Cisco ASA Temel Yapılandırması

show file system ASA’nın dosya sistemini görüntüler. show flash:  komutu ile de flaşın içeriğini  görebiliriz.

ciscoasa# show file system

CLI aracılığıyla bir ağ cihazına uzaktan eriştiğimiz zaman, doğru cihaza oturum açıp açmadığımızı belirlemenin en hızlı yolu, ana makine adını (hostname) görmektir. Ağdaki her cihaz, konumuna veya belirli özelliklere göre benzersiz bir ana makine adına sahip olmalıdır.

Aşağıdaki komutları kullanarak bir hostname belirleyebiliriz. Dikkat etmeniz gereken verdiğiniz hostname bir etki alan adı içermemelidir.

ciscoasa# configure terminal
ciscoasa(config)# hostname ASA-1
ASA-1(config)#

Bir önceki resimde görebildiğimiz gibi, hostname ASA-1 komut girdikten sonra  , varsayılan ana makine adı hemen değişti ve ASA-1 yeni ana bilgisayar adı olarak yeni bir satır ile sunuldu .

Ağa bağlı cihazlarda doğru zaman bilgisi, günlükler (syslog) için çok önemlidir. Günlük girişlerindeki zaman damgaları güvenlik yöneticilerinin meydana gelen olayların sırasını anlamasına yardımcı olabilir. Bir günlük girişi örneği: Güvenlik duvarında bir port taramasının bir uyarısı oluşturulur. Güvenlik yöneticisi, olası saldırıdan önce, sırasında ve sonrasında meydana gelebilecek olayların sırasını gözlemlemek için zaman damgasını kullanabilir. Yerel saat, aşağıdaki komutları kullanarak ASA’da ayarlanabilir:

clock set hh:mm:ss day month year
ASA-1# clock set 6:00:00 1 March 2018

ASA’da şu anki zamanı aşağıdaki komutu kullanarak doğrulayabiliriz:

ASA-1# show clock
06:03:17.319 UTC Thu Mar 1 2018

Çoğu kuruluşta BT ekibi tüm ağa bağlı aygıtları daha kolay yönetim ve BT verimliliği için bir etki alanına atarlar.   domain-name  komutunun kullanılması kuruluş / şirketin alan adını  ASA için yapılandırılacaktır.  Burada ccnasec.localalan adını ASA’ya ekleyeceğiz . Alan adının SSH yapılandırması için zorunlu olduğunu da unutmayın.

ASA-1(config)# domain-name ccnasec.local

Alan adını doğrulayalım:

ASA-1(config)# show running-config domain-name
ccnasec.local

ASA’nın ayrıcalık moduna yetkisiz erişimi  önlemek önemlidir. Ayrıcalık modunda, birçok showkomutu çalıştırılabilir, böylece cihaz hakkında hassas bilgiler görüntülenebilir. Kötü amaçlı bir kişi, bu bilgileri ağa veya kuruluşa zarar vermek için kullanabilir.

Bu işlemi enable passwordparola ile takip edilen komutu kullanarak yapabiliriz . Kullanacağımız parola  cisco123:

ASA-1(config)# enable password cisco123

running-config deki parolayı doğrulayalım :

show running-config enable komutunu kullanarak , parolamızınrunning-config de  varsayılan olarak şifrelenmiş olduğunu görebiliriz.

Parolanın şifrelenmiş olduğunu bu komutla doğrulayabiliriz  running-config:

ASA-1(config)# show running-config enable
enable password 9jNfZuG3TC5tCVH0 encrypted

Şifrenin çalışıp çalışmadığını doğrulayalım:

ASA’daki komutlar biraz farklı olduğundanrunning-configdosyasını  kaydetmek için  write memorykomutu kullanır  :

ASA-1(config)# write memory

Yasal uyarı olarak, cihaza yetkisiz erişim sağlayan kişileri uyarmak için bir banner yapılandırılabilir. Bu ASA’nın global yapılandırma modundan ayarlanabilir.

banner ? sözdizimini kullanarak, çeşitli seçenekleri görebiliriz. Her biri belirli bir giriş yöntemi sırasında banner’ı gösterecek dört seçenekle sunuluyor:

ASA-1(config)# banner ?

configure mode commands/options:
  asdm Display a post login banner (ASDM only)
  exec Display a banner whenever an EXEC process in initiated
  login Display a banner before the username and password login prompts
  motd Display a message-of-the-day banner

ASA’nın çıktısı aşağıdadır:

Burada günün mesajını ( MOTD ) kullanacağız . MOTD, tüm girişler arasında görüntülenir. Burada ASA’ya konsol veya VTY  gibi herhangi bir yeni bağlantı için açılan üç satırlık  bir banner yapılandırılmıştır.

