ИМЯ
Указывает имя списка доступа. Имя не должно содержать пробелов и кавычек и должно начинаться с буквы, чтобы не возникало путаницы с нумерованными списка-
ми доступа
Замечание
Именованные списки доступа не распознаются программным обеспечением, выпущенным до Cisco IOS Release 11.2.
Рассмотрите данные следующего сеанса, в котором отображаются опции команды ip access-list extended.
p2rl(config)|ip access-list extended AccessList p2r 1(config-ext-nacl)t?
Ext Access List configuration commands: default Set a command to its defaults deny Specify packets to reject dynamic Specify a DYNAMIC list of PERMITS or DENYs evaluateEvaluate an access list
exitExit from access-list configuration mode
no Negate a command or set its defaults permitSpecify packets to forward
remarkAccess list entry comment
p2rl (config-ext nacl)#permit ?
<0 255>An IP protocol number
ahpAuthentication Header Protocol
eigrpCisco's EIGRP routing protocol
espEncapsulation Security Payload
greCisco s GRE tunneling
icmpInternet Control Message protocol
igmpInternet Gateway Message Protocol
igrpCisco s IGRP routing protocol
ipAny Internet Protocol
ipinipIP in IP tunneling
nos KA9Q NOS compatible IP over IP tunneling ospfOSPF routing protocol
pepPayload Compression Protocol
pirnProtocol Independent Multicast
tcpTransmission Control Protocol
udpUser Datagram Protocol
p2rl(config-ext nacl)#permit ip ?
A.B.C.D Source address anyAny source host
hostA single source host
p2rl(config-ext nacl)#permit ip any any ?
logLog matches against this entry
log-inputLog matches against this entry, including input interface
precedence Match packets with given precedence value
reflect Create reflexive access list entry
time-range Specify a time-range
tosMatch packets with given TOS value
p2rl(config-ext-nacl)#permit tcp ?
A.B.C.D Source address
anyAny source host
hostA single source host
p2rl(config ext-nacl)ipermit tcp any any ?
ack
Match on the ACK bit
eq
Match only packets on a given port number
established
Match established connections
fin
Match on the FIN bit
gt
Match only packets with a greater port number
log
Log matches against this entry
log-input
Log matches against this entry, including input interface
It
Match only packets with a lower port number
neg
Match only packets not on a given port number
precedence
Match packets with given precedence value
psh
Match on the PSH bit
range
Match only packets in the range of port numbers
reflect
Create reflexive access list entry
rst
Match on the RST bit
syn
Match on the SYN bit
time-range
Specify a time-range
tos
Match packets with given TOS value
urg
Match on the URG bit
p2rl(config-ext nacl)4 permit tcp any any eq ?
<0-65535>
Port number
bgp
Border Gateway Protocol (179)
chargen
Character generator (19)
cmd
Remote commands (rcmd, 514)
daytime
Daytime (13)
discard
Discard (9)
domain
Domain Name Service (53)
echo
Echo (7)
exec
Exec (rsh, 512)
finger
Finger (79)
ftp
File Transfer protocol (21)
ftp-data
FTP data connections (used infrequently, 20)
gopher
Gopher (70)
hostname
NIC hostname server (101)
ident
Ident Protocol (113)
ire
Internet Relay Chat (194)
klogin
Kerberos login (543)
kshell
Kerberos shell (544)
login
Login (rlogin, 513)
Ipd
Printer service (515)
nntp
Network News Transport Protocol (119)
pim-auto-rp
PIM Auto-RP (496)
pop2
Post Office Protocol v2 (109)
pop3
Post Office Protocol v3 (110)
smtp sunrpc syslog tacacs talk telnet time
uucp whois
WWW
Simple Mail Transport Protocol (25)
Sun Remote Procedure Call (111)
Syslog (514)
TAG Access Control System (49)
Talk (517)
Telnet (23)
Time (37)
Unix-to-Unix Copy Program (540)
Nickname (43)
World Wide Web (HTTP, 80)
Резюме
В этом приложении представлен обзор стандартных и расширенных списков доступа IP, поддерживаемых программным обеспечением Cisco IOS Software для контроля и идентификации трафика в маршрутизаторах Cisco.
Ссылки
Темы, рассмотренные в этом приложении, достаточно сложны, поэтому для более полного их понимания и применения на практике соответствующих средств требуется более глубокое изучение. Используйте следующие ссылки, чтобы узнать больше о списках доступа, обсуждавшихся в этом приложении.
Настройка списков доступа IP
Более подробная информация о возможностях настройки списков доступа IP содержится в разделе “Filter IP Packets” главы “Configuring IP Services” руководства Cisco IOS Release 12.0 Network Protocols Configuration Guide, Part 1.
Информация о конкретных командах списков доступа IP содержится в главе “IP Services Commands” руководства Cisco IOS Release 12.0 Network Protocols Configuration Guide, Part 1.
Протокол IP и правила адресации
Cisco Connection CD (раздел “Technology Information”), Internetworking Technology Overview (раздел “Internet Protocols”). Cisco Systems, Inc., 1999.
RFC 950. Postel J. and Mogul J. Internet Standard Subnettmg Procedure, August, 1985. В этом документе RFC описаны правила добавления подсетей в IP-адреса.
RFC 1700. Postel J. and Haller N. Assigned Numbers, October, 1994. Этот документ RFC представляет собой краткое описание процесса присваивания параметров протокола для набора протоколов Internet.
Приложение
Ответы на контрольные вопросы
, ; В этом; приложении содержатся ответы на контрольные вопросы, предлагаемые в конце каждой главы.
Глава 1
В чем проблема безопасности сетей, стоящая перед бизнесом сегодня? Требуются весьма сложные средства защиты, способные противостоять новейшим методам хакеров. '„•
Систему защиты построить сложно, поскольку всеобъемлющее решение является комбинацией большого числа разрозненных продуктов.
Перечислите пять главных факторов возрастания важности защиты сетей.
Рост объемов сетевого трафика.
Рост числа соединений в Internet.
Рост числа сетевых приложений.
Увеличение потерь из-за брешей в системах защиты.
Рост числа регистрируемых сетевых вторжений.
.Каковы три главные причины возникновения проблем защиты сетей? ; Недостатки технологии.
Недостатки конфигурации.
Недостатки политики защиты.
Какие недостатки может иметь политика защиты?
Отсутствие письменно сформулированных требований.
Внутренниепротиворечия и отсутствие постоянной поддержки, препятствия в деле
-i реализацин соответствующей политики.
Отсутствие логичного управления доступом к сетевому оборудованию.
.у. Слабое администрирование, включая мониторинг и аудит.
■ Несоответствие правил установки и модификации программного обеспечения и аппаратных средств действующей политике защиты.
Отсутствие четко спланированных процедур восстановления работоспособности системы в случае инцидентов защиты.
Кто обычно выступает в роли внутренних нарушителей защиты сети?
Служащие компании, которые могут нарушать защиту сета сознательно или случайно.
Служащие, которые нарушают структуру сетевой среды в результате неправильного использования оборудования или некорректного изменения конфигурации.
Как проводятся атаки разведки с помощью сетевого анализатора пакетов?
Устройство для анализа пакетов может быть размещено в здании организации, в монтажном шкафу или в каком-то другом месте сета.
Программное обеспечение для анализа пакетов может быть тайно внедрено в системы хостов сета.
Анализаторы пакетов могут использоваться в Internet для перехвата передаваемых данных с целью выяснения имен н паролей пользователей н получения другой важной информации.
Опишите стадии несанкционированного доступа.
Получение первичного доступа с помощью угаданных или перехваченных имен пользователей и паролей.
Получение привилегированного или корневого доступа, позволяющего управлять сетевым оборудованием.
Создание “люка” для повторного несанкционированного доступа в дальнейшем.
Ликвидация “следов” удаленного доступа.
Почему так распространены атаки блокирования сервиса?
Атаки блокирования сервиса относительно просто реализовать, поскольку от них не защищен протокол IP. Именно поэтому сетевые нарушители и устраивают “вандализм” в сета.
Какой тип атак подтасовки данных является наиболее распространенным?
Фальсификация IP-адресов.
Какую пользу могут принести организации сетевые инженеры и системные администраторы, имеющие соответствующую подготовку в области сетевой защиты?
Организация сможет внедрить систему мер сквозной защиты, обеспечивающей более высокий уровень безопасности коммерческих операций в сета.
Глава 2
Какие два элемента сетевой защиты должны быть уравновешены?
Расходы на реализацию мер сетевой защиты и потенциальные потери в результате нарушения системы защиты.
Из каких пяти компонентов состоит цикл защиты?
Защита, мониторинг, тестирование, совершенствование и сама политика защиты.
Что представляет собой политика защиты сети?
В соответствии с Руководством по защите Web-узла (Site Security Handbook, RFC 2196), “политика защиты — это набор формальных правил, регламентирующих возможности и действия лиц, получающих доступ к технологиям и информационным ресурсам организации. ..., по существу, политика защиты является документом, отражающим то, как корпорация планирует использовать и защищать свои вычислительные ресурсы и сеть в целом”.
Почему организации следует тратить усилия и время на разработку эффективной политики сетевой защиты?
Наличие политики защиты дает следующие преимущества.
Она обеспечивает базу для контроля безопасности сети.
Создает каркас для реализации системы сетевой защиты.
