ICTLAB palomuuri ja etähallintayhteydet

Transkriptio

1 ICTLAB palomuuri ja etähallintayhteydet Erna Komulainen Juuso Wägar

2 2 Sisällysluettelo 1. Projektin päämäärä Liityntäportit ja reititys Liikenteen suodatus Active Directory ja RADIUS Palvelin Palomuuri SSL VPN Clientless SSL VPN AnyConnect SSL VPN SSH-hallintayhteys LÄHTEET LIITTEET: Asan konfiguraatio

3 3 1. Projektin päämäärä Projektin päämäärä oli lisätä ICT-laboratorion verkon reunalle palomuuri. Aikaisemmin liikenteen suodattamisesta vastasi verkon reunalla oleva lohi-niminen kytkin. Lisäksi palomuuriin tehtiin SSL VPN-yhteys, jolla saatiin yhteys sisäverkkoon. VPN-käyttäjien tunnistus tapahtui Active Directory-palvelimelle asennetulta RADIUS-palvelimelta. Käytössä ollut palomuuri oli Cisco ASA 5510.

4 4 2. Liityntäportit ja reititys Palomuuri tuli lohi-kytkimeen kiinni yhdellä GigabitEthernet-linkillä. Koska Internet-yhteys tuli ATK-keskukselta kuidulla, palomuurin Internet-yhteys jouduttiin kierrättämään lohikytkimen kautta. Trunk-linkki ATK-keskuksen kytkimeltä sillattiin lohi-kytkimessä kohti palomuurin outside-porttia. Entinen outside-liityntäportti vlan 40 suljettiin lohi-kytkimestä ja sillä ollut IP-osoite siirrettiin Asan outside-liityntäporttiin. Palomuurin inside-liityntäportti liitettiin vlan 123 (lohi). interface Ethernet0/1.40 description Linkki ATK-keskukselle vlan 40 nameif outside security-level 0 ip address interface Ethernet0/1.123 description Sisaverkko (lohi) vlan 123 nameif inside security-level 100 ip address Lisäksi myöhempää testikäyttöä varten luotiin toinen sisäverkko, jonka osoitealue oli uuden ATK-keskukselta saadun /26 alueen ensimmäiset 32 osoitetta. Käytössä olevan linkkivälialueen /30 jälkeen olevat osoitteet jäivät vapaiksi. interface Ethernet0/2 description Sisaverkko testikayttoon nameif testi-inside security-level 100 ip address Verkon reititys tehtiin staattisilla reiteillä. Myös lohi-kytkimen reitteihin tuli tehdä muutoksia. Lohi-kytkimelle annettiin uusi oletusreitti, joka osoitti Asan sisäportin osoitteeseen Asaan annettiin kaksi staattista reittiä, joista toinen oli oletusreitti Internetiin ja toinen osoitti laboratorion sisäverkkoon. route outside route inside

5 5 3. Liikenteen suodatus Liikenteen suodatus tapahtui aiemmin lohi-kytkimeen määritellyn pääsylistan mukaisesti. Pääsylista oli käytössä vlan 40 liityntäportissa, joka oli ennen palomuurin lisäystä verkon ulkopuolen liityntäportti. Kytkimessä ollut pääsylista muutettiin Asaan sopivaksi ja sille annettiin nimi internet-filter. Ulkoportin sisään tuleva tutkittiin tehdyllä pääsylistalla. access-list internet-filter extended permit tcp any any eq https access-list internet-filter extended permit icmp any any unreachable access-list internet-filter extended permit icmp any any time-exceeded access-list internet-filter extended permit icmp any any echo access-list internet-filter extended permit icmp any any echo-reply access-list internet-filter extended permit esp any any access-list internet-filter extended permit ah any any access-list internet-filter extended permit igmp any any access-list internet-filter extended permit pim any any access-list internet-filter extended permit ipinip any any.. poistettu tietoturvasyistä Pääsylistan lisäksi ICMP-paketeille määriteltiin inspect-toiminto, joka salli sisäverkosta lähetettyjen ICMP-pakettien paluun policy-map global_policy class inspection_default inspect icmp 4. Active Directory ja RADIUS 4.1 Palvelin Otettiin etätyöpöytäyhteys AD-palvelimen osoitteeseen ( ). Käynnistettiin rooli Network Policy Server (NPS) ja rekisteröitiin se Active Directoryyn. Luotiin RADIUS entry asiakkaalle eli tässä tapauksessa palomuurille. Entryssa tuli määritellä Asalle nimi, sen IP-osoite sekä salasana, jota palvelin ja Asa tarvitsivat keskinäiseen kommunikointiin. Alapuolella on selitetty vaiheittain RADIUS palvelimeen tarvittavat toiminnot.

