A filosofia de configuração de regras de controle de acesso é bem similar entre os variados fabricantes de firewall e isso permite que um administrador experiente ( e com bom conhecimento teórico) possa transitar com relativa facilidade entre produtos concorrentes. Já no que diz respeito à criação de regras de Network Address Translation (NAT) pode haver diferenças consideráveis…

Especificamente no que concerne aos firewalls da família Cisco ASA ( e seu predecessor, o PIX Firewall), o bom entendimento do tópico NAT sempre foi uma espécie de “divisor de águas” para implementações bem-sucedidas de tais produtos. Presenciei várias situações práticas em clientes em que a não compreensão da teoria de NAT ocasionava a definição de um grande número de regras desnecessárias…

A essa altura, você pode estar pensando: NAT é um assunto antigo…  - O que há de tão especial ?

A resposta está na versão 8.3 do Cisco ASA. Houve um redesign completo do modelo de implementação de NAT e não há simplesmente como desabilitar o modelo novo. Se você está migrando para a versão 8.3 (ou superior) é necessário entender a nova sintaxe. Para ajudá-lo a processar tal mudança de paradigma, produzi uma série de artigos:

• NAT Evolution within Cisco ASA Software
• Where’s my Static ? A basic example of the NAT model introduced in Cisco ASA 8.3
• Dynamic NAT on ASA: before and after release 8.3
• Configuring Dynamic Policy PAT on ASA: current and legacy models
• Handling dual NAT on ASA: concurrent translation of source and destination addresses
• Migrating to ASA 8.3, 8.4 or higher ? Don’t rely blindly on the automatic NAT migration script
• Dealing with Identity NAT on ASA: pre and post 8.3 configuration models
• An example of the Unified NAT Table on Cisco ASA

Alexandre Moraes

Popularity: 1% [?]

Ao anunciar, em fevereiro de 2011, que os últimos blocos IPv4 haviam sido alocados para os Registros Regionais (Regional Internet Registries - RIRs), o IANA contribuiu não apenas para aumentar o interesse pela migração para IPv6 mas também para um certo “pânico” que se instaurou em torno do assunto.

Apesar de o tema IPv6 estar em voga há algum tempo, há muita incerteza ainda. E é bem comum que qualquer menção a v6 em discussões sobre Redes e Segurança, desperte sentimentos opostos:

• Por um lado, há a expectativa de criar e oferecer uma multiplicidade de novos serviços, viabilizando, por exemplo, a potencial alocação de um sem número de endereços por habitante do planeta.
• Por outro lado, a desconfiança sobre a transição há tanto anunciada finalmente se concretizar. Além do trabalho e esforço envolvidos para que isso seja possível…

É importante lembrar que o IPv6 difere do v4 em áreas que vão além da capacidade de endereçamento (virtualmente ilimitada) e do novo formato do header. Há muitos processos novos (até para executar tarefas básicas) que precisam ser entendidos para que se tenha êxito na migração para o novo protocolo. Há ainda paradigmas a serem quebrados, como a idéia tão arraigada de que acesso de seus hosts internos à Internet pressupõe o uso de Port Address Translation (ou address hiding, numa nomenclatura alternativa).

Bem, há muito o que se estudar… E provavelmente vale a pena investir em cursos específicos para se familiarizar um pouco mais com o assunto. De qualquer forma, numa tentativa de oferecer uma pequena contribuição, resolvi escrever uma série de pequenos artigos sobre IPv6. Boa leitura ! ( E espero que o material seja útil…)

IPv6: Deriving the EUI-64 Interface Identifier

Understanding some tricky IPv6 Addresses

Gaining visibility of your IPv6 traffic with Flexible Netflow

Some IPv6 link-local processes and the associated ICMPv6 messages

Introduction to IOS IPv6 ACLs

How IOS IPv6 ACLs handle ICMPv6 Neighbor Discovery messages

IPv6 Migration: Host and Routing Functions on Cisco Catalyst Switches

Sample Configuration of the Cisco IOS Zone-based Policy Firewall with IPv6

Cisco IOS Zone-based Policy Firewall: L7 inspection for FTP over IPv6

Alexandre Moraes

Popularity: 1% [?]

   Quando ouvem a respeito da possibilidade de implementar soluções de stateful firewall em roteadores, muitos administradores de Segurança demonstram imediata desconfiança.