Определяет, какое поведение в сети является приемлемым, а какое — нет.
Помогает выяснил», какое оборудование и какие процедуры требуются организации.
Позволяет достичь консенсуса между группами принимающих решения лиц и распределить ответственность между пользователями и администраторами.
Определяет стратегию восстановления системы сетевой защиты в случае нарушений.
Защита узлов сети становится частью общей системы защиты, а сами узлы соответствуют политике сетевой защиты.
Создает основу для преследования нарушителей в судебном порядке.
Назовите основные разделы политики сетевой защиты?
Распределение полномочий и ответственности.
Политика приемлемого использования сети.
Политика идентификации и аутентификации.
Политика доступа к Internet.
Политика доступа к территориальной сети.
Политика удаленного доступа.
Процедура реагирования на инциденты защиты.
Для чего можно использовать политику сетевой защиты?
Политику сетевой защиты можно использовать для определения совокупности объектов, которые следует защищать, идентификации известных угроз, от которых следует защищаться, создания общего плана построения системы защиты и информирования пользователей о правилах работы в сети.
Каким образом политика сетевой зашиты может помочь при тестировании системы защиты?
Сформулированная и представленная в виде документа политика защиты может подсказать оптимальный порядок тестирования и контроля состояния системы защиты сети. Политика должна определять процедуры тестирования и обеспечения безопасности сети.
Какие из средств, предлагаемых компанией Cisco, применяются для проверки систем защиты?
Сканер CiscoSecure автоматизирует процесс аудита системы защиты сети, используя для этого подробную карту сети и проверку точек уязвимости. Система CiscoSecure IDS явля-
ется системой обнаружения вторжений, работающей в реальном масштабе времени и в фоновом режиме; она не оказывает влияния на трафик законных пользователей сета.
Куда можно сообщить о неизвестном ранее серьезном случае сетевого вторжения?
Используйте возможности CIAC (Computer Incident Advisory Capability — консультативная служба компьютерных сбоев), доступные по адресу: www.ciac.llnl.gov.
Что является основным характерным требованием закрытой политики защиты?
Запрещается все, что явно не разрешено.
Глава 3
Чем оправданы затраты времени и усилий на достижение максимальной защищенности оборудования, формирующего инфраструктуру сети?
Вполне вероятно, что многие лица (как внутри, так и вне предприятия) хотели бы преодолеть защиту корпоративной сети. Службы н интерфейсы сетевого оборудования территориальной сети предприятия достаточно уязвимы, но нм можно обеспечить лучшую защиту. При этом, чтобы существенно усилить защиту сетевой инфраструктуры, не требуется покупать никакого дополнительного оборудования.
С помощью каких двух команд Cisco IOS назначаются пароли начала сеанса для консоли и доступа Telnet?
Сначала следует применить команду line console или line vty, а затем команду enable password.
Какие команды применяются для защиты административного интерфейса в режиме конфигурации линии?
Команда exec-banner, активизирующая отображение баннера ЕХЕС.
Команда exec-timeout, устанавливающая лимит времени ЕХЕС.
Команда login, активизирующая проверку пароля.
Команда motd-banner, активизирующая отображение баннера MOTD.
Команда privilege, изменяющая уровень привилегий для линии.
Команда session-timeout, закрывающая соединение при отсутствии трафика.
Какая команда используется для создания иерархии уровней привилегий администрирования?
Команда privilege.
С помощью каких команд Cisco IOS можно ограничить доступ Telnet к маршрутизатору с пятью портами vty, разрешив доступ только для узла с адресом 10.2.4.1?
router(config)laccess-list 30 permit 10.2.4.1
router(config)Iline vty 0 4
router(config-line)laccess-class 30
Как запретить доступ системы NMS нарушителя к агенту SNMP?
Используйте команду snmp-server community, чтобы задать групповую строку, соответствующую списку систем NMS, которым разрешен доступ, и используйте списки доступа, чтобы управлять доступом сетевого управления SMNP.
Какая из возможностей Cisco IOS обеспечивает защиту обновлений маршрутизации от атак фальсификации адресов при использовании протокола маршрутизации EIGRP?
Аутентификация соседнего маршрутизатора на основе применения MD5.
Какие четыре метода (и соответствующие команды маршрутизатора) используются для контроля объявления маршрутов и обработки обновлений маршрутизации? Запрет объявления маршрутов в обновлениях маршрутизации с помощью стандартных списков доступа и команд distribute-list.
Запрет обработки обновлений маршрутизации с помощью стандартных списков доступа и команд distribute-list.
Запрет обновлений маршрутизации через интерфейс с помощью команды passiveinterface.
Фильтрация источников информации о маршрутизации с помощью команды distance вес.
С помощью каких команд Cisco IOS можно запретить объявление обновлений маршрутизации IGRP (автономная система 100) по интерфейсу Ethernet 0 от сети 10.17.1.0 в рамках интерфейса Ethernet 1?
router(config)faccess-list 45 deny 10.17.1.0 0.0.0.255
router(config)frouter igrp 100
router(config-router)fdistribute-list 45 out ethernet 0
Какими методами осуществляется управление защитой коммутатора Ethernet?
Доступ к коммутатору Ethernet контролируется с помощью средств фильтрации защищенных портов, настройка которых выполняется командой set port security, а также с помощью средств управления административным доступом, которые настраиваются при использовании команды set ip permit.
Глава 4
Какие режимы сетевого доступа защищаются с помощью средств ААА?
Средства ААА защищают трафик линейного режима (текстовый режим, используемый, например, для консоли или доступа vty) и трафик пакетного режима (используемый, например, для доступа РРР или ARA).
На основе каких критериев и стандартов должен выбираться метод аутентификации?
Метод аутентификации должен выбираться в соответствии с требованиями политики сетевой защиты, которая должна поддерживать баланс между степенью защиты и простотой доступа к сетевым ресурсам для легальных пользователей.
Как выполняется процедура трехходового квитирования CHAP?
Сервер сетевого доступа посылает вызов удаленному клиенту.
Удаленный клиент посылает в ответ значение односторонней функции хэширования. Сервер сетевого доступа проверяет полученный хэш-код.
Для решения каких задач сетевые администраторы используют авторизацию?
Авторизация используется для управления доступом пользователей к сетевым сервисам.
Когда следует использовать локальную базу данных защиты?
Локальная база данных защиты должна использоваться тогда, когда в сети имеется всего один-два сервера сетевого доступа, а число обращающихся к ним пользователей невелико. В этом случае расходы на создание и поддержку удаленной базы данных защиты не будут оправданы.
Какие протоколы сервера защиты поддерживает программное обеспечение Cisco IOS Software?
Программное обеспечение Cisco IOS поддерживает протоколы TACACS+, RADIUS и Kerberos.
Каковы основные характеристики TACACS+?
TACACS+ использует протокол TCP, поддерживает архитектуру ААА, шифрует содержимое пакетов н поддерживает РАР и CHAP.
В чем преимущества RADIUS по сравнению с TACACS+?
RADIUS имеет настраиваемые атрибуты, которые могут изменять производители.
Какие сервисы в рамках Cisco IOS Software обеспечивают поддержку Kerberos?
Telnet, riogin, rsh н гср.
Когда следует использовать CiscoSecure ACS для Windows NT?
CiscoSecure ACS для Windows NT следует использовать тогда, когда для управления сетевой средой компания предпочитает использовать Windows NT, когда требуется централизовать управление сетевым доступом и когда компания предпочитает однократное применение процедуры входа в систему и использование поддерживаемой системой базы данных пользователей NT.
Глава 5
Для чего используется команда service password-encryption в процессе подготовки к настройке средств ААА?
Чтобы обеспечил» защиту привилегированного режима ЕХЕС сервера сетевого доступа.
Каким двум режимам сервера сетевого доступа можно обеспечить защиту с помощью команд ААА?
Символьному (линейному режиму) для портов tty, vty, aux и cty и пакетному (интерфейсному режиму) для портов async, group-async, BRI и PRI.
Для чего в команде ааа authentication ppp sales if-needed local используется параметр local?
Если метод “if-needed” не сработает, для аутентификации РРР будет использована локальная база данных.
Какие команды ААА применяются для глобальной активизации ААА с одновременной защитой всех линий доступа?
ааа new-model п ааа authentication login default enable
Что делает команда ааа authorization network Pisces local none?
Команда ааа authorization network Pisces local none использует локальную базу данных для авторизации доступа ко всем сетевым сервисам SLIP, PPP и ARAP. Если локальный сервер недоступен, авторизация не выполняется, и тогда пользователь может использовать все сетевые сервисы.
Какая команда ЕХЕС может использоваться для мониторинга событий аудита по мере их выявления?
debug ааа accounting
Какие действия необходимо выполнить для определения списка методов?
Указать сервис (PPP, ARAP или NASI).
Определить имя списка или имя списка по умолчанию.
Указать метод идентификации.
Какую команду можно использовать в начале сеанса debug ааа authentication, чтобы обеспечить точное время для ссылок в сообщениях?
Команду service timestamps debug datetime msec. Эта команда должна применяться совместно со ссылкой на авторитетный сервер NTP (сервер синхронизации времени), чтобы штампы времени были более точными.
Что делает команда ааа accounting exec start-stop local?
Эта команда посылает извещение о начале записи в начале выполнения процесса ЕХЕС и извещение об окончании записи, когда процесс ЕХЕС завершается.
