mpix Plus Handleiding Auteur Copyright divinet.nl

Transcriptie

1 mpix Plus Handleiding Versie : 1.0a Datum : 28 November 2006 Auteur :

2 Pagina 2 van 30 Inhoudsopgave Inhoudsopgave Inleiding Aanmaken Hosts/Netwerken Aanmaken Security Policy Service Policy Rules ICMP Routeringen Beperkingen mpix+ Logging Bijlage Protocolen Verklarende woorden lijst FAQ 2

3 Pagina 3 van 30 Introductie Door de uitbreiding van netwerken en het beschikbaar zijn van een IP-VPN komt de vraag om de security centraal te kunnen regelen. De mpix+ is hiervoor geschikt en kan als uitbreiding op een IP-VPN of direct op een enkelvoudige DSL lijn (mpix+ Direct) gebruikt worden om centraal de toegang tot het internet (of andere netwerken) te regelen. De mpix+ is een complete firewall welke eigenschappen als statefull packet inspection, (advanced) NAT, inkomende en uitgaande rules en de robuustheid van een Cisco Firewall combineerd in 1 product. Een aantal aanvullende voordelen van dit product is het feit dat de hardware (en onderhoud hierop) geregeld worden door Divinet.nl. Tevens wordt het software onderhoud en de aanvullende contracten met Cisco door Divinet.nl geregeld en hoeft de klant hiervoor verder niets te doen. Het operationeel beheer (security rules, NAT rules ed) worden geheel door de partner (of klant) geregeld en kunnen realtime via de management interface ingegeven worden. De dienst wordt door Divinet.nl geleverd en wordt direct in de backbone (in ons Cisco 6500 platform) dmv FireWall Service Modules aangeboden. Voordeel hiervan is dat de performance van de mpix ongeevenaard is (~5Gbps). Bestelling mpix Er is keuze uit 4 typen. Deze zijn : 1. MPIX Direct a. Bedoeld als Internet gateway voor één enkel lokatie met één lijn of gestapelde lijn. 2. MPIX VPN a. Bedoeld als één IP VPN Internet gateway voor meerdere locaties of meerdere lijnen. 3. MPIX+ direct a. Uitgebreide MPIX variant met meer features en opties voor één enkel lokatie met één lijn of gestapelde lijn. 4. MPIX+ VPN a. Uitgebreide MPIX variant met meer features en opties voor meerdere locaties of meerdere lijnen. 3

4 Pagina 4 van 30 Activatie MPIX+ Als de MPIX+ is geactiveerd zijn de volgende instellingen als basis ingericht. De basis instellingen zijn: mpix+ mag beheerd worden vanuit de IP-VPN (inside). Beheer van buitenaf is standaard niet mogelijk. Er staat alleen een default gateway in de mpix+. Interne routeringen zijn niet geconfigureerd. Echo en echo-reply staan default aan op de inside interface. Echo-reply staat default aan op de outside interface. Alle inside netwerken worden standaard naar het outside publieke IP adres vertaald van de mpix+ bij verbindingen naar het Internet (PAT). Default mogen alle inside netwerken naar buiten op basis van IP. Default staat alles naar binnen dicht. Logging is default niet geconfigureerd. Beheer MPIX+ De MPIX+ kan standaard alleen maar vanuit de IP-VPN beheerd worden, het beheer gaat oa via de ASDM (advanced Security Device Manager). De ASDM kan gestart worden door in een browser (IE, Firefox) het volgende adres op te geven (vanuit de IP-VPN): of Er kan dan ingelogd worden met de gebruiksnaam en wachtwoord gegevens zoals deze aan u zijn medegedeeld. Hierna komt de vraag of de ASDM opgestart moet worden als een installatie bestand (alleen Windows) of als Java applicatie. Als de ASDM lokaal geïnstalleerd wordt hoeft er bij een volgend gebruik van de ASDM geen verbinding meer te gemaakt met een browser maar kan de ASDM direct gestart worden. De randvoorwaarden voor het succes vol opstarten van de ASDM vanuit de IP-VPN zijn: 1. internet explorer 5.0 of hoger / Firefox 1.5 of hoger. 2. Java versie 1.5 of hoger. 3. De beheer locatie van waaruit de mpix+ beheerd wordt moet in de IP VPN zijn opgenomen. 4. De routering naar de beheer locatie moet in de MPIX+ bekend zijn. De eerste 2 punten zijn eenvoudig te realiseren, de laatste 2 zijn iets lastiger. Om er voor te zorgen de mpix+ is het opgeven van een source IP tijdens de aanvraag (vermelden in het opmerkingen veld) vanaf waar het publieke IP van de mpix+ bereikbaar is (beheer). 4

