سیسکو ASA چیست؟ فایروال معروف ASA سیسکو چه قابلیت هایی دارد؟ سال هاست که سیسکو فایروال اختصاص تولید می کند و در سال های قبل این دستگاه تحت نام PIX روانه بازار می شد. با پیشرفت تکنولوژی سیسکو دستگاه جدیدی را درست کرد که تمام قابلیت های PIX را داشت و علاوه برای آن قابلیت های جدیدی را به آن اضافه کرد و این دستگاه را تحت نام (Adaptive Security Appliance (ASA روانه بازار کرد. قبل از اینکه بخواهید دستگاه را تنظیم و پیکربندی کنید باید با مفاهیم و اصول اولیه آن را فرا گیرید که در این بخش به این مفاهیم پرداخته خواهد شد.
فایروال های ASA در اندازه ها و شکل های مختلفی وجود دارند اما همه آنها قابلیت های مشابهی دارند. معمولا دستگاهی که شماره مدل آن پایین تر است توان پایین تری دارد. شماره مدل این دستگاه ها با 55 شروع می شود البته دستگاه هایی از خانواده ASA وجود دارند که بر روی سوئیچ هایی مانند 6500 نصب می شوند یا نسخه مناسب برای محیط های مجازی.
همینطور که در جدول بالا میبینید در جلوی هر مدل نشان داده شده است که برای چه محیط هایی مناسب است.
لیست قابلیت ها و ویژگی های ASA به شرح زیر است که بسیاری از آنها را در قسمت های قبلی مورد بحث قرار داده ایم :
فایروال شرکت سیسکو با نام Adaptive Security Appliance) ASA) تولید می شود که علاوه بر امکانات فایروال ، قابلیت های فراوانی را برای ما مهیا می سازد.فایروال ها وظیفه محافظت از شبکه داخلی را در برابر دسترسی غیر مجاز از بیرون شبکه دارند. علاوه بر این فایروال ها می توانند محافظت بخش های مختلف شبکه را نسبت به هم تامین کنند به طور مثال منابع شبکه را از کاربر شبکه جدا کنیم. همچنین فایروال امکان دسترسی به برخی از سرویس ها مانند وب که نیاز به ایجاد دسترسی برای کاربران خارج شبکه است را فراهم می کند.
Routed Mode در فایروال ASA سیسکو حالتی است که در آن فایروال مانند یک مسیریاب (Router) عمل کرده و بین شبکه‌های مختلف مسیریابی (Routing) انجام می‌دهد. در این حالت، هر Interface یک آدرس IP مستقل دارد و بسته‌های داده بر اساس جدول مسیریابی ارسال می‌شوند. ترافیک بین شبکه‌ها از طریق فایروال عبور کرده و تحت سیاست‌های امنیتی بررسی و فیلتر می‌شود. در آموزش فایروال، یادگیری Routed Mode برای مدیریت امنیت و مسیرهای ارتباطی در شبکه‌های پیچیده ضروری است. این حالت برای سازمان‌هایی که نیاز به کنترل دقیق ارتباطات بین چندین شبکه دارند، بسیار مفید است.
به این صورت که سرورهای مربوطه را در یک شبکه جداگانه تحت عنوان Demilitarized Zone) DMZ) قرار می دهیم و توسط فایروال امکان دسترسی محدود از طریق محیط خارج از شبکه را به DMZ می دهیم. با اینکار یک محیط ایزوله ایجاد کرده ایم و در صورتی که حمله به این سرورها صورت گیرد فقط این سرورها تحت تاثیر قرار می گیرد و سرورهای داخلی از این حمله در امان هستند. علاوه بر این می توانید دسترسی کاربران به شبکه خارجی (مانند اینترنت) را نیز کنترل کنید مثلا به چه آدرس ها و سایت هایی دسترسی داشته باشند.
زمانی که بحث استفاده از فایروال در شبکه پیش می آید شبکه خارجی در مقابل فایروال است و شبکه داخلی و DMZ پشت فایروال قرار می گیرند و توسط آن محافظت می شوند و تنها اجازه دسترسی محدود به کاربران خارج از شبکه را به محیط DMZ می دهد. فایروال ASA دارای چندین اینترفیس است که می توان برای هر کدام آن سیاست های خاص خودش را در نظر گرفت. حتی شما می تواند چند شبکه داخلی ، DMZ و یا چند شبکه خارجی داشته باشید.