Сколько методов аутентификации можно указать в команде ааа authentication, определяющей список методов аутентификации?
Можно указать до четырех методов.
Глава 6
Укажите все “за” и “против” использования базы данных Windows NT User Database (по сравнению с базой данных CSNT).
За:
наличие одной базы данных упрощает администрирование и вход в систему для пользователя, которому при этом требуется только одна комбинация имени и пароля;
существует возможность использования комбинаций имен пользователей и паролей, уже имеющихся в базе данных;
пользователям обеспечивается возможность однократного прохождения процедуры входа в систему.
Против:
невозможность использовать другую базу данных имен пользователей и паролей в улье SAM NT;
невозможность хранить пароли другого вида (например, пароли CHAP);
невозможность применения алгоритмов обработки идентификационных карт с ульев SAM NT.
Что необходимо для настройки CSNT с помощью Windows NT User Manager (диспетчер пользователей Windows NT)?
Пары имен н паролей в базе данных пользователей NT.
Пользовательская группа должна включать политику “Log on Locally” (локальный вход в систему).
Для пользовательского профиля не должны быть выбраны пункты “Change password at next login” (изменение пароля прн следующем входе) н “Disable account” (отмена учетной записи).
В меню удаленного доступа следует выбрать “Grant dialin permissions” (разрешение привилегий), если необходимо дополнительно управлять привилегиями начала сеанса пользователя с помощью средств NT.
Возможность обратного вызова должна быть отключена.
Что следует настраивать с помощью Web-интерфейса CiscoSecure ACS?
С помощью Web-интерфейса CiscoSecure ACS можно настраивать профили пользователей н групп, параметры сервера сетевого доступа (включая параметры авторизации), сервисы CiscoSecure ACS, сервер идентификационных карт, параметры удаленного администрирования, а также можно просматривать встроенную документацию.
Как можно получить информацию аудита ААА в CiscoSecure ACS?
Информацию аудита можно увидеть, перейдя к разделу “Reports and Activity” (отчеты н события) в окне интерфейса Web-броузера. Файлы отчета в формате .csv можно импортировать в базу данных или электронную таблицу для дальнейшего анализа.
С чего нужно начинать при решении проблем конфигурации CiscoSecure ACS?
С просмотра подраздела “Failed Attempts Report” (отчет неудачных попыток) нз раздела “Reports and Activity” в окне интерфейса Web-броузера.
Укажите и опишите возможности CiscoSecure ACS для NT, важные в распределенной системе защиты.
Возможность передачи аутентификации позволяет серверу CSNT автоматически переправлять запросы аутентификации, поступающие от сервера сетевого доступа, другому серверу CSNT.
Нейтрализация аварийно завершенных соединений позволяет определить порядок, в котором должны проверяться удаленные серверы CSNT, если не удается соединиться с главным сервером CSNT.
Удаленная н централизованная регистрация событий позволяет настроить удаленные серверы CSNT на передачу всех контрольных сообщений одному серверу CSNT, который выполняет роль централизованного хранилища.
Какие три типа серверов идентификационных карт поддерживает CiscoSecure ACS для NT?
CRYPTOCard, Security Dynamics Inc. н Axent.
С какой целью используется команда tacacs-server key строка-ключ?
Команда tacacs-server key строка-ключ определяет секретную текстовую строку, совместно используемую сервером доступа н сервером TACACS+. Эта строка применяется для шифрования паролей н сообщений ответа.
Опишите основные шаги процесса настройки сервера сетевого доступа для работы с сервером защиты RADIUS.
Настройка связи между маршрутизатором и сервером RADIUS.
Применение команд ААА для определения списка методов аутентификации и авторизации RADIUS.
Использование команд линий и интерфейсов, активизирующих применение выбранных списков методов.
Опишите стадии аутентификации/авторизации процесса двойной аутентификации?
На первой стадии с помощью средств CHAP (или РАР) выполняется аутентификация удаленного хоста, а затем по протоколу РРР ведутся переговоры с сервером ААА, чтобы авторизовать удаленный хост (в результате чего присваиваются привилегии сетевого доступа). На второй стадии удаленный пользователь должен подключиться по протоколу Telnet к локальному хосту (серверу сетевого доступа) и пройти процедуру аутентификации с помощью средств ААА при входе в систему. Затем пользователь должен ввести команду access-profile, чтобы снова пройти авторизацию с применением средств ААА
Глава 7
Сформулируйте задачи системы защиты периметра.
Защита периметра сети, реализация политики внешней защиты и управление трафиком с помощью брандмауэра.
Укажите компоненты, из которых состоит система защиты периметра, и кратко опишите функции, которые эти компоненты должны выполнять.
Маршрутизатор периметра является первой линией защиты. ДМ3, определенная маршрутизатором периметра, образует относительно защищенную область. Один или несколько бастионных узлов обеспечивают сервис Web, FIT, электронной почты, посредничества (proxy) и т.д.
Какие задачи выполняет маршрутизатор периметра Cisco?
Он выступает в качестве первой линии защиты, определяет ДМ3, а также бастионные узлы ДМ3, защищает брандмауэр от направленных атак и выполняет роль сигнализации для системы периметра. Его гибкая конфигурация адаптируется к новым угрозам защиты и новым Internet-приложениям, что является отражением широких возможностей программного обеспечения Cisco IOS, к которым относятся специальные средства защиты периметра и брандмауэр.
Где и с какой целью используется команда ip route 0.0.0.0 0.0.0.0 172.16.100.2 в системе защиты периметра?
Команду ip route можно использовать в маршрутизаторе периметра для того, чтобы указать (статический) маршрут по умолчанию к сети поставщика услуг Internet и тем самым обеспечить защиту от атак изменения маршрутизации и атак перехвата сообщений при использовании протоколов динамической маршрутизации.
Какие команды Cisco IOS Software следует использовать для управления сервисами TCP/IP в маршрутизаторе периметра, чтобы блокировать запросы отклика и finger из Internet?
Команды no service tcp-small-servers и no service udp-snall-servers.
Какие команды Cisco IOS Software можно использовать для того, чтобы не допустить использования маршрутизатора периметра в качестве широковещательного усилителя в распределенных атаках блокирования сервиса?
Для того чтобы отключить возможности управляемого широковещания IP, следует использовать команду no ip directed-broadcast.
Какие адреса следует фильтровать во входящем трафике маршрутизатора периметра, чтобы обеспечить защиту от атак фальсификации IP-адресов?
Общедоступные адреса RFC 1918, адреса источников, совпадающие с адресами внутренней сети, адреса сервисов или портов, которые вы хотите запретить специально (например SNMP, traceroute или ТЕТР), а также адреса, указанные в документе RFC 2827.
Какие списки доступа используются для защиты типа замка?
Динамические списки доступа.
Назовите шесть команд, которые следует использовать для настройки динамических средств NAT в маршрутизаторе периметра.
ip nat pool имя начальный-1р-адрес конечный-1р-адрес access-list
ip nat inside source list interface тип число
ip nat inside ^интерфейсная команда)
ip nat outside (интерфейсная команда)
Почему важно регистрировать события маршрутизатора периметра в сервере syslog? Чтобы собрать данные, которые могут оказаться полезными при анализе сетевых атак и могут помочь при обнаружении таких атак.
Глава 8
Какие четыре возможности защиты предлагает система СВАС?
Любые четыре из следующего списка: защита с помощью фильтра на уровне приложений, поддержка усовершенствованных протоколов, управление загрузкой аплетов Java, обнаружение атак блокирования сервиса и защита от них, получение извещений об опасности в реальном масштабе времени, регистрация транзакций TCP/UDP и администрирование.
Из каких шагов состоит процесс настройки СВАС?
Выбор интерфейса.
Настройка списков доступа IP для интерфейса.
Установка глобальных пороговых значений.
Выбор правила проверки.
Применение правила проверки к интерфейсу.
Тестирование и контроль СВАС.
Какую команду следует применить для проверки пакетов протокола прикладного уровня?
debug ip inspect protocol
Может ли система СВАС проверять IP-трафик протоколов TCP, UDP и ICMP? Нет. Средства СВАС доступны только для IP-трафика TCP и UDP.
Какая команда активизирует отображение сообщений аудита на экране консоли по завершении каждого сеанса СВАС?
ip inspect audit-trail
Могут ли средства СВАС блокировать вредоносные аплеты Java в файлах формата jar? Нет. Средства СВАС не могут блокировать аплеты Java, инкапсулированные в файлы формата .zip или jar.
Являются ли правила проверки обязательным компонентом СВАС?
Да. Если для протокола (или Java) правило проверки не задано, система СВАС будет соответствующие объекты игнорировать.
С помощью какой команды задается число (например, 250) полуоткрытых сеансов, по достижении которого система СВАС должна начать удаление таких сеансов?
ip inspect max-incomplete high 250
Какие три категории команд debug используются для отладки СВАС?
Общие, транспортного уровня и прикладного уровня.
Если средства СВАС используются в брандмауэре, размещенном между двумя маршрутизаторами, то сможет ли система СВАС проверять пакеты IPSec?
Система СВАС не будет проверять пакеты, так как номер протокола в IP-заголовке пакета IPSec не соответствует ни TCP, ни UDP (система СВАС проверяет только пакеты TCP и UDP).
Глава 9
Что такое фильтрация на основе информации о состоянии соединений?
