ICTLAB palomuuri ja etähallintayhteydet Erna Komulainen Juuso Wägar
2 Sisällysluettelo 1. Projektin päämäärä... 3 2. Liityntäportit ja reititys... 4 3. Liikenteen suodatus... 5 4. Active Directory ja RADIUS... 5 4.1 Palvelin... 5 4.2 Palomuuri... 7 5. SSL VPN... 8 5.1 Clientless SSL VPN... 8 5.2 AnyConnect SSL VPN... 8 6. SSH-hallintayhteys... 11 LÄHTEET LIITTEET: Asan konfiguraatio
3 1. Projektin päämäärä Projektin päämäärä oli lisätä ICT-laboratorion verkon reunalle palomuuri. Aikaisemmin liikenteen suodattamisesta vastasi verkon reunalla oleva lohi-niminen kytkin. Lisäksi palomuuriin tehtiin SSL VPN-yhteys, jolla saatiin yhteys sisäverkkoon. VPN-käyttäjien tunnistus tapahtui Active Directory-palvelimelle asennetulta RADIUS-palvelimelta. Käytössä ollut palomuuri oli Cisco ASA 5510.
4 2. Liityntäportit ja reititys Palomuuri tuli lohi-kytkimeen kiinni yhdellä GigabitEthernet-linkillä. Koska Internet-yhteys tuli ATK-keskukselta kuidulla, palomuurin Internet-yhteys jouduttiin kierrättämään lohikytkimen kautta. Trunk-linkki ATK-keskuksen kytkimeltä sillattiin lohi-kytkimessä kohti palomuurin outside-porttia. Entinen outside-liityntäportti vlan 40 suljettiin lohi-kytkimestä ja sillä ollut IP-osoite 193.167.61.230 siirrettiin Asan outside-liityntäporttiin. Palomuurin inside-liityntäportti liitettiin vlan 123 (lohi). interface Ethernet0/1.40 description Linkki ATK-keskukselle vlan 40 nameif outside security-level 0 ip address 193.167.61.230 255.255.255.252 interface Ethernet0/1.123 description Sisaverkko (lohi) vlan 123 nameif inside security-level 100 ip address 193.167.58.70 255.255.255.192 Lisäksi myöhempää testikäyttöä varten luotiin toinen sisäverkko, jonka osoitealue oli uuden ATK-keskukselta saadun 193.167.61.192/26 alueen ensimmäiset 32 osoitetta. Käytössä olevan linkkivälialueen 193.167.61.228/30 jälkeen olevat osoitteet jäivät vapaiksi. interface Ethernet0/2 description Sisaverkko testikayttoon nameif testi-inside security-level 100 ip address 193.167.61.193 255.255.255.224 Verkon reititys tehtiin staattisilla reiteillä. Myös lohi-kytkimen reitteihin tuli tehdä muutoksia. Lohi-kytkimelle annettiin uusi oletusreitti, joka osoitti Asan sisäportin osoitteeseen 193.167.58.70. Asaan annettiin kaksi staattista reittiä, joista toinen oli oletusreitti Internetiin ja toinen osoitti laboratorion sisäverkkoon. route outside 0.0.0.0 0.0.0.0 193.167.61.229 1 route inside 193.167.58.0 255.255.255.0 193.167.58.65 2
5 3. Liikenteen suodatus Liikenteen suodatus tapahtui aiemmin lohi-kytkimeen määritellyn pääsylistan mukaisesti. Pääsylista oli käytössä vlan 40 liityntäportissa, joka oli ennen palomuurin lisäystä verkon ulkopuolen liityntäportti. Kytkimessä ollut pääsylista muutettiin Asaan sopivaksi ja sille annettiin nimi internet-filter. Ulkoportin sisään tuleva tutkittiin tehdyllä pääsylistalla. access-list internet-filter extended permit tcp any any eq https access-list internet-filter extended permit icmp any any unreachable access-list internet-filter extended permit icmp any any time-exceeded access-list internet-filter extended permit icmp any any echo access-list internet-filter extended permit icmp any any echo-reply access-list internet-filter extended permit esp any any access-list internet-filter extended permit ah any any access-list internet-filter extended permit igmp any any access-list internet-filter extended permit pim any any access-list internet-filter extended permit ipinip any any.. poistettu tietoturvasyistä Pääsylistan lisäksi ICMP-paketeille määriteltiin inspect-toiminto, joka salli sisäverkosta lähetettyjen ICMP-pakettien paluun policy-map global_policy class inspection_default inspect icmp 4. Active Directory ja RADIUS 4.1 Palvelin Otettiin etätyöpöytäyhteys AD-palvelimen osoitteeseen (193.167.58.25). Käynnistettiin rooli Network Policy Server (NPS) ja rekisteröitiin se Active Directoryyn. Luotiin RADIUS entry asiakkaalle eli tässä tapauksessa palomuurille. Entryssa tuli määritellä Asalle nimi, sen IP-osoite sekä salasana, jota palvelin ja Asa tarvitsivat keskinäiseen kommunikointiin. Alapuolella on selitetty vaiheittain RADIUS palvelimeen tarvittavat toiminnot.