   Por um lado acho compreensível, dado que os roeteadores são, por excelência, elementos “provedores de conectividade” e não impõem condições de segurança para encaminhamento de pacotes (pois basta que tenham a rota para o destino de interesse). Entendo ainda que em pontos específicos da Rede, tais como Data Center e borda Internet, não é uma prática recomendável apostar todas as fichas em um elemento só.

   Mas o que pensar sobre implementar a funcionalidade de Stateful Firewall em roteadores que atendem localidades remotas e que, tipicamente, não apresentam requisitos elevados de desempenho ? Seria possível ter um firewall de verdade em um tal roteador ?

   Começo a responder tais perguntas, afirmando que a funcionalidade integrada de stateful firewall não é novidade nos roteadores Cisco. O modelo Context Based Access Control (CBAC), também conhecido como Classic IOS Firewall está disponível há mais de dez anos e o seu sucessor, Zone-based Policy Firewall (ZFW) há pelo menos seis…

    A essa altura você pode estar se perguntando:

    - Se já existia o CBAC, por que criar o Zone-based Firewall ? O CBAC não era suficiente ?

    Bem, vamos às respostas:

a)     O CBAC provê um firewall stateful mas as regras de inspeção eram criadas entre pares de interfaces e não havia um conceito de Domínio de Segurança (Security Zone, utilizando a nomenclatura do ZFW). Tal característica dificultava a visualização lógica das relações de confiança entre os elementos da topologia e também trazia desafios em termos de expansibilidade. (Imagine, por exemplo, criar regras entre dez interfaces distintas…)

b)      A linha de raciocínio de construção de políticas adotada pelo ZFW é muito similar à que se usa para configurar Qualidade de Serviço (class-map para classificar pacotes e policy-map para definir as ações a serem tomadas para o tráfego classificado). Uma notável distinção é que no ZFW os policy-maps governam a interconexão entre Security Zones e não se relacionam diretamente com interfaces.

c)       O modelo proposto pelo Zone-based Policy Firewall permite que o roteador seja configurado de modo a negar por default, fato este que o aproxima dos appliances de segurança dedicados. Após tal passo inicial, você pode definir os critérios que os pacotes precisam atender para que sejam encaminhados entre duas dadas interfaces (que agora são membros de Security Zones).

   Alguns fatos adicionais merecem especial menção:

1)       O ZFW é a abordagem que vem recebendo todos os investimentos no que concerne a evolução funcional. Só convém usar o CBAC em roteadores muito antigos cujo IOS não suporte o novo modelo.

2)       O ZFW está disponível nas imagens Security do Cisco IOS, juntamente com as funcionalidades de VPN.

3)       Os roteadores ISR (Integrated Services Routers), os quais já provêem uma miríade de opções de conectividade e serviços (switching, WLAN, Multicast, Telefonia IP/VoIP, backup via GSM/CDMA, etc) podem agora ser configurados como gateways condicionais (tanto em modo roteado como modo transparente), o que os torna ainda mais completos e flexíveis.

Termino este breve post, propondo que você estude mais a respeito do Cisco Zone-based Policy Firewall para que possa contar com tal recurso em seus projetos que envolvem os roteadores Cisco ISR. Para facilitar o acesso a informações sobre o tema, produzi uma série de artigos.  Espero que o material seja útil… Boa Leitura !

From CBAC to the Cisco Zone-based Policy Firewall

Building Blocks for a Cisco Zone-based Firewall policy

Zone Policy Firewall: Understanding the default deny behavior

Building a simple policy with the Cisco Zone-based Firewall

Logging connections in the Cisco Zone-based Policy Firewall

Logging dropped packets with the Cisco Zone-based Policy Firewall

Integrating ACLs with the Cisco Zone-based Policy Firewall

Deploying the Cisco Zone-based Policy Firewall with ACLs and NAT

Basic Configuration of the Cisco Zone-based Policy Firewall in Transparent Mode

FTP Inspection with the Cisco Zone-based Policy Firewall

HTTP Inspection on non-standard ports with the Cisco Zone-based Policy Firewall

Cisco Zone-based Policy Firewall: Understanding the self zone

Cisco Zone-based Policy Firewall: Controlling Intrazone traffic

User-based Access Control with the Cisco IOS Zone-based Policy Firewall

Sample Configuration of the Cisco IOS Zone-based Policy Firewall with IPv6 

Cisco IOS Zone-based Policy Firewall: L7 inspection for FTP over IPv6

Popularity: 1% [?]

Popularity: 2% [?]