Фильтрация на основе информации о состоянии соединений представляет собой защищенный метод анализа пакетов данных, предполагающий сохранение подробной информации о пакете в некоторой таблице.
Какая операционная система используется в брандмауэре PIX Firewall?
В брандмауэре PIX Firewall используется встроенная защищенная операционная система реального времени.
Какой процессор используется в брандмауэре PIX Firewall?
Процессор Intel класса Pentium.
Как в брандмауэре PIX Firewall обрабатываются входящие соединения?
Входящие соединения запрещаются, если только они не разрешены специально.
Почему сквозная опосредованная аутентификация пользователей оказывается предпочтительнее традиционной аутентификации с применением стандартного ргоху-сервера?
Сквозная опосредованная аутентификация пользователей лучше и быстрее, поскольку по завершении аутентификации средства ASA перемещают поток данных сеанса на сетевой уровень.
Что означает аббревиатура ASA?
Адаптивный алгоритм защиты (Adaptive Security Algorithm).
Сколько интерфейсов может иметь брандмауэр PIX Firewall?
Это зависит от модели и имеющейся лицензии.
Какие операции будут выполнены в результате ввода следующих команд?
PIXx(config) # interface ethernetO auto
PIXx(config)I interface ethernetl auto
PIXx(config)I interface ethernet2 auto
Будет сконфигурировано три интерфейса Ethernet 10/100 с автоматическим определением скорости передачи.
В каком командном режиме выполняется команда show version?
“Хитрый” вопрос. Команда выполняется как в непривилегированном, так и в привилегированном режиме. Все команды непривилегированного режима работают и в привилегированном режиме. Эта команда работает также в режиме конфигурации.
Из пары сообщающихся интерфейсов каким считается интерфейс с меньшим значением уровня безопасности?
Внешним.
Глава 10
С какой целью используются средства NAT брандмауэра PIX Firewall при доступе к Internet?
Чтобы не зависеть от ограничений, накладываемых на номера Internet-портов.
Чтобы не зависеть от ограничений, накладываемых на Internet-адреса.
Чтобы обеспечить независимость сети.
Чтобы обеспечить полную тайну и защиту.
Чтобы не зависеть от ограничений, накладываемых на Internet-адреса.
Какая из следующих команд обеспечивает трансляцию всех внутренних адресов сети 10.1.0.0 в глобальные адреса?
global (outside) 1 192.168.1.128-192.168.1.254 netmask 255.255.255.0
nat (inside) 1 10.1.0.0 255.255.0.0
global (inside) 1 192.168.1.128-192.168.1.254
nat (outside) 1 10.1.0.0 255.255.0.0
inside 1 192.168.1.128-192.168.1.254
nat 1 10.1.0.0 255.255.0.0
outside 1 192.168.1.128-192.168.1.254
inside 1 10.1.0.0 255.255.0.0
global (outside) 1 192.168.1.128-192.168.1.254 netmask 255.255.255.0
nat (inside) 1 10.1.0.0 255.255.0.0
Что позволяет выполнить команда nat 0?
Отключить трансляцию адресов, чтобы внутренние IP-адреса оставались видимыми извне.
Следует ли использовать средства РАТ при доступе к мультимедиа-приложениям через брандмауэр FIX Firewall?
Нет.
Чем отличается трансляция NetBIOS от трансляции адресов TCP/IP?
Трансляция NetBIOS не имеет числового представления адреса источника.
Что делает команда established?
Разрешает соединения с внутренними хостами извне для определенных портов.
Что делает команда static?
Создает статическое отображение (называемое сегментом статической трансляции или объектом xlate) между глобальным (внешним) и локальным (внутренним) IP-адресами.
Какая команда ограничивает число частично открытых соединений?
em_limit.
Что делает команда conduit?
Разрешает или запрещает соединениям, создаваемым извне по отношению к брандмауэру PIX Firewall, иметь доступ к портам TCP и/или UDP хостов внутренней сети.
В каком порядке обрабатываются команды conduit permit и deny?
В порядке их появления в списке конфигурации PIX Firewall.
В порядке, основанном на значениях IP-адресов.
В порядке, основанном на значениях адресов портов.
Ни в одном из упомянутых выше.
В порядке их появления в списке конфигурации PIX Firewall.
Глава 11
Каковы преимущества использования множества интерфейсов периметра?
Расширение платформы и усиление политики защиты.
Какая команда заменила команды aaa-tacacs и aaa-radius в новых версиях брандмауэра PIX Firewall?
ааа-server.
Сколько тегов групп позволяет использовать программное обеспечение брандмауэра PIX Firewall и как много серверов разрешается в каждой группе ААА?
16 тегов групп, 16 серверов для каждого тега группы.
При добавлении, модификации или удалении операторов global какую команду следует ввести сразу же после сохранения конфигурации?
clear xlate.
Сколько операторов conduit может поддерживать брандмауэр PIX Firewall?
8000.
Какой протокол и номер порта для сообщений syslog используются по умолчанию?
UDP, порт 514.
Сколько типов пакетов ICMP различают средства фильтрации брандмауэра PIX Firewall?
18.
Куда по умолчанию посылаются контрольные сообщения?
На консольный порт.
Сколько различных уровней защиты можно присвоить интерфейсам?
101 — от 0 до 100.
Когда пользователь из Internet начинает сканирование сети с помощью средств ping, пакеты какого типа регистрируются (и, возможно, отвергаются) брандмауэром PIX Firewall?
Запросы отклика (ICMP echo).
Глава 12
Как называются TCP-соединения, не завершившие трехшаговую процедуру квитирования?
Зарождающимися.
Как обновить образ программного обеспечения брандмауэра PIX Firewall 515 версии 5.1.2 и более поздних версий?
Необходимо загрузить образ программного обеспечения PIX Firewall 515 с узла ССО, разместить этот образ на сервере TFTP и ввести команду copy tftp flash.
Допускает ли WebSENSE фильтрацию FTP?
Нет.
Какой уровень серьезности связан с сообщениями syslog для URL и FTP?
Уровень серьезности 7.
Как часто посылают сообщения hello устройства обработки отказов брандмауэра PIX Firewall?
Каждые 15 секунд.
Какие три элемента требуются для того, чтобы заставить работать систему полномасштабной обработки отказов между двумя брандмауэрами PIX Firewall?
Лицензия на использование программного обеспечения, последовательный кабель обработки отказов PIX Firewall и выделенный интерфейс Fast Ethernet для управляющих сообщений.
В какой версии программного обеспечения брандмауэра PIX Firewall впервые была реализована поддержка туннелей IPSec для сетей VPN?
В версии 5.0.
С какими двумя номерами портов связывается использование пакетов SNMP?
ТСР/161 для запросов конфнгурации/ннформацин н UDP/162 для прерываний и возвращаемых сообщений
Какие каналы (разрешения команды conduit) необходимы для того, чтобы позволить сеансам РРТР пройти через брандмауэр PIX Firewall к внутреннему серверу Microsoft Windows NT Server?
Канал, открывающий TCP/1723 для управляющих сообщений, и канал для пакетов GRE.
Сколько различных протоколов допускает команда fixup? Какие это протоколы?
В настоящее время поддерживается шесть протоколов: FTP, HTTP, Н323, RSH, SMTP н SQLNET.
Глава 13
Какие две проблемы защиты решаются с помощью технологии шифрования?
Проблема перехвата, с которой связана угроза сбора и кражи передаваемой информации, а также проблема манипуляции данными, с которой связана угроза захвата сеанса н возможность отрицания факта передачи или приема сообщения.
Из каких основных компонентов состоит шифрование?
Данные, которые необходимо зашифровать, алгоритмы шифрования и дешифрования, ключи шифрования н данные, которые требуется расшифровать.
Каким образом технология шифрования обеспечивает защиту связей в Internet, между сетями или внутри сети?
Технология шифрования обеспечивает защиту связей, проходящих через открытые структуры типа Internet, гарантируя конфиденциальность и целостность данных, а также невозможность отрицания фактов передачи н приема сообщений.
Какие три свойства потока обеспечиваются шифрованием?
Конфиденциальность данных (с помощью шифрования н дешифрования), целостность данных (посредством аутентификации данных и устройств), а также невозможность отрицания факта передачи н приема сообщения (что позволяет доказать, что связь действительно имела место).
Какие технологии шифрования использует компания Cisco в рамках СЕТ?
Стандарт DES, чтобы обеспечить конфиденциальность данных, стандарт DSS, чтобы обеспечить целостность данных н невозможность отречения, алгоритм хэширования MD5, чтобы обеспечить целостность данных, и алгоритм Диффи-Хеллмана, чтобы обеспечить возможность защищенного согласования ключей.
Для чего в СЕТ используется алгоритм DES?
Алгоритм DES, стандартный алгоритм шифрования, является основным методом шифрования и дешифрования данных.
Какой длины ключи DES поддерживаются в рамках СЕТ и почему длина ключа оказывается важным параметром?
СЕТ поддерживает 40- и 56-битовые ключи DES. Чем больше длина ключа, тем более защищенными оказываются данные.
Как в продуктах Cisco используется алгоритм MD5 хэширования сообщений?
Алгоритм MD5 используется для аутентификации данных. Этот алгоритм хэширования сообщений используется стандартом DSS.
Как в СЕТ используется алгоритм DSS?