ASA-1(config)# banner motd Please be advised unauthorized access is strictly prohibited
ASA-1(config)# banner motd All access are recorded for security purposes
ASA-1(config)# banner motd This device is the property for ACME Corp.

Dikkat, her yeni satır banner motd komutuyla başlar, bu  komutun etkisi mevcut banner’ın altına yeni bir satır ekler:

ASA’daki banner’ı doğrulayalım:

ASA-1(config)# show banner
motd:
Please be advised unauthorized access is strictly prohibited
All access are recorded for security purposes
This device is the property for ACME Corp.

Arabirimleri yapılandırma  Cisco yönlendiricirilere çok benziyor, ancak ihtiyaç duyduğumuz iki ek komut var. ASA’ya bir IP adresi atayacağımız her arabirim için bölge ve güvenlik seviyesini (security level) bildirmeliyiz. ASA’nın trafiğin arayüzler ( bölgeler ) arasında akmasına izin verilip verilmeyeceğini anlamak gerekir . Sırasıyla ASA üzerindeki arabirimleri yapılandırmak için aşağıdaki komutları kullanabiliriz:

ASA-1(config)# interface gigabitethernet 0
ASA-1(config-if)# nameif Inside
ASA-1(config-if)# security-level 100
ASA-1(config-if)# ip address 192.168.2.1 255.255.255.0
ASA-1(config-if)# no shutdown
ASA-1(config-if)# exit
ASA-1(config)# interface gigabitethernet 1
ASA-1(config-if)# nameif Outside
ASA-1(config-if)# security-level 0
ASA-1(config-if)# ip address 200.1.1.2 255.255.255.252
ASA-1(config-if)# no shutdown
ASA-1(config-if)# exit

ASA’nın arayüzlerindeki konfigürasyonları doğrulayalım.

Kullanılabilir ara yüzleri, IP adresi atamasını ve Katman 1 (Fiziksel katman) ve Katman 2 (Veri Bağlantısı katmanı) durumlarını doğrulamak için aşağıdaki komutları kullanın:

ASA-1(config)# show interface ip brief

show ip addressKomutu arayüzün IP adres bilgilerini nasıl aldığını arayüz kimliği, arayüz adı, IP adresi, alt ağ maskesi vb. bilgileri bize sunuyor:

show running-config interfaceKomutun kullanılması, ASA’daki tüm arabirimlerin altındaki yapılandırmaları görüntüler.

ASA-1# show running-config interface
!
interface GigabitEthernet0
 nameif Inside
 security-level 100
 ip address 192.168.2.1 255.255.255.0
!
interface GigabitEthernet1
 nameif Outside
 security-level 0
 ip address 200.1.1.2 255.255.255.252
!

Varsayılan rotanın amacı, kuruluşunuzun ağının dışındaki bir ağ için hedeflenen trafiği göndermektir.

Varsayılan bir statik rota ayarlamak oldukça basittir. ASA routekomutunu kullanır , sonra giden arabirim ( Outside), 0.0.0.0 0.0.0.0herhangi bir ağ adresiyle eşleşir ve son olarak bir sonraki atlama IP adresini belirtilir.

Aşağıdaki formatı kullanarak, bilgimizi buna göre değiştirebiliriz:

route <outgoing interface> <network-id> <subnet mask> <next-hop>
ASA-1(config)# route outside 0.0.0.0 0.0.0.0 200.1.1.1

Statik rotayı doğrulayalım:

ASA-1(config)# show running-config route
route Outside 0.0.0.0 0.0.0.0 200.1.1.1 1

show routeASA’nın yönlendirme tablosunu görüntülemek için  kullanılır, son rotanın bir S* ile tanımlandığını görebiliriz , 200.1.1.1bir sonraki atlama IP’sine ve Outside olarak adlandırılmış bir arabirime sahip varsayılan bir statik yoldur . ASA’nın yönlendirme tablosunda bir girişi olmayan bir ağ için hedeflenen herhangi bir paket, aşağıdaki yollarla paketi varsayılan yola gönderir.

