Cisco PIX OS version 7.0/8.21新特性

network

Cisco PIX OS version 7.0新特性一直以来，Cisco在PIX OS上的开发力度大概只能用“慢工出细活”来形容，在竞争对手如Netscreen, Fortinet等等大大小小的厂商不断推出New Features的同时，Cisco似乎只是将精力放在了PIX OS version 6.0的捉虫上，不用说那些封堵BT下载之类的新特性，即便是Transparent Firewall这种已是大路货的东西，Cisco也只是在Catalyst6500的Firewall Service Module提供支持。我想，一方面可能缘于Cisco的软件工程体系，另一个可能的方面是因为PIX OS属于专有OS，而Fortinet一类的厂商实际上是以Linux为基础进行开发，如我般浅薄者觉得通用操作系统的扩展性可能还是要强于专有的操作系统。
不过，一切似乎都很快要有所改观，Cisco已经在CCO上释出PIX OS 7.0的release notes，transparent firewall, virtual firewalls, IPv6, SSHv2, p2p blocking, etc，看起来该有的都有了，并且Cisco仍然保留了在CLI界面上的特点。
http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/

Release Highlights
ADVANCED FIREWALL SERVICES
• Deep inspection firewall services for HTTP, FTP, ESMTP, and more
• Instant messaging, peer-to-peer, and tunneling application blocking
• Cisco Modular Policy Framework with flow-based security policies
• Virtual firewall services
• Layer 2 transparent firewall
• 3G Mobile Wireless security services
ROBUST IPSEC VPN SERVICES
• VPN client security posture enforcement
• Automatic VPN client software updating
• OSPF dynamic routing over VPN tunnels
HIGH AVAILABILITY SERVICES
• Active/Active failover with asymmetric routing support
• Remote-access and site-to-site VPN stateful failover
• Zero-downtime software upgrades
INTELLIGENT NETWORK SERVICES
• PIM multicast routing
• Quality of service (QoS)
• IPv6 networking
FLEXIBLE MANAGEMENT SOLUTIONS
• SSHv2 and SNMPv2c
• Configuration rollback
• Usability enhancements

network

PIX各版本下载文档
http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_sw/

network

最新版7.2
http://www.cisco.com/univercd/cc ... x_sw/v_72/index.htm

network

这里只列出了和vpn有关的配置

PIX Version 7.2(1)
!
interface Ethernet0
nameif outside
security-level 0
ip address 58.135.192.7 255.255.255.192
!
interface Ethernet1
nameif inside
security-level 100
ip address 10.0.0.254 255.255.255.0
!
access-list nonat permit ip 10.0.0.0 255.255.255.0 10.10.10.0 255.255.255.0
ip local pool l2tpoipsec 10.0.0.10-10.0.0.20 mask 255.255.255.0
route outside 0.0.0.0 0.0.0.0 58.135.192.62 1
nat (inside) 0 access-list nonat  //这个命令很重要，或者直接no nat-control
group-policy l2tpoipsec internal
group-policy l2tpoipsec attributes
dns-server value 202.106.116.1
vpn-tunnel-protocol IPSec l2tp-ipsec  //必须要加IPsec，只有l2tp-ipsec的话是拨不通的
default-domain value cisco.com
address-pools value l2tpoipsec
username l2tpoipsec password diVqlLvH/KThxao5xxZ8XA== nt-encrypted  //在password后面加个mschap，这个也是必须的
crypto ipsec transform-set l2tpoipsec esp-3des esp-md5-hmac  //就用3des吧和md5，windows不支持aes，而且据我查的那个sha1好像是40位的，可能和pix的sha加密位数不一样
crypto ipsec transform-set l2tpoipsec mode transport  //必须加，l2tp协议所定
crypto dynamic-map dyn 10 set transform-set l2tpoipsec
crypto map l2tpoipsec 10 ipsec-isakmp dynamic dyn
crypto map l2tpoipsec interface outside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des  //和windows端是匹配的
hash md5
group 2
lifetime 86400
tunnel-group DefaultRAGroup general-attributes  //这个很重要，一定要使用DefaultRAGroup，因为l2tp是不支持group的
default-group-policy l2tpoipsec
tunnel-group DefaultRAGroup ipsec-attributes
pre-shared-key *
tunnel-group DefaultRAGroup ppp-attributes
authentication ms-chap-v2