ASA در دو Mode یا حالت Transparent و Routed کار می کند. در مقاله قبلی با عملکرد فایروال در حالت Transparent آشنا شدیم و در این مقاله می خواهیم مفاهیم ، نحوی عملکرد و ویژگی های Routed Mode را بررسی کنیم.
به صورت پیش فرض فایروال ASA در لایه سوم عمل می کند و بر پایه Packet و IP Address عمل می کند و کلیه عملیات بازرسی و انتقال ترافیک ، براساس پارامترهای لایه سوم انجام می گیرد هرچند که ASA می تواند در لایه های بالاتر نیز کنترل را انجام دهد. ASA با در نظر گرفتن IP Address برای اینترفیس ها ، خود را به عنوان یک روتر یا Gateway در شبکه ای که به آن متصل است معرفی کند. به این حالت Routed Mode گفته می شود.استفاده از این حالت نیاز به تغییرات در سیستم آدرس دهی IP دارد.در این حالت هر اینترفیس ASA باید به یک Subnet متصل و یک IP از آن Subnet به آن اینترفیس اختصاص داده شود در تصویر زیر حالت Routed Mode را می بینید که اینترفیس 0 به نام outside به شبکه 192.168.100.0/24 ، اینترفیس 1 به نام inside به شبکه 192.168.200.0/24 و اینترفیس 2 به نام DMZ به شبکه 192.168.1.1/24 متصل است.
زمانی که فایروال ASA را برای اولین بار در شبکه قرار می دهیم باید توپولوژی شبکه را نسبت به آن تغییر دهیم به این صورت که در هر سمت اینترفیس های ASA باید یک Subnet متفاوت داشته باشیم همانند یک روتر. به طور مثال ما یک شبکه با یک subnet داریم برای اینکه از ASA استفاده کنیم حداقل این شبکه را به دو Subnet باید تقسیم کنیم مثلا در یک سمت کلاینت ها و در سمت دیگر سرور ها را قرار می دهیم.
این تغییر توپولوژی با عث می شود که نصب ASA در حالت Routed را با مشکل مواجه کند چون نیاز به تغییرات در سیستم آدرس دهی شبکه دارد. ساده ترین حالت این است که IP کلاینت ها و دستگاه هایی که از اهمیت زیادی برخوردار نیست را تغییر ندهیم و آنها را به عنوان یک Subnet در نظر بگیریم و IP دستگاه هایی که نیاز به محافظت دارند را تغییر و در یک Subnet قرار دهیم زیرا معمولا تعداد این دستگاه ها کمتر است و IP دستگاه های کمتری را تغییر می دهیم.
حالت دیگر این است که می خواهیم فایروال را بین شبکه داخلی و اینترنت قرار دهیم. در این حالت تنها کافیست IP فعلی مودم (Gateway) را به ASA اختصاص دهیم و برای مودم یک IP در یک Subnet جدید در نظر بگیریم.علاوه بر اختصاص IP برای هر اینترفیس از یک Subnet باید یک نام و یک عدد تحت عنوان Security Level برای آن در نظر بگیریم این عدد که می تواند بین صفر تا صد باشد و مشخص کننده نحوی ارتباطات بین اینترفیس ها می باشد. به طور مثال یک اینترفیس Security Level صفر و دیگری Security Level صد دارد ترافیک از Security Level بالاتر اجازه ورود به Security Level پایین تر را دارد ولی برعکس آن امکان پذیر نیست مگر اینکه ما آنرا مجاز کنیم.
کاربرد Security Level در فایرول ASA سیسکو چیست؟ Security Level مقداری است که به هر Interface اختصاص داده می شود و درجه اهمیت آنرا مشخص می کند. این مقدار میتواند عددی بین 0 تا 100 باشد . ترافیک TCP و UDP از اینترفیس با Security Level بالاتر می تواند وارد اینترفیس با Security Level پایین تر شود و با توجه به ویژگی Statefull ترافیک درخواستی از Security Level بالاتر از Security Level پایین تر امکان و اجازه پاسخگویی و ورود به Security Level بالاتر را پیدا می کند به عبارتی تنها به ترافیکی از سطح پایین تر اجازه ورود داده می شود که از داخل ان اینترفیس درخواست شده باشد.
