Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”

Docente: Marco Antonio Arenas Porcel

GUIA DE LABORATORIO
CONFIGURACION ASA (Cisco Adaptive Security Appliance)
El firewall Cisco ASA, es un FW de próxima generación, tiene muchas funcionalidades
y versatilidad, es uno de los FW más implementados en el mundo.
Una de las series más difundidas es la 5500-x, y las más accesible es la 5505, en la
cual nos concentraremos en el presente LAB.

1. ESCENARIO A CONFIGURAR

En el escenario se tiene 3 zonas de red segmentadas. En esta caso el FW trabajara en

modo routing. Por eso las zonas (rojo=outside, verde=inside, naranja=DMZ), para los
cuales se deben definir con cuidado los niveles de seguridad.
2. CASO DE ESTUDIO
En el presenta caso de estudio se tiene por lo menos 3 zonas, cada una requiere de una
VLAN y se debe habilitar la tercera VLAN para la DMZ.
Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

3. CONFIGURANDO EL ENTORNO
Vale resaltar que el cisco ASA viene con un nombre por defecto “ciscoasa”, y una
contraseña luego del enable, solo se presiona enter.

ciscoasa(config)#hostname CCNAS-ASA
CCNAS-ASA(config)#domain-name ccnasecurity.com
CCNAS-ASA(config)#enable password class
CCNAS-ASA(config)#clock set 9:33:00 june 6 2016
4. CONFIGURANDO LAS VLAN
Para configurar ip’s se debe considerer que primero se deben realizer en las VLAN.
CCNA-ASA(config)#interface vlan 1
CCNA-ASA(config-if)#nameif inside
CCNA-ASA(config-if)#ip address 192.168.1.1 255.255.255.0
CCNA-ASA(config-if)#no shutdown
CCNA-ASA(config-if)#interface vlan 2
CCNA-ASA(config-if)#nameif outside
CCNA-ASA(config-if)#ip address 209.165.200.226 255.255.255.248
CCNA-ASA(config-if)#no shutdown
Ahora asociamos las VLans a las interfaces fisicas con los siguientes commandos
Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

CCNAS-ASA(config)#interface ethernet 0/0

CCNAS-ASA(config-if)#switchport access vlan 2
CCNAS-ASA(config-if)#exit
CCNA-ASA(config-if)#interface ethernet 0/1
CCNA-ASA(config-if)#switchport access vlan 1
5. CONFIGURANDO TELNET
Para la configuracion de TELNET solo se configure lo siguiente:
CCNAS-ASA(config)#telnet 192.168.1.0 255.255.255.0 inside
CCNAS-ASA(config)#telnet timeout 10
6. CONFIGURANDO EL ENTORNO GRAFICO
Para configurar ASDM-WEB
CCNAS-ASA(config)#http enable
% This version of Packet Tracer does not support this option.
CCNAS-ASA(config)#http 192.168.1.0 255.255.255.0 inside
% This version of Packet Tracer does not support this option.

Nota.- estos comandos no están soportados en Packet Tracer.

7. CONFIGURANDO LA AUTENTICACION Y SEGURIDAD

Para la autenticación AAA

CCNAS-ASA(config)#username admin password cisco123
CCNAS-ASA(config)#aaa authentication ssh console LOCAL
CCNAS-ASA(config)#aaa authentication telnet console LOCAL

Para la configuración de SSH

CCNAS-ASA(config)#crypto key generate rsa modulus 1024

WARNING: You have a RSA keypair already defined named <Default-RSA-Key>.

Do you really want to replace them? [yes/no]: y

Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

Keypair generation process begin. Please wait...

CCNA-ASA(config)#ssh 192.168.1.0 255.255.255.0 inside
CCNA-ASA(config)#ssh 200.87.100.2 255.255.255.255 outside
CCNA-ASA(config)#ssh timeout 10

Para enrutamiento, que en nuestro caso no se aplica debido a que nuestro firewall solo
se conecta a un switch.
CCNAS-ASA(config)#route outside 0.0.0.0 0.0.0.0 200.87.100.2

Este es un ejemplo si se tuviera a 200.87.100.2 como next hop de nuestra red.

Para ver si se creo la ruta se usa lo sgte
CCNAS-ASA#show route
Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

8. CREANDO OBJETOS DE AGRUPACIÓN DE PERMISOS Y RESTRICCIONES

CCNAS-ASA(config)#object network inside-net

CCNAS-ASA(config)#subnet 192.168.1.0 255.255.255.0
CCNAS-ASA(config)#nat (inside,outside) dynamic interface
CCNAS-ASA(config)#end

Para verificar lo anterior se usa:

CCNAS-ASA $show run object

CCNAS-ASA $show run nat
CCNAS-ASA $show xlate
NOTA.- cabe resaltar que los comandos anteriores no están disponibles en packet tracer.

Para configurar el MPF

CCNAS-ASA(config)#class-map inspection_default
CCNAS-ASA(config-cmap)#match default-inspection-traffic
CCNAS-ASA(config-cmap)#exit

CCNAS-ASA(config)#policy-map global_policy
CCNAS-ASA(config-pmap)#class inspection_default
CCNAS-ASA(config-pmap-c)#inspect icmp
CCNAS-ASA(config-pmap-c)#exit

CCNAS-ASA(config)#service-policy global_policy global

Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

9. CONFIGURANDO EL DHCP

CCNAS-ASA(config)#dhcpd address 192.168.1.5-192.168.1.36 inside

CCNAS-ASA(config)#dhcpd dns 209.165.201.2 interface inside
CCNAS-ASA(config)#dhcpd enable inside

Para dar el dchp a la interfaz

CCNAS-ASA(config)#interface ethernet 0/2
CCNAS-ASA(config-if)#ip address dhcp

10. CREANDO LA DMZ

CCNAS-ASA(config)#interface vlan 3
CCNAS-ASA(config-if)#nameif dmz
ERROR: This license does not allow configuring more than 2 interfaces with nameif and
without a "no forward" command on this interface or on 1 interface(s) with nameif already
configured.
NOTA.- cabe resaltar que el Packet no soporta mas de dos vlan como es lo requerido.
11. CONFIGURANDO LA DMZ
CCNAS-ASA(config-if)#interface vlan 3
CCNAS-ASA(config-if)#no forward interface vlan 1
CCNAS-ASA(config)#interface ethernet 0/2
CCNAS-ASA(config-if)#switchport access vlan 3
12. PONIENDO IP A LA VLAN
CCNAS-ASA(config)#interface Vlan3
CCNAS-ASA(config-if)#security-level 50
CCNAS-ASA(config-if)#ip address 192.168.2.1 255.255.255.0
CCNAS-ASA(config-if)#no shutdown
Carrera: Ingeniería en Telecomunicaciones Materia: SCO310 “Seguridad de redes en telecomunicaciones”
Docente: Marco Antonio Arenas Porcel

13. VERIFIQUE EL ESTADO DE SUS INTERFACES

CCNAS-ASA# show ip address
14. ONFIGURANDO NAT PARA NUESTRA RED
CCNAS-ASA(config)#object network dmz-server
CCNAS-ASA(config-network-object)#host 192.168.2.3
CCNAS-ASA(config-network-object)#nat (dmz,outside) static 209.165.200.227

CONFIGURANDO ACL’S
Esto para garantizar y cuidar el tráfico hacia la DMZ
CCNAS-ASA(config)#access-list OUTSIDE-DMZ permit tcp any host 192.168.2.3 eq 80
CCNAS-ASA(config)# access-group OUTSIDE-DMZ in interface outside