network

　Cisco PIX/ASA本地权限提升漏洞  

文章作者：npss    发布时间：2007-03-15  发布单位：中科网威  阅读次数：73
受影响系统：

    Cisco PIX Firewall < 7.2(2.8)
    Cisco ASA < 7.2(2.8)

不受影响系统：

    Cisco PIX Firewall 7.2(2.10)
    Cisco ASA 7.2(2.10)

描述：BUGTRAQ  ID: 22562
CVE(CAN) ID: CVE-2007-0960

Cisco PIX和ASA都是非常流行的防火墙设备，提供能够进行状态报文过滤和深层报文检查的防火墙服务。

Cisco PIX和ASA使用的认证方法实现上存在漏洞，远程攻击者可能利用此漏洞提升自己在设备上的权限。

使用LOCAL方法进行用户认证可能导致权限提升。如果要利用这个漏洞，用户必须是在本地数据库中以0权限定义的且能够成功的认证到受影响的设备。仅有满足了这些条件用户才能将所分配的权限提升到15级，成为管理员之后，用户可以更改设备配置和操作的每个方面。
   
如果设备配置存在以下行的话设备就受这个漏洞影响：



    pixfirewall(config)# aaa authentication enable console LOCAL
    pixfirewall(config)# username <user_name> password <secret_pwd> privilege 0

这个漏洞在Cisco Bug ID中记录为CSCsh33287。

<*来源：Cisco安全公告
   
  链接：http://secunia.com/advisories/24160/
        http://www.cisco.com/warp/public/707/cisco-sa-20070214-pix.shtml
*>

建议：临时解决方法：

使用TACACS+或Radius进行认证
+---------------------------------------

   不要使用LOCAL方式而使用TACACS+或Radius进行用户认证。这个例子说明了如何配
   置Cisco PIX设备使用TACACS+或Radius认证到设备的Secure Shell（SSH）访问。

    pixfirewall(config)#aaa-server AuthOutbound protocol radius (or tacacs+)
    pixfirewall(config)#aaa authentication ssh console AuthOutbound
    pixfirewall(config)#aaa-server AuthOutbound host 10.0.0.1 <radius_key>

   在这个例子中，10.0.0.1是Radius服务器的IP地址，radius_key是Radius服务器和
   设备之间的共享密钥。

更改用户的最小权限级别
+--------------------------------------

   将用户最小权限级别从0更改为1。在这种情况下，配置应类似于：

    pixfirewall(config)# aaa authentication enable console LOCAL
    pixfirewall(config)# username <user_name> password <secret_pwd> privilege 1

   可以使用0或15以外的任意权限级别。如果为15的话，用户就会拥有所有的权限，
   这是我们需要首先防范的情况。

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20070214-pix）以及相应补丁:
cisco-sa-20070214-pix：Multiple Vulnerabilities in Cisco PIX and ASA Appliances
链接：http://www.cisco.com/warp/public/707/cisco-sa-20070214-pix.shtml

补丁下载：

http://www.cisco.com/pcgi-bin/tablebuild.pl/pix?psrtdcat20e2
http://www.cisco.com/pcgi-bin/tablebuild.pl/asa?psrtdcat20e2
http://www.cisco.com/pcgi-bin/tablebuild.pl/PIXPSIRT?psrtdcat20e2

network

ASA PIX不同
很多年来，Cisco PIX一直都是Cisco确定的防火墙。但是在2005年5月，Cisco推出了一个新的产品——适应性安全产品（ASA，Adaptive Security Appliance）。不过，PIX还依旧可用。我已听到很多人在多次询问这两个产品线之间的差异到底是什么。让我们来看一看。

