Comunidad de Soporte de Cisco en Espaol Webcast en vivo:

ZoneZone-Based Firewall: Introduccin y anlisis a su funcionamiento.

Julio Carvajal Ingeniero en Seguridad

22 de Enero del 2014

Comunidad de Soporte de Cisco Webcast en vivo

El experto del da de hoy es Julio Carvajal Segura Haga sus preguntas a cerca de: ZoneZone-Based Firewall:

Introduccin y anlisis a su funcionamiento.

Julio Carvajal Segura

Ingeniero en Seguridad
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 2

Tema: Tema: ZoneZone-Based Firewall: Introduccin y anlisis a su funcionamiento.

Panel de Expertos (Question Manager)

Itzcatl Espinoza
Ingeniero de Soporte para Latinoamrica CCIE en Seguridad #33540
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 3

Gracias por su asistencia el da de hoy

Le invitamos a participar activamente contestando las preguntas que le haremos durante la sesin, estas sern a cerca del tema que se estar presentando.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

Copia de la presentaci presentacin

Si desea bajar una copia de la presentacin de hoy, escane el QR o vaya a sta direccin:

https://supportforums.cisco.com/docs/DOChttps://supportforums.cisco.com/docs/DOC-39598

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

Historial de Webcasts de la comunidad: comunidad:

Puede encontrar todos los Webcast de la Comunidad de Soporte de Cisco en espaol en:
https://supportforums.cisco.com/community/spanish/ espacio-de-los-expertos/webcasts

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

1ra.Pregunta a la audiencia: Qu clase de Firewall estn utilizando en su empresa?

Cisco ASA/FWSM IOS ZBFW/CBAC Juniper SRX/Netscreen SRX/Netscreen Checkpoint Otros

a) b) c) d) e)

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

 Ahora puede realizar sus preguntas al panel de expertos!

Use el panel de preguntas y respuestas (Q&A) para preguntar a los expertos ahora. Ellos empezarn a responder.

Comunidad de Soporte de Cisco en Espaol Webcast en vivo:

ZoneZone-Based Firewall: Introduccin y anlisis a su funcionamiento.

Julio Carvajal
Ingeniero en Seguridad 22 de Enero del 2014

Agenda
Introduccin a un IOS Firewall. Componentes claves de un Firewall. Funcionalidades avanzadas de un IOS Firewall. Como resolver problemas en un IOS Firewall. Laboratorio.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

10

Firewall
Que es un Firewall?
Sistema de Seguridad que se encarga de inspeccionar trfico de tal manera que se respeten las politcas de seguridad acerca del uso de el internet y la red local en la empresa.

Que es ZBFW?
ZBFW es la herramienta que nos permite transformar nuestro router en un dispositivo de seguridad de alta calidad capaz de filtrar paquetes de manera avanzada.

Aparece en la versin de Cisco IOS 12.4(6) T buscando reemplazar CBAC. Se puede utilizar CBAC y ZBFW en el mismo router?
La respuesta es S, siempre y cuando no se habilite en la misma interface.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

11

Introduccin a ZBFW
Consiste en dividir al router en diferentes zonas. Las interfaces del router posteriormente se asignarn a cada zona.

Polticas de seguridad deben ser configuradas para permitir trfico entre

diferentes zonas.
Una interface que forma parte de una zona esta configurada con ZBFW.

No puede existir comunicacin entre una interface que forme parte de

ZBFW y otra que no lo haga.

Ms de una interface pueden formar parte de la misma zona.

2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 12

Introduccin a ZBFW
Trfico entre interfaces de la misma zona no es protegido por defecto (IOS

15.1)
Por defecto todo el trfico entre diferentes zonas es denegado.

ZBFW utiliza el Self-Zone para proteger las interfaces del router (Ms

adelante entraremos en detalle acerca de esta zona).

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

13

Implementacin de ZBFW
Dividir al router en diferentes zonas segn la infraestructura de red.

Crear una poltica escrita donde se mencione que trfico se debe de

permitir entre diferentes zonas (Opcional).

