1. Configuración y Documentación de ACL y Firewall ASA
GESTIÓN DE REDES DE DATOS
SERVICIO NACIONAL DE APRENDIZAJE
DIEGO LEON GIL BARRIENTOS
GELIER ESTEBAN MORENO GÓMEZ
Ficha: 464327
2. 1
Una Lista de Control de Acceso o ACL (del inglés, Access Control List) es un concepto de seguridad informática usado para fomentar la separación de privilegios. Es una forma de determinar los permisos de acceso apropiados a un determinado objeto, dependiendo de ciertos aspectos del proceso que hace el pedido.
Las ACLs permiten controlar el flujo del tráfico en equipos de redes, tales como routers y switches. Su principal objetivo es filtrar tráfico, permitiendo o denegando el tráfico de red de acuerdo a alguna condición. Sin embargo, también tienen usos adicionales, como por ejemplo, distinguir “tráfico interesante” (tráfico suficientemente importante como para activar o mantener una conexión) en ISDN.
Las listas de acceso funcionan de acuerdo a sentencias que son configuradas en el router.
3. 2 En redes de computadoras, ACL se refiere a una lista de reglas que detallan puertos de servicio o nombres de dominios (de redes) que están disponibles en una terminal u otro dispositivo de capa de red, cada uno de ellos con una lista de terminales y/o redes que tienen permiso para usar el servicio. Tantos servidores individuales como routers pueden tener ACLs de redes.
Las listas de acceso de control pueden configurarse generalmente para controlar tráfico entrante y saliente y en este contexto son similares a unos cortafuegos.
Existen dos tipos de ACL:
ACL estándar, donde solo tenemos que especificar una dirección de origen;
ACL extendida, en cuya sintaxis aparece el protocolo y una dirección de origen y de destino.
Las Acl por defecto bloquean todo el tráfico con una linea que se conoce como linea implícita. Las sentencias se ejecutan línea a línea hasta que se encuentra una coincidencia. Cuando una linea hace match el resto de las sentencias no se revisan. Solo se puede aplicar 1 acl por interfaz y por protocolo. Hay que considerar el flujo del tráfico para aplicar la acl en la interfaz correspondiente.
4. 3
ACTIVIDAD ACL
Tenemos la siguiente topología:
Debemos cumplir los siguientes propósitos:
Las redes inalámbricas solo deben tener acceso a internet, no a las demás redes.
Las redes cableadas solo deben tener acceso al servidor 172.16.9.2, no a las demás máquinas de ese segmento.
Lo primero que hicimos en la topología fue realizar un correcto enrutamiento en general de los dispositivos para probar conectividad y eficacia de la topología.
NOTA: Primero hacer el debido enrutamiento sin aplicar ACLs, por que podríamos tener problemas de conectividad y nos podríamos confundir si es la ACL que se está aplicando o problemas generales de la topología.
La lista que aplicamos para que las redes inalámbricas del lado izquierdo no tengan acceso a las demás redes, pero sí a internet fue:
5. 4
En el siguiente requerimiento de este lado:
Las redes inalámbricas solo deben tener acceso a internet, no a las demás redes.
Las redes cableadas solo deben tener acceso al servidor 172.16.9.2, no a las demás máquinas de ese segmento.
6. 5
En la lista de acceso la diseñamos desconociendo que podíamos tener dos listas de acceso, por lo tanto diseñamos una sola para que cumpliéramos los parámetros aplicando la ACL en una sola interfaz de trafico INSIDE.
Cumplimos con los parámetros pero si notamos bien la ACL estamos permitiendo el tráfico origen desde el servidor en específico, hacia las demás redes por lo tanto analizando; el tráfico desde las redes remotas si permite entrar al servidor pero la ACL no permite que vaya a algunas redes, inalámbricas por ejemplo.
Las running-config de los routers son las siguientes:
7. 6
Router 0
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Router0
!
boot-start-marker
boot-end-marker
!
logging message-counter syslog
enable secret 5 $1$boin$EYAhWq60EmH/0IdqmmFN9.
!
no aaa new-model
memory-size iomem 5
!
dot11 syslog
ip source-route
!