    Cisco PIX是什么？

    Cisco PIX是一种专用的硬件防火墙。所有版本的Cisco PIX都有500系列的产品号码。最常见的家用和小型网络用产品是PIX 501；而许多中型企业则使用PIX 515作为企业防火墙。

    PIX防火墙使用PIX操作系统。虽然PIX操作系统和Cisco IOS看起来非常的接近，但是对那些非常熟悉IOS的用户来说，还是有足够的差异性弄得他们头昏脑胀。

    PIX系列的防火墙使用PDM（PIX设备管理器，PIX Device Manager）作为图形接口。该图形界面系统是一个通过网页浏览器下载的Java程序。

    一般情况下，一台PIX防火墙有个外向接口，用来连到一台Internet路由器中，这台路由器再连到Internet上。同时，PIX也有一个内向接口，用来连到一台局域网交换机上，该交换机连入内部网络。

    Cisco ASA是什么？

    而ASA是Cisco系列中全新的防火墙和反恶意软件安全用具。（不要把这个产品和用于静态数据包过滤的PIX搞混了）

    ASA系列产品都是5500系列。企业版包括4种：Firewall，IPS，Anti-X，以及VPN.而对小型和中型公司来说，还有商业版本。

    总体来说，Cisco一共有5种型号。所有型号均使用ASA 7.2.2版本的软件，接口也非常近似Cisco PIX.Cisco PIX和ASA在性能方面有很大的差异，但是，即使是ASA最低的型号，其所提供的性能也比基础的PIX高得多。

    和PIX类似，ASA也提供诸如入侵防护系统（IPS，intrusion prevention system），以及VPN集中器。实际上，ASA可以取代三种独立设备——Cisco PIX防火墙，Cisco VPN 3000系列集中器，以及Cisco IPS 4000系列传感器。

    现在，我们已经看过了两种安全工具各自的基本情况，下面我们来看看他们互相比较的结果。

    PIX对ASA

    虽然PIX是一款非常优秀的防火墙，但是安全方面的情况却在日新月异。仅仅使用一台静态数据包过滤防火墙来对你的网络进行保护已远远不够了。对网络而言，新的威胁层出不穷——包括病毒，蠕虫，多余软件（比如P2P软件，游戏，即时通讯软件），网络欺诈，以及应用程序层面的攻击等等。

    如果一台设备可以应付多种威胁，我们就称其提供了“anti-X”能力，或者说它提供了“多重威胁（multi-threat）”防护。但PIX恰恰无法提供这种层次的防护。

    绝大多数公司不希望采用安装一台PIX进行静态防火墙过滤，同时再使用一些其他的工具来防护其他威胁的办法。他们更希望采用一台“集所有功能于一身”的设备——或是采用一台UTM（统一威胁管理）设备。

    而ASA恰好针对这些不同类型的攻击提供了防护。它甚至比一台UTM设备更厉害——不过，要成为一台真正的UTM，它还需要装一个CSC-SSM模块（CSC-SSM，内容安全以及控制安全服务，Content Security and Control Security Service）才行。该模块在ASA中提供anti-X功能。如果没有CSC-SSM，那ASA的功能看起来会更像一台PIX.

    那么，到底哪一个才适合你的企业呢？正如我们通常所说的，这要看你企业的需求而定。不过，我还是倾向于优先选择ASA，而后才是PIX.首先，一台ASA的价格要比同样功能的PIX要低。除去成本的原因不谈，至少从逻辑上来说，选择ASA就意味着选择了更新更好的技术。

    对于那些已经在使用Cisco PIX的人来说，Cisco已经提供了一个迁移指南，以解决如何从Cisco PIX迁移到ASA上的问题。就我观点而言，我觉得这起码预示了一点，就是Cisco终止PIX的日子正离我们越来越近。虽然Cisco公司尚未明确宣布这一点，但是我认为这只是一个时间问题罢了。