Configurar ZBFW.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

14

2da pregunta a la audiencia: Quiero denegar todo el trfico de la zona Outside a la zona Inside. No tengo ninguna poltica configurada. Qu debo hacer?
a)

Configurar una poltica de la zona outside a inside que bote todo el trfico. trfico. Configurar una poltica de la zona a inside a outside para que inspeccione el trfico y el de vuelta sea botado. botado. Nada, por defecto debera de ser denegado

b)

c)

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

15

Implementacin de ZBFW
Tenemos 2 interfaces: -Una que conecta hacia los servidores internos. -La otra nos permite tener acceso a Internet.

Inside

Outside

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

16

Configuracin de ZBFW
Crear las Zonas de Seguridad.

Identificar trfico que va a ser permitido o Denegado.

Configurar Poltica de Seguridad que va realizara la accin

requerida.
Aplicar la Poltica de Seguridad entre las diferentes zonas

Nota: Nota ZBFW utiliza C3PL (Cisco Common Classification Policy Language) para su configuracin.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

17

Crear las Zonas de Seguridad.

En modo de configuracin global creo las zonas que sean necesarias

segn el escenario.

Recordemos que para que ZBFW sea habilitado las interfaces deben de pertenecer

a estas zonas previamente creadas.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

18

Identificar el Trfico
Se lleva a cabo mediante el uso de class-maps. Clasifican el trfico utilizando protocolos o listas de acceso. Tenemos 2 tipos de class-maps:
Match-All (Usada por defecto): Para que esta clase sea utilizada todos los prametros dentro de una clase deben de estar presente en el paquete a clasificar. Match-Any: Con solo que identifique un parmetro dentro de un paquete IP con respecto a esta clase ser suficiente para hacer un match.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

19

Match-All Vs Match Any

Teniendo la siguiente configuracin explicaremos si es posible identificar

trfico.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

20

Configuracin de Class-Map
Supongamos que queremos clasificar el protocolo HTTP dentro de una

clase denominada PRUEBA.

En este caso al no haber seleccionado si es match-all o match-any se utiliza por

defecto el match-all.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

21

Policy-Map
Es la parte de la configuracin donde yo determino que accin voy a tomar contra el trfico previamente clasificado. Es por ende que en cada policy-map hago referencia a clases de trfico. A continuacin vamos a discutir las diferentes opciones que tengo para configurar en un policy-map.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

22

Acciones Dentro de un Policy-Map

Inspect: Inspect
Equivalente al IP inspect de CBAC. Aade una entrada en la tabla de estado del FW para una conexin en especifco de tal manera que el trfico de vuelta sea permitido de manera dinmico. Verifica que los protocolos sigan los estndares definidos en su respectivo RFC. Se encarga de abrir los puertos necesarios para protocolos que usan puertos dinmicos como FTP,H323,SIP, etc.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

23

Pass: Pass:
Es el equivalente a un permit en una lista de acceso. Es unidireccional, no genera ninguna entrada en la tabla de estado del firewall. El trfico de vuelta debe ser permitido manualmente.

Drop: Drop:
Equivalente a un Deny en una lista de acceso.

Police:
Limita la cantidad de bits que pueden ser transferidos para una clase

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

24

Service-Policy
Aqu es donde se aplican las polticas de seguridad.

Se hace dentro de un Zone-Pair

En un zone-pair se hace referencia a trfico de una zona de origen y destino.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

25

Asignar Interfaces a Zona

Interface gigabitethernet 0/0 Zone-member security outside Interface gigabitethernet 0/1 Zone-member security inside

Tan pronto configuremos esto ZBFW estar siendo utilizado en esas interfaces.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

26

3ra Pregunta a la audiencia Con la siguiente configuracin, Cundo tengo que hacer match a un paquete?

a)

Siempre y cuando el paquete venga sobre TCP y tenga puerto destino 80 Siempre y cuando el paquete venga sobre UDP y tenga puerto destino 53 Nunca existir tal paquete. paquete. Siempre y cuando el paquete sea ambos TCP/UDP TCP/UDP y venga con puerto orign orign 80 y destino 53
Cisco Confidential 27

b)

c)

d)

2013-2014 Cisco and/or its affiliates. All rights reserved.

