تكوين التحكم في الوصول إلى مستوى التحكم ل FTD و ASA الآمن

المقدمة

يصف هذا المستند عملية تكوين قواعد الوصول إلى مستوى التحكم للدفاع الآمن عن تهديد جدار الحماية وأجهزة الأمان المعدلة (ASA).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• الدفاع الآمن عن تهديد جدار الحماية (FTD)
• مدير أجهزة جدار الحماية الآمن (FDM)
• مركز إدارة جدار الحماية الآمن (FMC)
• Secure Firewall ASA
• قائمة التحكم في الوصول (ACL)
• FlexConfig

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• الدفاع ضد تهديد جدار الحماية الآمن، الإصدار 7.2.5
• Secure Firewall Manager Center، الإصدار 7.2.5
• Secure Firewall Device Manager، الإصدار 7.2.5
• Secure Firewall ASA، الإصدار 9.18.3

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تعبر حركة المرور عادة جدار حماية ويتم توجيهها بين واجهات البيانات؛ في بعض الظروف، من المفيد رفض حركة المرور الموجهة إلى "جدار الحماية الآمن". يمكن أن يستخدم جدار الحماية الآمن من Cisco قائمة التحكم في الوصول إلى مستوى التحكم (ACL) لتقييد حركة مرور "إلى المربع". مثال على متى يمكن أن تكون قائمة التحكم في الوصول (ACL) إلى مستوى التحكم مفيدا للتحكم في أي النظراء يمكن أن ينشئوا نفق VPN (من موقع إلى موقع أو وصول عن بعد VPN) إلى جدار الحماية الآمن.

تأمين حركة مرور بيانات جدار الحماية عبر العبوة

تعبر حركة المرور عادة جدران الحماية من واجهة واحدة (واردة) إلى واجهة أخرى (صادرة)، وهذا يعرف باسم حركة مرور البيانات من خلال المربع وتتم إدارتها بواسطة كل من سياسات التحكم في الوصول (ACP) والقواعد السابقة للتصفية.

الصورة 1. مثال حركة مرور البيانات من خلال المربع

تأمين حركة مرور بيانات جدار الحماية إلى المربع

هناك حالات أخرى حيث يتم توجيه حركة المرور مباشرة إلى واجهة FTD (من موقع إلى موقع أو شبكة VPN للوصول عن بعد)، وهذا يعرف بحركة مرور البيانات إلى المربع وتتم إدارتها بواسطة مستوى التحكم لتلك الواجهة المحددة.

الصورة 2. مثال حركة مرور البيانات إلى المربع

اعتبارات مهمة فيما يتعلق بقوائم التحكم في الوصول (ACLs) إلى مستوى التحكم

• اعتبارا من الإصدار 7.0 من FMC/FTD، يجب تكوين قائمة التحكم في الوصول (ACL) إلى مستوى التحكم باستخدام FlexConfig، باستخدام نفس صياغة الأمر المستخدمة على ASA.
• يتم إلحاق مستوى التحكم بالكلمة الأساسية بتكوين مجموعة الوصول، والذي يفرض حركة مرور البيانات إلى واجهة جدار الحماية الآمنة. بدون كلمة مستوى التحكم الملحقة بالأمر، ستعمل قائمة التحكم في الوصول (ACL) على تقييد حركة المرور عبر جدار الحماية الآمن.
• قائمة التحكم في الوصول (ACL) على مستوى التحكم لا تقيد SSH أو ICMP أو Telnet الواردة إلى واجهة جدار حماية آمنة. تتم معالجة هذه (السماح/الرفض) طبقا لسياسات إعدادات النظام الأساسي ولها أسبقية أعلى.
• تعمل قائمة التحكم في الوصول (ACL) لمستوى التحكم على تقييد حركة المرور على جدار الحماية الآمن نفسه، في حين تتحكم سياسة التحكم في الوصول ل FTD أو قوائم التحكم في الوصول العادية ل ASA، في حركة المرور عبر جدار الحماية الآمن.
• بخلاف قائمة التحكم في الوصول (ACL) العادية، لا يوجد "رفض" ضمني في نهاية قائمة التحكم في الوصول (ACL).
• لا تعمل ميزة بحث مجموعة الكائنات (OGS) عبر قوائم التحكم في الوصول إلى مستوى التحكم، راجع معرف تصحيح الأخطاء من Cisco CSCwi58818.
• في وقت إنشاء هذا المستند، لا يمكن إستخدام ميزة "تحديد الموقع الجغرافي ل FTD" لتقييد الوصول إلى FTD.