!
ip cef
!
!
no ipv6 cef
!
multilink bundle-name authenticated
!
voice-card 0
!
archive
log config
hidekeys
!
!
interface FastEthernet0/0
ip address 172.16.0.1 255.255.255.0
ip access-group 101 in
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 172.16.1.129 255.255.255.128
duplex auto
speed auto
8. 7
!
interface Serial0/0/0
ip address 172.16.2.1 255.255.255.0
clock rate 64000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 125000
!
interface Serial0/2/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/2/1
no ip address
shutdown
clock rate 2000000
!
ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 172.16.2.2
ip route 172.16.8.0 255.255.255.0 172.16.2.2
ip route 192.168.10.0 255.255.255.0 172.16.2.2
no ip http server
no ip http secure-server
!
access-list 101 deny ip host 172.16.0.5 172.16.4.0 0.0.1.255
access-list 101 deny ip host 172.16.0.5 172.16.8.0 0.0.0.255
access-list 101 deny ip host 172.16.0.5 172.16.9.0 0.0.0.255
access-list 101 deny ip host 172.16.0.5 172.16.1.128 0.0.0.127
access-list 101 deny ip host 172.16.0.5 172.16.0.0 0.0.0.255
access-list 101 permit ip 172.16.0.0 0.0.0.255 any
!
control-plane
!
!
line con 0
line aux 0
line vty 0 4
login
!
scheduler allocate 20000 1000
end
9. 8
Router 4
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname router4
!
boot-start-marker
boot-end-marker
!
logging message-counter syslog
enable secret 5 $1$zisT$0aGPV.UGpI7.aMt2F8Y3T0
!
no aaa new-model
!
dot11 syslog
ip source-route
!
!
ip cef
!
!
no ipv6 cef
!
multilink bundle-name authenticated
!
!
voice-card 0
!
archive
log config
hidekeys
!
interface Loopback1
ip address 200.200.200.200 255.255.255.0
!
interface FastEthernet0/0
no ip address
duplex auto
speed auto
!
interface FastEthernet0/0.4
encapsulation dot1Q 4
ip address 172.16.4.1 255.255.254.0
!
10. 9
interface FastEthernet0/0.8
encapsulation dot1Q 8
ip address 172.16.8.1 255.255.255.0
!
interface FastEthernet0/1
ip address 172.16.9.1 255.255.255.0
ip access-group 101 in
duplex auto
speed auto
!
interface Serial0/0/0
ip address 172.16.2.2 255.255.255.0
!
interface Serial0/0/1
no ip address
shutdown
clock rate 125000
!
ip forward-protocol nd
ip route 172.16.0.0 255.255.255.0 172.16.2.1
ip route 172.16.1.128 255.255.255.128 172.16.2.1
no ip http server
no ip http secure-server
!
access-list 101 permit ip host 172.16.9.2 172.16.4.0 0.0.1.255
access-list 101 permit ip host 172.16.9.2 172.16.8.0 0.0.0.255
access-list 101 permit ip host 172.16.9.2 172.16.1.128 0.0.0.127
access-list 101 permit ip host 172.16.9.2 172.16.0.0 0.0.0.255
access-list 101 deny ip 172.16.9.0 0.0.0.255 172.16.4.0 0.0.1.255
access-list 101 deny ip 172.16.9.0 0.0.0.255 172.16.8.0 0.0.0.255
access-list 101 deny ip 172.16.9.0 0.0.0.255 172.16.1.128 0.0.0.127
access-list 101 deny ip 172.16.9.0 0.0.0.255 172.16.0.0 0.0.0.255
access-list 101 permit ip 172.16.9.0 0.0.0.255 any
!
!
control-plane
!
line con 0
line aux 0
line vty 0 4
login
!
scheduler allocate 20000 1000
end
11. 10
Para la lista de acceso correcta para el Router 4 es así, aplicando 2 listas de acceso.