Listas de Acceso y el IOS-FW

Inside

Outside

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

28

 CBAC crea entradas dinmicas en las listas de acceso

configuradas en una interface donde el comando IP Inspect este aplicado (Osea para el trfico entrante se revisa la lista de acceso solo si CBAC no esta configurado).
Con ZBFW el comportamiento cambia debido a que ambos son

tomados en cuenta. Primero se revisar la lista de acceso y posteriormente la tabla de estado de un Firewall.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

29

Cmo Proteger al Router?

Trfico desde y dirigdo al router no es tomado en cuenta por las

polticas de inter-zona.

Para proteger al router de una mejor manera podemos hacer uso

de la Zona dedicada al Router llamada : SelfSelf-Zone.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

30

Recuerda:
Todas las direcciones IP asignadas a las interfaces de los routers

pertenecen a la zona Self-Zone (esto sin importar si la interface esta asociada a una zona o no.
Inspeccin a nivel de aplicacin no se soporta en una poltica que vaya a

asignarse al Self-Zone debido a que no gasta recursos del sistema identificando el tipo de protocolo.
A la hora de configurar una politica para el Self-Zone tome en cuenta:

Protocolos de Enrutamiento Sesiones de administracin al router. Trfico VPN. Etc.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

31

Configuracin Avanzada del FW

Parameter-Map : Permite aadir parmetros especficos a las polticas que esten inspeccionando trfico.
Parameter-map type inspect Test
Alert on|off (Habilita|Deshabilita los mensajes por Syslog) on Audit-trail on|off off (Se encarga de generar logs acerca del establecimiento de conexiones y cuando estas son finalizadas, cantidad de bytes enviados, etc) Ejemplo:

Parameter-map type inspect Audit_Parameter

Audit-trail on

Policy-map type inspect In_Out

Class Test Inspect Audit_Parameter

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

32

Diferentes Comandos en un Parameter-Map

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

33

Deep Packet Inspection

La inspeccin a fondo de paquetes por parte de un FW permite

buscar informacin dentro de el contenido del paquete (payload) para determinar si el trfico es vlido o no.
Ejemplos: 1. 2. 3.

Permitir trfico HTTP solo si va hacia google.com Permitir Emails que tengan hasta cierta cantidad de caracteres. Denegar el uso de ciertas aplicaciones P2P.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

34

Deep Packet Inspection

IMAPIMAP-POP3
Asegurarse que los usuarios utilizen el metodo de validacin requerido.

SMTP
Asegurarse que los emails tienen un tamao que respeta lo configurado.

SUNRPC
Solo ciertos programas sean accessados via RPC.

P2P
Identificar y denegar trfico que es enviado va P2P apps (Kazaa, Gnutella, Edonkey, etc)

HTTP
Con este protocolo puedes realizar multiples acciones ya que puedes identificar trfico basado en mltiples valores como header host value , URI, etc.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

35

Qu se requiere para establecer una VPN con ZBFW (Self-Zone)?

Solamente UDP puerto 500 debe permitirse entre la zona Self y la zona Outside para que el VPN IPSec Main Mode levante. ESP no necesita ser permitido, desde el punto de vista de ZBFW el trfico entre los dispositivos a cada lado del VPN debe permitirse entre Inside-Outside o Outside-Inside.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

36

Troubleshooting con los Comandos Show

Show zone security
Presenta al usuario cada una de las zonas configuradas y a que interface pertenecen.

Show policy-map type inspect zone-pair In_Out

Presenta al usuario las politicas configuradas para un zone-pair en especfico y la cantidad de trfico que ha formado parte de esa poltica.

Show policy-map type inspect zone-pair In_Out sessions

Presenta al usuario un output mas detallado del comando previo (las sesiones activas).