DSS используется для аутентификации обмена данными и аутентификации шифрующих маршрутизаторов сообщающихся сторон, чтобы не допустить проведения атак манипуляции данными.
Как в СЕТ используется алгоритм Диффи-Хеллмана?
Алгоритм Диффи-Хеллмана применяется для создания общих секретных ключей, используемых сторонами в алгоритме DES. Процесс создания ключей с помощью алгоритма Диффи-Хеллмана оказывается защищенным, а значения самих ключей никогда не передаются по сети.
Глава 14
Какие три типа криптографических модулей используются в маршрутизаторах Cisco? Криптографический модуль Cisco IOS, криптографический модуль VIP2-40 и криптографический модуль ESA.
Какая команда используется для создания открытого и личного ключей маршрутизаторов сообщающихся сторон?
crypto key generate dss.
Какую из следующих команд нужно ввести первой в маршрутизаторах сторон при обмене открытыми ключами DSS?
crypto key exchange dss ip-адрес имя [tcp-порт]
crypto key exchange dss passive
Следует ввести команду crypto key exchange dss passive в маршрутизаторе пассивной стороны.
Какую команду следует использовать для определения глобальной политики шифрования?
crypto cisco algorithm des | 40-bit-des.
Какая из следующих команд определяет и контролирует сеансовую политику шифрования?
crypto key generate dss.
crypto key exchange dss
crypto map
access-list
Сеансовая политика шифрования определяется командой crypto шар.
Как задать трафик и адреса хостов и подсетей, инициирующие сеанс шифрования?
Выбор трафика осуществляется с помощью списков шифрованного доступа (являющихся расширенными списками доступа IP), применяемых к криптографическим картам.
Какую команду можно использовать для тестирования установки шифрованного соединения между маршрутизаторами?
test crypto initiate session.
Какую команду можно использовать для проверки того, что пакеты действительно шифруются?
show crypto engine connections active.
Какую команду следует использовать для проверки шестнадцатеричных значений открытых ключей DSS в маршрутизаторе?
show crypto key pubkey-chain dss паше имя.
Какие три команды отладки доступны для проверки настроек СЕТ?
debug crypto key-exchange, debug key-exchange и debug crypto sesmgmt.
Глава 15
На какие два главных протокола опирается IPSec и какие сервисы обеспечивает каждый из этих протоколов?
АН обеспечивает аутентификацию данных, их целостность, а также ограниченные возможности обнаружения воспроизведения сообщений; ESP обеспечивает конфиденциальность, аутентификацию и целостность данных, а также ограниченные возможности обнаружения воспроизведения сообщений.
Какой из важных сервисов IPSec не обеспечивается протоколом АН?
АН не обеспечивает конфиденциальность данных, поскольку предполагает отправку содержимого пакета в открытом ваде и поэтому не шифрует порцию полезного груза.
В чем состоит различие между способами использования туннельного и транспортного режимов?
Туннельный режим обычно используется для связи между шлюзами IPSec или между хостом IPSec и шлюзом IPSec. Транспортный режим обычно используется для связи между хостами IPSec.
Что такое ассоциация защиты IPSec и как она создается?
Ассоциации защиты IPSec представляют собой устанавливаемые сторонами IPSec соединения, определяющие совокупность сервисов IPSec, доступных сообщающимся сторонам. Ассоциации защиты IPSec создаются во второй фазе IKE (быстрый режим).
Можно ли настроить конфигурацию IPSec без использования IKE?
Да, параметры ассоциации защиты IPSec можно указать вручную, но этого делать не рекомендуется, поскольку процесс ручной настройки оказывается непростым и ведет к дополнительным трудностям при масштабировании.
В чем заключаются преимущества использования IKE?
Открывается возможность динамической аутентификации сторон.
Исключается необходимость вручную описывать все параметры ассоциаций защиты IPSec для обеих сторон.
Создаются сеансовые ключи.
Разрешается менять ключи шифрования в ходе сеансов IPSec.
Появляется возможность использовать в рамках IPSec сервис защиты от воспроизведения сообщений.
Обеспечивается поддержка центров сертификации, что открывает возможности управления н масштабирования IPSec.
Что инициирует начало процесса IKE?
Процесс IKE (и IPSec) начинается тогда, когда в соответствии с реализуемой политикой IPSec система обнаруживает трафнк, подлежащий шифрованию.
Каковы цели второй фазы IKE?
Вторая фаза IKE (быстрый режим) используется для того, чтобы договориться о параметрах и установить ассоциации защиты IPSec, чтобы периодически снова согласовывать параметры ассоциаций защиты и материал для ключей, а при необходимости выполнять обмен Диффи-Хеллмана в ходе повторного согласования ассоциаций защиты.
Что является главной целью использования центра сертификации?
Центр сертификации является третьей стороной, используемой для проверки открытых ключей участвующих в обмене сторон IPSec.
Назовите пять основных шагов процесса IPSec?
Выявление трафика, инициирующего процесс IPSec.
Первая фаза IKE.
Вторая фаза IKE.
Передача данных.
Завершение работы туннеля IPSec.
Глава 16
Какая политика IKE (первая фаза) принимается по умолчанию?
Алгоритм шифрования — DES
Алгоритм хэширования — стандарт защищенного хэширования (SHA)
Метод аутентификации — подпись RSA
Группа Диффи-Хеллмана — #1 (768 бит)
Предел времени существования — 86400 секунд, отсутствие ограничений по объему.
Почему для просмотра политик IKE нужно использовать команду show crypto isakmp policy, а не команду show running-config?
Команда show crypto isakmp policy отображает значения параметров как созданной политики, так и политики, принятой по умолчанию, а команда show running-config — только данные созданной политики, но не политики, принятой по умолчанию.
Какие протоколы и порты должны быть доступны для интерфейса, использующего IPSec?
Протокол 50 для ESP, протокол 51 для АН и UDP-порт 500 для IKE.
Как активизировать IKE для одного конкретного интерфейса?
Активизировать или отключить IKE для одного конкретного интерфейса невозможно. IKE включается или отключается для всех интерфейсов одновременно. Можно запретить IKE-связь для конкретного интерфейса с помощью списка доступа, запрещающего использование UDP-порта 500.
Сколько преобразований ESP можно определить одновременно?
В одном наборе преобразований можно определить не более двух преобразований ESP.
Где можно указать предел времени существования ассоциации защиты IPSec?
Предел времени существования ассоциации защиты IPSec можно определить глобально с помощью команды crypto ipsec security association lifetime или задать его в криптографической карте с помощью команды set security-association lifetime.
Какая команда используется для того, чтобы определить трафик, подлежащий защите?
Используйте расширенные списки доступа IP с командой access-list, применяемые в криптографических картах.
Как применить криптографическую карту к интерфейсу?
Войдите в режим конфшурации интерфейса и используйте команду crypto map имя- карты.
Когда инициализируются ассоциации защиты IPSec при настройке IKE?
Когда криптографическая карта применяется к интерфейсу с помощью команды crypto map.
Вы считаете, что IPSec работает неправильно. Проверив конфигурацию, вы не смогли определить причину возникновения проблемы. Что вам делать дальше?
Включите вывод сообщений отладки IKE и IPSec и выясните, где появляются проблемы.
Глава 17
Укажите преимущества и недостатки использования согласованных общих ключей для аутентификации.
Преимущество использования заранее согласованных общих ключей заключается в простоте конфигурации. Недостатком является ограниченные возможности масштабирования, поскольку приходится вводить значения общих ключей в устройства каждой из сторон IPSec.
Какая команда используется для ввода общих ключей?
isakmp key строка-ключа
Как можно увидеть параметры политик IKE в конфигурации брандмауэра PIX?
С помощью команд write terminal, show isakmp или show isakmp policy.
Как активизировать IKE для одного интерфейса?
Активизировать IKE для конкретных интерфейсов можно с помощью команды crypto map имя-карта interface имя-интерфейса.
Сколько преобразований может быть определено в одном наборе?
В одном наборе можно определить ие более одного преобразования АН и не более двух преобразовании ESP.
Как задать пределы существования ассоциации защиты IPSec в брандмауэре PIX Firewall?
Можно определить глобальные значения пределов существования ассоциаций защиты IPSec с помощью команды crypto ipsec security association lifetime, а можно задать эти значения с помощью команды crypto map, используя опцию set security-association lifetime.
Какая команда используется для определения трафика, подлежащего защите?
Используйте для этого список доступа, который преобразуется в список шифрованного доступа в результате его применения к криптографической карте.
Когда инициализируются ассоциации защиты IPSec при использовании IKE?
Когда с помощью команды crypto map имя-карта interface имя-иитерфейса криптографическая карта применяется к интерфейсу.
Как можно увидеть информацию о событиях IKE, происходящих при обмене между сторонами IPSec?
Используйте команду debug crypto isakmp, чтобы активизировать вывод информации о событиях IKE.
Почему IKE не удается успешно завершить согласование общих ключей для следующих примеров конфигурации?
PIX1
PIX2
crypto isakmp policy 100 authentication rsa-sig group 2
lifetime 5000
crypto isakmp policy 100 authentication rsa-sig group 1 lifetime 5000
crypto isakmp policy 200 hash md5 authentication pre-share
crypto isakmp policy 300 authentication rsa-encr lifetime 10000
crypto isakmp policy 200 authentication rsa-sig lifetime 10000
crypto isakmp policy 300 hash sha
authentication pre-share
Стороны имеют различные политики IKE.