غیر از Security Level برای هر اینترفیس یک نام (name if) در نظر می گیریم اگر برای اینترفیس نام inside در نظر گرفته شود به صورت خودکار مقدار Security Level برابر 100 و اگر outside را به عنوان نام اینترفیس انتخاب کنیم مقدار Security Level برابر صفر خواهد شد. به اینترفیس ها می توان یک Security Level یکسان اختصاص داد. به طور پیش فرض ترافیک بین اینترفیس هایی که دارای مقدار Security Level یکسان هستند عبور داده نمی شود
Security Level در فایروال ASA سیسکو عددی بین ۰ تا ۱۰۰ است که میزان اعتماد یک رابط شبکه (Interface) را تعیین می‌کند. سطح ۱۰۰ بالاترین امنیت (معمولاً برای شبکه داخلی) و سطح ۰ کمترین امنیت (معمولاً برای اینترنت) را دارد. ترافیک از سطح بالاتر به پایین‌تر مجاز است، اما برای مسیر برعکس نیاز به دستورات دسترسی (ACL) دارد. در آموزش فایروال، درک این مفهوم برای مدیریت امنیت و کنترل ترافیک شبکه ضروری است.
Transparent Firewall یا فایروال لایه ۲، یک نوع فایروال است که بدون تغییر در آدرس‌های IP، بین شبکه قرار میگیرد و ترافیک را فیلتر می‌کند. این فایروال مانند یک Bridge عمل می‌کند و بسته‌های داده را بر اساس قوانین امنیتی بررسی کرده و تصمیم به اجازه یا مسدودسازی آنها میگیرد. یکی از مزایای آن، این است که کاربران نیازی به تغییر در تنظیمات شبکه ندارند و فایروال به‌صورت نامحسوس کار می‌کند. در آموزش فایروال، استفاده از فایروال لایه ۲ برای افزایش امنیت در شبکه‌هایی که نیاز به تغییر توپولوژی ندارند، توصیه می‌شود. این نوع فایروال معمولاً در محیط‌هایی که نیاز به کنترل ترافیک بدون تغییر در ساختار شبکه دارند، مانند دیتاسنترها، استفاده می‌شود. همچنین، می‌توان آن را برای جلوگیری از حملات و فیلتر کردن ترافیک مخرب به کار برد.
transparent firewall بیشتر در رابطه با نحوی قرار دادن فایروال در شبکه است تا بحث تکنولوژی های که برای فیلترینگ استفاده می شود. یک transparent firewall می تواند از قابلیت های packet-based filtering ، stateful filtering و application inspection که قبلا مورد بحث قرار گرفت می تواند استفاده کند اما تفاوت بزرگ این است که در لایه دو مورد استفاده قرار می گیرد.بیشتر فایروال ها همانند یک روتر در لایه سوم استفاده می شوند به این معنا که بسته ها در این دستگاه باید تا لایه سوم بروند تا مورد پردازش قرار گیرند.
در فایروال های لایه سوم (Routed Firewall) هر اینترفیس دارای یک IP آدرس در یک شبکه متفاوت است و ترافیک از یک شبکه به شبکه دیگر از طریق فایروال عبور می کند و سیاست های فایروال روی این ترافیک اعمال می شود.در transparent firewall به اینترفیس ها IP اختصاص داده نمی شود و این اینترفیس ها شبیه یک bridge یا یک سوئیچ دو پورت عمل می کند. در این حالت ترافیک از یک بخش شبکه بخواهد به بخش دیگر شبکه برود باید از طریق این فایروال بگذرد.
به transparent firewall تنها management IP تعلق میگیرد و از طریق آن می توان به دستگاه متصل شد. کاربرانی که از منابع شبکه استفاده می کنند و ترافیک آنها از طریق فایروال می گذرد از وجود فایروال بی خبرند و متوجه حضور فایروال نمی شوند. یکی از مزایای بزرگ استفاده از transparent firewall این است که نیاز به آدرس دهی مجدد شبکه نیست و نیاز به تغییرات در شبکه نیست.حتی با وجود اینکه دستگاه در لایه دو پیاده سازی می شود بازهم می تواند تمام بسته هایی که بین اینترفیس های آن عبور می کند را ببیند و می تواند قابلیت هایی مانند stateful و application inspection را اجرا کند.