    要记住，面对Internet上五花八门的不同威胁，我们无法再简单地像以往那样有了一套防火墙就万事大吉了；对完整的防护措施而言，一个多重防护的方法必不可少。虽然ASA的确是很好的一个选择，但是这也并不意味着它是你的唯一选项。许多生产商都提供了很好的产品，在你最终选择ASA之前，建议你不妨对它们多了解了解。

network

新案例

在pix或asa如何防止内网用户乱改ip配置案例  
防止内网用户乱该ip地址，用户只能用给定的ip，如果改ip地址，则无法访问网络资源。
例如：做了下述配置后(arp inside 10.64.64.29 000f.b0d8.a504)，mac地址为000f.b0d8.a504的pc
只能使用ip10.64.64.29来访问网络资源，如果该ip则无法访问。
pix515e# sh run
: Saved
:
PIX Version 7.2(1)
!
hostname pix515e
domain-name cisco
enable password N7FecZuSHJlVZC2P encrypted
做名字解析
****************************************************
names
name 10.64.64.113 chengxiaojie
name 10.64.64.13 dhcp
name 10.64.64.71 liuyongjun
name 10.64.64.72 liuyongjun-ibm
name 10.64.64.39 lixiaoliang
name 10.64.64.103 lixuesong
name 10.64.64.17 lulianying
name 10.64.64.92 qizuomeng
name 10.64.64.69 wangzhili
name 10.64.64.105 xingzhonghe
name 10.64.64.45 tanjun
name 10.64.64.108 zhangyi
name 10.64.64.178 hujian
name 10.64.64.93 ibm220
name 10.64.64.62 jiling
name 10.64.64.111 yangliu
name 10.64.64.112 wangsishen
name 10.64.64.158 wangyuguo
name 10.64.64.52 lishihai
name 10.64.64.78 office-teacher
name 10.64.64.48 yangjin
name 10.64.64.104 wutao
name 10.64.64.63 zangdong
name 10.64.64.80 xiaoguangyue
name 10.64.64.14 ibm235
name 10.64.64.222 lixuesong-dell
name 10.64.64.75 maxiaopeng
name 10.64.64.215 lintao
name 10.64.64.199 machi
name 10.64.64.216 liuxuesong
name 10.64.64.246 jiachangjing
name 10.64.64.61 chufw
****************************************************
!
interface Ethernet0
nameif outside
security-level 0
ip address X.X.76.26 255.255.255.0
!
interface Ethernet1
nameif inside
security-level 100
ip address 10.64.64.2 255.255.240.0
!
interface Ethernet2
nameif dmz
security-level 80
ip address 192.168.0.1 255.255.255.0
!
passwd N7FecZuSHJlVZC2P encrypted
!
time-range worktime
periodic daily 8:00 to 17:00
!
ftp mode passive
clock timezone CST 8
dns domain-lookup outside
dns server-group DefaultDNS
name-server 219.150.32.132
domain-name cisco
做object-group以便在acl里被调用（注：object-group是个好东东，可以大大简化acl的配置）
****************************************************
object-group network www
network-object host xingzhonghe
network-object host chengxiaojie
network-object host dhcp
network-object host liuxuesong
network-object host wangzhili
network-object host liuyongjun
network-object host liuyongjun-ibm
network-object host lulianying
network-object host chufw
network-object host jiachangjing
network-object host maxiaopeng
network-object host 10.64.64.255
object-group network guest
network-object 10.64.66.112 255.255.255.240
object-group network caiwu
network-object 10.64.66.0 255.255.255.224
object-group service netmeeting tcp
port-object range 1503 1503
port-object range h323 h323
object-group network worktime
network-object host wutao
network-object host zhangyi
network-object host yangliu
network-object host wangsishen
network-object host wangyuguo
network-object host 10.64.64.169
network-object host 10.64.64.18
network-object host machi
network-object host lintao
network-object host liuxuesong
network-object host lixuesong-dell
network-object host 10.64.64.247
network-object host 10.64.64.29
network-object host 10.64.64.30
network-object host yangjin
network-object host lishihai
network-object host 10.64.64.55
network-object host jiling
network-object host office-teacher
****************************************************