Глава 18
Каковы преимущества использования сервера СА для аутентификации сторон IPSec?
Преимущество использования сервера СА заключается в появлении возможности масштабирования сети IPSec без необходимости вручную вводить ключи шифрования для каждой новой стороны.
Какие поставщики предлагают серверы СА в виде программного обеспечения, которое устанавливается и управляется конечным пользователем и способно взаимодействовать с устройствами VPN компании Cisco в рамках протокола SCEP?
Entrust, Baltimore и Microsoft.
Какой метод аутентификации IKE используется для поддержки СА?
Как в маршрутизаторах Cisco, так и в брандмауэрах PIX Firewall методом аутентификации IKE, применяемым при поддержке сервера СА, является использование подписей RSA.
Как увидеть информацию о сертификатах СА в конфигурации маршрутизатора?
С помощью команды show crypto са certificates.
Требуется ли для поддержки сервера СА какая-то специальная конфигурация IPSec? Ничего другого, кроме указания ipsec-isakmp, чтобы активизировать использование IKE для аутентификации, не требуется.
Когда обязательно нужно использовать динамические криптографические карты? Используйте динамические криптографические карты в маршрутизаторах Cisco и брандмауэрах PIX Firewall, которые должны выступать в качестве конечных точек туннелей удаленного доступа для большого числа клиентов VPN.
Какова общая процедура настройки динамических криптографических карт в брандмауэре PIX Firewall?
Настройте параметры динамической карты (в частности, укажите наборы преобразований и список доступа), примените динамическую карту к статической криптографической карте, а статическую криптографическую карту — к интерфейсу.
Когда следует использовать режим IKE mode config?
Используйте режим IKE mode config в маршрутизаторах Cisco и брандмауэрах PIX Firewall, которые должны выступать в качестве конечных точек туннелей удаленного доступа для большого числа клиентов VPN, когда клиентам VPN их IP-адреса должны динамически присваиваться удаленным сервером.
Насколько полезна расширенная аутентификация IKE в условиях топологии удаленного доступа, инициатором которой выступает клиент VPN?
Расширенная аутентификация IKE усиливает защиту, добавляя в процесс IKE аутентификацию пользователя.
Какая команда используется для настройки возможностей распознавания конечных точек туннелей?
Команда crypto map имя-карты порядк-номер ipsec-isakmp dynamic имя-дивамич-карты [discover], используемая после настройки динамической криптографической карты.
Предметный указатель
з
3DES, 520
А
ААА (аутентификация, авторизация и аудит), 135
ACS (сервер управления доступом), 208
АН (заголовок аутентификации), 520
AppleTalk, 136
ARAP (протокол удаленного доступа
AppleTalk), 138; 198
ARP (протокол разрешения адресов), 323; 428
ASA (адаптивный алгоритм защиты), 306
В
BDC (резервный контроллер домена), 199
BGP (пограничный межсетевой протокол), 97; 112; 117; 715
Blackice Defender, 400
Blackice Pro, 400
ВООТР (протокол начальной самозагрузки), 717
BRI (интерфейс базового уровня), 138
С
СА (центр сертификации), 461; 542
CAR (согласованная скорость доступа), 253
СВАС (управление доступом на основе контекста), 55; 242; 274
СЕР (скоростная передача Cisco), 253
СЕТ (технология шифрования Cisco), 449; 467
СРВ (шифрованная обратная связь), 459;
474
CGI (обший шлюзовой интерфейс), 55
CHAP (протокол аутентификации с предварительным согласованием вызова), 138; 145; 198
Cisco IOS (операционная система Cisco для объединенной сети), 346
Cisco IOS Firewall, 241; 245; 273
Cisco NAS (сервер сетевого доступа), 196
Cisco PIX Firewall. См. PIX Firewall
CiscoSecure ACS, 169
для UNIX, 171; 212
для Windows NT, 170; 196
CiscoSecure GRS (сервер глобального роуминга), 169; 172
CiscoSecure IDS (система обнаружения вторжений), 41
CiscoSecure Integrated Software. См. Cisco IOS Firewall
CiscoSecure PIX Firewall. Cm. PIX Firewall
CiscoSecure Policy Manager. Cm. CSPM
CiscoSecure Scanner, 71
CiscoWorks, 426
CLI (интерфейс командной строки), 290
ClickStart, 119
CLID (идентификация линии вызывающего абонента), 199
ConfigMaker, 291
COPS, 72
CRL (список отзыва сертификатов), 545
CSIS (CiscoSecure Integrated Software).
См. Cisco IOS Firewall
CSNT (CiscoSecure ACS для Windows NT), 196
CSNT User Database, 204
CSPM (менеджер политики защиты), 436
CSU/DSU (модуль обслуживания канала и данных), 83
CSUNIX (CiscoSecure ACS для UNIX), 212
CSV (разделенные точкой с запятой значения), 200
gopher, 244^GRE (общая инкапсуляция для маршрутизации), 435; 514КОС (центр распределения ключей), 164Kerberos, 164KINIT (клиент Kerberos), 166gopher, 244^GRE (общая инкапсуляция для маршрутизации), 435; 514КОС (центр распределения ключей), 164Kerberos, 164KINIT (клиент Kerberos), 166
gopher, 244^
GRE (общая инкапсуляция для маршру
тизации), 435; 514КОС (центр распределения ключей), 164
Kerberos, 164
KINIT (клиент Kerberos), 166
gopher, 244^
GRE (общая инкапсуляция для маршру
тизации), 435; 514КОС (центр распределения ключей), 164
Kerberos, 164
KINIT (клиент Kerberos), 166
DES (стандарт шифрования данных), 257; 467; 520
DH (алгоритм Диффи-Хеллмана), 257
DHCP (протокол динамической конфигурации хоста), 83; 533; 662
DNS (служба имен доменов), 44; 244
DNS Guard, 373
DNSIX, 717
DSM (диспетчер распределенных сеансов CiscoSecure), 213
DSS (стандарт цифровой подписи), 257;
451
Е
ECRA (экспортное соответствие и регулирование), 504
EGP (протокол внешней маршрутизации), 117
EIGRP (протокол внутреннего шлюза
Cisco), 112
Enterprise Plus, 468
Entrust/PKI, 546
ESA (криптографический сервис- адаптер), 468
ESP (включающий защиту полезный груз), 520
ESP НМАС, 524
F
FQDN (полностью определенное доменное имя), 638
FRAD (устройство доступа с ретрансляцией кадров), 83
FTP (протокол передачи файлов), 244;
715
G
HINFO (запись информации об узле), 44
НМАС (хэшированный код аутентичности сообщения), 520; 537
HSRP (резервный протокол маршрутизации), 428
HTTP (протокол передачи гипертекстовых файлов), 244
HTTPS (протокол защищенной передачи гипертекстов), 454
I
IANA (центр распределения идентификаторов Internet, 387
ICMP (протокол контроля сообщений в
Internet), 43
IDENT, 715
IEN116, 717
IETF (проблемная группа проектирования Internet), 154; 515
IKE (обмен Internet-ключами), 516
InterNIC (сетевой информационный центр Internet), 369; 695
IP (протокол межсетевого взаимодействия), 108
IPSec (набор стандартов защиты обмена данными), 257
IPX (межсетевой пакетный обмен), 136;
694
1Р-адрес, 694
IRE Model HS Remote Encryptor, 455
ISAKMP (протокол управления ассоциациями и ключами защиты в Internet), 516; 531; 602
ISDN (цифровая сеть связи с комплексными услугами), 137
ISM (интегрированный модуль сервиса), 432
ISP (поставщик услуг Internet), 675
L
L2F (продвижение данных на канальном уровне), 199; 435; 514
L2TP (протокол туннелирования канального уровня), 435; 514
LDAP (облегченный протокол службы каталогов), 199
м
МАС (протокол управления доступом к передающей среде), 121
МАС-адрес, 121
Mail Guard, 369
MD5 (алгоритм хэширования), 520
MIB (база управляющей информации), 106; 426
МОР (протокол операций сопровождения), 114
МРРС (канальное сжатие Microsoft), 434
МРРЕ (канальное шифрование
Microsoft), 434; 514
MS-CHAP (протокол аутентификации
Microsoft), 145; 198
N
NASI (интерфейс сервера доступа
NetWare), 138
NAT (трансляция сетевых адресов), 257
NDS (служба каталогов Novell), 200
NetBIOS (сетевая базовая система ввода- вывода), 717
Network Toolbox, 44
NIC (сетевой информационный центр), 258; 715
NMS (система сетевого управления), 106
NNTP (сетевой протокол передачи новостей), 244; 716
NSA (Агентство национальной безопасности США), 530
NTP (синхронизирующий сетевой протокол), 244; 717
NVRAM (энергонезависимое ОЗУ), 471
О
Oakley, 516; 531; 532
ODBC (открытый интерфейс доступа к базам данных), 200
