IOS Firewall 基于CBAC访问控制及IPS入侵防御

IOS Firewall 基于CBAC访问控制及IPS入侵防御2009-03-18 20:15基于上下文的访问控制（CBAC）一、Cisco IOS安全技术Cisco IOS防火墙特性集作为Cisco IOS软件的一个选项，提供了一个先进的安全解决方案，这种集成化路由器安全解决方案是Cisco Systems安全解决方案系统中的一个部件。

Cisco IOS安全服务包括一系列特性，能使管理人员将一台Cisco路由器配置成为一个防火墙，而Cisco IOS防火墙特性集则可以为现有的Cisco IOS安全解决方案增加更大的深度和灵活性。

表1为Cisco IOS防火墙特性集相关新特性的概述。

二、基于上下文的访问控制CBAC提供四个方面的主要功能：∙流量过滤：扩展ACL只能过滤3层和4层的流量，RACL能够过滤5层的流量，而CBAC支持应用层的检测，即查看某些数据包的内容，如FTP，他能够分别查看控制连接或者数据连接，由于控制和数据使用的端口是分开的，所以这点对于CBAC来说是做不到的。

CBAC甚至能够检测HTTP连接中使用的Java程序，并过滤他们。

∙流量检测：CBAC不仅能像RACL那样检查返回到网络的流量，同时还能够防止TCP SYN 洪水攻击：CBAC能够检测客户端到服务器连接的频率，如果到达一个限度，就会关闭这些连接。

也可用来防止DoS分片攻击。

∙入侵检测：CBAC是一个基于状态的防火墙机制，他也能够检测某些DoS攻击。

提供对于某些SMTP e-mail攻击的保护，限制某些SMTP命令发送到你内部网络的e-mail服务器。

所有这些攻击都使CBAC产生日志信息，并且会选择性的重置TCP连接或者丢弃这些欺骗数据包。

一般的告警和审计：CBAC对于检测到的问题或攻击能够产生实时的告警，对于连接请求提供详细的审计信息。

例如，记录所有的网络连接请求，包括源和目的的IP地址，连接使用的端口，发送的数据大小，连接开始和结束的时间。

工作原理比如当CBAC配置于连到internet的外部接口上，一个从内部发出的TCP数据包（telnet会话）经过该接口连出，同时CBAC的配置中已经包括了t cp inspectio n，将会经过以下几步：（1）数据包到达防火墙的外部接口（设为s0）；（2）数据包由该接口outbound access-list检查是否允许通过（不通过的数据包在此被丢弃，不用经过以下步骤）；（3）通过access list检查的数据包由CBAC检查来决定和记录包连接状态信息，这个信息被记录于一个新产生的状态列表中为下一个连接提供快速通道；（4）如果CBAC没有定义对telnet应用的检查，数据包可以直接从该接口送出；（5）基于第三步所获得的状态信息，CBAC在s0的inbound access list中插入一个临时创建的access list入口，这个临时通道的定义是为了让从外部回来的数据包能够进入；（6）数据包从s0送出；（7）接下来一个外部的inbound数据包到达s0，这个数据包是先前送出的teln et会话连接的一部分，经过s0口的access list检查，然后从第五步建立的临时通道进入；（8）被允许进入的数据包经过CBAC的检查，同时连接状态列表根据需要更新，基于更新的状态信息，inbound access list临时通道也进行修改只允许当前合法连接的数据包进入；（9）所有属于当前连接的进出s0口数据包都被检查，用以更新状态列表和按需修改临时通道的access list，同时数据包被允许通过s0口；（10）当前连接终止或超时，连接状态列表入口被删除，同时，临时打开的acce ss list入口也被删除。

需要注意的是：对于配置到s0口outbound ip access list，accesslist必须允许所有需要的应用通过，包括希望被CBAC检查的应用；但是inbound ip acces s list必须禁止所有需要CBAC检查的应用，当CBAC被出去的数据包触发后，会在inbound access list中临时开放一个通道给合法的、正在传送的数据进入。

CBAC相比与RACL的改进TCP：像RACL一样，CBAC会检测TCP数据包包头的控制位，如果看到FIN位，则Cisco IOS会等待5秒钟来关闭连接，并且删除动态ACL条目（在FAB特性引入之前），并从状态表中删除条目。

