По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Устройства третьего уровня модели OSI обеспечивают так называемую трансляцию сетевых адресов, или Network Address Translation (NAT). Устройства третьего уровня, как правило, маршрутизаторы, фаерволы или коммутаторы с функциями L3, преобразуют внутренние IP-адреса во внешние, которые маршрутизируются в сети интернет. В рамках преобразования IP-адреса, фаервол сохраняет внутренний адрес себе в память, затем подменяет его на адрес внешнего интерфейса, либо меняет его на один из адресов внешнего диапазона (пула), и совершает отправку измененного IP-пакета.
Трансляция портов
В современных корпоративных сетях, фаерволы выполняют функцию, которая называется Port Address Translation (PAT). Эта технология позволяет множеству внутренних IP – адресов использовать один и тот же внешний адрес. Данная технология реализуется на четвертом уровне модели OSI. Схема работы PAT показана ниже:
На схеме, компьютеры (рабочие станции) находятся в защищенном участке сети за «фаерволом». Этот участок обозначен как внутренняя сеть, где действует адресация 192.168.0.0 с маской подсети 255.255.255.0. Как было сказано в начале главы, Cisco Adaptive Security Appliances (ASA) выполняет функции по трансляции портов для устройств внутренней сети. Трансляция выполняется для «хостов» подсети 192.168.0.X в во внешний IP-адрес Cisco ASA – 208.104.33.225. В данном примере, компьютер А отправляет TCP пакет с портом назначения 80, получателем которого является WEB – сервер, расположенный во внешнем сегменте сети на компьютере Б. ASA подменяет оригинальный запрос с IP-адреса 192.168.0.44 на свой собственный (208.104.33.225). Параллельно, случайно выбирается номер порта, отличного от исходного (в данном примере порт 1024 заменен на 1188). Только после этого, пакеты отправляются на WEB – сервер к адресу назначения 208.104.33.241.
Система обнаружения и предотвращения вторжений
Система обнаружения вторжений Intrusion Detection System (IDS), это устройства, которые предназначены для обнаружения атак на корпоративную сеть и поддержания ИТ безопасности в целом. Системы обнаружения позволяют отслеживать распределенные DDoS атаки, «черви» и «трояны».
Как показано выше, злоумышленник отправляет «зараженный» пакет на WEB – сервера компании с целью, например, вывести из строя сайт компании. Система обнаружения вторжения (IDS) отслеживает данный пакет, и отправляет сигнал тревоги на систему мониторинга. Недостатком данного механизма является то, что он лишь уведомляет о наличии угрозы, но не предотвращает ее. В данном случае, отправленный злоумышленником пакет дойдет до получателя.
Система предотвращения вторжений, или Intrusion Prevention System (IPS) , способна не только обнаружить «зараженный» пакет, но и уничтожить его. Схема работы IPS показана на рисунке ниже:
Как видно из рисунка, система IPS предотвращает попадание «зараженного» пакета в сегмент корпоративной сети. IPS/IDS системы определяют «зараженный» трафик по следующим критериям:
Проверка на базе подписи;
Общая политика безопасности;
Проверка на базе нелинейности поведения;
Проверка на основании репутации.
О критериях определения "плохого" трафика мы расскажем в следующих статьях.
Для каждого сервера нелишним будет установка баннера, который мог бы проинформировать злоумышленника о том, какие риски он несёт в случае взлома иили просто каждому пользователю демонстрировать важную информацию о сервере после успешной авторизации. По сути, есть две сущности – баннер и MOTD. После ввода логина вы увидите баннер, и после успешной авторизации будет показан MOTD.