OnSite, 546
Р
РАР (протокол аутентификации пароля), 138; 145; 198
РАТ (трансляция адресов портов), 257
РОС (главный контроллер домена), 199
PDU (протокольная единица обмена), 107
PIM Auto-RP, 716
РЕК Firewall, 303
PIX Firewall Private Link, 431
PKCS #10 (стандарт криптографии с открытым ключом), 544
PKCS #7 (стандарт криптографии с открытым ключом), 544
PKI (инфраструктура открытых ключей), 542
PKI Plus, 546
POP (почтовый протокол), 716
РРР (протокол передачи от точки к точке), 136; 514
РРТР (протокол сквозного туннелирования), 431; 514
PRI (интерфейс основного уровня), 138
PSTN (коммутируемая телефонная сеть общего пользования), 137
Q
QoS (качество обслуживания), 257; 275;
455
R
RA (центр регистрации), 545
RADIUS (сервис идентификации удаленных абонентов), 158
RAS (сервис удаленного доступа), 435
RAWRITE.EXE, 438
RFC (запрос комментариев), 695
RIP (протокол маршрутной информации), 717
RMON MIB (база MIB удаленного мониторинга), 106
RSA, 539
RSP (процессор коммутации маршрутов), 468
S
S/Key, 141
SA (ассоциация защиты), 515
SAD (база данных ассоциаций защиты), 515
SAM (администратор учетных данных системы защиты), 47
SAP (протокол извещения об услугах), 694
SATAN (средства системного администратора для анализа сети), 44
SCEP (упрощенный протокол регистрации сертификатов), 544; 641
Security Resource Kit для Windows 2000, 546
SHA-1 (защищенный алгоритм хэширования), 520
SKEME, 531; 532
SLIP (межсетевой протокол для последовательного канала), 136
SMTP (простой протокол электронной почты), 244; 716
SNA (стандарт сетевой архитектуры IBM), 82
SNMP (простой протокол сетевого управления), 106; 426; 717
SPI (индекс параметров защиты), 521
SSL (протокол защищенных сокетов), 213; 454
Swatch, 72
т
TACACS (система управления доступом к контроллеру терминального доступа), 120; 154
TACACS+, 153
TCP/IP (протокол управления переда- чей/1п1егпе1-протокол), 136
ТСР-перехват, 254
TED (распознавание конечных точек туннелей), 665
Telnet, 244
ТЕТР (простейший протокол передачи данных), 114; 718
Tiger, 72
Tripwire, 72
и
UniCERT, 546
V
VIР2 (универсальный интерфейсный процессор), 452; 468
VPDN (виртуальная частная коммутируемая сеть), 195; 199
VPN (виртуальная частная сеть), 199; 513
W
WAIS (глобальный информационный сервер), 244
WebSENSE, 421
X
XAuth, 534; 664
XTACACS, 154
А
авторизация, 135
AAA, 148
PIX Firewall, 405
RADIUS, 160
TACACS+, 157
агент SNMP, 107
адаптивный алгоритм защиты. Си. алгоритм ASA
административная дистанция, 117
администрирование CSNT, 209
алгоритм
ASA, 306
DES, 456; 530
DSS, 456
MDS, 456; 460; 520
SHA-1, 520
Диффи-Хеллмана, 457; 462; 535
алгоритм шифрования, 452
анализ пакетов, 44 архитектура
ААА, 135
экранированной подсети, 240
ассоциация защиты, 515
IPSec, 527
атрибуты RADIUS, 162
аудит, 135
ААА, 149
PIX Firewall, 406
RADIUS, 161
TACACS+, 157
аутентификация, 135
CHAP, 146
IKE, 532
Kerberos, 166
MDS, 111
MS-CHAP, 147
PAP, 145
PIX Firewall, 405
RADIUS, 160
S/Key, 141
TACACS+, 156
двойная, 227
источника данных, 515
локальная, 150
маршрутов, 249
опосредованная, 274
открытая, 111
по имени и паролю, 138 протокола маршрутизации, ПО соседних узлов. См. аутентификация протокола маршрутизации центра сертификации, 645
Б
база MIB, 106
баннерные сообщения устройств, 103
бастионный хост, 244
бит
квитирования (АСК), 719
синхронизации (SYN), 719
блокирование аплетов Java, 275; 420
блокирование сервиса, 51
распределенное, 54
серверное, 55
случайное, 55
брандмауэр, 245
В
верификация подписи DSS, 462
версии RADIUS, 159
TACACS, 154
весовой коэффициент бита адреса, 695
взломщик, 39
виртуальный терминал, 104
внешние угрозы, 40
внешний адрес
глобальный, 258
локальный, 258
внешний интерфейс, 280
внутренние угрозы, 39
внутренний адрес
глобальный, 258
локальный, 258
внутренний интерфейс, 280
возможность отречения, 450
воспроизведение
сеанса связи, 57
сообщений, 56
восстановление паролей брандмауэра, 436
враждебные действия нарушителей, 49
вредоносные аплеты, 55
вторая фаза IKE, 516; 519
входной пакетный фильтр, 249
выбор модели брандмауэра, 315
выходной пакетный фильтр, 250
Г
генератор паролей S/Key, 142
генерирование ключей RSA, 587; 640
глобальная активизация ААА, 182
группа Диффи-Хеллмана, 521
групповая маска, 698
строка SNMP, 108
д
двойная аутентификация, 227
двухканальный хост, 244
динамическая трансляция адресов, 259
динамическое отображение портов, 275
ДМ3 (демилитаризованная зона), 243 доступ
ping, 372
к множеству интерфейсов, 383
первичный, 46
повторный, 48
доступ SNMP
непривилегированный, 108
по спискам доступа, 109
привилегированный, 108
3
закрытая модель доступа, 356
запись криптографической карты, 615
запрет обработки маршрутов, 116
запрос
сертификата, 647
списка CRL, 654
захват
процессора, 54
сеанса связи, 57
защита
административного интерфейса, 94
доступа к консоли, 95
коммутаторов Ethernet, 120
маршрутизации, 247
от блокирования сервиса, 55; 252
от воспроизведения, 515
периметра сети, 239
режима ЕХЕС, 180
удаленного доступа, 177
файлов конфигурации, 114
защита типа замка, 251
И
идентификационные карты, 139; 143
извещение SNMP, 107
изменение маршрутизации, 58
имитация. Си. подтасовка данных имя FQDN, 638
индекс SPI, 521; 527
интегрированная криптосистема, 456
интрасеть, 513
информационный запрос SNMP, 107
ИС (информационные системы), 673
К
канал доступа, 309
класс сети, 695
ключ, 452
ключ RSA, 544
специального назначения, 587
универсальный, 588
ключевое слово
any, 711
host, 711
код НМАС, 520; 537
коды сообщений ICMP, 712
команды
ааа accounting, 187; 402
ааа authentication, 183; 402
ааа authorization, 185; 402
aaa-server, 402
access-list, 488; 571; 608; 704; 709
access-list icmp, 712
access-list tcp, 714
access-list udp, 716
addressed-key, 590
age, 433
apply, 418
banner, 103
ca authenticate, 646
ca configure, 644
ca crl request, 655
ca enroll, 649
ca generate rsa, 641
ca identity, 644
ca key zeroize rsa, 659
clear arp, 333
clear crypto initiate-session, 494
clear crypto sa, 581
clear xlate, 357; 372; 392
conduit, 366; 394
copy tftp flash, 439
crypto ca authenticate, 645
crypto ca crl request, 654
crypto ca enroll, 647
crypto ca identity, 642
crypto cisco algorithm, 486
crypto cisco connections, 493
crypto cisco entities, 493
crypto ipsec security-association
lifetime, 570; 614
crypto ipsec transform-set, 566; 611
crypto isakmp, 561; 563
crypto isakmp key, 564
crypto key exchange dss, 479
crypto key generate dss, 475
crypto key generate rsa, 588; 640
crypto key pubkey-chain dss, 484
crypto key zeroize dss, 499
crypto key zeroize rsa, 592; 658
crypto key-timeout, 492
crypto map, 489; 574; 576; 617; 620
crypto pregen-dh-pairs, 492
debug, 210; 218; 224; 500
debug aaa, 188
debug crypto ca, 658
debug crypto ipsec, 581
debug crypto isakmp, 580
debug crypto pki, 658
debug icmp trace, 334
debug ip inspect, 289
debug packet, 334
domain-name, 639
enable password, 181
enable secret, 99
established, 359
failover ip address, 430
failover link, 430
failover timeout, 430
filter, 422
fixup protocol, 370; 424
global, 330; 347; 389
hostname, 638; 639
ICMP, 711
interface, 327; 385
ip access-group, 704
ip access-list, 721
ip address, 327
ip domain-name, 638
ip host, 639
ip inspect, 288
ip inspect name, 285
isakmp identity, 605
isakmp key, 605
isakmp policy, 603
link, 432
linkpath, 432
logging, 397
logging message, 425
name, 605; 639
named-key, 591
nameif, 323; 385
nat, 331; 347; 388; 415
nat 0, 350
outbound, 417
ping, 334
privilege level, 101
radius-server, 222
route, 311
service password-encryption, 97; 181
show, 224; 494; 498; 499
show access-list, 620
show arp, 333
show conn, 392
show crypto ca certificates, 651
show crypto ipsec sa, 577; 580
show crypto ipsec security-association lifetime, 580
show crypto ipsec transform-set, 580;
621
show crypto isakmp, 579