5 Pagina 5 van 30 Aanmaken Hosts/Netwerken Onderstaand een methode om de mpix+ te beheren, dit is niet de enige, maar wordt door Divinet.nl als standaard gehanteerd. Alles m.b.t. de configuratie van de MPIX+ kan binnen de ASDM GUI gedaan worden en om deze GUI zo optimaal mogelijk te gebruiken raden wij aan om voor het configureren van Security Policy s alle resources die nodig zijn bij de configuratie van de Security Policy s onder de Global Objects/ Hosts/networks aan te maken. Klik op add en de wizard begint. 5

6 Pagina 6 van 30 Vul ip adres van host of netwerk in. Vul mask in van host of netwerk (Host dan altijd ) Vul naam in voor het eenvoudig terug vinden in rules van het netwerk of host. Vul description in als de naam nog niet voldoende info geeft. Klik next: Voor de eerste Host of netwerk moet er een routering op gegeven worden. Het ip adres om hiervoor te gebruiken is : (inside, gateway) 6

7 Pagina 7 van 30 Laat het vinkje bij deze vraag m.b.t Never ask me this questions again altijd leeg Als dit vinkje toch geplaatst is kan de default instelling van de ASDM onder Options preferences weer terug gezet worden door op default te klikken. 7

8 Pagina 8 van 30 Next Als laatste stap vul de Nat vertalingen in. NAT Bij Address Pool ID zal er altijd minimaal 1 Pool actief zijn dit is altijd Pool ID 1. Deze pool bevat de basis PAT vertaling van het outside IP adres van de MPIX+. Meerdere Pools kunnen geconfigureerd worden door op manage pools te klikken. 8

9 Pagina 9 van 30 Onderstaand een voorbeeld van meerdere Pool ID s: Als de netwerken en/of hosts zijn toegevoegd en alle routeringen en NAT vertalingen goed zijn ingevuld is de basis af. Onder de Iconen NAT en Routing kunne respectievelijk de NAT vertaling en de routeringen gecontroleerd worden. 9

10 Pagina 10 van 30 Hier een voorbeeld waarbij geen vertaling wordt toegepast en dus het IP adres hetzelfde blijft: Hier de standaard vertaling naar het outside ip adres van de MPIX (PAT): Ook is het mogelijk om een poort vertaling van een publiek IP adres naar een ïnterne Host te maken. Voordeel hiervan is een besparing op Publieke IP adressen en wordt de veiligheid hoog gehouden. Door slim gebruik te maken van Poort translaties over 1 Publiek IP adres kunnen meerdere Interne servers op verschillende poorten gekoppeld worden. Een mooi voorbeeld is het configureren van RDP op diverse interne server voor beheer. Dit over 1 publiek IP en meerdere afwijkende poorten: 10

11 Pagina 11 van 30 Aanmaken Security Policy Als de host en netwerken zijn aangemaakt is het aanmaken van Security Policy zeer eenvoudig. Belangrijk is om te weten is dat de mpix+ firewall van Cisco op twee zeer belangrijke principes is gebouwd. Dit zijn namelijk: 1. Het hele firewall principe baseert op één access-list per Interface die inkomend op de Interface actief is. 2. Het first match principe. Dit betekend dat de mpix+ bij de eerste match op een Security Policy deze zal uitvoeren en de volgende regels die er onder staan niet meer zal uitvoeren. In een schema ziet dit uit zoals onderstaand: Access-list inside Access-list Outside In dit schema zijn bewust enkele fouten gemaakt om ze te kunnen toelichten. In de ASDM worden de Access Rules (bekend van de mpix/pdm) Security Policy s genoemd maar op de CLI van de mpix+ zijn dit gewoon access-lists. Om te beginnen zien we bij de access-list outside twee normale regels die mail (25) en web (80) naar een host intern toestaan. Op regel 3 staat vervolgens een permit any any die de mpix+ geheel openzet. Regel 4 zal vervolgens alles blokken. 11

