Une base de configuration pour firewall Cisco ASA 5505

Technique

Mikaël Dautrey
25 juillet 2018

Une base de configuration pour firewall Cisco ASA 5505

Vous avez déjà lu 0%

Les firewalls Cisco ASA 5505 sont encore très répandus. On en trouve de plus d’occasion ou reconditionnés à des prix intéressants. Nous publions ci-après une configuration de base pour ce matériel.

Cette configuration suppose une utilisation de l’équipement en mode routage, avec une IP publique directe chez un opérateur. Cette configuration a le mérite d’être simple, de fonctionner et de pouvoir servir de base à une configuration plus avancée en fonction des besoins en sécurité. Cette configuration fonctionne également, avec quelques modifications mineures sur les ASA 5506-X.

Cette configuration permet d’accéder en VPN anyconnect à l’équipement pour l’administrer via SSH. Nous n’avons pas ajouté, dans cette version de base, l’authentification par clé, qui fera l’objet d’un post ultérieur.

Définition de la configuration

LAN

Management : 192.168.77.1
Gateway (interface in) : 192.168.22.254
Ip publique : 19.22.25.45
Domain : ISITIX-france.com
Ne pas utiliser la .1 sur le réseau interne (192.168.22.1) qui correspond à la box operateur.
Machines sont en 192.168.22.x / 24

A l’issue de la mise en place du nouveau firewall, modifier le pool d’adresses IP privées pour passer la passerelle operateur en 192.168.22.1 (ticket à déposer chez OBS)

Pool public

Sous-réseau : 19.22.25.40 (réservé)
Plage : 40 jusqu’à 47
Broadcast : 47
Routeur opérateur : 46
Masque : 255.255.255.248
DNS : 19.2.0.20, 19.2.0.50

Pool privé spécifique opérateur avec natage sur un gros routeur central Pool privé : 192.168.22.1 (adresse IP privé du routeur opérateur) libre

Réalisation de la configuration : phase 1, démarrage du nouvel ASA

Plan de travail pour la mise en place du nouvel ASA 5505

Se connecter sur l’ASA en port série OK
Connecter l’ASA au réseau local => lui attribuer une adresse LAN (interface Lan et inteface de management) OK
Activer SSH et SCP OK
Faire l’inventaire des versions installées OK
Rechercher les nouvelles versions sur le site Cisco OK
Installer les nouvelles versions OK
Mettre ensuite en place la configuration (filtrage, NAT) OK
Accès VPN Anyconnect pour administrer le routeur

Connexion port série

Pour se connecter directement depuis Linux avec un câble série Cisco et un adaptateur série-usb :

$sudo minicom -s

Configuration des interfaces physiques

Activation des deux ports inside (port 0) et outside (port 5) et désactivation des autres ports.

Les ports 6 et 7 sont POE.

ISITIX-fw(config)# interface ethernet 0/0
ISITIX-fw(config-if)# description outside
ISITIX-fw(config-if)# no shutdown
ISITIX-fw(config)# interface ethernet 0/5
ISITIX-fw(config-if)# description inside
ISITIX-fw(config-if)# no shutdown
ISITIX-fw(config)# interface ethernet 0/1
ISITIX-fw(config-if)# shutdown
ISITIX-fw(config)# interface ethernet 0/2
ISITIX-fw(config-if)# shutdown
ISITIX-fw(config)# interface ethernet 0/3
ISITIX-fw(config-if)# shutdown
ISITIX-fw(config)# interface ethernet 0/4
ISITIX-fw(config-if)# shutdown
ISITIX-fw(config)# interface ethernet 0/6
ISITIX-fw(config-if)# shutdown
ISITIX-fw(config)# interface ethernet 0/7
ISITIX-fw(config-if)# shutdown

Définition des paramètres réseaux

name 192.168.77.2 mgt_ip
name 192.168.22.254 inside_ip
name 19.22.25.45 outside_ip
name 19.2.0.20 operateur_dns
name 185.94.77.77 europe_pool_ntp_org
name 192.168.22.0 inside_lan
name 19.22.25.46 operateur_router