التكوين

في المثال التالي، تحاول مجموعة من عناوين IP من دولة معينة فرض القوة عبر VPN إلى الشبكة عن طريق محاولة تسجيل الدخول إلى FTD RAPN. أفضل خيار لحماية FTD ضد هجمات القوة الوحشية لشبكة VPN هذه هو تكوين قائمة التحكم في الوصول (ACL) لمستوى التحكم لحظر هذه الاتصالات بواجهة FTD الخارجية.

التكوينات

تكوين قائمة التحكم في الوصول إلى مستوى التحكم ل FTD المدار من قبل FMC

هذا هو الإجراء الذي يجب عليك التقيد به في وحدة التحكم في الوصول عن بعد (FMC) لتكوين قائمة التحكم في الوصول (ACL) على مستوى التحكم لحظر هجمات القوة الغاشمة لشبكة VPN الواردة إلى واجهة FTD الخارجية:

الخطوة 1. افتح واجهة المستخدم الرسومية (GUI) الخاصة بوحدة التحكم FMC عبر HTTPS وسجل الدخول باستخدام بيانات الاعتماد الخاصة بك:

الصورة 3. سجل دخول FMC الصفحة

الخطوة 2. يجب إنشاء قائمة تحكم في الوصول (ACL) موسعة. لهذا، انتقل إلى كائنات > إدارة الكائن:

الصورة 4. إدارة الكائنات

الخطوة 2.1. من اللوحة اليسرى، انتقل إلى قائمة الوصول > موسع لإنشاء قائمة تحكم في الوصول (ACL) موسعة:

الصورة 5. قائمة قائمة التحكم في الوصول (ACL) الموسعة

الخطوة 2.2. حدد إضافة قائمة الوصول الموسعة:

الصورة 6. إضافة قائمة تحكم في الوصول (ACL) موسعة

الخطوة 2.3. اكتب اسم لقائمة التحكم في الوصول (ACL) الموسعة، ثم انقر فوق الزر إضافة لإنشاء إدخال التحكم في الوصول (ACE):

الصورة 7. إدخالات قوائم التحكم في الوصول (ACL) الموسعة

الخطوة 2.4. قم بتغيير إجراء ACE إلى الحظر، وأضف شبكة المصدر لمطابقة حركة المرور التي يجب رفضها إلى FTD، وابق الشبكة الوجهة كأي، وانقر فوق الزر إضافة لإكمال إدخال ACE.

في هذا المثال، يقوم إدخال ACE الذي تم تكوينه بحظر هجمات القوة الغاشمة لشبكة VPN القادمة من الشبكة الفرعية 192.168.1.0/24:

الصورة 8. الشبكات المرفوضة

الخطوة 2.5. إذا كنت بحاجة إلى إضافة المزيد من إدخالات ACE، فانقر فوق الزر إضافة مرة أخرى ثم كرر الخطوة 2.4. بعد ذلك، انقر فوق زر حفظ لإكمال تكوين قائمة التحكم في الوصول (ACL):

الصورة 9. إدخالات قوائم التحكم في الوصول (ACL) الموسعة المكتملة

الخطوة 3. بعد ذلك، يجب تكوين كائن Flex-Config لتطبيق قائمة التحكم في الوصول (ACL) إلى واجهة FTD الخارجية. انتقل إلى اللوحة اليسرى، وحدد الخيار FlexConfig > FlexConfig Object.

الصورة 10. قائمة كائن FlexConfig

الخطوة 3.1. انقر فوق إضافة كائن FlexConfig:

الصورة 11. إضافة كائن Flexconfig

الخطوة 3.2. أضف اسما للكائن FlexConfig وأدخل كائن نهج قائمة التحكم في الوصول (ACL). حدد إدراج > إدراج كائن نهج > كائن قائمة التحكم في الوصول الموسعة:

الصورة 12. متغير كائن FlexConfig

الخطوة 3.3. أضف اسما لمتغير كائن قائمة التحكم في الوصول (ACL) وحدد قائمة التحكم في الوصول (ACL) الموسعة التي تم إنشاؤها في الخطوة 2.3، انقر فوق الزر حفظ:

الصورة 13. إرسال قائمة التحكم في الوصول (ACL) لمتغير كائن FlexConfig

الخطوة 3.4. تكوين قائمة التحكم في الوصول إلى مستوى التحكم كواردة للواجهة الخارجية.