12 Pagina 12 van 30 De principes in aanmerking genomen van first match betekend dit dus dat mail bestemd voor (aan de buitenkant uiteraard een publiek adres) op regel 1 zal matchen. Idem voor web verkeer op host maar op regel drie staat een any any die alles toelaat waardoor regel 4 nooit meer dienst doet. Als we naar de access-list inside kijken zien we vergelijkbare problemen. Regel 1 zal namelijk altijd matchen waardoor regel 2,3 er niet meer toe doen. Als alleen de mailserver naar buite mag mailen en vervolgens alle machines toch vrij op het internet moeten kunnen surfen zonder beperkingen behalve poort 25 (smtp) dan zou de access-list inside er als volgt uitzien. 1 permit host any eq 25 2 deny any any eq 25 3 permit any any Pas vooral op met het gebruik van het any any statement. Dit is vooral erg gevaarlijk bij meer dan twee interfaces. Dit in een schema weergegeven ziet er als volgt uit: Access-list inside Access-list Outside Het statement permit any any op beide access-lists zorgt voor het volgende verkeers patroon: 12

13 Pagina 13 van 30 Iedereen van buiten mag zowel naar het inside netwerk als naar het DMZ netwerk. Iedereen vanuit het Inside netwerk mag zowel naar buiten als naar het DMZ netwerk. Beter is het dus om ervoor te zorgen dat de Security Policy zo specifiek mogelijk is. Dus b.v op inside 1 permit /24 (inside) /24 (dmz) waardoor alleen het netwerk naar dmz mag. Bij het aanmaken van de access rules zijn er nog een paar aandacht punten die voor meer security kunnen zorgen. Die zijn: Zet deny regels bij voorkeur zo hoog mogelijk op de Security Policy lijst. Wees zo specifiek mogelijk Probeer any any rules te voorkomen. 13

14 Pagina 14 van 30 Verder is het van belang om te weten dat: Bij de keuze van de source host/network interface de plek van de access-list wordt vastgelegd. De keuze van de destination Host/network interface geen invloed op bestemmings interfaces heeft maar er alleen maar staat om het zoeken naar Host/networks eenvoudiger te maken als deze al zijn gedefinieerd. Het aanmaken van groups (meerdere netwerken of hosts of combinaties) alleen maar kan onder Global objects/ Host/networks. Het aanmaken van service Groups kan binnen het aanmaken van een accessrule of anders te vinden is onder Tools service groups. Voor meer dan 98 procent van de poort instellingen de volgende regels gelden: o Source port altijd hoger is dan 1024 en dynamisch door de pc wordt vastgesteld en daarom bijna nooit hoeft te worden gewijzigd t.o.v de o standaard. De Destination port bijna altijd een vaste poort is en dat deze op zogenaamde RFC lijsten of bij de software gebruiksaanwijzing kan worden gevonden. Zeker als het afwijkende poorten zijn of als er meerdere poorten open moeten zal dit altijd bij de fabrikant zijn terug te vinden. Het wijzigen van NAT vertalingen on the fly als er al een Security Policy is aangemaakt voor die host betekend dat de bijbehorende Security Policy op null worden gezet. Beter is het om de Security Policy van die Host eerst weg te halen en dan de NAT regels aan te passen en vervolgens de Security policy weer terug te plaatsen. 14

15 Pagina 15 van 30 Service Policy Rules Het begrip Service Policy Rules is een oude bekende die al langer bij Cisco IOS routers kon worden gebruikt. Bij Cisco IOS routers worden deze service policy rules vooral gebruik voor QoS instelingen. De Service Policy Rules die nu worden gebruikt op de mpix+ zijn hier een voorloper van en houden zich momenteel bezig met een combinatie van aspecten. Deze zijn: Een vervanging van de Fixup commando s die bestonden op de MPIX. Uitbreiding op de packet inspection van HTTP, FTP, H225, MGCP, SIP en SNMP Het is nu mogelijk om bepaalde commando s in HTTP en FTP te blokkeren nog voordat ze bij de Web en/of FTP server aankomen. Ook is het nu mogelijk om programma s te blokkeren die wanneer hun default IP poorten zijn geblokkeerd via HTTP toch naar buiten kunnen. Voorbeelden hiervan zijn Skype, Kazaa, emule enz. Hieronder is het blokkeren van P2P netwerken uitgewerkt. Ga naar Global Objects en klik op inspect maps. 15

16 Pagina 16 van 30 Kies vervolgens http en klik op ADD: Vul bij http Map name een naam in hier Block P2P Ga naar application catecory. Kies p2p en selecteer ermee gedaan moet worden en klik op Add In dit voorbeeld wordt P2P verkeer gedropped en alle andere mogelijkheden zoals Im ( instant messaging) en tunneling toegestaan. Zeg OK 16