Cisco ASA kullanıcı hesaplarına özel ayrıcalıklar atamak ve faaliyetleri takip etmek için yerel AAA servisini kullanabilir.

Kullanıcı adı Adminve class123 şifresi olan bir kullanıcı hesabı oluşturalım ve aşağıdakileri kullanarak hesabı en yüksek ayrıcalığa atayalım yani 15:

ASA-1(config)# username Admin password class123 privilege 15

ASA’daki yerel kullanıcı hesaplarını doğrulayalım:

ASA-1(config)# show running-config user
username Admin password lDWc9Yty0R9.LaJt encrypted privilege 15

Bazen, ASA’nın konuşlandırıldığı aynı binada veya şehirde bulunamazsınız, ancak bir yapılandırmayı gidermek ya da değiştirmek için, ona erişmeniz gerekir. Bunun için uzaktan erişimi yapılandırmamız gerekir.

ASA-1(config)# hostname ASA-1

ASA-1(config)# domain-name ccnasec.local

ASA-1(config)# crypto key generate rsa modulus 2048

ASA-1(config)# username Admin password class123 privilege 15

ASA-1(config)# aaa authentication ssh console LOCAL

ASA-1(config)# ssh 192.168.1.0 255.255.255.0 Inside

ASA-1(config)# ssh version 2

ASA-1(config)# ssh timeout 2

Akıllı cihazlar ve IoT cihazları geliştikçe İnternet üzerinden iletişim kurmak için bir IP adresi gerektirecektir. Her cihaz bir genel IP adresi alsaydı, genel adres alanı yıllar önce tükenirdi. Bu tükenmeyi korumak için  bir yöntem NAT’ın kullanılmasıydı. NAT, tek bir IP adresinin arkasında bir ağın tamamının gizlemesini sağlar. Bu, kuruluşların, Internet’e bakan yönlendiricisi veya güvenlik duvarı bağlantı noktasındaki tek bir genel IP adresine sahip olmalarına olanak tanır ve özel yerel alan ağında birçok düğümün, özel IPv4 adresine (RFC1918), iletişim kurmak için bir genel IPv4 adresine çevrilmesini sağlar.

Bu bölümde, Bağlantı Noktası Adres Çevirisi ( PAT ) yapılandıracağız . NAT’ın bu formu, tek bir IP’nin arkasındaki tüm bir alt ağın gizlemesine izin verir.

ASA’da PAT’yi yapılandırmaya başlayalım:

ASA-1(config)# object network inside-net

ASA-1(config-network-object)# subnet 192.168.1.0 255.255.255.0

ASA-1(config-network-object)# nat (inside,outside) dynamic interface

Aşağıdaki tüm komutların bir örneğidir:

NAT konfigürasyonlarımızı doğrulayalım:

ASA-1(config)# show running-config nat
!
object network inside-net
 nat (Inside,Outside) dynamic interface

Kullanabileceğimiz başka bir komut  show nat detail, bu bize Objectgrubun, içeriğini ve çevrilmekte olan ağ (lar) ı sağlar.

ASA-1# show nat detail

CLI kullanmak eğlenceli olabilir, ama bazen bir GUI, birçok görev için  daha uygun olabilir. CCNA güvenlik sertifikası için adaylar gerekli CLI komutlarını ve GUI’yi bilmek ve anlamak zorundadır. Daha önce de belirtildiği gibi, Cisco ASA yönetim için özel bir GUI kullanıyor. ASDM özellikle ASA’larda kullanılmaktadır ve yönetimi ve izlemeyi çok daha kolay hale getirir.

