当前位置：文档之家 › 将ciscoasa5500作为一种卓越的防火墙解决方案

将ciscoasa5500作为一种卓越的防火墙解决方案

  • 格式：doc
  • 大小：181.00 KB
  • 文档页数：5

1.1 ﻬ将Ciｓcｏ ASA 5５00作为一种卓越的防火墙解决方案
Cisco ASA 5500 系列自适应安全设备提供领先的防火墙功能,并能够通过扩展支持
其它安全服务。

在所有机构的网络安全基础设施中,防火墙都提供第一道防线。它采用的具体作法
是，将公司制定的用户网络访问权限策略与每次访问操作的连接信息进行比较。如
果用户策略与连接信息不匹配,防火墙就不允许建立连接。如果相互匹配,则防火墙
允许流量流经网络。

通过这种方式,防火墙形成了各机构网络安全基础设施的基本模块。由于防火墙能
够提供卓越的性能，延长关键业务运作的网络正常运行时间,因而物超所值。但是,
随着公司网络上语音、视频和协作流量的快速增长，企业不但要求防火墙引擎以超
高速度运行，还要求它支持应用级检查。标准的L2和L3防火墙能够防止对内部
和外部网络的非法接入，如果增加了应用级检测,防火墙将能够在Ｌ７检测、识别
和验证应用类型，有效阻止不需要或误操作的应用流量。利用这些功能,防火墙不
但能执行端点用户注册和认证,还能有效控制多媒体应用的使用。

1.1.1 对速度的要求
在网络能够不断增强业务生产率、协作和通信的同时，防火墙也得到了同步的发
展。例如,Ｃisco® ASA 5５00 系列自适应安全设备就是专门为数百种应用协议的标
准策略实施和应用级防火墙检测而开发的。独立的第三方测试表明，这种防火墙的
性能远远超过了同类产品。另外,在全球市场调查公司Gａrtｎer 于２0０６年6月
进行的防火墙“魔方”调查中，Ciscｏ ASA ５500系列自适应安全设备在概念和技
术上都名列榜首。

利用Cisco ＡＳA 55０0 系列的高性能应用检测功能，网络对待流量的详细策略依
据不但能基于端口、状态和地址信息，还能基于深埋在数据帧头与负载中的应用信
息。通过对这种深度数据包检测信息与公司策略的比较,防火墙能够允许或阻止某
些流量通过。例如，如果公司策略禁止企图通过开放端口进入网络的应用流量通过
网络,那么，即使这种流量在用户和连接水平上看似合法流量,也会被自动丢弃。

这种不需要的流量可能包含将会消耗大量带宽的与业务无关的对等流量。它可能会
建立即时消息传送流量，但不符合公司的即时消息传送标准。另外，它还可能是公
司决定从网络中滤除的其它非关键应用流量。
Ｃiｓco ASＡ 5500 系列自适应安全设备能够以业内领先的性能检测和过滤协议。20
０５年9月,位于新泽西州克林波瑞的独立测试实验室 Miercｏm 的测试结果表明，
中端Cｉsco AＳA ５520 通过TＣＰ/IP连接传输HTTＰ（Web)流量的性能,比
最接近的三家竞争对手高六倍。与此同时，Cｉsｃo ＡＳＡ 5５20 还能实现100%
的威胁检测成功率，而其它设备只能达到３0－４0%的准确率。
利用这种性能和安全准确率，各企业可以利用Cisco AＳＡ 5500 系列，快速、安全
地扩展网络部署和应用，满足企业用户对响应时间的要求。

企业网络的安全组件
企业网安全架构的主要组件包括：
 部署在传统公司广域网边缘周边、分支机构广域网边缘以及企业内部的战略位
置,保证合法用户接入的防火墙；

 从网络中滤除恶意代码的ＩＰＳ；
 用于加密（支持站点到站点连接的IＰsec和支持移动连接的SＳL)以防止数据
被盗的ＶPN；

 防止远程和移动用户连接遭受病毒侵袭,保证安装了所需软件和安全版本的端点
或Antｉ－Ｘ安全性。

1.1.2 增加入侵防御
Gａrtneｒ 对新一代防火墙的定义是：将防火墙过滤与入侵防御系统（IＰS）结合
在一起的防火墙。与防火墙相似,IPＳ 也能实时过滤数据包。但是，IＰS 并不依据
用户信息和应用策略过滤，而是扫描进入代码中的已知恶意样式，称为签名。这些
签名能够证明恶意代码的存在,例如蠕虫、特洛伊木马和间谍软件。

间谍软件可能会消耗服务器和网络资源,并造成针对内部员工或外部Web用户的拒
绝服务(ＤoＳ）攻击。由于IPＳ 能够过滤已知恶意签名,因而能进一步提高防火墙
功能的安全性。一旦IPＳ检测到恶意代码，系统就会阻止它进入网络。