17 Pagina 17 van 30 In het overzicht wordt een extra inspect regel toegevoegd: De Inspect map moet nu nog wel in de Service Policy Rule worden opgenomen. Dit doe dit bij de Security Policy (service policy rules) en klikt op de desbetreffende regel: Edit vervolgens de al aanwezige global policy inspection_default. Kies rules actions (bovenste tabbladen helemaal rechts) 17

18 Pagina 18 van 30 Als laatste stap klik op Configure voor HTTP en selecteer de HTTP map in de Service policy Rule. 18

19 Pagina 19 van 30 19

20 Pagina 20 van 30 ICMP ICMP wordt vaak beschreven als het protocol dat de administratie van een netwerk verzorgt; het laat gebruikers toe problemen uit te zoeken, en stelt TCP/IPimplementaties in staat om foutberichten te sturen naar communicatiepartners. Hoewel het protocol beschreven wordt in een apart RFC-document, losstaand van het document dat IP, het Internet-protocol zelf, beschrijft, is het wel zo dat ICMP integraal deel uitmaakt van IP. ICMP is een connectionless protocol, met IP-protocolnummer 1. De meest bekende sub protocollen zijn: TCP (6) UDP (17) ICMP (1) ESP (50) AH (51) GRE (47) ICMP wordt dan ook door onze partners voornamelijk gebruikt om problemen te achterhalen. Echter zijn er een aantal adders onder het gras. De mpix+ laat default geen ICMP verkeer toe. De opgeleverde mpix+ is echter aangepast en laat beperkt ICMP toe. Wetende: Echo en echo-reply op de inside interface. Echo-reply op de outside interface. Met deze instellingen kun je dus de mpix+ vanuit het inside netwerk pingen op zijn Interface en kunnen ping pakketten antwoord geven door de mpix+ terug naar de PC om Internet te kunnen testen. Als de MPIX+ bv ook van buiten wil kunnen pingen moet dit gewijzigd worden bij properties/device Administration/ICMP Rules 20

21 Pagina 21 van 30 Als PING (ICMP) gebruikt wordt om een probleem boven water te krijgen is het verstandig dit niet gelijk naar de eind bestemming te doen maar eerst naar bv de gateway en zich zo naar het probleem toe te werken (segmentatie). Ook de commando s traceroute op een Cisco router of tracert op een windows machine laten al vaak potentiële problemen zien. Sinds de komst van XP hebben is er een nieuwe tool bij genaamd pathping. Deze tool is een combinatie van tracert en ping en laat per hop bottlenecks in een netwerk zien. Ook het gebruik van ping om te ontdekken of er binnen een netwerk problemen zijn met de MTU size kan gebruikt worden. Het default ICMP pakket is namelijk maar 56(64) bytes afhankelijk welk platform er gebruikt wordt zal normaal gesproken geen last hebben van MTU size problemen. Maar wijzig de size met (Windows ) ping x.x.x.x l 1500 f en maak je deze size langzaam kleiner. -l = size -f = do not fragment 21

22 Pagina 22 van 30 Routeringen De routeringen binnen een mpix+ oplossing zijn eenvoudig. Alle routeringen op de mpix+ moeten statisch opgegeven worden. Dit houdt in dat wanneer er een nieuw netwerk aan de IP-VPN van de klant wordt toegevoegd dit ook betekend dat dit netwerk bekend moet worden gemaakt op de MPIX+ (dit wordt niet automatisch door Divinet.nl gedaan). De partner is verantwoordelijk voor het beheer en de inrichting van de MPIX+. Alle routeringen worden automatisch gevuld als de nieuwe netwerken via de Host/networks wizard toevoegd worden. Als een routering handmatig toevoegen moet worden kan dit onder Routing/Static Routes. Standaard is alleen een route ingevuld welke gebruikt wordt om het internet te kunnen benaderen. Deze route wordt door Divinet.nl toegevoegd en moet niet aangepast worden. Alle routeringen naar het inside netwerk moeten naar IP verstuurd worden. Andere routeringen voor andere interfaces (naar bv DMZ) moeten ook naar een x.252 gateway verstuurd worden maar wordt dit per interface gecommuniceerd. Een eenvoudige manier om te controleren of de routering werkt is door vanuit de mpix+ (ASDM GUI) via de Tools/Ping command line een ping naar de router of host te versturen. 22

23 Pagina 23 van 30 Ook bij de MPIX+ geldt het routerings principe most specific wordt gebruikt. Dit betekend dat als een routering voor het /8 netwerk naar gateway en host /32 naar buiten wordt gerouteerd dat dan host nooit meer binnen bereikbaar is voor de mpix+. 23