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

37

IP inspect log drop-pkt

Este comando se encargara de enviar un mensaje syslog por cada paquete que se bote por el Firewall. Tamben se puede configurar en el policy-map (siempre y cuando sea pass o inspect). Nota: Nota ZBFW logging esta limitado a un log cada 30 segundos por trfico en especfico.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

38

Configuracin avanzada de Logging

Formas de definir logging para diferentes clases de trfico.

A) Usando un Parameter-Map para una clase.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

39

 B)Usando un Parameter-Map de forma global.

Este es un reemplazo del comando IP inspect log drop-pkt. Lo menor que se puede configurar el intervalo como dijimos previamente es a 30 segundos. NOTA: NOTA Existe la posibilidad de que no se vean los paquetes que son botados por el class class-default aunque tengamos el ip inspect log drop-pkt. Para esas ocasiones se recomienda habilitar el log en el class class-default.

Esto ha sido observado en 15.0 y 15.1 con el class-default. Al parecer no muestra los paquetes botados por defecto.
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 40

Debugs
En 15.1 y despus:

De igual manera puedo filtrarlo por clase de trfico como mencionado

previamente. debug ip inspect es slo usado para CBAC

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

41

 Comandos Debug :

Antes de IOS 15

Si quiero aplicarlo a trfico hacia 4.2.2.3 en puerto TCP/80:

Access-list 101 permit tcp any host 4.2.2.3 eq 80 Debug policy-firewall list 101

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

42

4ta pregunta a la audiencia:

Porqu es recomendado habilitar la herramienta de audit-trail cuando usamos ZBFW?

a)

Nos permite ver los paquetes que fueron denegados. Nos muestra cuando se inicia una sesin y cuando esta se termina nicamente. No es til para ZBFW. Porqu aparte de mostrarnos cuando una sesin se establece y termina tambin nos muestra la cantidad de bytes intercambiados.
Cisco Confidential 43

b)

c)

d)

2013-2014 Cisco and/or its affiliates. All rights reserved.

ZBFW Lab

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

44

Escenario
El router llamado ZBFW y R2 comunican al sitio A con el Sitio B,

esto mediando un VPN IPSec L2L.

Dentro del Sitio A, el router ZBFW y R1 estan usando OSPF para

intercambiar sus tablas de enrutamiento.

El VPN tnel esta configurado y funcionando de manera correcta.

Existe comunicacin entre ambas redes locales.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

45

Tareas
Como administradores de red se nos ha solicitado implementado configurar el

router ZBFW como un IOS Firewall de tal manera que se consiga lo siguiente: Utilizar una zona denominada Inside y otra llamada Outside. Proteger al router utilizando el Self-Zone. Inspeccionar el siguiente trfico proveniente del Inside hacia el Outside
Sesiones RDP al servidor 10.0.0.4 Sesiones HTTP y Telnet al servidor 10.0.0.2

Inspeccionar nicamente trfico ICMP de la zona Outside a Inside. Configurar el IOS FW de tal manera que podamos observar los paquetes que se botan por el proceso de Zone-Based Firewall y adems el inicio y cierre de sesiones as como la cantidad de bytes utilizados.
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 46

Resultado de la Implementacin
Luego de la implementacin verificar que la red funciona de la siguiente

manera: La vecindad de OSPF funciona. El IPSec VPN funciona de manera correcta. Sesiones Telnet y HTTP a 10.0.0.2 se establecen de la zona Inside a la zona Outside. Trfico ICMP de la red externa a la red interna funciona. Verificar que se generan logs por paquetes botados por el IOS-Firewall y aparte ver la cantidad de bytes enviados.
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 47

Sesin de Preguntas y Respuestas

El experto responder en vivo algunas de las preguntas que hayan realizado. Use el panel de preguntas y respuestas (Q&A) para preguntar a los expertos ahora

Nos interesa su opinin!!! opinin!!!

Habr un sorteo con las personas que llenen el cuestionario de evaluacin. Tres de los asistentes recibirn un Regalo sorpresa

Para llenar la evaluacin haga clik en el link que est en el chat, tambin aparecer automticamente al cerrar el browser de la sesin.

