Before starting the analysis of any

Before starting the analysis of any connection examples, it is instructive to review some
key aspects of IOS and ASA philosophies and history so that similarities and differences
about the implementation of stateful inspection can be more easily grasped. Some of the
most significant aspects follow:
■ The PIX Firewall, ancestor of the ASA-family, was launched in the marketplace as a
purpose-built firewall appliance, inherently stateful for TCP and UDP. As studied in
Chapters 7 and 8, the ASA algorithm has an implicit deny for inbound connections,
and whenever nat-control is enabled, another layer of defense (the need for a match
for translation) is added. Application knowledge was substantially increased over time
while other functionalities (VPN for instance) were sequentially made available for
customers. This natural evolution of the product culminated in the launch of the ASA
family of multifunctional security appliances.
■ As the Internet Protocol (IP) became almost omnipresent, attacks on it proliferated.
Cisco then realized that its routers, already processing IP packets (for routing and
forwarding purposes), could have their functionality expanded to network security.
The stateful inspection solution known as CBAC was born.
■ Although the stateful firewall capabilities of CBAC are similar to those of ASA,
there is no implicit deny configuration in IOS. This is because IOS is the heart of
routers, a class of network equipments conceived with the underlying objective of
providing connectivity. If the goal is to turn this device into a security policy
enforcement point, more configuration effort is needed.
■ Although the ASA algorithm is intrinsically stateful, the explicit configuration of
CBAC is required to render IOS stateful, even for a generic inspection of TCP, UDP,
and ICMP.
■ There is no concept such as nat-control in the Classic IOS Firewall. CBAC does supports Network Address Translation (NAT) techniques, but everything needs to be defined manually.
Figure 9-1 portrays the basic operation of CBAC to provide generic stateful inspection on
a simple Internet Access firewall topology. In this scenario
■ TCP connections initiated by inside clients are visible to the CBAC software module
(the inspection rule named INSPECT1 is applied to incoming packets).
■ For each TCP packet arriving at interface F1, CBAC analyzes the basic flow attributes (source /destination addresses and protocol ports) and verifies if it belongs to a
pre-existent connection. If this is a new flow, CBAC dynamically creates an entry in
its state table. A correspondent temporary opening, with reversed flow parameters,
is built to bypass the deny all settings of ACL 100.
■ As return packets arrive at interface F0, their flow attributes are compared with the
temporary openings and, if a match is found, they are allowed back to the originating client.

Kết quả (Việt) 1:

Before starting the analysis of any connection examples, it is instructive to review somekey aspects of IOS and ASA philosophies and history so that similarities and differencesabout the implementation of stateful inspection can be more easily grasped. Some of themost significant aspects follow:■ The PIX Firewall, ancestor of the ASA-family, was launched in the marketplace as apurpose-built firewall appliance, inherently stateful for TCP and UDP. As studied inChapters 7 and 8, the ASA algorithm has an implicit deny for inbound connections,and whenever nat-control is enabled, another layer of defense (the need for a matchfor translation) is added. Application knowledge was substantially increased over timewhile other functionalities (VPN for instance) were sequentially made available forcustomers. This natural evolution of the product culminated in the launch of the ASAfamily of multifunctional security appliances.■ As the Internet Protocol (IP) became almost omnipresent, attacks on it proliferated.Cisco then realized that its routers, already processing IP packets (for routing andforwarding purposes), could have their functionality expanded to network security.The stateful inspection solution known as CBAC was born.■ Although the stateful firewall capabilities of CBAC are similar to those of ASA,there is no implicit deny configuration in IOS. This is because IOS is the heart ofbộ định tuyến, một lớp thiết bị mạng được hình thành với mục tiêu cơ bảncung cấp khả năng kết nối. Nếu mục tiêu là để bật thiết bị này vào một chính sách bảo mậtthời điểm thực thi, nỗ lực cấu hình nhiều hơn là cần thiết.■ mặc dù các thuật toán ASA là intrinsically trạng thái cấu hình rõ ràng củaCBAC là cần thiết để render IOS stateful, thậm chí cho một kiểm tra chung của TCP, UDP,và ICMP.■ Có là không có khái niệm như nat-kiểm soát trong các bức tường lửa IOS cổ điển. CBAC hỗ trợ kỹ thuật địa chỉ mạng (NAT), nhưng tất cả mọi thứ cần phải được xác định theo cách thủ công.Con số 9-1 miêu tả các hoạt động cơ bản của CBAC cung cấp chung chung kiểm tra trạng thái vềmột tô pô tường lửa đơn giản truy cập Internet. Trong trường hợp này■ kết nối TCP khởi xướng bởi bên trong khách hàng có thể nhìn thấy các mô-đun phần mềm CBAC(quy tắc kiểm tra tên INSPECT1 được áp dụng cho các gói dữ liệu).■ Cho mỗi gói TCP đến giao diện F1, CBAC phân tích các dòng chảy cơ bản thuộc tính (nguồn /destination địa chỉ và cổng giao thức) và xác nhận nếu nó thuộc về mộttồn tại trước khi kết nối. Nếu đây là một dòng chảy mới, CBAC tự động tạo một mục nhập trongbảng bang của nó. Một phóng viên tạm thời mở, với đảo ngược dòng chảy thông số,được xây dựng để vượt qua sự từ chối tất cả các thiết lập của ACL 100.■ Là trở lại gói tin đến giao diện F0, thuộc tính dòng chảy của họ được so sánh với cáctạm thời hở và, nếu kết hợp được tìm thấy, họ được phép quay trở lại các khách hàng có nguồn gốc.

