Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Configurar

Diagrama de la red

Configuración

Tiempo de espera electrónico

Verificación

Troubleshoot

Introducción

Este documento proporciona una configuración de ejemplo para PIX 7.1(1) y posteriores de un tiempo de espera que es específico para una aplicación particular como SSH/Telnet/HTTP, en lugar de uno que se aplica a todas las aplicaciones. Este ejemplo de configuración utiliza el nuevo Marco de política modular introducido en PIX 7.0. Refiérase a Uso de la Estructura de Políticas Modular para obtener más información.

En esta configuración de ejemplo, el firewall PIX se configura para permitir que la estación de trabajo (10.77.241.129) a Telnet/SSH/HTTP al servidor remoto (10.1.1.1) detrás del router. También se configura un tiempo de espera de conexión separado para el tráfico de Telnet/SSH/HTTP. El resto del tráfico TCP continúa teniendo el valor de tiempo de espera de conexión normal asociado con la conexión de tiempo de espera 1:00:00.

Consulte AASA 8.3 y posteriores: Configure el Tiempo de Espera de Conexión SSH/Telnet/HTTP usando el Ejemplo de Configuración de MPF para obtener más información sobre la configuración idéntica mediante ASDM con Cisco Adaptive Security Appliance (ASA) con la versión 8.3 y posteriores.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Cisco PIX/ASA Security Appliance Software Version 7.1(1) con Adaptive Security Device Manager (ASDM) 5.1.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Configurar

En esta sección encontrará la información para configurar las funciones descritas en este documento.

Nota: Use el Command Lookup Tool (únicamente clientes registrados) para obtener más información sobre los comandos que se utilizan en esta sección.

Diagrama de la red

En este documento, se utiliza esta configuración de red:

Nota: Los esquemas de direccionamiento IP utilizados en esta configuración no son legalmente enrutables en Internet. Son direcciones RFC 1918, que se han utilizado en un entorno de laboratorio.

Configuración

Este documento usa esta configuración:

Nota: Estas configuraciones CLI y ASDM se aplican al módulo de servicio de firewall (FWSM)

Configuración de CLI:

Configuración de PIX

PIX Version - 7.1(1)

!

hostname PIX

domain-name Cisco.com

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface Ethernet0

nameif outside

security-level 0

ip address 192.168.200.1 255.255.255.0

!

interface Ethernet1

nameif inside

security-level 100

ip address 10.77.241.142 255.255.255.192

!

access-list inside_nat0_outbound extended permit ip 10.77.241.128 255.255.255.192 any

!--- Define the traffic that has to be matched in the class map. !--- Telnet is defined in this example.

access-list outside_mpc_in extended permit tcp host 10.77.241.129 any eq telnet

access-list outside_mpc_in extended permit tcp host 10.77.241.129 any eq ssh

access-list outside_mpc_in extended permit tcp host 10.77.241.129 any eq www

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq telnet

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq ssh

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq www

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

no asdm history enable

arp timeout 14400

nat (inside) 0 access-list inside_nat0_outbound

access-group 101 in interface outside

route outside 0.0.0.0 0.0.0.0 192.168.200.2 1

timeout xlate 3:00:00

!--- The default connection timeout value of one hour is applicable to !--- all other TCP applications.

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00

timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

telnet timeout 5

ssh timeout 5

console timeout 0

!

!--- Define the class map telnet in order !--- to classify Telnet/ssh/http traffic when you use Modular Policy Framework !--- to configure a security feature. !--- Assign the parameters to be matched by class map.

class-map telnet

description telnet

match access-list outside_mpc_in

class-map inspection_default

match default-inspection-traffic

!

!

policy-map global_policy

class inspection_default

inspect dns maximum-length 512

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

!--- Use the pre-defined class map telnet in the policy map.

policy-map telnet

!--- Set the connection timeout under the class mode in which !--- the idle TCP (Telnet/ssh/http) connection is disconnected. !--- There is a set value of ten minutes in this example. !--- The minimum possible value is five minutes.

class telnet

set connection timeout tcp 00:10:00 reset

!

!

service-policy global_policy global

!--- Apply the policy-map telnet on the interface. !--- You can apply the service-policy command to any interface that !--- can be defined by the nameif command.

service-policy telnet interface outside

end

Configuración de ASDM:

Complete estos pasos para configurar el tiempo de espera de conexión TCP para el tráfico Telnet basado en la lista de acceso que utiliza ASDM como se muestra.

Nota: Refiérase a Permiso de Acceso HTTPS para ASDM para la configuración básica para acceder al PIX/ASA a través de ASDM.

1. Configurar interfaces

1. Elija Configuration > Interfaces > Add para configurar las interfaces Ethernet0 (outside) y Ethernet1 (inside) como se muestra.

2. Click OK.

Configuración CLI equivalente como se muestra:

interface Ethernet0

nameif outside

security-level 0

ip address 192.168.200.1 255.255.255.0

!

interface Ethernet1

nameif inside

security-level 100

ip address 10.77.241.142 255.255.255.192

2. Configuración de NAT 0

1. Elija Configuration > NAT > Translation Exemption Rules > Add para permitir que el tráfico de la red 10.77.241.128/26 acceda a Internet sin ninguna traducción.