根据Gartner 的调查,由于新一代防火墙能够将防火墙和ＩPS集成在一起，因而只
需检测一次流量。相反，如果需要检测一次连接层信息并检查一次恶意代码,将显
著降低系统吞吐量。

利用Cisco ＡＳA 5５０0 系列,企业能够灵活地增加ＩPS 服务,阻止其它恶意代码的

合集下载

思科防火墙ASA5500百问百答

思科防火墙ASA5500百问百答

ASA5500百问百答- 进行时:)1. ASA5510 + Security Plus License ! ASA系列对高可用性的支持情况答：ASA5505基本许可不支持HA，通过Security Plus license.可以支持stateless Active/Standby and redundant ISPASA5510基本许可不支持HA，通过Security Plus license可以支持A/A和A/S的FOASA5520以上系列，基本许可就支持A/A和A/S的FO。

2.ASA5510到底有几个端口可用？速率是多少？答：Cisco ASA 5510 7.2.2以前的版本Base License可用3个FE，Plus License可用5个FE。

Cisco ASA 5510 7.2.2及以后的版本可用5个FE，无论是Base还是Plus。

Cisco ASA 5510 7.2.3及以后的版本Base可用5个FE，Plus会升级两个FE端口为GE端口（2GE+3FE）。

3.关于PIX的HA的授权问题.答：如果要实现A/A必须一个防火墙使用UR授权，另一个防火墙使用Failover-Active/Active (FO-A/A)授权,或两台设备都是UR license如果要实现A/S必须一个防火墙使用UR授权，另一个防火墙使用Failover (FO)或者Failover-Active/Active (FO-A/A)如果只有一个防火墙，购买FO或者FO-A/A授权是不能够使用的，必须与具有UR授权的防火墙一起使用。

4.请问FWSM在multi context模式下支持路由模式和透明模式共存吗？答：FWSM在3.1版本后multi context模式下支持路由模式和透明模式混用.5.ISR路由器的IPS功能只能由IOS软件来实现吗？答:可以选择IPS模块。

型号为AIM-IPS-K9，使用平台为ISR 1841、2800、3800系列路由器。

ASA5500-X身份防火墙与CDA配置指南

ASA5500-X身份防火墙与CDA配置指南

ASA5500-X身份防火墙与CDA配置指南一、目的 (1)二、网络拓扑 (1)三、CDA的安装与配置 (2)四、ASA5515-X安装CX模块 (4)五、Windows 2008 R2的配置 (8)六、ASA-CX的策略配置 (17)七、ASA-CX功能验证 (26)一、目的本文介绍了在ASA5515-X防火墙上，通过与思科Context Directory Agent（简称CDA）软件协同工作，实现基于身份的访问策略与控制。

主要内容包括以下几个部分：：ASA5515-X上CX模块的安装与配置步骤。

CDA的安装与配置步骤。

Windows 2008 R2服务器与CDA配合时，需要的修改哪些内容。

二、网络拓扑以下是本次配置实例的网络拓扑图：三、CDA的安装与配置思科Context Directory Agent(简称CDA)是一套软件，ASA5515-X的CX模块通过CDA能够获取IP地址与用户身份的映射关系，从而可以在ASA-CX上实现基于用户身份的安全访问策略。

通过思科CCO可以下载获取CDA的ISO格式的软件。

CDA软件本身包含了操作系统，它可以安装在一台专用的x86服务器上，或者VMware的ESX或ESXi虚拟机上。

在VMWare 虚拟机上安装时，注意Guest OS类型要选择：Linux CentOS 4/5 32bit。

以下是将CDA安装在ESXi5.0服务器上的安装和配置步骤：步骤1：在CCO下载CDA软件：/download/type.html?mdfid=284143128&flowid=31442步骤2：在VMware ESXi5.0上安装CDA。

步骤3：完成安装后，在login提示符下输入setup，进行基本配置。

以下为配置举例：localhost.localdomain login: setupPress ‘Ctrl-C’ to abort setupEnter Hostname[]: cda-serverEnter IP address []: 10.10.10.83Enter IP netmask []: 255.255.255.0Enter IP default gateway []: 10.10.10.3Enter default DNS domain []: Enter primary nameserver []: 10.10.10.80Enter secondary nameserver? Y/N: nEnter primary NTP server []: 10.10.10.80Enter secondary NTP server? Y/N: nEnter system timezone [UTC]: Asia/ShanghaiEnter username [admin]: adminEnter password:Enter password again:Bringing up the network interface...Pinging the gateway...Pinging the primary nameserver...Do not use ‘Ctrl-C’ from this point on...Installing applications...Installing cda...Pre installPost InstallApplication bundle (cda) installed successfully=== Initial setup for application: cda ===Generating configuration...Rebooting...步骤4：打开浏览器，输入https://10.10.10.83，输入已经创建好的用户名和密码，登陆CDA的GUI页面。

实验四 cisco思科asa 5505 从内网访问DMZ服务器(真实防火墙)

实验四 cisco思科asa 5505 从内网访问DMZ服务器(真实防火墙)

