Sécurité : Dispositifs de sécurité adaptatifs dédiés de la gamme Cisco ASA 5500

Le paquet traversent le Pare-feu de Cisco ASA

19 octobre 2014 - Traduction automatique
Autres versions: PDFpdf | Anglais (22 septembre 2014) | Commentaires


Contenu


Introduction

Ce document décrit le débit de paquet à travers un pare-feu Cisco ASA. Il affiche comment la procédure interne de traitement de paquets de Cisco ASA fonctionne. Il discute également des différentes possibilités où le paquet pourrait décrocher et différentes situations où le paquet progresse en avant.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

  • Dispositifs de sécurité adaptatifs dédiés de la gamme Cisco ASA 5500 exécutant la version de logiciel 8.0 et plus tard

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

L'interface qui reçoit le paquet s'appelle l'interface d'entrée et l'interface par lesquelles les sorties de paquet s'appelle l'interface de sortie. En se rapportant au paquet traversez n'importe quel périphérique, il peut être facilement simplifié en regardant la tâche en termes de ces deux interfaces.

Voici un exemple de scénario :

/image/gif/paws/113396/asa-packet-flow-01.gif

Quand les tentatives intérieures d'un utilisateur (192.168.10.5) d'accéder à un web server dans le réseau DMZ (172.16.10.5), l'écoulement de paquet ressemble à ceci :

  • Adresse source - 192.168.10.5

  • Port de source - 22966

  • Adresse de destination - 172.16.10.5

  • Destination port - 8080

  • Interface d'entrée - À l'intérieur

  • Interface de sortie - DMZ

  • Protocol l'a utilisé - TCP

En déterminant les détails de l'écoulement de paquet comme décrit ici, il est facile de localiser la question dans cette entrée spécifique de connexion.

Algorithme de processus de paquet de Cisco ASA

Voici un diagramme de la façon dont Cisco ASA traite le paquet qu'il reçoit :

/image/gif/paws/113396/asa-packet-flow-02.gif

Voici les différentes étapes en détail :

  1. Le paquet est atteint à l'interface d'entrée.

  2. Une fois que le paquet atteint la mémoire tampon interne de l'interface, l'entrée contre- de l'interface est incrémentée par on.

  3. Cisco ASA vérifiera d'abord si c'est une connexion existante en regardant ses détails internes de table de connexion. Si l'écoulement de paquet apparie une connexion existante, alors le contrôle de liste de contrôle d'accès (ACL) est sauté, et le paquet est fait avancer.

    Si l'écoulement de paquet n'apparie pas une connexion existante, alors l'état de TCP est vérifié. Si c'est un paquet ou un paquet UDP de synchronisation, alors le compteur de connexion est incrémenté par on et le paquet est envoyé pour un contrôle d'ACL. Si ce n'est pas un paquet de synchronisation, le paquet est lâché et l'événement est enregistré.

  4. Le paquet est traité selon l'interface ACLs. Il est vérifié dans la commande séquentielle des rubriques de liste ACL et s'il apparie les rubriques de liste ACL l'uns des, il avance. Autrement, le paquet est lâché et les informations sont enregistré. Le nombre de hits d'ACL sera incrémenté par on quand le paquet apparie le rubrique de liste ACL.

  5. Le paquet est vérifié pour assurer les Règles de traduction. Si un paquet traverse ce contrôle, alors une entrée de connexion est créée pour cet écoulement, et le paquet avance. Autrement, le paquet est lâché et les informations sont enregistré.

  6. Le paquet est soumis à un contrôle d'inspection. Cette inspection vérifie si cet écoulement spécifique de paquet est conformément au protocole. Cisco ASA a une engine intégrée d'inspection qui examine chaque connexion selon son ensemble prédéfini de fonctionnalités de niveau application. S'il passait l'inspection, il est fait avancer. Autrement, le paquet est lâché et les informations sont enregistré.

    Des Sécurité-contrôles supplémentaires seront mis en application si un module CSC est impliqué.

  7. Les informations d'en-tête IP sont traduites selon la règle NAT/PAT et des sommes de contrôle sont mises à jour en conséquence. Le paquet est expédié à l'AIP SSM pour les contrôles de Sécurité associés par IPS, quand le module AIP est impliqué.

  8. Le paquet est expédié à l'interface de sortie basée sur les Règles de traduction. Si aucune interface de sortie n'est spécifiée dans la règle de conversion, alors l'interface de destination est décidée a basé sur la recherche de route globale.

  9. Sur l'interface de sortie, la recherche de route d'interface est effectuée. Souvenez-vous, l'interface de sortie est déterminé par la règle de conversion qui prendra la priorité.

  10. Une fois une artère de la couche 3 a été trouvée et le prochain saut identifié, posent 2 que la résolution est exécutée. La réécriture de la couche 2 de l'en-tête MAC se produit à ce stade.

  11. Le paquet est transmis sur le fil, et les compteurs d'interface incrémentent sur l'interface de sortie.

Explication sur NAT

Référez-vous à ces documents pour plus de détails sur l'ordre de l'exécution NAT :

Commandes show

Voici quelques commandes utiles qui aident en dépistant le paquet pour circuler des détails à différentes étapes du traitement :

Messages de Syslog

Les messages de Syslog fournissent les informations utiles au sujet du traitement de paquets. Voici quelques messages de Syslog d'exemple pour votre référence :

  • Message de Syslog quand il n'y a aucune entrée de connexion :

    %ASA-6-106015: Deny TCP (no connection) from
    IP_address/port to IP_address/port flags tcp_flags on interface
    interface_name
  • Message de Syslog quand le paquet est refusé par une liste d'accès :

    %ASA-4-106023: Deny protocol src
    [interface_name:source_address/source_port] dst
    interface_name:dest_address/dest_port by access_group
    acl_ID
  • Le message de Syslog quand il n'y a aucune règle de conversion est trouvé :

    %ASA-3-305005: No translation group found for protocol
    src interface_name: source_address/source_port dst interface_name:
    dest_address/dest_port
  • Message de Syslog quand un paquet est refusé par inspection de Sécurité :

    %ASA-4-405104: H225 message received from
    outside_address/outside_port to inside_address/inside_port before
    SETUP
  • Message de Syslog quand il n'y a aucune informations d'artère :

    %ASA-6-110003: Routing failed to locate next-hop for
    protocol from src interface:src IP/src port to dest interface:dest IP/dest
    port

Pour une liste complète de tous les messages de Syslog générés par Cisco ASA avec une brève explication, référez-vous au guide de messages de log de Cisco ASA.

Conversations connexes de la communauté de soutien de Cisco

Le site Cisco Support Community est un forum où vous pouvez poser des questions, répondre à des questions, faire part de suggestions et collaborer avec vos pairs.


Informations connexes


Document ID: 113396