Mise en place des interfaces VLAN

Configuration des VLANS, 1 pour l’administration, 2 pour le LAN et 9 pour le WAN

interface Vlan1
 management-only
 nameif management
 security-level 100
 ip address mgt_ip 255.255.255.0 
!
interface Vlan2
 description inside
 nameif inside
 security-level 99
 ip address inside_ip 255.255.255.0 
!
interface Vlan9
 description outside
 nameif outside
 security-level 0
 ip address outside_ip 255.255.255.248

Ajout des ports dans les bons VLANs

interface ethernet 0/0
switchport mode access
switchport access vlan 9

interface ethernet 0/5
switchport mode access
switchport access vlan 2

Hostname, domain, time

Configuration générale du parefeu

hostname ISITIX-fw
domain-name ISITIX-france.com
clock timezone CET 1
clock summer-time CEST recurring
dns domain-lookup inside
name 19.2.0.20 operateur_dns
dns name-server operateur_dns
name 185.94.77.77 europe_pool_ntp_org
ntp server europe_pool_ntp_org
aaa authentication enable console LOCAL

Vérification de l’heure

show ntp associations
show clock
show ntp status

Désactivation de smart call home

clear config call-home 
no service call-home

Authentification des utilisateurs Sur base locale avec pwd (basic)

user-identity default-domain LOCAL
aaa authentication enable console LOCAL

Activation de SSH et SCP

ssh version 2
ssl server-version tlsv1-only
ssl client-version tlsv1-only
ssh scopy enable
crypto key generate rsa modulus 2048
write memory
aaa authentication ssh console LOCAL
username admin password XXXXXX privilege 15
ssh timeout 15
ssh inside_lan 255.255.255.0 inside

Mise à jour du firmware

Linux$scp asa924-k8.bin Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.:disk0:/asa924-k8.bin
boot system disk0:/asa924-k8.bin

Phase 2 de la configuration de l’ASA : NAT, routage, filtrage

Network objects

Ajout des objets réseau pour les ACL éventuelles

object network WAN_NETWORK
 subnet 19.22.25.40 255.255.255.248
object network LAN_IP
 host 192.168.22.254
object network WAN_IP
 host 19.22.25.45
object network operateur_ROUTER
 host 19.22.25.46
object network LAN_NETWORK
 subnet 192.168.22.0 255.255.255.0

Route par défaut

route outside 0 0 operateur_router 1

Natage du LAN vers le WAN

object network LAN_NETWORK
 nat (inside,outside) dynamic interface

Filtrage du sortant LAN par ACL

Définition de la liste des services

object-group service dns
 service-object tcp-udp destination eq domain 
object-group service https
 service-object tcp destination eq https 
object-group service http
 service-object tcp destination eq www 
 service-object tcp destination eq 8080 
 service-object tcp destination eq 8008 
object-group service pop
 service-object tcp destination eq pop3 
 service-object tcp destination eq 995 
object-group service smtp
 service-object tcp destination eq smtp 
 service-object tcp destination eq 465 
object-group service rtmp
 service-object tcp-udp destination eq 1935 
 service-object tcp destination eq 8134 
 service-object tcp destination eq 1111 
object-group service ssh
 service-object tcp destination eq ssh 
object-group service google-play
 service-object tcp destination eq 5228 
 service-object tcp destination eq 5229 
 service-object tcp destination eq 5320 
 service-object udp destination eq 5228 
object-group service teamviewer
 service-object tcp-udp destination eq 5938
object-group service spotify
 service-object tcp destination eq 4070 
object-group service imap
 service-object tcp destination eq imap4 
 service-object tcp destination eq 993 
object-group service ping
 service-object icmp traceroute
 service-object icmp echo
 service-object icmp alternate-address
 service-object icmp mask-request
 service-object icmp redirect
 service-object icmp 
object-group service telnet
 service-object tcp destination eq telnet 
object-group service ntp
 service-object tcp-udp destination eq 123 
object-group service vpn
 service-object udp destination eq isakmp 
 service-object udp destination eq 1701 
 service-object tcp destination eq pptp 
object-group service ftp
 service-object tcp destination eq ftp 
 service-object tcp destination eq ftp-data

Regroupement des services dans un ensemble de services autorisés :

object-group service service_enabled
 group-object https
 group-object http
 group-object pop
 group-object smtp
 group-object rtmp
 group-object ssh
 group-object google-play
 group-object teamviewer
 group-object spotify
 group-object imap
 group-object ping
 group-object telnet
 group-object ntp
 group-object vpn