Настройка
Для начала отредактируем файл /etc/issue.net – например, с помощью редактора Vim:
vim /etc/issue.net
И вставим в него любой желаемый текст, например:
###############################################################
# ACCESS RESTRICTED #
# Please disconnect immediately! #
# All you actions will be recorded! #
###############################################################
Следующим шагом необходимо отредактировать конфиг-файл сревиса sshd и указать путь для баннера. Для этого сначала откроем конфиг следующей командой:
vim /etc/ssh/sshd_config
Далее необходимо найти строчку, которая относится к баннеру, и прописать путь как на скриншоте ниже:
То есть Banner /etc/issue.net. После этого сохраняем конфиг (в Vim нажимаем Esc и вводим :x!, затем Enter).
Последним шагом отредактируем файл MOTD, для этого используем команду vim /etc/motd и добавим в неё свой баннер, к примеру:
##########################################
# TEST SERVER# #
# PLEASE DISCONNECT IF YOU ARE NOT ADMIN #
##########################################
Также сохраняем файл и пробуем зайти на сервер, вы должны увидеть следующее:
Для формирования баннеров также можно использовать ASCII код, поэтому будьте креативны! :) К примеру, любую картинку можно перевести в код с помощью онлайн ASСII конвертера.
Когда появился брандмауэр ASA 5506-X, было много нареканий: "это устройство не является заменой ASA 5505, к нему необходимо докупать коммутатор!" и "на устройстве есть шесть портов, но которые я не могу использовать" и так далее.
Если, честно сказать, ASA 5505 должен использоваться в среде SOHO, где все находится в одном устройстве (с PoE). Проблема состояла в том, что люди стали устанавливать их повсюду и в крупных компаниях, и в центрах обработки данных.
Что бы решить эту проблему, необходимо было бы изменить аппаратное обеспечение. Поэтому Cisco, для решения этой проблемы, просто добавила BVI (виртуальный интерфейс моста), начиная с версии 9.7. Вообще, это не совсем верное утверждение, так как в Cisco ASA уже определенное время имеются интерфейсы BVI (Bridge Group Virtual Interface) в так называемом "прозрачном режиме" (transparent mode). Таким образом, на ASA 5506-X с настройками по умолчанию- это "мостовые" интерфейсы начиная с порта Ge0/2 и заканчивая портом Ge0/8, которым можно присвоить имя inside и IP-адрес.
Вроде бы все как у ASA5505. Но нет, потому что для каждого мостового интерфейса требуется прописывать отдельно access-group/ACL, а также отдельно настраивать NAT. Конечно, можно все оставить по умолчанию и ничего не трогать, если у вас ну очень простая сеть. Также обратите внимание, что утверждение выше справедливо и для удаленного управления через SSH/ADSM и так далее.
Далее посмотрим настройки и произведем изменения в интерфейсе ASA 5506-X для BVI
Ниже показана сокращенная конфигурация брандмауэра по умолчанию и жирным шрифтом выделены дополнительные команды, которые используются для этой конфигурации брандмауэра.
Это обновленная "дефолтная" конфигурация брандмауэра 5506-X (начиная с version 9.7.)
Удаление интерфейса BVI на ASA 5506-X через CLI
Во-первых, необходимо удалить группу мостов на физических интерфейсах, но предварительно надо удалить имя интерфейса. Если этого не сделать, то это приведет к ошибке. Подключитесь к устройству через консольный кабель или через внешний интерфейс (outside)(Это необходимо, так как мы собираемся удалить настроенный внутренний интерфейс (inside).
Только после выполнения вышеописанных команд можно удалить интерфейс BVI.
Интерфейс BVI1 будет удален из конфигурации (если вы ранее работали на маршрутизаторах, то это похоже на удаление интерфейса loopback). Теперь удалите "несуществующие" группы объектов, которые использовались для NAT.
Предположим, что внешний интерфейс (GigabitEthernet0/1) включен и подключен, (по умолчанию он будет настроен на DHCP). Далее необходимо будет настроить "внутренний" интерфейс (будет использован GigabitEthernet0/2) и настроить правило NAT/PAT, чтобы разрешить трафик.
Теперь весь трафик из внутренней сети во внешнюю разрешен, а весь внешний трафик запрещен.