Router 4 # ethernet 101 out
access-list 101 permit ip 172.16.4.0 0.0.3.255 host 172.16.9.2
access-list 101 permit ip 172.16.8.0 0.0.0.255 host 172.16.9.2
access-list 101 permit ip 172.16.1.128 0.0.0.127 host 172.16.9.2
access-list 101 permit ip 172.16.0.0 0.0.0.255 host 172.16.9.2
Router 4 # ethernet 102 in
access-list 102 permit ip host 172.16.9.2 any
access-list 102 deny ip 172.16.9.0 0.0.0.255 172.16.4.0 0.0.3.255
access-list 102 deny ip 172.16.9.0 0.0.0.255 172.16.8.0 0.0.0.255
access-list 102 deny ip 172.16.9.0 0.0.0.255 172.16.1.128 0.0.0.127
access-list 102 deny ip 172.16.9.0 0.0.0.255 172.16.0.0 0.0.0.255
access-list 102 permit ip 172.16.9.0 0.0.0.255 any
Configuración y Documentación Firewall ASA
La topología planteada es la siguiente:
12. 11
Según los requerimientos pedidos por nuestra instructora correspondiente al 6 trimestre, nos vale como actividad de Firewall ASA la actividad planteada para el concurso SENASOFT, los requerimientos son los siguientes:
13. 12
Las configuraciones fueron las siguientes, en el caso de los routers:
Router PROMETEO
! Last configuration change at 16:01:05 UTC Wed Aug 20 2014
version 15.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname PROMETEO
!
boot-start-marker
boot-end-marker
!
aqm-register-fnf
!
!
no aaa new-model
!
ip cef
no ipv6 cef
!
multilink bundle-name authenticated
!
voice-card 0
!
license udi pid CISCO2901/K9 sn FTX155183CS
license accept end user agreement
license boot module c2900 technology-package securityk9
license boot module c2900 technology-package uck9
license boot module c2900 technology-package datak9
redundancy
!
14. 13
interface Embedded-Service-Engine0/0
no ip address
shutdown
!
interface GigabitEthernet0/0
ip address 10.0.0.2 255.0.0.0
duplex auto
speed auto
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.1
encapsulation dot1Q 2
ip address 192.168.10.1 255.255.255.248
ip helper-address 192.168.10.26
!
interface GigabitEthernet0/1.2
encapsulation dot1Q 8
ip address 192.168.10.9 255.255.255.248
ip helper-address 192.168.10.26
!
interface GigabitEthernet0/1.3
encapsulation dot1Q 16
ip address 192.168.10.17 255.255.255.248
ip helper-address 192.168.10.26
!
interface GigabitEthernet0/1.4
encapsulation dot1Q 24
ip address 192.168.10.25 255.255.255.248
ip helper-address 192.168.10.26
!
interface GigabitEthernet0/1.5
encapsulation dot1Q 5
ip address 192.168.20.1 255.255.255.248
ip helper-address 192.168.10.26
!
interface GigabitEthernet0/1.6
encapsulation dot1Q 6
ip address 192.168.20.9 255.255.255.248
ip helper-address 192.168.10.26
!
15. 14
interface GigabitEthernet0/1.7
encapsulation dot1Q 7
ip address 192.168.20.17 255.255.255.248
ip helper-address 192.168.10.26
!
interface Serial0/0/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 2000000
!
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
!
ip route 0.0.0.0 0.0.0.0 10.0.0.1
!
control-plane
!
!
mgcp behavior rsip-range tgcp-only
mgcp behavior comedia-role none
mgcp behavior comedia-check-media-src disable
mgcp behavior comedia-sdp-force disable
!
mgcp profile default
!
gatekeeper
shutdown
!
line con 0
line aux 0
line 2
no activation-character
no exec
transport preferred none
transport input all
transport output pad telnet rlogin lapb-ta mop udptn v120 ssh
stopbits 1
16. 15
line vty 0 4
login
transport input all
!
scheduler allocate 20000 1000
!
end
Router ATLAS
Building configuration...
Current configuration : 1630 bytes
!
! Last configuration change at 15:32:27 UTC Wed Aug 20 2014
version 15.1
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname ATLAS
!
boot-start-marker
boot-end-marker
!
no aaa new-model
!
no ipv6 cef
ip source-route
ip cef
!
multilink bundle-name authenticated
!
crypto pki token default removal timeout 0
!