Kết quả (Việt) 2:

Trước khi bắt đầu phân tích của bất kỳ ví dụ kết nối, đó là bài ​​học để xem xét lại một số
khía cạnh quan trọng của IOS và ASA triết lý và lịch sử để giống và khác nhau
về việc thực hiện kiểm tra stateful có thể được dễ dàng hơn nắm. Một số trong những
khía cạnh quan trọng nhất theo:
■ Các PIX Firewall, tổ tiên của ASA-gia đình, đã được đưa ra trên thị trường như một
thiết bị tường lửa mục đích xây dựng, vốn đã Stateful cho TCP và UDP. Khi nghiên cứu trong
Chương 7 và 8, các thuật toán ASA đã từ chối một tiềm ẩn cho các kết nối gửi đến,
và bất cứ khi nào nat-kiểm soát được kích hoạt, một lớp bảo vệ (một sự cần thiết cho một trận đấu
cho dịch) được thêm vào. Kiến thức ứng dụng đã được tăng lên đáng kể theo thời gian
, trong khi chức năng khác (VPN chẳng hạn) đã được tuần tự làm sẵn cho
khách hàng. Quá trình tiến hóa tự nhiên này của sản phẩm lên đến đỉnh điểm trong sự ra mắt của ASA
gia đình của các thiết bị an ninh đa chức năng.
■ Là giao thức Internet (IP) đã trở thành gần như có mặt khắp nơi, các cuộc tấn công vào nó sinh sôi nẩy nở.
Cisco sau đó nhận ra rằng các router của nó, đã được xử lý gói IP (cho việc định tuyến và
chuyển mục đích), có thể có chức năng của họ để mở rộng an ninh mạng.
các giải pháp kiểm tra trạng thái được gọi là CBAC được sinh ra.
■ Mặc dù khả năng tường lửa của CBAC cũng tương tự như của ASA,
không có từ chối cấu hình tiềm ẩn trong iOS. Điều này là do IOS là trung tâm của
các bộ định tuyến, một lớp học của các thiết bị mạng được hình thành với mục tiêu cơ bản của
cung cấp kết nối. Nếu mục tiêu là để biến thiết bị này thành một chính sách an ninh
điểm thi, nỗ lực cấu hình nhiều hơn là cần thiết.
■ Mặc dù các thuật toán ASA là bản chất trạng thái, cấu hình rõ ràng của
CBAC là cần thiết để làm cho IOS stateful, ngay cả đối với một kiểm tra chung của TCP, UDP,
và ICMP.
■ không có khái niệm như nat-kiểm soát trong các cổ điển IOS Firewall. CBAC không hỗ trợ Network Address Translation kỹ thuật (NAT), nhưng tất cả mọi thứ cần phải được xác định bằng tay.
Hình 9-1 mô tả các hoạt động cơ bản của CBAC để cung cấp kiểm tra trạng thái chung trên
một bức tường lửa truy cập internet topo đơn giản. Trong kịch bản này
■ kết nối TCP khởi xướng bởi khách hàng bên trong có thể nhìn thấy các module phần mềm CBAC
(các quy tắc kiểm tra tên INSPECT1 được áp dụng cho các gói tin đến).
■ Đối với mỗi gói tin TCP khi đến giao diện F1, CBAC phân tích các thuộc tính dòng chảy cơ bản (nguồn / đích địa chỉ và cổng giao thức) và thẩm tra nếu nó thuộc về một
kết nối trước tồn tại. Nếu đây là một dòng chảy mới, CBAC động tạo ra một mục trong
bảng trạng thái của nó. Một phóng viên mở tạm thời, với các thông số dòng chảy ngược lại,
được xây dựng để bỏ qua các từ chối tất cả các thiết lập của ACL 100.
■ Là gói trở lại đến giao diện F0, thuộc tính lưu lượng của họ được so sánh với các
lỗ tạm thời và, nếu kết hợp được tìm thấy, họ là cho phép lại cho khách hàng có nguồn gốc.