6 6 Luodaan Connection Request Policy kohdasta Connection Requests Policies. 1. Laajenna Policies kansio. 2. Klikkaa hiiren oikealla kohtaa Connection Request Policies ja paina New. 3. Anna järkevä Policy Name. jätä kohta Type of network access server arvoon Unspecified ja paina Next. 4. Kohdan Conditions alapuolelta paina Add. Valitse Client Friendly Name ehto ja paina Add 5. Syötä nimi joka määriteltiin aikaisemmin RADIUS entryssä. 6. Specify a Realm Name alapuolelta valitse Attribute valinta. Alavalikosta Attribute kohdan vierestä: valitse User-Name. 7. Tarkista asetukset ja paina Finish.

7 7 Luodaan Network Policy. 1. Hiiren oikea kohdasta Network Policy. Paina New. 2. Anna järkevä Policy Name. Jätä kohta Type of network access server arvoon Unspecified. Paina Next. 3. Conditions alapuolelta paina Add. 4. Lisää UsersGroup ehto koskemaan vain tiettyä ryhmää. Tässä tapauksessa luotiin uusi ryhmä vpnusers, johon liitettiin henkilökunta ja kaksi oppilasta testauksen takia. 5. Lisää Client Friendly Name ja määrittele uudestaan aikaisemmin annettu Client Friendly Name. Tässä tapauksessa CiscoASA 6. Paina Next. Jätä kohta Access granted valituksi ja paina next. 7. Autentikointi kohdassa jätä oletusarvot ja lisää rasti myös kohtaan Unencrypted authentication (PAP, SPAP). 8. Jätä oletus ja paina Next. 9. Hyväksy radiuksen oletusarvot ja paina Next. Tarkasta ja paina finish Käynnistä NPS uudestaan 4.2 Palomuuri Palomuuriin luotiin objekti AD-palvelin, jossa annettiin IP-osoite ja kuvaus object network AD-palvelin host description AD/RADIUS Määriteltiin aaa-palvelin käyttämään protokollaa RADIUS sekä kerrottiin mistä AD-palvelin löytyy. Lisäksi tuli syöttää aikaisemmin palvelimelle luotu salasana. aaa-server AD/RADIUS protocol radius aaa-server AD/RADIUS (inside) host key ***** radius-common-pw ***** Tunnistusta testattiin ASDM:n kautta.

8 8 5. SSL VPN Etäyhteyksiä varten luotiin SSL VPN. Ensin määriteltiin webvpn, jonka avulla ladattiin selainta käyttäen Cisco AnyConnect VPN Client. 5.1 Clientless SSL VPN Ensin luotiin clientless SSL VPN eli webvpn, joka otettiin käyttöön outside-liityntäporttiin. Webvpn tehtiin avaamalla ASDM ja suorittamalla Clientless SSL VPN wizard. Myös webvpn käyttäjien tunnistamiseen käytettiin AD-palvelinta. 5.2 AnyConnect SSL VPN Ciscon AnyConnect VPN Clientiä tarvittiin muodostamaan varsinainen VPN-yhteys. Client ladattiin etätietokoneille käyttämällä aiemmin luotua webvpn. Suoritettiin AnyConnect VPN wizard. Wizardin avulla määriteltiin ladattava AnyConnect asennuspaketti, joka oli Asan disk0:ssa.

9 9 Käyttäjät tunnistettiin AD-palvelimelta. IP-osoitteet jaettiin laboratorion omalta DHCP-palvelimelta. Tämä asetus tehtiin vasta Wizardin suorittamisen jälkeen kohdasta Remote Access VPN AnyConnect connection profiles Luotu profiili Edit

10 10 AnyConnect Client ladattiin syöttämällä selaimen osoiteriville jolloin lataus ja asennus käynnistyivät automaattisesti. Myös VPN-yhteys muodostui automaattisesti ja etäkone sai IP-osoitteen DHCP-palvelimelta. Lisäksi mahdollistettiin split tunnelointi, jonka avulla etäkoneet kommunikoivat sekä VPNtunneliin että Internetiin. group-policy GroupPolicy_AnyC attributes split-tunnel-policy tunnelspecified

11 11 split-tunnel-network-list value split-tunnel Pääsylistalla määriteltiin mitkä verkot ohjataan VPN-tunneliin. access-list split-tunnel standard permit access-list split-tunnel standard permit SSH-hallintayhteys Asan hallintaa varten mahdollistettiin ssh-yhteydet sisäverkosta sekä VPN-tunnelin kautta ulkoverkosta. crypto key generate rsa modulus 1024 aaa authentication ssh console LOCAL username admin password xxxx ssh inside Myös ASDM-yhteydet sallittiin sisäverkosta ja VPN-tunnelista. http server enable http inside http inside (uusi testiverkko)

12 12 Lähteet: e83.shtml

13 : Saved : ASA Version 8.4(1) hostname asa enable password vwozp2fz5ci2arrs encrypted passwd 2KFQnbNIdI.2KYOU encrypted names interface Ethernet0/0 shutdown no nameif no security-level no ip address interface Ethernet0/1 no nameif no security-level no ip address interface Ethernet0/1.40 description Linkki ATK-keskukselle vlan 40 nameif outside security-level 0 ip address interface Ethernet0/1.123 description Sisaverkko (lohi) vlan 123 nameif inside security-level 100 ip address interface Ethernet0/2 description Sisaverkko testikayttoon nameif testi-inside security-level 100 ip address interface Ethernet0/3 shutdown no nameif no security-level no ip address interface Management0/0 13