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

49

Ask the Experts Event (with Tejas Shah)

If you have additional questions, you can ask them Tejas. He will be 2014 answering from April 2 Julio responder del 22 de enero altode 7 febrero through April 12, 2013.

Puede ver la grabacin de este evento, y leer las preguntas y respuestas en 5 das hbiles en: en:
You can catch the video or read the Q&A five business days after the event at https://supportforums.cisco.com/community/netpro/ask-the-expert/webcasts https:// ://supportforums.cisco.com/community/spanish/espacio https ://supportforums.cisco.com/community/spanish/espaciosupportforums.cisco.com/community/spanish/espacio-dede-loslosexpertos/webcasts

https://supportforums.cisco.com/thread/2208725

Prximo Webcast en Espaol

Tema: IOSIOS-XR: Instalacin y actualizacin del Software e Introduccin
al Cisco Software Manager
Martes 25 de febrero:
9:00 a.m. 10:30 a.m. 12:00 p.m. 4:00 p.m. Ciudad de Mxico Caracas Buenos Aires Madrid

Estar presentando el experto de Cisco: Sergio Barragn Durante este evento en vivo, el experto de Cisco se

cubrirn los mtodos de Turboboot y CLI para la instalacin y actualizacin del sistema IOS XR. XR. Se hablar de la teora del procedimiento, se abarcarn los principales errores y obstculos que se encuentran al realizar estos procedimientos. procedimientos.. Participe
con nosotros para obtener mayor informacin sobre este tema y podr hacer preguntas a los expertos de Cisco. Cisco.
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 51

 Ingls

https://supportforums.cisco.com/community/spanish https://supportforums.cisco.com/community/portuguese https://supportforums.cisco.com/community/csc-japan

Portugus Japons Ruso

https://supportforums.cisco.com/community/russian

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

52

Reconocimientos en la Comunidad
El reconocimiento al PartcipanteDestacado de la Comunidad se otorga a los miembros que demuestran liderazgo y colaboracin con la Comunidad, est diseado para reconocer y agradecer a aquellas personas que colaboran con contenido tcnico de calidad y ayudan a posicionar nuestra comunidad como el destino nmero uno para las personas interesadas en tecnologa Cisco.
2013-2014 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 53

Califique el contenido de la Comunidad de Soporte de Cisco en Espaol.

Ahora puede calificar discusiones, discusiones, documentos, documentos, blogs y videos!!...

Esto es con el fin de que nos ayude a distinguir contenido de calidad y tambin para reconocer los esfuerzos de los integrantes de la Comunidad de Soporte de Cisco en espaol. https://supportforums.cisco.com/community/spanish/general/blog/201 3/06/21/ahora-ratings-en-documentos-blogs-y-videos

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

54

Soporte Tcnico Mvil, tenga acceso a las Comunidades de Soporte Globales.

La Comunidad de Soporte de Cisco cuenta con una aplicacin de Acceso Mvil hacia la Comunidades Globales > Espaol, Portugus, Japons, Ruso, y Polaco. Polaco. https://supportforums.cisco.com/docs/DOC-34800

2013-2014 Cisco and/or its affiliates. All rights reserved.

Cisco Confidential

55

https://supportforums.cisco.com/community/spanish https://supportforums.cisco.com/community/spanish

CiscoLatinoamerica Cisco Mexico Cisco Espaa @Cisco_LA @CiscoMexico @cisco_spain

Cisco Cono Sur Comunidad Cisco Cansac CiscoSupportCommunity @ciscocansacsm @ciscoconosur @cisco_support

2013 Cisco and/or its affiliates. All rights reserved.

56

CiscoLatam ciscosupportchannel

Cisco Technical Support

CSC-Cisco-Support-Community

Escucha nuestros prximos anuncios en Cisco Radio Latina

http://www.radiocisco.net/
2013 Cisco and/or its affiliates. All rights reserved. 57

Gracias por su tiempo

Por favor tomen un momento para llenar su evaluacin