实验四 ASA 5505 从内网访问DMZ区服务器（真实防火墙）一、实验目标在这个实验中朋友你将要完成下列任务：1．创建vlan2．给vlan命名3．给vlan分配IP4．把接口加入到相应的VLAN，并配置接口的速率、双工（半工）5．配置内部转化地址池（nat）外部转换地址globla6．配置WWW和FTP服务器二、实验拓扑------------------------------------------------------------------------------------------------------------------------三、实验过程1. ASA 5505基本配置：ciscoasa>ciscoasa> enablePassword:ciscoasa#ciscoasa# configure terminalciscoasa(config)# interface vlan44 *建立ID为44的虚拟局域网（vlan）ciscoasa(config-if)# nameif dmz *把vlan44的接口名称配置为dmzciscoasa(config-if)# security-level 50 *配置dmz 安全级别为50ciscoasa(config-if)# ip address 11.0.0.1 255.0.0.0 *给vlan44配置IP地址ciscoasa(config-if)# interface vlan33 *建立ID为33的虚拟局域网（vlan）ciscoasa(config-if)# nameif inside *把vla33的接口名称配置为inside，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。

在默认情况下，inside安全级别为100。

INFO: Security level for "inside" set to 100 by default.ciscoasa(config-if)# ip address 192.168.0.211 255.255.255.0 *给vlan33配置IP地址ciscoasa(config-if)# exitciscoasa(config)# interface ethernet0/2 *进入e0/2接口的配置模式ciscoasa(config-if)# switchport access vlan 44 *把e0/2接口划分到vlan22中ciscoasa(config-if)# speed auto *设置e0/2接口的速率为自动协商ciscoasa(config-if)# duplex auto *设置e0/2接口的工作模式为自动协商ciscoasa(config-if)# no shutdown *打开e0/2接口ciscoasa(config-if)# interface e0/0 *进入e0/1接口的配置模式ciscoasa(config-if)# switchport access vlan 33 *把e0/0接口划分到vlan33中ciscoasa(config-if)# speed auto *设置e0/0接口的速率为自动协商ciscoasa(config-if)# duplex auto *设置e0/0接口的工作模式为自动协商ciscoasa(config-if)# no shutdown *打开e0/0接口ciscoasa(config-if)# exitciscoasa(config)#2. ASA 5505本身接口的连通性测试①测试防火墙本身vlan44接口连通性ciscoasa# ping 11.0.0.1Sending 5, 100-byte ICMP Echos to 11.0.0.1, timeout is 2 seconds:Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms②测试防火墙本身vlan33接口连通性ciscoasa# ping 192.168.0.211Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.0.211, timeout is 2 seconds:3. 配置PC：具体网络参数如拓扑图所示。

具备 FirePOWER 服务的 Cisco ASA 防火墙

具备 FirePOWER 服务的 Cisco ASA 防火墙

产品手册具备 FirePOWER 服务的 Cisco ASA 防火墙了解业内首款注重威胁防护的自适应下一代防火墙(NGFW)。

该款产品专为威胁和高级恶意软件防护的新纪元而设计。

具备 FirePOWER 服务的 Cisco® ASA 防火墙可在攻击前、攻击中和攻击后的整个攻击过程中提供集成的威胁防御。

为什么呢？将Cisco ASA 防火墙经验证的安全功能与业界领先的Sourcefire®威胁和高级恶意软件防护(AMP) 功能结合到单个设备中。

该解决方案独创性地扩展了 Cisco ASA 5500-X 系列下一代防火墙的功能，远非目前其他NGFW 解决方案所能企及。

无论是小型或中型企业，还是分布式企业或单个数据中心需要保护，具备FirePOWER 服务的Cisco®ASA 可以在 NGFW 解决方案中提供所需的规模和环境。

一流的多层防护具备 FirePOWER 服务的 Cisco ASA 将独特的、注重威胁防护的下一代安全服务带到 Cisco ASA 5500-X 系列下一代防火墙及 Cisco ASA 5585-X 自适应安全设备防火墙之中。

它可针对已知的高级威胁提供综合防护，包括对针对性恶意软件攻击与持续性恶意软件攻击的防护（图 1）。

Cisco ASA 是全世界部署最为广泛的企业级状态防火墙。

具备FirePOWER 服务的 Cisco ASA 具有以下综合功能：●站点到站点和远程接入 VPN 以及高级群集可提供高安全性、高性能访问和高可用性，以确保业务连续性。

●精细的应用可视性与可控性(AVC) 支持超过3000 项基于应用层和风险的控制，这些控制可调用定制的入侵防御系统 (IPS) 威胁检测策略，从而优化安全效力。

●业内领先的具备 FirePOWER 下一代 IPS (NGIPS) 的 Cisco ASA 可提供高效的威胁防护以及对用户、基础设施、应用及内容的完全情景感知，从而能够检测多途径威胁并实现防御响应的自动化。