صياغة سطر الأوامر:

access-group "variable name starting with $ symbol" in interface "interface-name" control-plane

وهذا يترجم إلى مثال الأمر التالي، والذي يستخدم متغير قائمة التحكم في الوصول (ACL) الذي تم إنشاؤه في الخطوة 2.3 var-ACL-UNWANTED-country:

access-group $VAR-ACL-UNWANTED-COUNTRY in interface outside control-plane

هذه هي الطريقة التي يجب بها تكوين نافذة كائن FlexConfig، بعد ذلك، حدد زر حفظ لإكمال كائن FlexConfig:

الصورة 14. سطر الأوامر الكامل لكائن Flexconfig

ملاحظة: يوصى بشدة تكوين قائمة التحكم في الوصول إلى مستوى التحكم فقط للواجهات التي تتلقى جلسات عمل VPN للوصول عن بعد الوارد في جدار الحماية الآمن، مثل الواجهة الخارجية.

الخطوة 4. يجب عليك تطبيق تكوين كائن FlexConfig على FTD، انتقل إلى الأجهزة > FlexConfig:

الصورة 15. قائمة سياسة FlexConfig

الخطوة 4.1. انقر فوق سياسة جديدة، إذا لم يكن هناك FlexConfig تم إنشاؤه ل FTD الخاص بك، فعليك تحرير سياسة FlexConfig الحالية:

الصورة 16. إنشاء سياسة FlexConfig

الخطوة 4.2. أضف اسما لنهج FlexConfig الجديد وحدد FTD الذي تريد تطبيق قائمة التحكم في الوصول (ACL) التي تم إنشاؤها على مستوى التحكم:

الصورة 17. تعيين جهاز سياسة FlexConfig

الخطوة 4.3. من اللوحة اليسرى، ابحث عن كائن FlexConfig الذي تم إنشاؤه في الخطوة 3.2، ثم أضفه إلى نهج FlexConfig بنقر السهم الأيمن الموجود في وسط النافذة. ثم انقر فوق الزر حفظ:

الصورة 18. إرسال كائن سياسة FlexConfig

الخطوة 5. استمر في نشر تغيير التكوين في FTD من خلال الانتقال إلى النشر > النشر المتقدم:

الصورة 19. النشر المتقدم في FTD

الخطوة 5.1. حدد FTD الذي تريد تطبيق سياسة FlexConfig. إذا كان كل شيء صحيحا، انقر فوق نشر:

الصورة 20. التحقق من نشر برنامج الإرسال فائق السرعة (FTD)

الخطوة 5.2. بعد ذلك، يتم عرض نافذة تأكيد النشر، وإضافة تعليق لتعقب النشر ومتابعة النشر:

الصورة 21. تعليقات نشر FTD

الخطوة 5.3. يمكن أن تظهر رسالة تحذير عند نشر تغييرات FlexConfig. انقر فوق نشر فقط إذا كنت متأكدا تماما من صحة تكوين النهج:

الصورة 22. تحذير FlexConfig الخاص بنشر بروتوكول FTD

الخطوة 5.4. تأكد من نجاح نشر النهج ل FTD:

الصورة 23. نجح نشر برنامج FTD

الخطوة 6. إذا قمت بإنشاء قائمة تحكم في الوصول (ACL) جديدة ل FTD الخاص بك أو إذا قمت بتحرير قائمة تحكم موجودة قيد الاستخدام بشكل نشط، فمن المهم إبراز تغييرات التكوين التي تم إجراؤها. لا تنطبق هذه الأمور على الاتصالات التي تم إنشاؤها بالفعل ب FTD. يجب مسح محاولات الاتصال النشطة يدويا ب FTD، والاتصال ب CLI الخاص ب FTD، ومسح الاتصالات النشطة.