!
voice-card 0
!
license udi pid CISCO2901/K9 sn FTX155183DR
license accept end user agreement
license boot module c2900 technology-package securityk9
license boot module c2900 technology-package uck9
license boot module c2900 technology-package datak9
!
!
17. 16
username cisco privilege 15 secret 5 $1$uEPV$m2c2Y6nAfqpn5QWx2BgMJ.
!
redundancy
!
interface Embedded-Service-Engine0/0
no ip address
shutdown
!
interface GigabitEthernet0/0
ip address 30.0.0.2 255.0.0.0
duplex auto
speed auto
!
interface GigabitEthernet0/1
ip address 40.0.0.1 255.0.0.0
duplex auto
speed auto
!
interface Serial0/0/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 2000000
!
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
!
ip route 0.0.0.0 0.0.0.0 30.0.0.1
!
control-plane
!
!
mgcp profile default
!
gatekeeper
shutdown
18. 17
line con 0
line aux 0
line 2
no activation-character
no exec
transport preferred none
transport input all
transport output pad telnet rlogin lapb-ta mop udptn v120 ssh
stopbits 1
line vty 0 4
exec-timeout 5 0
login
transport input ssh
!
scheduler allocate 20000 1000
end
SWITCH DE LAS VLANs LOCALES
Current configuration : 4102 bytes
!
version 12.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname SWITCH_SENASOFT
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
system mtu routing 1500
ip subnet-zero
!
crypto pki trustpoint TP-self-signed-2674122752
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-2674122752
revocation-check none
rsakeypair TP-self-signed-2674122752
!
spanning-tree mode pvst
spanning-tree extend system-id
!
27. 26
Permitir Tráficos mediante ACL en la VlAN´s
access-list 101 permit udp any any eq bootps
access-list 101 permit udp 192.168.10.0 0.0.0.7 192.168.10.24 0.0.0.7 eq domain
access-list 101 permit ip 192.168.10.0 0.0.0.7 192.168.10.24 0.0.0.7
access-list 101 permit tcp 192.168.10.0 0.0.0.7 20.0.0.0 0.255.255.255 eq www
access-list 101 permit tcp 192.168.10.0 0.0.0.7 20.0.0.0 0.255.255.255 eq smtp
access-list 101 permit tcp 192.168.10.0 0.0.0.7 20.0.0.0 0.255.255.255 eq 143
access-list 102 permit udp any any eq bootps
access-list 102 permit udp 192.168.20.8 0.0.0.7 192.168.10.24 0.0.0.7 eq domain
access-list 102 permit ip 192.168.20.8 0.0.0.7 192.168.10.24 0.0.0.7
access-list 102 permit tcp 192.168.20.8 0.0.0.7 20.0.0.0 0.255.255.255 eq www
access-list 102 permit tcp 192.168.20.8 0.0.0.7 20.0.0.0 0.255.255.255 eq smtp
access-list 102 permit tcp 192.168.20.8 0.0.0.7 20.0.0.0 0.255.255.255 eq 143
Asignación de listas de acceso
int g0/1.1
ip access-group 101 in
exit
int g0/1.4
ip access-group 101 out
exit
int g0/1.6
ip access-group 101 in
exit
Mediante la lista de acceso mostrada y planteada anteriormente se está diciendo que cualquier red puede solicitar mediante trafico UDP una dirección por DHCP.
También permitimos desde las diversas subredes el trafico al servidor local que provee DNS y DHCP pueda resolver nombres de dominio localmente.
Por ultimo les permitimos a nuestras a subredes el acceso al servidor de la DMZ, el tráfico WEB y el tráfico necesario para que el servicio de correo sea funcional n este caso el protocolo SMTP y el puerto 143 correspondiente al IMAP, que es el protocolo entrante a los diversos clientes.
Esta lista de acceso con el fin de cumplir el requerimiento de que la S1 y S6 (Subred) solo tengan acceso a los servicios locales y la DMZ sin tener acceso a internet.