Configurar o ASA com regras do controle de acesso dos serviços de FirePOWER para filtrar o tráfego do cliente VPN de AnyConnect ao Internet

Introdução

Este documento descreve como configurar regras da política do controle de acesso (ACP) para inspecionar o tráfego que vem dos túneis do Virtual Private Network (VPN) ou dos usuários do Acesso remoto (RA) e usa uma ferramenta de segurança adaptável de Cisco (ASA) com serviços de FirePOWER como o Gateway de Internet.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• AnyConnect, acesso remoto VPN e/ou IPSec VPN peer-to-peer.
• Configuração de FirePOWER ACP. 
• Estrutura de política modular ASA (MPF). 

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Versão 9.6(2.7) ASA5506W para o exemplo de ASDM
• Versão 6.1.0-330 do módulo de FirePOWER para o exemplo de ASDM.
• Versão 9.7(1) ASA5506W para o exemplo FMC.
• Versoin 6.2.0 de FirePOWER para o exemplo FMC.
• Versão 6.2.0 do centro de gerenciamento de FirePOWER (FMC) 

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Problema

ASA5500-X com serviços de FirePOWER é incapaz de filtrar e/ou para inspecionar usuários de AnyConnect trafique como mesmos que o tráfego originado por outros lugar conectados pelos túneis de IPsec que usam um único ponto da Segurança satisfeita permietral. 

Um outro sintoma que esta solução cobre é ser incapaz de definir regras específicas ACP às fontes mencionadas sem o outro emprego das fontes. 

Esta encenação é muito comum considerar quando o projeto de TunnelAll é usado para as soluções de VPN terminadas em um ASA. 

Solução

Isto pode ser conseguido através das formas múltiplas. Contudo, esta encenação cobre a inspeção por zonas. 

Configuração ASA

Etapa 1. Identifique as relações onde os usuários de AnyConnect ou os túneis VPN conectam ao ASA. 

Par a espreitar túneis

Esta é uma sucata da saída do crypto map da corrida da mostra.

crypto map outside_map interface outside

Usuários de AnyConnect

O webvpn do comando show run mostra onde o acesso de AnyConnect é permitido. 

webvpn
 enable outside
 hostscan image disk0:/hostscan_4.3.05019-k9.pkg
 hostscan enable
 anyconnect image disk0:/anyconnect-win-4.4.01054-webdeploy-k9.pkg 1
 anyconnect image disk0:/anyconnect-macos-4.4.01054-webdeploy-k9.pkg 2
 anyconnect enable

Nesta encenação, a parte externa da relação recebe, usuários RA e par para espreitar túneis. 

Etapa 2. Reoriente o tráfego do ASA ao módulo de FirePOWER com uma política global. 

Pode ser feita com um fósforo toda a condição ou um Access Control List definido (ACL) para a reorientação do tráfego. 

Exemplo com fósforo algum fósforo.

class-map SFR
 match any

policy-map global_policy
 class SFR
   sfr fail-open

service-policy global_policy global

Exemplo com fósforo ACL. 

access-list sfr-acl extended permit ip any any

class-map SFR
 match access-list sfr-acl

policy-map global_policy
 class SFR
   sfr fail-open

service-policy global_policy global

Em menos cenário comum, uma política de serviços pode ser usada para a interface externa. Este exemplo não é coberto neste documento. 

Módulo ASA FirePOWER controlado pela configuração ASDM

Etapa 1. Atribua à interface externa uma zona na configuração > na configuração > no Gerenciamento de dispositivos ASA FirePOWER. Neste caso, essa zona é chamada fora.

Etapa 2. Seleto adicionar a regra na configuração > na configuração ASA FirePOWER > nas políticas > na política do controle de acesso.

Etapa 3. Das zonas catalogue, selecione a zona exterior como a fonte e o destino para sua regra.

Etapa 4. Selecione a ação, o título e todas as outras circunstâncias desejadas para definir esta regra. 

As regras múltiplas podem ser criadas para este fluxo de tráfego. É apenas importante manter-se na mente que a fonte e as zonas de destino devem ser a zona atribuída às fontes e ao Internet VPN.

Certifique-se de que há não outras mais políticas gerais que poderiam combinar antes destas regras. É preferrable ter estas regras acima de essas definidas a toda a zona. 

Etapa 5. Clique sobre mudanças da loja ASA FirePOWER e distribua então mudanças de FirePOWER para mandar estas mudanças tomar o efeito. 

Módulo ASA FirePOWER controlado pela configuração FMC

Etapa 1. Atribua à interface externa uma zona em dispositivos > em Gerenciamento > em relações. Neste caso, essa zona é chamada parte-zona.

Etapa 2. Seleto adicionar a regra em políticas > em controle de acesso > editam.

Etapa 3. Das zonas catalogue, selecione a zona da parte-zona como a fonte e o destino para sua regra.

Etapa 4. Selecione a ação, o título e todas as outras circunstâncias desejadas para definir esta regra. 

As regras múltiplas podem ser criadas para este fluxo de tráfego. É apenas importante manter-se na mente que a fonte e as zonas de destino devem ser a zona atribuída às fontes e ao Internet VPN.

Certifique-se de que há não outras mais políticas gerais que poderiam combinar antes destas regras. É preferrable ter estas regras acima de essas definidas a toda a zona. 

Etapa 5. Clique sobre a salvaguarda e distribua-a então para mandar estas mudanças tomar o efeito. 

Resultado

Depois que o desenvolvimento termina, o tráfego de AnyConnect agora está filtrado/inspecionado pelas regras ACP aplicadas. Neste exemplo, uma URL foi obstruída com sucesso.