لمسح الاتصال النشط لعنوان IP لمضيف معين:

> clear conn address 192.168.1.10 all

لمسح الاتصالات النشطة لشبكة فرعية بأكملها:

> clear conn address 192.168.1.0 netmask 255.255.255.0 all

لمسح الاتصالات النشطة لنطاق من عناوين IP:

> clear conn address 192.168.1.1-192.168.1.10 all

ملاحظة: يوصى بشدة باستخدام الكلمة الأساسية all في نهاية الأمر clear conn address لإجبار إزالة محاولات اتصال القوة الغاشمة لشبكة VPN النشطة إلى جدار الحماية الآمن. يحدث ذلك بشكل رئيسي عندما تتسبب طبيعة هجوم قوة VPN بوحشية في إحداث إنفجار لمحاولات الربط الدائم.

[فيديو] تكوين قائمة التحكم في الوصول (ACL) إلى مستوى التحكم ل FTD المدار من قبل FMC

تكوين قائمة التحكم في الوصول إلى مستوى التحكم ل FTD المدار من FDM

هذا هو الإجراء الذي يجب عليك الالتزام به باستخدام FDM لتكوين قائمة التحكم في الوصول (ACL) إلى مستوى التحكم لحظر هجمات القوة الغاشمة لشبكة VPN الواردة إلى واجهة FTD الخارجية:

الخطوة 1. افتح واجهة المستخدم الرسومية (GUI) الخاصة ب FDM عبر HTTPS وسجل الدخول باستخدام بيانات الاعتماد الخاصة بك:

الصورة 24. سجل الدخول إلى صفحة FDM

الخطوة 2. يجب عليك إنشاء شبكة كائن. انتقل إلى الكائنات:

الصورة 25. لوحة المعلومات الرئيسية ل FDM

الخطوة 2.1. من اللوحة اليسرى، حدد شبكات، ثم انقر فوق زر + لإنشاء كائن شبكة جديد:

الصورة 26. إنشاء الكائن

الخطوة 2.2. أضف اسما لكائن الشبكة، وحدد نوع الشبكة للكائن، أو أضف عنوان IP، أو عنوان الشبكة، أو نطاق عناوين IP لمطابقة حركة المرور التي يجب رفضها إلى FTD. ثم انقر على زر موافق لإكمال شبكة الكائن.

في هذا المثال، تهدف شبكة الكائن التي تم تكوينها إلى حظر هجمات القوة الغاشمة لشبكة VPN القادمة من الشبكة الفرعية 192.168.1.0/24:

الصورة 27. إضافة كائن شبكة

الخطوة 3. بعد ذلك، يجب عليك إنشاء قائمة تحكم في الوصول (ACL) موسعة، ثم انتقل إلى علامة التبويب الجهاز في القائمة العليا:

الصورة 28. صفحة إعدادات الجهاز

الخطوة 3.1. قم بالتمرير لأسفل وحدد عرض التكوين من مربع التكوين المتقدم كما هو موضح في الصورة:

الصورة 29. التكوين المتقدم FDM

الخطوة 3.2. ثم، من اللوحة اليسرى، تصفح إلى CLI الذكي > كائنات وانقر إنشاء كائن CLI ذكي.

الصورة 30. كائنات CLI الذكية

الخطوة 3.3. أضف اسما لقائمة التحكم في الوصول (ACL) الموسعة. لإنشاء قائمة الوصول الموسعة من القائمة المنسدلة لقالب واجهة سطر الأوامر (CLI)، ثم قم بتكوين إدخالات التحكم في الوصول (ACEs) المطلوبة باستخدام كائن الشبكة الذي تم إنشاؤه في الخطوة 2.2. ثم انقر فوق الزر موافق لإكمال قائمة التحكم في الوصول (ACL):

الصورة 31. إنشاء قائمة التحكم في الوصول (ACL) الموسعة

ملاحظة: إذا كنت بحاجة إلى إضافة المزيد من وحدات ACE لقائمة التحكم بالوصول (ACL)، فيمكنك القيام بذلك من خلال تحريك الماوس فوق يسار ACE الحالي؛ ثم لا تظهر ثلاث نقاط يمكن النقر فوقها. انقر فوق هذا وحدد مضاعفة لإضافة المزيد من إدخالات التحكم في الوصول (ACEs). 