14 nameif management security-level 100 ip address management-only ftp mode passive dns domain-lookup inside dns server-group DefaultDNS name-server object network AD-palvelin host description AD/RADIUS access-list internet-filter extended permit tcp any any eq https access-list internet-filter extended permit icmp any any unreachable access-list internet-filter extended permit icmp any any time-exceeded access-list internet-filter extended permit icmp any any echo access-list internet-filter extended permit icmp any any echo-reply access-list internet-filter extended permit esp any any access-list internet-filter extended permit ah any any access-list internet-filter extended permit igmp any any access-list internet-filter extended permit pim any any access-list internet-filter extended permit ipinip any any access-list internet-filter extended permit ip host any access-list internet-filter extended permit ip host any access-list internet-filter extended permit ip host any access-list internet-filter extended permit ip any host access-list internet-filter extended permit ip any host access-list internet-filter extended permit udp any eq ntp access-list internet-filter extended permit udp any eq isakmp access-list internet-filter extended permit tcp any host eq smtp access-list internet-filter extended permit tcp any host eq https access-list internet-filter extended permit tcp any host eq 5061 access-list internet-filter extended deny ip any host access-list internet-filter extended deny ip any host access-list internet-filter extended deny ip any host access-list internet-filter extended deny ip any host access-list internet-filter extended permit tcp any host eq 1700 access-list internet-filter extended permit tcp any host eq 1701 access-list internet-filter extended permit tcp any host eq 1717 access-list internet-filter extended permit tcp any host eq 1718 access-list internet-filter extended permit tcp any host range access-list internet-filter extended deny ip any host access-list internet-filter extended permit tcp any eq www access-list internet-filter extended permit tcp any eq https access-list internet-filter extended permit tcp any eq ssh access-list internet-filter extended permit tcp any eq ident access-list internet-filter extended permit tcp host host eq

15 access-list internet-filter extended permit tcp any host eq ftp access-list internet-filter extended permit tcp any host eq ftp-data access-list internet-filter extended permit tcp any host gt 1023 access-list internet-filter extended permit tcp any host eq smtp access-list internet-filter extended permit tcp any host eq pptp access-list internet-filter extended permit gre any host access-list internet-filter extended permit udp any gt 1023 access-list internet-filter extended permit tcp any host range access-list internet-filter extended permit tcp any host range access-list internet-filter extended permit tcp any host range access-list internet-filter extended permit udp any access-list internet-filter extended deny udp any eq domain access-list split-tunnel standard permit access-list split-tunnel standard permit pager lines 24 logging enable logging asdm informational mtu outside 1500 mtu inside 1500 mtu management 1500 mtu testi-inside 1500 no failover icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout access-group internet-filter in interface outside route outside route inside timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 dynamic-access-policy-record DfltAccessPolicy aaa-server AD/RADIUS protocol radius aaa-server AD/RADIUS (inside) host key ***** radius-common-pw ***** aaa authentication ssh console LOCAL http server enable http inside http inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart crypto map inside_map interface inside 15

16 telnet timeout 15 ssh inside ssh timeout 15 console timeout 0 management-access inside threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept webvpn enable outside anyconnect image disk0:/anyconnect-win k9.pkg 1 anyconnect enable tunnel-group-list enable group-policy GroupPolicy_AnyC internal group-policy GroupPolicy_AnyC attributes wins-server none dns-server value vpn-tunnel-protocol ssl-client split-tunnel-policy tunnelspecified split-tunnel-network-list value split-tunnel default-domain none group-policy policy internal group-policy policy attributes wins-server none dns-server value vpn-tunnel-protocol ssl-clientless default-domain none webvpn url-list none group-policy Clientless-group internal group-policy Clientless-group attributes vpn-tunnel-protocol ssl-clientless webvpn url-list none username admin password bzwowpufvqfkd3rv encrypted tunnel-group ssl type remote-access tunnel-group ssl general-attributes authentication-server-group AD/RADIUS default-group-policy policy tunnel-group AnyC type remote-access tunnel-group AnyC general-attributes authentication-server-group AD/RADIUS default-group-policy GroupPolicy_AnyC dhcp-server link-selection tunnel-group AnyC webvpn-attributes group-alias AnyC disable group-alias AnyConnect enable 16

17 class-map inspection_default match default-inspection-traffic policy-map type inspect dns preset_dns_map parameters message-length maximum client auto message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp inspect ip-options inspect icmp service-policy global_policy global prompt hostname context call-home profile CiscoTAC-1 no active destination address http destination address destination transport-method http subscribe-to-alert-group diagnostic subscribe-to-alert-group environment subscribe-to-alert-group inventory periodic monthly subscribe-to-alert-group configuration periodic monthly subscribe-to-alert-group telemetry periodic daily Cryptochecksum:d9eea505fac086cadeccb044568eddd5 17