6 Luodaan Connection Request Policy kohdasta Connection Requests Policies. 1. Laajenna Policies kansio. 2. Klikkaa hiiren oikealla kohtaa Connection Request Policies ja paina New. 3. Anna järkevä Policy Name. jätä kohta Type of network access server arvoon Unspecified ja paina Next. 4. Kohdan Conditions alapuolelta paina Add. Valitse Client Friendly Name ehto ja paina Add 5. Syötä nimi joka määriteltiin aikaisemmin RADIUS entryssä. 6. Specify a Realm Name alapuolelta valitse Attribute valinta. Alavalikosta Attribute kohdan vierestä: valitse User-Name. 7. Tarkista asetukset ja paina Finish.
7 Luodaan Network Policy. 1. Hiiren oikea kohdasta Network Policy. Paina New. 2. Anna järkevä Policy Name. Jätä kohta Type of network access server arvoon Unspecified. Paina Next. 3. Conditions alapuolelta paina Add. 4. Lisää UsersGroup ehto koskemaan vain tiettyä ryhmää. Tässä tapauksessa luotiin uusi ryhmä vpnusers, johon liitettiin henkilökunta ja kaksi oppilasta testauksen takia. 5. Lisää Client Friendly Name ja määrittele uudestaan aikaisemmin annettu Client Friendly Name. Tässä tapauksessa CiscoASA 6. Paina Next. Jätä kohta Access granted valituksi ja paina next. 7. Autentikointi kohdassa jätä oletusarvot ja lisää rasti myös kohtaan Unencrypted authentication (PAP, SPAP). 8. Jätä oletus ja paina Next. 9. Hyväksy radiuksen oletusarvot ja paina Next. Tarkasta ja paina finish Käynnistä NPS uudestaan 4.2 Palomuuri Palomuuriin luotiin objekti AD-palvelin, jossa annettiin IP-osoite ja kuvaus object network AD-palvelin host 193.167.58.25 description AD/RADIUS Määriteltiin aaa-palvelin käyttämään protokollaa RADIUS sekä kerrottiin mistä AD-palvelin löytyy. Lisäksi tuli syöttää aikaisemmin palvelimelle luotu salasana. aaa-server AD/RADIUS protocol radius aaa-server AD/RADIUS (inside) host 193.167.58.25 key ***** radius-common-pw ***** Tunnistusta testattiin ASDM:n kautta.
8 5. SSL VPN Etäyhteyksiä varten luotiin SSL VPN. Ensin määriteltiin webvpn, jonka avulla ladattiin selainta käyttäen Cisco AnyConnect VPN Client. 5.1 Clientless SSL VPN Ensin luotiin clientless SSL VPN eli webvpn, joka otettiin käyttöön outside-liityntäporttiin. Webvpn tehtiin avaamalla ASDM ja suorittamalla Clientless SSL VPN wizard. Myös webvpn käyttäjien tunnistamiseen käytettiin AD-palvelinta. 5.2 AnyConnect SSL VPN Ciscon AnyConnect VPN Clientiä tarvittiin muodostamaan varsinainen VPN-yhteys. Client ladattiin etätietokoneille käyttämällä aiemmin luotua webvpn. Suoritettiin AnyConnect VPN wizard. Wizardin avulla määriteltiin ladattava AnyConnect asennuspaketti, joka oli Asan disk0:ssa.