برای درک بهتر مفاهیم در دوره آموزش ASA سیسکو شما در قالب انجام سناریوهای مختلف بر روی فایروال سیسکو ، تنظیمات اولیه ASA ، راه اندازی HA ، تنظیمات امنیتی و ... را در این فایروال به خوبی آموزش می بینید. این دوره ویژه افرادی است که دوره های سیسکو بصورت مقدماتی را پشت سر گذاشته اند و می خواهند در زمینه فایروال های تخصصی سیسکو هم کسب تجربه کنند. در این ویدیو با نحوی اضافه کردن فایروال سیسکو یعنی ASA به GNS3 آشنا می شوید و همچنین نحوی فعال کردن ASDM در ASA را خواهید دید و نحوی اتصال به ASA از طریق ASDM نمایش داده شده است.
DHCP Spoofing حمله ای است که عملکرد سرویس DHCP (اختصاص IP به صورت اتومات) را مختل می کند.
MAC Flooding یا CAM Flood یک حمله هکری است که در آن مهاجم تعداد زیادی آدرس MAC جعلی را به سوئیچ ارسال می‌کند تا جدول CAM (Content Addressable Memory) پر شود. با پر شدن جدول، سوئیچ دیگر قادر به نگه‌داشتن آدرس‌های معتبر نیست و تمام ترافیک را به همه پورت‌ها ارسال می‌کند، که باعث حمله شنود (Sniffing) و دسترسی غیرمجاز به اطلاعات می‌شود. در آموزش هک، این حمله به‌عنوان یکی از روش‌های اولیه برای نفوذ به شبکه بررسی می‌شود. برای جلوگیری از آن، می‌توان Port Security را در سوئیچ‌های سیسکو فعال کرد تا تعداد آدرس‌های MAC مجاز روی هر پورت محدود شود. همچنین استفاده از 802.1X Authentication و Dynamic ARP Inspection (DAI) امنیت شبکه را افزایش می‌دهد.
این حمله به دو صورت می تواند به وجود اید:
برای جلوگیری از این حملات از DHCP Snooping استفاده می کنیم و به صورت زیر عمل می کند :
برای جلوگیری از حالت اول پورتی که متصل به DHCP سرور ماست را به عنوان Trust معرفی می کنیم در نتیجه تنها این پورت اجازه دارد به بسته های DHCP Request پاسخ دهد. برای جلوگیری از حالت دوم برای پورت ها مشخص می کنیم که در هر ثانیه اجازه دارد چندتا DHCP Request دریافت کند و یا استفاده از قابلیت Port Security .
در ابتدا DHCP Snooping را فعال می کنیم.
Switch(config)#ip dhcp snooping
سپس VLAN مربوطه را مشخص می کنیم.
Switch(config)#ip dhcp snooping vlan 1
وارد اینترفیس متصل به DHCP سرور می شویم و آنرا به عنوان trust معرفی می کنیم.
Switch(config)#interface fasthernet 0/24 Switch(config-if)# ip dhcp snooping trust
حالا باید مشخص کنیم که باقی پورت ها در هر ثانیه اجازه ارسال چند DHCP Request را دارند.
Switch(config)#interface range fastethernet 0/1-23 Switch(config-if)#ip dhcp snooping limit rate 3
برای درک بیشتر مفاهیم بعد از گذراندن دوره آموزش CCNA سیسکو میتوانید با شرکت در دوره CCNA Security بصورت گام به گام ، کارگاهی ، در قالب آموزش CCNA Security با کد آزمون 210-260 به شما تضمین می دهد که امنیت زیرساخت شبکه را فرا گیرید و بتوانید امنیت تجهیزات سیسکویی خودتان را ارتقاء دهید . با تهیه این دوره آموزش CCNA Security شما دیگر نیازی به منبع آموزشی دیگری برای یادگیری CCNA سکیوریتی نخواهید داشت.
دوره CCNA Security نام یکی از آزمون‌ها و مدارک شرکت سیسکو است. سیسکو آزمون‌ها و مدارک مختلفی از جمله CCNA را در حوزه شبکه‌های کامپیوتری برای افرادی برگزار می‌کند که قصد فعالیت در زمینه راه‌اندازی و نگهداری راهکارهای سیسکو با استفاده از تجهیزات این شرکت را دارند.