24 Pagina 24 van 30 Beperkingen/Wijzigingen mpix+ PPTP Wijziging t.o.v. de MPIX Voor de Windows vpn manier (PPTP) ondersteund de MPIX+ dit t.o.v. de MPIX nu goed. Het openen van de GRE poorten gebeurd nu automatisch en hoeft niet meer handmatig aangemaakt te worden. Werkt dit niet dan moet de inspect PPTP binnen de Service Policy Rule gecontroleerd worden of deze aanstaat. Het openen van Poort PPTP moet uiteraard naar buiten of naar binnen nog welm, dit moet via de security rules aangegeven worden. Als een Windows server ingezet wordt aan de inside als een VPN server is er een dedicated Publiek IP adres nodig. Dit voorkomt problemen met poort forwarding. 24

25 Pagina 25 van 30 IPSEC Hetzelfde geldt in mindere mate bij IP-SEC. Als een ipsec verbinding van binnen naar buiten gemaakt wordt naar een VPN server is dit geen probleem maar als meerdere gebruikers dit tegelijkertijd willen doen gaat kan het mis gaan. Hier heeft het echter te maken met het feit dat de MPIX+ dan niet goed weet naar welke gebruiker hij de terugkerende IPsec sessie moet sturen. Bij het gebruik van een IPSEC terminator device aan de binnenkant is er een dedicated Publiek IP adres nodig. Exchange/SMTP Default staat de smtp fixup in de MPIX+ aan. Deze is te vinden onder Security Policy/Service Policy Rules/Rule Actions/protocol inspection. Er zijn gevallen bekend waarbij de fixup voor mail problemen zorgde bij diverse mail platformen. Het uitschakelen van SMTP fixup verhelpt eventuele mail problemen maar is wel minder secure. Zet deze dus pas uit als er problemen onstaaan (oa 25

26 Pagina 26 van 30 authenticated SMTP). In de mpix+ is nu wel een ESMTP protocol beschikbaar dat beter met Exchange samenwerkt. 26

27 Pagina 27 van 30 Logging Zoals al eerder in dit document vermeld staat logging op de MPIX+ default uit. Om op de mpix+ te troubleshooten is het zeer belangrijk dat de logging functie gebruikt wordt. Logging wordt op de volgende manier aangezet: Ga naar properties/logging/logging setup en zet logging aan. Geef hier ook de buffer groote aan dat de ASDM gui kan gebruiken. Ga naar logging Filters en bepaal de hoeveelheid info die getoond moet worden. Hier informational: Nu is de MPIX+ klaar om de juiste logging informatie via de GUI monitoring tool te tonen. 27

28 Pagina 28 van 30 De Monitor tool staat op de main View onder Monitoring en dan logging: Klik op View en onderstaand venster wordt dan getoond: Dit is een realtime view die niet meer ververst hoeft te worden. Het is mogelijk om (live) te filteren bv op een ip addres: 28

29 Pagina 29 van 30 Het is mogelijk de regel kleuren aan te passen en de log tijdelijk op pauze te zetten. Tijdens deze pauze is het mogelijk de opgegeven buffer te bekijken die eerder op gegeven is. 29

30 Pagina 30 van 30 Bijlage Protocollen/Poorten Een lijst met alle officiële geregistreerde protocollen en poorten: Verklarende woordenlijst CSP Contractant van Divinet.nl Eindgebruiker Contractant van CSP ATM Asynchronous Transfer Mode, technologie voor datacommunicatie PVC Permanent Virtual Circuit, methode om data te transporteren over ATM CPE Router/bridge bij de klant IP-VPN Gesloten virtual private netwerk MPIX+ Managed hosted Cisco PIX firewall Interconnect De connectie van de aan het Divinet.nl-netwerk gekoppelde telco s SLA Service level Agreement IS/RA punt Het lokale punt waar het koperdraad een gebouw binnenkomt. Local Loop lijnverbinding vanaf de ISRA naar de wijkcentrale QoS Quality of Service NAT Netwerk adres vertaling DMZ demilitariseerde zone ( een netwerk dat als minder veilig wordt beschouwd als het inside netwerk maar veiliger als het Outside netwerk( Internet) FAQ 00aecd800fa578.shtml Referenties Sommige in dit document gebruikte tekst fragmenten zijn van de Cisco website gehaald en zo goed mogelijk vertaald en van de Wikipedia. Links Firewall module: 30