Başlamak için, ASDM dosyasını istemci bilgisayarımıza almak için ASA üzerindeki güvenli web sunucusunu etkinleştirmeliyiz. Ardından, yönetim için ASDM’yi kullanarak belirli bir istemci veya ağın ASA’ya bağlanmasına izin vereceğiz:

ASA-1(config)# http server enable

ASA-1(config)# http 192.168.2.0 255.255.255.0 Inside

ASA-1(config)# http server enable <port number>

Aşağıdaki ekran görüntüsü CLI’den 1 ve 2 numaralı adımları göstermektedir:

3. adım isteğe bağlı olduğundan, aşağıdaki ekran görüntüsü varsayılandan (443) başka bir bağlantı noktası seçmek için mevcut seçenekleri gösterir :

Bu tamamlandığında, web tarayıcınızı  ve ASA’nın IP adresine gidin. Sonrasında Install ASDM Launcher and Run ASDM linkine tıklayın . Lütfen dikkat, ASDM istemci yazılımının başarıyla çalışması için bir JRE’ye  gereksinim duyar.

JRE uygulaması Oracle’ın web sitesinde (https://www.java.com/tr/download)  bulunabilir.

Yüklendikten sonra ASDM Launcher uygulamasını açın. Device IP Address/Name,  kısmına ASA IP adresini (192.186.2.1) Username( yapılandırılmışsa) ve Password bilgilerini ilgili alanlara girin ve OKtıklayın.

Web sitesi sertifikasının yayıncısına güvenip güvenmediğinizi soran bir güvenlik uyarısı penceresi görünecektir Yes deyin geçin.  ASA kendinden imzalı bir sertifika ürettiğinden, istemci makineleri her zaman kendi imzasını taşıyan bir sertifikayı güvenilmez olarak kabul edildiğinde bu uyarıyı alacak:

Sonunda mutlu son ve karşımızda  ASDM penceresi ve menüler.

CLI kullanılarak yapılabilecek her şey ASDM ile elde edilebilir. ASDM kurulduktan sonra  en yaygın uygulama temel yapılandırmaları gerçekleştirmektir.

ASDM üzerinede  Wizards| Startup Wizardtıklayın .

Bir sonraki pencerede CLI ile yaptığımız yapılandırma varsa  görünecektir. Tüm konfigürasyonları fabrika ayarlarına sıfırlamak veya mevcut konfigürasyonu değiştirmek için iki seçenek mevcut olacaktır. Sonuncuyu seçeceğiz veNext e tıklayacağız .

Aşağıdaki pencere, ana bilgisayar adını, alan adını değiştirmemize ve etkinleştirme parolasını ekleme / değiştirme / devre dışı bırakmamıza izin verir (ASA’nın ayrıcalık moduna erişmek için kullanılır):

Ardından, Outside Interface Configurationyapılandırıldı:

Aşağıdaki pencere, ASA’nın tüm arayüzlerinde daha fazla konfigürasyona izin verir. Bir arayüzdeki konfigürasyonları değiştirmek için, sadece arayüzü seçin ve Edit e tıklayın. IP Address, Subnet Mask, Interface Name, Security Level, ve diğer özellikleri değiştirmek mümkün olacaktır:

Burada, ASA’ya statik yollar eklenebilir:

Aşağıdaki pencere bir DHCP sunucusunun yapılandırılmasına izin verir. Bu, ASA, DHCP hizmetlerini gerektiren küçük bir şube ofisinde kurulmuşsa yararlıdır:

NAT burada yapılandırılabilir. Kuruluşunuz yalnızca bir genel IP adresi kullanıyorsa, PAT kullanılacaktır. PAT bir ağı maskelemek için tek bir IP adresine izin verir. Bir örnek  evdeki internet bağlantınız olabilir. Yönlendiriciniz / modeminizin sadece bir tane genel IP adresi vardır ve dahili ağınız özel IP adreslerine sahip birden fazla aygıta sahiptir (RFC 1918). Tüm özel IP adresleri internete erişirken genel IP’ye çevrilecektir. İnternet’teki kullanıcılar, yalnızca bir genel IP adresini görecekler ve arkasındaki cihazları görmeyecekler.

ASDM, IP arayüzünü dış arayüzde veya belirli bir IP’de kullanmamıza izin verir:

SSH, Telnet ve ASDM erişimi aşağıdaki pencerede değiştirilebilir:

Son pencere, ASA’ya uygulanmadan önce yapılandırmaların bir özetini sunar:

Konfigürasyonlar ASA’ya uygulandıktan sonra hala running-config içindedir .  running-config, RAM’de depolanır, bu nedenle cihaz güç kaybederse veya yeniden başlatılırsa, geçerli yapılandırmalar kaybolur.