الخطوة 4. بعد ذلك، يجب عليك إنشاء كائن FlexConfig، وتصفح إلى اللوحة اليسرى وحدد FlexConfig > FlexConfig Objects، ثم انقر فوق إنشاء كائن FlexConfig:

،

صورة 32. كائنات FlexConfig

الخطوة 4.1. أضف اسما للكائن FlexConfig لإنشاء قائمة التحكم في الوصول (ACL) إلى مستوى التحكم وتكوينها كداخل للواجهة الخارجية.

صياغة سطر الأوامر:

access-group "ACL-name" in interface "interface-name" control-plane

وهذا يترجم إلى مثال الأمر التالي، الذي يستخدم قائمة التحكم في الوصول (ACL) الموسعة التي تم إنشاؤها في الخطوة 3.3 قائمة التحكم في الوصول (ACL)-غير المرغوب فيه-الدولة:

access-group ACL-UNWANTED-COUNTRY in interface outside control-plane

بهذه الطريقة يمكن تكوينها في نافذة كائن FlexConfig. حدد الزر موافق لإكمال كائن FlexConfig:

الصورة 33. إنشاء كائن FlexConfig

ملاحظة: يوصى بشدة تكوين قائمة التحكم في الوصول إلى مستوى التحكم فقط للواجهات التي تتلقى جلسات عمل VPN للوصول عن بعد الوارد في جدار الحماية الآمن، مثل الواجهة الخارجية.

الخطوة 5. استمر في إنشاء سياسة FlexConfig. انتقل إلى FlexConfig > FlexConfig Policy، وانقر فوق الزر +" وحدد كائن FlexConfig الذي تم إنشاؤه في الخطوة 4.1:

الصورة 34. سياسة FlexConfig

الخطوة 5.1. التحقق من صحة معاينة FlexConfig تعرض التكوين الصحيح لقائمة التحكم في الوصول (ACL) التي تم إنشاؤها وانقر فوق زر حفظ:

الصورة 35. معاينة سياسة FlexConfig

الخطوة 6. قم بنشر تغييرات التكوين إلى FTD الذي تريد حمايته ضد هجمات القوة الغاشمة لشبكة VPN. ثم انقر فوق الزر نشر في القائمة العليا وتحقق من صحة تغييرات التكوين التي سيتم نشرها، ثم انقر فوق نشر الآن:

الصورة 36 - النشر المعلق

الخطوة 6.1. تحقق من نجاح نشر النهج:

الصورة 37. تم النشر بنجاح

الخطوة 7. إذا قمت بإنشاء قائمة تحكم في الوصول (ACL) جديدة ل FTD الخاص بك أو إذا قمت بتحرير قائمة تحكم موجودة قيد الاستخدام بشكل نشط، فمن المهم إبراز تغييرات التكوين التي تم إجراؤها. لا تنطبق هذه الأمور على الاتصالات التي تم إنشاؤها بالفعل ب FTD. يجب مسح محاولات الاتصال النشطة يدويا ب FTD، والاتصال ب CLI الخاص ب FTD، ومسح الاتصالات النشطة.

لمسح الاتصال النشط لعنوان IP لمضيف معين:

> clear conn address 192.168.1.10 all

لمسح الاتصالات النشطة لشبكة فرعية بأكملها:

> clear conn address 192.168.1.0 netmask 255.255.255.0 all

لمسح الاتصالات النشطة لنطاق من عناوين IP:

> clear conn address 192.168.1.1-192.168.1.10 all

ملاحظة: يوصى بشدة باستخدام الكلمة الأساسية all في نهاية الأمر clear conn address لإجبار إزالة محاولات اتصال القوة الغاشمة لشبكة VPN النشطة إلى جدار الحماية الآمن. يحدث ذلك بشكل رئيسي عندما تتسبب طبيعة هجوم قوة VPN بوحشية في إحداث إنفجار لمحاولات الربط الدائم.

تكوين قائمة التحكم في الوصول لمستوى التحكم ل ASA باستخدام CLI

هذا هو الإجراء الذي يجب عليك الالتزام به مع ASA CLI، وهذا لتكوين قائمة التحكم في الوصول (ACL) لمستوى التحكم لحظر هجمات القوة الوحشية لشبكة VPN الواردة إلى الواجهة الخارجية:

الخطوة 1. سجل الدخول إلى ASA لجدار الحماية الآمن عبر CLI وتمتع بالوصول إلى الأمر configure terminal.

asa# configure terminal

الخطوة 2. قم بتشغيل الأمر التالي لتكوين قائمة التحكم في الوصول (ACL) موسعة، وهذا يمنع عنوان IP المضيف أو عنوان الشبكة لحركة المرور التي يجب حظرها إلى ASA.