如果一个TCP的会话空闲超过1个小时，则Cisco IOS会移除这个条目。

此外和RACL不同的是CBAC会要求TCP连接在看到第一个SYN字段的30秒钟之内（用户配置）建立。

如果在这个时间断里没有建立，Cisco IOS会从状态表中出这个条目和ACL。

此外，CBAC还会检查TCP连接的序列号来保证在一个范围内。

如果不在这个范围中，CBAC会丢且这些报文，并且假设发生了DoS欺骗攻击。

UDP：和RACL一样，CBAC会估计UDP连接的时间，假设30秒之内（用户配置）没有UDP数据包，则说明连接已经结束了。

因此Cisco IOS从状态表中移除这个条目（包括动态ACL条目）。

此外，与RACL不同的是，CBAC会检测DNS的查询和响应。

如果内部设备产生了DNS查询，远端DNS服务器应该会在5秒钟发送DNS响应。

如果在5秒钟内没有看到响应，这个DNS连接条目会被立刻移除来防止欺骗攻击。

同样的，如果从DNS服务器看到DNS响应后，Cisco IOS也会立刻从状态表中移除相应，来防止DNS欺骗和DoS攻击。

另外的连接：某些应用程序，如FTP，会开启额外的连接来传输数据。

这种情况RACL就不能起作用了，而CBAC能够监视这些应用的控制连接，并决定他们是否开启了其他的数据连接。

当CBAC发现额外开启的连接，他会自动将这些信息加入到状态表中（在启用FAB之前，还会加入到动态ACL种）来允许这些连接通过路由器。

对于地址转换的支持：CBAC对于经过地址转换的地址能够在状态表种进行正确的转换，并正确的响应。

但是有两个限制：∙启用CBAC的路由器必须同时扮演地址转换的角色，这样才能够获得包头的地址转换的信息。

∙并不支持所有的应用程序；只支持某些类型的地址转换，如NAT，而不是PAT。

CBAC的配置：步骤一：决定路由器上的哪个接口作为内部接口，哪个接口作为外部接口内部接口（internal）是指连接发起的数据包进入CBAC路由器的接口，外部接口（external）是流量出去后返回CBAC路由器的接口，如果要配置双向CBAC，推荐先配置单向CBAC，测试正常后再配置另外一边。

注意：如果不配置内部端口，则除了外部端口外的所有端口都是内部端口步骤二：创建普通的IP ACL列表过滤进入和离开内部网络的流量，并保证那些要监视的出站流量允许被通过推荐在配置CBAC之前，先用ACL（应用到接口上）允许某些必要的流量进入或离开内部网络，这样做简化了以后的CBAC配置和相关拍错步骤三：（可选）改变全局的连接超时时间Router(config)# ip inspect tcp synwait-time #_of_seconds 等待多长时间来完成TCP连接（三次握手），默认是30秒Router(config)# ip inspect tcp finwait-time#_of_seconds 等待多长时间来完成TCP连接关闭，默认是5秒Router(config)# ip inspect tcp idle-time #_of_seconds TCP连接的空闲时间，默认是3600秒Router(config)# ip inspect udp idle-time #_of_seconds UDP连接的空闲时间，默认是30秒Router(config)# ip inspect dns-timeout#_of_seconds 配置DNS查询条目在状态表中存在的时间，默认是5秒，优先级高于UDP空闲时间步骤四：（可选）配置应用程序端口映射（Port Application Mapping（PAM））CBAC是哦那个PAM来决定要监视的应用连接类型，如果要监视的那些使用非标准端口的应用程序，如HTTP使用8080端口，必须要手动配置。

PAM表中有三类条目：∙System-defined entries-默认的应用程序端口条目∙User-defined entries-用户定义的应用程序端口条目∙Host-specific entries-User-defined entries的一种，如果一个应用程序同时存在默认端口和用户自定义的端口，则用户自定义的条目称为Host-specific entries配置PAM条目：Router(config)# ip port-map application_name port port_# [list acl_#] ACL指定哪些设备使用非标准的端口，如果不加代表全部设备。

PAM配置举例：使用PAM和ACL来决定CBAC检测的范围Router(config)# ip port-map http port 8080 list 1Router(config)# access-list 1 permit 192.1.1.2Router(config)# ip port-map http port 8090 list 2Router(config)# access-list 2 permit 192.1.1.3检测IP地址为192.1.1.2，端口为8080的HTTP连接检测IP地址为192.1.1.3，端口为8090的HTTP连接注意：PAM表在某些版本的Cisco IOS上必须保存配置，重启后才生效使用show ip port-map查看步骤五：定义CBAC监视规则（最为重要的一步）定义哪些条目要加入到状态表，哪些流量被允许返回。

如果出站流量不符合监视规则，路由器不会监视这些流量，只把他们当作普通流量处理。

Router(config)# ip inspect name inspection_name protocol [alert {on | off}] [audit-trail {on | off}] [ti meout seconds]protocol：支持的协议cuseeme, fragment, ftp, h323, http, icmp, netshow, rcmd (UNIX R commands), r ealaudio, rpc, rtsp, sip, skinny, smtp, sqlnet, streamworks, tcp, tftp, udp, and vdolivealert和audit-trail：详细指定对于这条规则，告警和审计是否开启，如果不配置，则启用默认告警审计规则timeout：指定这条规则的超时，如果不指定，则使用默认超时时间步骤六：在接口上激活监视规则。