show crypto isakmp policy, 565; 578
show crypto isakmp sa, 579
show crypto key mypubkey rsa, 651
show crypto key pubkey-chain dss, 496
show crypto key pubkey-chain rsa, 651
show crypto map, 580; 621
show interface, 333
show ip address, 332
show isakmp [policy], 606
show nat, 392
show version, 437
show xlate, 372; 392
snmp-server, 426
snmp-server community, 108
static, 311; 361; 393
tacacs-server, 215
telnet, 386
test crypto initiate-session, 493; 495
timeout xlate, 390
undebug all, 289
url-cashe, 423
url-server, 421
write, 328
write erase, 592
write memory, 392
write terminal, 607
для проверки IKE, 622
IKE и IPSec, 623
IPSec, 623
конфигурации AAA, 217; 224 непривилегированного режима брандмауэра, 321
привилегированного режима брандмауэра, 322
проверки параметров СА, 652
режима конфигурации брандмауэра, 323
управления сервисами TCP/IP, 246 управления состоянием сеансов, 282
коммутируемая сеть, 513
компоненты Kerberos, 165
контроль объявления маршрутов, 248
контрольная запись, 397
конфиденциальность данных, 450; 515
концентратор VPN, 308 кража информации, 45 криптографическая карта, 489; 572; 615 динамическая, 574; 660
криптографический модуль, 467
Cisco IOS, 468
ESA, 469
VIP2, 469
Л
лавина SYN, 375
лицензия, 318
локальная аутентификация, 150
м
мандат, 165
ТОТ, 166
на получение сервиса, 166
манипуляция данными, 449
маска сети, 696
метод Диффи-Хеллмана, 462
многоуровневая система привилегий, 101
множество интерфейсов, 383
модели брандмауэров PIX, 314
модель OSI, 454 модель доступа
закрытая, 356
открытая, 356
модуль, 588
CSAuth, 203
CSDBSynch, 204
CSLog, 203
CSMonitor, 204
CSRadius, 203
CSTacacs, 203
DSM, 213
ISM, 432
мониторинг системы защиты, 70
мотивы действий нарушителя, 39
н
набор
записей криптографической карты, 616
преобразований, 566; 611
надежный компьютер, 47
нарушитель, 39
настройка
СВАС, 279
СЕТ, 475
РАТ, 261
РРТР, 434
аутентификации пользователей, 401
брандмауэра PIX, 319
входящего доступа, 357
вывода Syslog, 397
динамической трансляции, 259
защиты типа замка, 252
исходящего доступа, 356
параметров аудита ААА, 187
параметров линии, 100
профилей аутентификации ААА,
182
сетевых статик, 364
средств авторизации ААА, 185
шифрования IPSec, 548
шифрования RSA, 586
невозможность отречения, 451 недостатки
TCP/IP, 35
конфигурации, 37
операционных систем, 36
политики защиты, 38
сетевого оборудования, 36
непривилегированный режим, 320
несанкционированный доступ, 46
неявная маска, 705
неявный запрет всего трафика, 702
номера портов
TCP, 715
UDP, 717
О
область Kerberos, 166
обновление программного обеспечения брандмауэра, 437
объект xlate, 357
ограничения СВАС, 278
одноразовые пароли, 139
оказия, 585
опосредованная аутентификация, 274
опция PFS, 519; 537
открытая модель доступа, 356
отречение, 58
оценка состояния защиты, 66
п
пакет синхронизации (SYN), 254
пакетный фильтр, 245
входной, 249
выходной,250
параметры политики
IKE, 550
IPSec, 552
пароли
S/Key, 139
меняющиеся со временем, 139
одноразовые, 139
статические, 139
пароли консоли, 96
для пользовательского режима, 96 для привилегированного режима,
97
пароль
enable, 95; 180
login, 95
первая фаза IKE, 516; 518
основной режим, 518
энергичный режим, 518
первичный доступ, 46
перегрузка внутренних глобальных адресов, 259
перенаправление трафика, 55
переполнение буфера, 49; 55
перехват сообщений, 44; 449
плоский файл, 204
повторный доступ, 48
поддержка Kerberos приложениями, 168
подпись
DSS, 461
RSA, 532; 540
подсеть, 696
подтасовка данных, 56
политика защиты
закрытая, 81
ограничивающая, 78
открытая, 75
полуоткрытый сеанс, 284
почтовая бомба, 54
правила построения списков
доступа, 700
уровней безопасности, 324
практика защиты сетей, 73
пределы существования ассоциаций за
щиты, 613
преобразование, 515
преодоление парольной защиты, 47
прерывание SNMP, 107
привилегированный режим, 321 См. режим enable
причины проблем защиты, 34
проблемы защиты, 91
программные маркеры, 139
прокси-сервер, 245
канального уровня, 245
прикладного уровня, 245
противодействие атакам
разведки, 45
удаленного доступа, 50
протокол
АН, 522
DHCP, 662
ESP, 523
IKE, 531
ISAKMP, 531
протоколы VPN, 514
профиль
ключа, 112; 480
сообщения, 460
процедура трехходового квитирования, 719
процессор RSP, 468
Р
разведка, 42
развертка ping, 43
распределенные атаки блокирования сервиса, 253
расширенная аутентификация, 534; 664 регистрация событий маршрутизатора, 262
режим
ca-identity, 642
СЕР, 253
СРВ, 458; 474; 531
config, 320; 322
config-crypto-map, 574
config-isakmp, 562
enable, 95; 180; 320; 321
mode config (IKE), 533; 662
privileged EXEC. См. режим enable
user EXEC, 95
конфигурации. См. режим config резервный шлюз, 616 репликация баз данных, 202
С
связь между интерфейсами брандмауэра, 325
сервер сертификации, 542
сервис
Biff, 717
CSAccupdate, 202
CSAdmin, 203
CSDBSync, 202
Exec, 715
Finger, 715
Gopher, 715
sendmail, 36
Syslog, 716; 718
Talk, 716
TED, 665
Telnet, 716
Who, 718
сертификат X.509v3, 532; 544
сетевая маска, 696
статика, 364
сетевой информационный центр, 258
сетевой фильтр, 117
ceibVPN, 431; 513
сигнатура вторжения, 41; 276
синхронизация СУРБД, 202
система обнаружения вторжений, 274
сканирование портов, 43
сквозная опосредованная аутентифика
ция, 312
совершенствование системы защиты, 72 согласование
ключей, 563
набора преобразований, 569; 613
соединение, 317
сокет, 317
список CRL, 545
список доступа, 115; 693
именованный, 721
расширенный, 707
стандартный, 701
список шифрованного доступа, 570
средства
ТСР-перехвата, 254
обработки отказов, 428
перехвата сообщений, 44
средства NAT
динамические, 346
статические, 346
средства РАТ, 346
стандарт DES, 467; 520; 529
стандарты базы данных защиты, 152
статика, 364
статическая карта, 309
статический маршрут, 248
стратегия резервирования, 573
схема Диффи-Хеллмана, 535
т
терминология Kerberos, 165 тестирование системы защиты, 71 технология шифрования Cisco. См. СЕТ типы угроз безопасности, 41 трансляция
IP-адресов, 257
NetBIOS, 354
адресов портов, 352
динамическая, 259
перекрывающихся адресов, 259
транспортный режим, 524
туннель РРТР, 431
туннельный режим, 524
У
угрозы
внешние, 40
внутренние, 39 удаление
ключей RSA, 592; 655
сертификатов устройства, 655
удаленная база данных защиты, 151
улей SAM, 47
управление доступом
HTTP, 119
SNMP, 106
Telnet, 104
управление сервисами TCP/IP, 246
уровни безопасности, 324
установка CSNT, 207
ключей DSS вручную, 484 уязвимость
приложений удаленного доступа, 49 сервисов удаленного доступа, 48
Ф
файл .csv, 157
фальсификация IP-адресов, 56
фильтрация сетей в пакетах маршрутизации, 115
X
хост
бастионный, 244
двухканальный, 244
хэширование сообщений, 460
хэш-код, 112; 460
ц
целостность данных, 450; 515
центр
распределения ключей, 164
регистрации, 545
сертификации, 461; 542
цикл защиты, 66
ч
четырехпортовая интерфейсная плата, 319
ш
шифрование, 450
СЕТ, 257
DES, 457
DSS, 460
ESP, 524
IPSec, 257
Private Link, 432
канального уровня, 455
паролей, 97
сетевого уровня, 256; 455
шифрованные
данные, 452
оказии, 585
шлюз
канального уровня, 245
прикладного уровня, 245
э
экранирующий маршрутизатор, 240
экстрасеть, 514
хакер, 39
Научно-популярное издание
Майкл Уэнстром
Организация защиты сетей Cisco
Литературный редактор Верстка
ЕД. Давидян О. В. Линник
Художественный редактор Т.А. Тараброва
Обложка В. Г. Павлютин
Корректоры З.В. Александрова, Л.А. Гордиенко,
Л. В. Коровкина, О. В. Мишу тина
Издательский дом “Вильямс”.
101509, Москва, ул. Лесная, д. 43, стр. 1.
Подписано в печать 15.12.2004. Формат 70x100/16.
Гарнитура Times. Печать офсетная.
Усл. печ. л. 61,9. Уч.-изд. л. 45,5.
Доп. тираж 2000 экз. Заказ № 9005.
Отпечатано с фотоформ в ФГУП “Печатный двор”Министерства РФ по делам печати,телерадиовещания и средств массовых коммуникаций.
197110, Санкт-Петербург, Чкаловский пр., 15.
Организациязащиты СЕТЕЙCisco1
и