في هذا المثال، تقوم بإنشاء قائمة تحكم في الوصول (ACL) جديدة تسمى ACL-UNWANTED-Country ويحظر إدخال ACE الذي تم تكوينه هجمات القوة الغاشمة لشبكة VPN القادمة من الشبكة الفرعية 192.168.1.0/24:

asa(config)# access-list ACL-UNWANTED-COUNTRY extended deny ip 192.168.1.0 255.255.255.0 any

الخطوة 3. قم بتشغيل الأمر التالي access-group لتكوين قائمة التحكم في الوصول (ACL)-غير المرغوب-Country كقائمة تحكم في الوصول (ACL) لواجهة ASA الخارجية:

asa(config)# access-group ACL-UNWANTED-COUNTRY in interface outside control-plane

ملاحظة: يوصى بشدة تكوين قائمة التحكم في الوصول إلى مستوى التحكم فقط للواجهات التي تتلقى جلسات عمل VPN للوصول عن بعد الوارد في جدار الحماية الآمن، مثل الواجهة الخارجية.

الخطوة 4. إذا قمت بإنشاء قائمة تحكم في الوصول (ACL) جديدة أو إذا قمت بتحرير قائمة تحكم موجودة قيد الاستخدام بشكل نشط، فمن المهم إبراز تغييرات التكوين التي تم إجراؤها. لا ينطبق هذا على الاتصالات التي تم إنشاؤها بالفعل مع ASA، ويجب عليك مسح محاولات الاتصال النشط يدويا إلى ASA ومسح الاتصالات النشطة.

لمسح الاتصال النشط لعنوان IP لمضيف معين:

asa# clear conn address 192.168.1.10 all

لمسح الاتصالات النشطة لشبكة فرعية بأكملها:

asa# clear conn address 192.168.1.0 netmask 255.255.255.0 all

لمسح الاتصالات النشطة لنطاق من عناوين IP:

asa# clear conn address 192.168.1.1-192.168.1.10 all

ملاحظة: يوصى بشدة باستخدام الكلمة الأساسية all في نهاية الأمر clear conn address لإجبار إزالة محاولات اتصال القوة الغاشمة لشبكة VPN النشطة إلى جدار الحماية الآمن. يحدث ذلك بشكل رئيسي عندما تتسبب طبيعة هجوم قوة VPN بوحشية في إحداث إنفجار لمحاولات الربط الدائم.

تجنب التكوين البديل لحظر الهجمات على جدار الحماية الآمن أثناء تشغيله

للحصول على هجمات حظر فورية لجدار الحماية الآمن، يمكنك تشغيل الأمر shun. يسمح لك هذا الأمر بحظر الاتصالات من مضيف مهاجم، ومراجعة المزيد من التفاصيل حول أمر shun:

• بمجرد تجنب عنوان IP، يتم إسقاط جميع الاتصالات المستقبلية من عنوان IP المصدر وتسجيلها حتى تقوم بإزالة وظيفة الحظر يدويا.
• يتم تطبيق وظيفة الحظر الخاصة بهذا الأمر سواء كان هناك اتصال بعنوان المضيف المحدد نشط حاليا.
• إن يعين أنت الغاية عنوان، مصدر وغاية ميناء، والبروتوكول، أنت يسقط ال يماثل توصيل ويضع a جزمة على كل توصيل مستقبلي من المصدر عنوان. يتم تجنب جميع الاتصالات المستقبلية، وليس فقط تلك التي تطابق معلمات الاتصال المحددة هذه.
• يمكنك الحصول على OneConnectCommand فقط لكل عنوان IP للمصدر.
• لأن الأمر يتم إستخدامه لحظر الهجمات بشكل ديناميكي، لا يتم عرضه في تكوين التهديد لجهاز الدفاع.
• عندما تتم إزالة تكوين واجهة، تتم أيضا إزالة جميع الخيارات المتصلة بتلك الواجهة.