2. Click OK.

Configuración CLI equivalente como se muestra:

access-list inside_nat0_outbound extended permit ip 10.77.241.128 255.255.255.192 any

nat (inside) 0 access-list inside_nat0_outbound

3. Configuración de ACL

Elija Configuration > Security Policy >Access Rules para configurar las ACL como se muestra.

Haga clic en Agregar para configurar una ACL 101 que permita el tráfico Telnet originado desde la red 10.77.241.128/26 a cualquier red de destino y aplicarla para el tráfico saliente en la interfaz exterior.

Click OK. De manera similar para el tráfico ssh y http:

Configuración CLI equivalente como se muestra:

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq telnet

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq ssh

access-list 101 extended permit tcp 10.77.241.128 255.255.255.192 any eq www

access-group 101 out interface outside

4. Configurar tiempos de espera

Elija Configuration > Properties > Timeout para configurar los diversos tiempos de espera. En este escenario, mantenga el valor predeterminado para todos los tiempos de espera.

Configuración CLI equivalente como se muestra:

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

5. Configurar Reglas de política de servicio.

Elija Configuration > Security Policy > Service Policy Rules > Add para configurar el mapa de clase, el mapa de políticas para la configuración del tiempo de espera de la conexión TCP como 10 minutos y aplicar la política de servicio en la interfaz externa como se muestra.

1. Elija el botón de radio Interface para elegir outside - (create new service policy), que se creará, y asigne telnet como nombre de política.

Haga clic en Next (Siguiente).

2. Cree un telnet con nombre de mapa de clase y elija la casilla de verificación Dirección IP de origen y destino (utiliza ACL) en los criterios de coincidencia de tráfico.

Haga clic en Next (Siguiente).

3. Cree una ACL para hacer coincidir el tráfico Telnet originado desde la red 10.77.241.128/26 con cualquier red de destino y aplicarla a la clase telnet.

Haga clic en Next (Siguiente). De manera similar para el tráfico ssh y http:

4. Elija Connection Settings para configurar el tiempo de espera de conexión TCP como 10 minutos, y también elija la casilla de verificación Send reset to TCP endpoints before timeout.

5. Haga clic en Finish (Finalizar).

Configuración CLI equivalente como se muestra:

access-list outside_mpc_in extended permit tcp host 10.77.241.129  any eq telnet

access-list outside_mpc_in extended permit tcp host 10.77.241.129 any eq ssh

access-list outside_mpc_in extended permit tcp host 10.77.241.129 any eq www

class-map telnet

description telnet

match access-list outside_mpc_in

policy-map telnet

class telnet

set connection timeout tcp 00:10:00 reset

service-policy telnet interface outside

Tiempo de espera electrónico

Una conexión embrionaria es la conexión que está a mitad de camino o, por ejemplo, el intercambio de señales de tres vías no se ha completado para ella. Se define como tiempo de espera SYN en el ASA; de forma predeterminada, el tiempo de espera SYN en el ASA es de 30 segundos. Esta es la forma de configurar el tiempo de espera embrionario:

access-list emb_map extended permit tcp any any

class-map emb_map

match access-list emb_map

policy-map global_policy

class emb_map

set connection timeout embryonic 0:02:00

service-policy global_policy global

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

La herramienta Output Interpreter Tool (clientes registrados solamente) (OIT) soporta ciertos comandos show. Utilize el OIT para ver una análisis de la salida del comando show.

Ejecute el comando show service-policy interface outside para verificar sus configuraciones.

PIX#show service-policy interface outside

Interface outside:

Service-policy: http

Class-map: http

Set connection policy:

Set connection timeout policy:

tcp 0:05:00 reset

Inspect: http, packet 80, drop 0, reset-drop 0

Ejecute el comando show service-policy flow para verificar que el tráfico particular coincida con las configuraciones de política de servicio.

Este resultado del comando muestra un ejemplo:

PIX#show service-policy flow tcp host 10.77.241.129 host 10.1.1.2 eq 23

Global policy:

Service-policy: global_policy

Interface outside:

Service-policy: telnet

Class-map: telnet

Match: access-list 101

Access rule: permit tcp 10.77.241.128 255.255.255.192 any eq telnet

Action:

Input flow:  set connection timeout tcp 0:10:00 reset

Troubleshoot

Si descubre que el tiempo de espera de la conexión no funciona con el marco de políticas modular (MPF), compruebe la conexión de inicio de TCP. El problema puede ser una inversión de la dirección IP de origen y destino o una dirección IP mal configurada en la lista de acceso no coincide en el MPF para establecer el nuevo valor de tiempo de espera o para cambiar el tiempo de espera predeterminado para la aplicación. Cree una entrada de lista de acceso (origen y destino) de acuerdo con el inicio de la conexión para establecer el tiempo de espera de la conexión con MPF.

Información Relacionada

- Dispositivos de seguridad Cisco PIX de la serie 500

- Cisco ASA 5500 Series Adaptive Security Appliances

- Cisco PIX Firewall Software

- Referencias de Comandos de Cisco Secure PIX Firewall

- Avisos de campos de productos de seguridad (incluido PIX)

- Solicitudes de Comentarios (RFC)