9 Käyttäjät tunnistettiin AD-palvelimelta. IP-osoitteet jaettiin laboratorion omalta DHCP-palvelimelta. Tämä asetus tehtiin vasta Wizardin suorittamisen jälkeen kohdasta Remote Access VPN AnyConnect connection profiles Luotu profiili Edit
10 AnyConnect Client ladattiin syöttämällä selaimen osoiteriville https://193.167.61.230, jolloin lataus ja asennus käynnistyivät automaattisesti. Myös VPN-yhteys muodostui automaattisesti ja etäkone sai IP-osoitteen DHCP-palvelimelta. Lisäksi mahdollistettiin split tunnelointi, jonka avulla etäkoneet kommunikoivat sekä VPNtunneliin että Internetiin. group-policy GroupPolicy_AnyC attributes split-tunnel-policy tunnelspecified
11 split-tunnel-network-list value split-tunnel Pääsylistalla määriteltiin mitkä verkot ohjataan VPN-tunneliin. access-list split-tunnel standard permit 193.167.58.0 255.255.255.0 access-list split-tunnel standard permit 193.167.61.192 255.255.255.192 6. SSH-hallintayhteys Asan hallintaa varten mahdollistettiin ssh-yhteydet sisäverkosta sekä VPN-tunnelin kautta ulkoverkosta. crypto key generate rsa modulus 1024 aaa authentication ssh console LOCAL username admin password xxxx ssh 193.167.58.0 255.255.255.0 inside Myös ASDM-yhteydet sallittiin sisäverkosta ja VPN-tunnelista. http server enable http 193.167.58.0 255.255.255.0 inside http 193.167.61.192 255.255.255.192 inside (uusi testiverkko)
12 Lähteet: http://fixingitpro.com/2009/09/08/using-windows-server-2008-as-a-radius-server-for-a-cisco-asa/ http://www.cisco.com/en/us/products/ps6120/products_configuration_example09186a0080975 e83.shtml
: Saved : ASA Version 8.4(1) hostname asa enable password vwozp2fz5ci2arrs encrypted passwd 2KFQnbNIdI.2KYOU encrypted names interface Ethernet0/0 shutdown no nameif no security-level no ip address interface Ethernet0/1 no nameif no security-level no ip address interface Ethernet0/1.40 description Linkki ATK-keskukselle vlan 40 nameif outside security-level 0 ip address 193.167.61.230 255.255.255.252 interface Ethernet0/1.123 description Sisaverkko (lohi) vlan 123 nameif inside security-level 100 ip address 193.167.58.70 255.255.255.192 interface Ethernet0/2 description Sisaverkko testikayttoon nameif testi-inside security-level 100 ip address 193.167.61.193 255.255.255.224 interface Ethernet0/3 shutdown no nameif no security-level no ip address interface Management0/0 13
nameif management security-level 100 ip address 192.168.1.1 255.255.255.0 management-only ftp mode passive dns domain-lookup inside dns server-group DefaultDNS name-server 193.167.58.2 object network AD-palvelin host 193.167.58.25 description AD/RADIUS access-list internet-filter extended permit tcp any any eq https access-list internet-filter extended permit icmp any any unreachable access-list internet-filter extended permit icmp any any time-exceeded access-list internet-filter extended permit icmp any any echo access-list internet-filter extended permit icmp any any echo-reply access-list internet-filter extended permit esp any any access-list internet-filter extended permit ah any any access-list internet-filter extended permit igmp any any access-list internet-filter extended permit pim any any access-list internet-filter extended permit ipinip any any access-list internet-filter extended permit ip host 193.167.63.26 any access-list internet-filter extended permit ip host 193.167.63.27 any access-list internet-filter extended permit ip host 193.167.63.28 any access-list internet-filter extended permit ip any host 193.167.58.2 access-list internet-filter extended permit ip any host 193.167.58.30 access-list internet-filter extended permit udp any 193.167.58.0 255.255.255.0 eq ntp access-list internet-filter extended permit udp any 193.167.58.0 255.255.255.0 eq isakmp access-list internet-filter extended permit tcp any host 193.167.58.27 eq smtp access-list internet-filter extended permit tcp any host 193.167.58.27 eq https access-list internet-filter extended permit tcp any host 193.167.58.27 eq 5061 access-list internet-filter extended deny ip any host 193.167.58.25 access-list internet-filter extended deny ip any host 193.167.58.26 access-list internet-filter extended deny ip any host 193.167.58.27 access-list internet-filter extended deny ip any host 193.167.58.28 access-list internet-filter extended permit tcp any host 193.167.58.9 eq 1700 access-list internet-filter extended permit tcp any host 193.167.58.9 eq 1701 access-list internet-filter extended permit tcp any host 193.167.58.9 eq 1717 access-list internet-filter extended permit tcp any host 193.167.58.9 eq 1718 access-list internet-filter extended permit tcp any host 193.167.58.9 range 27000 27009 access-list internet-filter extended deny ip any host 193.167.58.9 access-list internet-filter extended permit tcp any 193.167.58.0 255.255.255.0 eq www access-list internet-filter extended permit tcp any 193.167.58.0 255.255.255.0 eq https access-list internet-filter extended permit tcp any 193.167.58.0 255.255.255.0 eq ssh access-list internet-filter extended permit tcp any 193.167.58.0 255.255.255.0 eq ident access-list internet-filter extended permit tcp host 193.167.63.21 host 193.167.58.3 eq 800 14