Ajout d’ACL pour contrôler le trafic

access-list inside_in_acl extended permit object-group service_enabled object LAN_NETWORK any 
access-list inside_in_acl extended permit ip object LAN_NETWORK any log 
access-group inside_in_acl in interface inside

Inspection du trafic

Ajout d’une politique globale (permet également le passage du trafc icmp/ping)

icmp unreachable rate-limit 1 burst-size 1
icmp permit any echo inside
icmp permit any echo-reply inside
class-map global_map
 match default-inspection-traffic
policy-map global_policy
 class global_map
  inspect icmp 
  inspect dns 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect http 
  inspect sip  
  inspect snmp 
  inspect ipsec-pass-thru 
  inspect ip-options 
  inspect pptp 
  inspect esmtp
service-policy global_policy global

Détection des menaces basiques

Scan et autres

threat-detection basic-threat
threat-detection statistics access-list
threat-detection statistics tcp-intercept rate-interval 30 burst-rate 400 average-rate 200

Spoofing

ip verify reverse-path interface inside
ip verify reverse-path interface outside

Phase 3 : accès anyconnect admin

Objectif : pouvoir manager l’ASA en SSH sur un tunnel VPN.

Remarque : comme il n’y a qu’une groupe policy et un seul tunnel groupe, tout se passe bien et on tombe sur les valeurs par défaut. Sinon, il y aurait un mapping à réaliser entre le client, le username et les autres paramètres.

Définition du pool d’adresses et du sous-réseau

ip local pool VPN_POOL 192.168.22.193-192.168.22.198 mask 255.255.255.0
object network VPN_NETWORK
 subnet 192.168.22.192 255.255.255.248

Définition de l’ACL pour le split du trafic sur le client

access-list SplitVPNTunnel standard permit 192.168.22.0 255.255.255.0

Modification du NAT

Pour désactiver le NAT vers le pool d’adresses VPN

nat (outside,inside) source static VPN_NETWORK VPN_NETWORK destination static LAN_NETWORK LAN_NETWORK no-proxy-arp
nat (inside,outside) source static LAN_NETWORK LAN_NETWORK destination static VPN_NETWORK VPN_NETWORK no-proxy-arp

Activation de anyconnect

ssl server-version tlsv1-only
webvpn
 enable outside
 anyconnect image disk0:/anyconnect-linux-2.2.0140-k9.pkg 1
 anyconnect enable
 tunnel-group-list enable
 cache
  disable
 error-recovery disable

Définition de la VPN Policy

group-policy VPNGroupPolicy internal
group-policy VPNGroupPolicy attributes
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value SplitVPNTunnel
 address-pools value VPN_POOL
 ipv6-address-pools none
 webvpn
  anyconnect ssl dtls enable
  anyconnect keep-installer none
  anyconnect dtls compression none
  anyconnect ask none default anyconnect

Définition du tunnel

tunnel-group VPNTunnelGroup type remote-access
tunnel-group VPNTunnelGroup general-attributes
 default-group-policy VPNGroupPolicy
tunnel-group VPNTunnelGroup webvpn-attributes
 group-alias ANYCONNECT-VPN enable

et accrochage de la policy au tunnel :

group-policy VPNGroupPolicy attributes
  group-lock value VPNTunnelGroup

Ajout d’un utilisateur

username ISITIXanyconnect password XXXXXX/eq encrypted
username ISITIXanyconnect attributes
 service-type remote-access

Activation du ssh sur l’ASA depuis VPN

management-access inside

Filtrage du trafic pour limiter l’accès au ssh sur l’IP interne de l’ASA Remarque :

Il est intéressant de tester que tout fonctionne bien avant d’ajouter ces règles de filtrage supplémentaires.

access-list FilterVPN extended permit object-group ssh object VPN_NETWORK object LAN_IP log 
group-policy VPNGroupPolicy attributes
 vpn-filter value FilterVPN

Raccordement physique

Cordon entre le FW et la box sur la 0/0 ou la 0/3 (data), 0/1 ou 0/2 pour la téléphonie

Blog