应用ASDM简化防火墙管理

应用ASDM简化防火墙管理关键字：ASDM、Cisco防火墙管理随着广播电视技术数字化、网络化的不断深入，无论制播还是日常办公都离不开计算机网络，对网络的依赖必然对网络环境的安全性提出更高的要求。CiscoAsa5510是一款集应用安全、ANTI-X防御、网络印制和控制、VPN、智能网络服务于一体的功能强大的防火墙，具体的来说它能够：过滤不安全的服务和非法用户，强化安全策略。有效记录internet上的活动，管理进出网络的访问行为。限制暴露用户，封堵禁止的访问行为。是一个安全策略的检查站，对网络攻击进行检测和告警。笔者所在单位不久前装了CiscoAsa5510防火墙，显著提升了网络安全性。熟练掌握思科自适应安全设备的管理操作对网络管理岗位的同志提出了新的要求。但借助ASDM软件，即便对思科产品不是很熟悉，我们也能直观的对防火墙设备进行有效管理，保障网络稳定高效运作。ASDM安装安装ASDM前我们需要安装jre-1_5_0-windows-i586这个java环境，然后运行ASDM-install.msi，ASDM版本比较多，笔者这边采用的是6.02。使用ASDM管理ASA防火墙前我们首先要对防火墙进行一些配置：Asa5510#conft进入全局模式Asa5510(config)#webvpn进入WEBVPN模式Asa5510(config-webvpn)#usernameciscopasswordcisco新建一个用户和密码asa5510(config)#intm0/0进入管理口Asa5510(config-if)#ipaddress54添加IP地址Asa5510(config-if)#nameifmanage给管理口设个名字Asa5510(config-if)#noshutdown激活接口Asa5510(config)#q退出管理接口Asa5510(config)#httpserverenable开启HTTP服务Asa5510(config)#httpmanage在管理口设置可管理的IP地址Asa5510(config)#showrun查看一下配置Asa5510(config)#wrm保存配置完后，我们就可以在这个网段内的主机上运行ASDM对asa防火墙进行管理。（如图1）进入ASDM后，我们在软件首页可以监看到防火墙的各项设置参数以及网络状态。Deviceinformation一栏记录的是防火墙设备信息。Interfacestatus记录的是设备借口状态。VPNstatus记录了虚拟专用网络类型。流量状态(Trafficstatus)以及系统资源状态(Systemresoursesstatus)用图形界面统计出网络利用情况。（如图2）（图1）（图2）安全策略配置1、限制内部网络主机连接外网权限：利用ASDM强大的安全策略功能我们能够摆脱繁琐的cisco路由交换命令，实现各种网络策略。（如图3）比如要限制部分主机上网权限，重复输入传统的acl命令是一件繁琐的事情，而在ASDM下将变得十分简单：2、流量控制:网络服务质量（QoS）作为网络的一种安全机制,是用来解决网络延迟和阻塞等问题的一种技术。在ASDM中可以通过配置策略实现Qos限速。（1）创建限速主机分组speed_limit_group；（2）在策略配置中选servicepolicyrules添加限速策略；（3）在trafficclassificationcriteria中选sourceanddestinationipaddress，接着在sourcehost/network中选择inside,选择speed_limit_group。接下来的ruleactions中选择QOS,配置所要限制的流量范围；这样我们就可以对分组内的ip的上下行流量予以控制，保证网络通畅运行。三、VPN的配置内联虚拟专用网(IntranetVPN)技术的发展使得企业内部多个LAN之间的互联变得更加安全，比如在很多电视台内制播网络、媒资管理网络、办公网络之间都采用VPN实现连接。ASDM提供了IKE和IPSEC的VPN管理。(如图6)（图5）（图6）可以对通道策略(TunnelPolicy)进行直观的配置，大大提供了管理效率。多媒体压缩技术的迅猛发展，对网络传输的可靠性提出了更高要求。IPSEC协议在数据完整性，保密性，应用透明的安全性方面的优势将更加明显。在对IPSec实现VPN的过程中，我们需要3步配置：1、为IPSec确定详细的加密策略，包括确定要保护的主机和网络，选择认证方法，确认现有的访问控制列表允许IPSec数据通过。（1）根据对等体的数量和位置在IPSec对等体间确定一个IKE(IKE阶段1，或者主模式)策略；（2）确定IPSec(IKE阶段2)策略，包括IPSec对等体的细节信息；（3）检查当前配置；（4）确认在没有使用加密前网络能够正常工作；（5）确认在边界路由器和防火墙中已有的访问控制列表(ACL)允许IPSec数据流通过，或者想要的数据流可以被过滤出来。2、配置IKE预共享密钥。3、配置IPSec（1）配置加密用访问控制列表；（2）配置全局性的IPSec安全关联的生存期；（3）配置加密图；（4）应用端口。用命令配置IPSec具体实现VPN需要几十条命令，但在ASDM中我们只需根据配置向导输入关键参数就行，不仅快速而且可以有效避免敲错命令等人为错误。（如图7）（图7）四、日常维护管理在日常网络维护中，我们还可以对内部主机的访问日志进行查看。在Monitoring选项下选择Logging,点选view,即可查看所有主机的通讯情况。也可以在fittlerby下输入目标ip查看单用户通信记录。通过monitoring->interface->arptable可以对网络内主机的mac地址进行查看。通过monitoring->routing->routes可查看路由表信息。在monitoring->vpn->vpnstatistics可以查看远程拨入防火墙用户的详细信息。五、应用过程当中的一些不足ASDM虽然简化了对cisco防火墙的操作管理，不再依赖于枯燥的路由交换命令但它根本上还是一个命令集的界面形式体现，是作用于网络层的管理软件。在功能上不能完全替代命令在网络配置上的作用，因此在网络管理功能上不如一些专业的网管软件来的强大。比如在平时我们要对物理地址进行绑定，或者是实现对某一台流量过高的主机实现自动断网，ASDM是无法做到的。对有目的的攻击防御效果相对较弱，比如当外部知道本单位公网ip地址时，就容易对80端口进行恶意攻击，造成网站拥塞。另外英文界面对广大中国用户来说也是一个麻烦。广播电视行业作为政府的喉