صياغة أمر تجنب:

shun source_ip [ dest_ip source_port dest_port [ protocol]] [ vlan vlan_id]

لتعطيل إشارة، قم بتشغيل الأمر no form of هذا:

no shun source_ip [ vlan vlan_id]

لإبعاد عنوان IP مضيف، انتقل إلى هذا المثال لجدار الحماية الآمن. في هذا المثال، يتم إستخدام الأمر show لحظر هجمات القوة الغاشمة لشبكة VPN الواردة من عنوان IP المصدر 192.168.1.10.

 

مثال التكوين ل FTD

الخطوة 1. سجل الدخول إلى FTD عبر CLI وقم بتشغيل الأمر shun:

> shun 192.168.1.10
Shun 192.168.1.10 added in context: single_vf
Shun 192.168.1.10 successful

الخطوة 2. يمكنك تشغيل أوامر show لتأكيد عناوين IP غير المستخدمة في FTD ومراقبة عدد مرات الوصول غير المستخدمة لكل عنوان IP:

> show shun
shun (outside) 192.168.1.10 0.0.0.0 0 0 0  

> show shun statistics
diagnostic=OFF, cnt=0
outside=ON, cnt=0

Shun 192.168.1.10 cnt=0, time=(0:00:28)

تشكيل مثال ل ASA

الخطوة 1. سجل الدخول إلى ASA عبر CLI وطبق الأمر shun:

asa# shun 192.168.1.10
Shun 192.168.1.10 added in context: single_vf
Shun 192.168.1.10 successful

الخطوة 2. يمكنك تشغيل أوامر show لتأكيد عناوين IP غير المستخدمة في ASA ومراقبة عدد مرات الوصول غير المستخدمة لكل عنوان IP:

asa# show shun
shun (outside) 192.168.1.10 0.0.0.0 0 0 0

asa# show shun statistics 
outside=ON, cnt=0
inside=OFF, cnt=0
dmz=OFF, cnt=0
outside1=OFF, cnt=0
mgmt=OFF, cnt=0

Shun 192.168.1.10 cnt=0, time=(0:01:39)

ملاحظة: للحصول على مزيد من المعلومات حول الأمر secure firewall ignore، ارجع إلى مرجع أمر الدفاع عن تهديد جدار الحماية الآمن من Cisco.

التحقق من الصحة

لتأكيد تكوين قائمة التحكم في الوصول (ACL) لمستوى التحكم في الوضع المناسب لجدار الحماية الآمن، أكمل الخطوات التالية:

الخطوة 1. سجل الدخول إلى جدار الحماية الآمن عبر واجهة سطر الأوامر (CLI) ثم قم بتشغيل الأوامر التالية لتأكيد تطبيق تكوين قائمة التحكم في الوصول (ACL) على مستوى التحكم.

مثال إخراج ل FTD الذي تتم إدارته من قبل FMC:

> show running-config access-list ACL-UNWANTED-COUNTRY 
access-list ACL-UNWANTED-COUNTRY extended deny ip 192.168.1.0 255.255.255.0 any

> show running-config access-group
***OUTPUT OMITTED FOR BREVITY***
access-group ACL-UNWANTED-COUNTRY in interface outside control-plane

مثال إخراج ل FTD المدار بواسطة FDM:

> show running-config object id OBJ-NET-UNWANTED-COUNTRY
object network OBJ-NET-UNWANTED-COUNTRY
subnet 192.168.1.0 255.255.255.0

> show running-config access-list ACL-UNWANTED-COUNTRY 
access-list ACL-UNWANTED-COUNTRY extended deny ip 192.168.1.0 255.255.255.0 any4 log default

> show running-config access-group
***OUTPUT OMITTED FOR BREVITY***
access-group ACL-UNWANTED-COUNTRY in interface outside control-plane

 

مثال الإخراج ل ASA:

asa# show running-config access-list ACL-UNWANTED-COUNTRY 
access-list ACL-UNWANTED-COUNTRY extended deny ip 192.168.1.0 255.255.255.0 any

asa# show running-config access-group
***OUTPUT OMITTED FOR BREVITY***
access-group ACL-UNWANTED-COUNTRY in interface outside control-plane

الخطوة 2. لتأكيد قائمة التحكم في الوصول (ACL) على مستوى التحكم في حظر حركة المرور المطلوبة، قم بتشغيل الأمر packet-tracer لمحاكاة اتصال TCP 443 الوارد إلى الواجهة الخارجية لجدار الحماية الآمن. ثم، قم بتشغيل الأمر show access-list <acl-name> ، ويمكن زيادة عدد مرات الوصول إلى قائمة التحكم في الوصول (ACL) في كل مرة يتم فيها حظر اتصال القوة الغاشمة الخاصة بشبكة VPN بجدار الحماية الآمن بواسطة قائمة التحكم في الوصول (ACL) لمستوى التحكم.