access-list internet-filter extended permit tcp any host 193.167.58.3 eq ftp access-list internet-filter extended permit tcp any host 193.167.58.3 eq ftp-data access-list internet-filter extended permit tcp any host 193.167.58.3 gt 1023 access-list internet-filter extended permit tcp any host 193.167.58.3 eq smtp access-list internet-filter extended permit tcp any host 193.167.58.68 eq pptp access-list internet-filter extended permit gre any host 193.167.58.68 access-list internet-filter extended permit udp any 193.167.58.0 255.255.255.0 gt 1023 access-list internet-filter extended permit tcp any host 193.167.58.5 range 902 903 access-list internet-filter extended permit tcp any host 193.167.58.6 range 902 903 access-list internet-filter extended permit tcp any host 193.167.58.7 range 902 903 access-list internet-filter extended permit udp any 192.0.0.0 192.0.0.0 access-list internet-filter extended deny udp any 193.167.58.0 255.255.255.0 eq domain access-list split-tunnel standard permit 193.167.58.0 255.255.255.0 access-list split-tunnel standard permit 193.167.61.192 255.255.255.192 pager lines 24 logging enable logging asdm informational mtu outside 1500 mtu inside 1500 mtu management 1500 mtu testi-inside 1500 no failover icmp unreachable rate-limit 1 burst-size 1 no asdm history enable arp timeout 14400 access-group internet-filter in interface outside route outside 0.0.0.0 0.0.0.0 193.167.61.229 1 route inside 193.167.58.0 255.255.255.0 193.167.58.65 2 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 dynamic-access-policy-record DfltAccessPolicy aaa-server AD/RADIUS protocol radius aaa-server AD/RADIUS (inside) host 193.167.58.25 key ***** radius-common-pw ***** aaa authentication ssh console LOCAL http server enable http 193.167.58.0 255.255.255.0 inside http 193.167.61.192 255.255.255.192 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart warmstart crypto map inside_map interface inside 15
telnet timeout 15 ssh 193.167.58.0 255.255.255.0 inside ssh timeout 15 console timeout 0 management-access inside threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept webvpn enable outside anyconnect image disk0:/anyconnect-win-3.0.0629-k9.pkg 1 anyconnect enable tunnel-group-list enable group-policy GroupPolicy_AnyC internal group-policy GroupPolicy_AnyC attributes wins-server none dns-server value 193.167.58.2 vpn-tunnel-protocol ssl-client split-tunnel-policy tunnelspecified split-tunnel-network-list value split-tunnel default-domain none group-policy policy internal group-policy policy attributes wins-server none dns-server value 193.167.58.2 vpn-tunnel-protocol ssl-clientless default-domain none webvpn url-list none group-policy Clientless-group internal group-policy Clientless-group attributes vpn-tunnel-protocol ssl-clientless webvpn url-list none username admin password bzwowpufvqfkd3rv encrypted tunnel-group ssl type remote-access tunnel-group ssl general-attributes authentication-server-group AD/RADIUS default-group-policy policy tunnel-group AnyC type remote-access tunnel-group AnyC general-attributes authentication-server-group AD/RADIUS default-group-policy GroupPolicy_AnyC dhcp-server link-selection 193.167.58.2 tunnel-group AnyC webvpn-attributes group-alias AnyC disable group-alias AnyConnect enable 16
class-map inspection_default match default-inspection-traffic policy-map type inspect dns preset_dns_map parameters message-length maximum client auto message-length maximum 512 policy-map global_policy class inspection_default inspect dns preset_dns_map inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp inspect ip-options inspect icmp service-policy global_policy global prompt hostname context call-home profile CiscoTAC-1 no active destination address http https://tools.cisco.com/its/service/oddce/services/ddceservice destination address email callhome@cisco.com destination transport-method http subscribe-to-alert-group diagnostic subscribe-to-alert-group environment subscribe-to-alert-group inventory periodic monthly subscribe-to-alert-group configuration periodic monthly subscribe-to-alert-group telemetry periodic daily Cryptochecksum:d9eea505fac086cadeccb044568eddd5 17