في هذا المثال، يقوم الأمر packet-tracer بمحاكاة اتصال TCP 443 الوارد الوارد الوارد الوارد من المضيف 192.168.1.10 والموجه إلى عنوان IP الخارجي لجدار الحماية الآمن. يؤكد إخراج packet-tracer إسقاط حركة المرور ويعرض إخراج show access-list زيادات عدد مرات الوصول لقائمة التحكم في الوصول (ACL) إلى مستوى التحكم في الوضع:  

مثال إخراج ل FTD

> packet-tracer input outside tcp 192.168.1.10 1234 10.3.3.251 443
Phase: 1
Type: ACCESS-LIST
Subtype: log
Result: DROP
Elapsed time: 21700 ns
Config:
Additional Information:

Result:
input-interface: outside(vrfid:0)
input-status: up
input-line-status: up
Action: drop
Time Taken: 21700 ns
Drop-reason: (acl-drop) Flow is denied by configured rule, Drop-location: frame 0x00005623c7f324e7 flow (NA)/NA

> show access-list ACL-UNWANTED-COUNTRY
access-list ACL-UNWANTED-COUNTRY; 1 elements; name hash: 0x42732b1f
access-list ACL-UNWANTED-COUNTRY line 1 extended deny ip 192.168.1.0 255.255.255.0 any (hitcnt=1) 0x142f69bf

مثال على الإخراج ل ASA

asa# packet-tracer input outside tcp 192.168.1.10 1234 10.3.3.5 443
Phase: 1
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Elapsed time: 19688 ns
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype: log
Result: DROP
Elapsed time: 17833 ns
Config:
Additional Information:

Result:
input-interface: outside
input-status: up
input-line-status: up
Action: drop
Time Taken: 37521 ns
Drop-reason: (acl-drop) Flow is denied by configured rule, Drop-location: frame 0x0000556e6808cac8 flow (NA)/NA

asa# show access-list ACL-UNWANTED-COUNTRY
access-list ACL-UNWANTED-COUNTRY; 1 elements; name hash: 0x42732b1f
access-list ACL-UNWANTED-COUNTRY line 1 extended deny ip 192.168.1.0 255.255.255.0 any (hitcnt=1) 0x9b4d26ac 

ملاحظة: إذا تم تنفيذ حل RAPN مثل شبكة VPN الخاصة بالعميل الآمن من Cisco في جدار الحماية الآمن، يمكن بعد ذلك تنفيذ محاولة اتصال حقيقية لجدار الحماية الآمن لتأكيد عمل قائمة التحكم في الوصول إلى مستوى التحكم كما هو متوقع لحظر حركة المرور المطلوبة.

الأخطاء ذات الصلة

• إنه | إتصالات AnyConnect العميلة القائمة على الموقع الجغرافي: معرف تصحيح الأخطاء من Cisco CSCvs65322
• دوك: لا يدعم بحث مجموعة كائنات ASA/FTD قوائم التحكم في الوصول (ACLs) إلى مستوى التحكم: معرف تصحيح الأخطاء من Cisco CSCwi58818  

معلومات ذات صلة

• تكوين السياسات المستندة إلى الموقع الجغرافي للوصول عن بعد إلى VPN على الدفاع ضد تهديد جدار الحماية الآمن
• توصيات ضد هجمات رش كلمة المرور الموجهة إلى خدمات VPN للوصول عن بعد في جدار الحماية الآمن
• دليل مرجع تقنيات VPN من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
3.0	01-Jul-2026	نص بديل محدث، التدقيق الإملائي، النحوي، هيكل الجملة، المسافات، وتنبيهات CCW.
2.0	10-Apr-2025	التنسيق، النص البديل، الرؤوس الثابتة، لغة DEI
1.0	21-Dec-2023	الإصدار الأولي