access-list outside_access_in extended permit icmp any any echo-reply
access-list outside_access_in extended permit tcp any any object-group netmeeting
调用上述的object-group到acl
****************************************************
access-list inside_access_in extended deny ip any 192.168.0.0 255.255.255.0
access-list inside_access_in extended permit ip object-group caiwu 192.168.0.0 255.255.255.0
access-list inside_access_in extended permit ip object-group www any
access-list inside_access_in extended permit ip object-group guest any inactive
access-list inside_access_in extended deny tcp any any eq 1863
access-list inside_access_in extended permit ip host lixiaoliang host 211.147.77.98
access-list inside_access_in extended permit ip host qizuomeng host 211.147.77.98
access-list inside_access_in extended permit ip object-group worktime any time-range worktime
access-list inside_access_in extended permit ip host ibm235 any time-range worktime inactive
****************************************************
access-list remote_splitTunnelAcl standard permit 10.64.64.0 255.255.240.0
access-list inside_nat0_outbound extended permit ip 10.64.64.0 255.255.240.0 1.1.1.0 255.255.255.0
access-list outside_cryptomap extended permit ip any 1.1.1.0 255.255.255.0
access-list caiwu_splitTunnelAcl standard permit 192.168.0.0 255.255.255.0
access-list outside_cryptomap_1 extended permit ip any 1.1.1.0 255.255.255.0
access-list dmz_nat0_outbound extended permit ip 192.168.0.0 255.255.255.0 1.1.1.0 255.255.255.0
pager lines 24
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip local pool remote 1.1.1.1-1.1.1.254 mask 255.255.255.0
ip local pool caiwu 2.2.2.1-2.2.2.254 mask 255.255.255.0
no failover
asdm image flash:/asdm.bin
no asdm history enable
把ip和mac绑定
****************************************************
arp inside 10.64.64.29 000f.b0d8.a504
arp inside 10.64.64.247 000b.2f04.7dd8
arp inside 10.64.64.169 0016.17f2.2eb3
arp inside lintao 000a.e6b2.c4c6
arp inside liuxuesong 00e0.4c58.b7cd
arp inside lishihai 000a.e69b.f4dc
arp inside ibm235 0009.6ba5.49c5
arp inside maxiaopeng 000c.764d.6aa8
arp inside xiaoguangyue 0011.09b4.6f25
arp inside zangdong 00e0.4cc1.2a14
arp inside wutao 0013.d47d.0c36
arp inside office-teacher 0090.9626.7da7
arp inside yangjin 00e0.4d01.6b1b
arp inside wangyuguo 00e0.4c21.471d
arp inside wangsishen 0015.c50f.92a5
arp inside yangliu 0015.f299.7f6c
arp inside jiling 00e0.4cc1.2a34
arp inside hujian 0011.252f.8613
arp inside ibm220 0002.556d.0037
arp inside jiachangjing 00e0.4d01.6b30
arp inside tanjun 0013.7222.5fe5
arp inside wangzhili 000d.6004.c197
arp inside lixiaoliang 0014.782f.b989
arp inside liuyongjun-ibm 0010.c6de.2686
arp inside lulianying 0016.3563.db1b
arp inside liuyongjun 0000.e25a.8580
arp inside lixuesong 0017.3152.8e78
arp inside chengxiaojie 0016.3564.8a6b
arp inside xingzhonghe 00e0.4c60.a8da
arp inside dhcp 0014.5e2b.77b5
arp inside zhangyi 0013.7222.4819
arp inside lixuesong-dell 0018.8ba2.d1c5
arp inside machi 000a.e6b5.0600
arp inside 10.64.64.18 0015.c510.12d4
****************************************************
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 10.64.64.0 255.255.240.0
nat (dmz) 0 access-list dmz_nat0_outbound
static (inside,outside) tcp interface 1503 chufw 1503 netmask 255.255.255.255
static (inside,outside) tcp interface h323 chufw h323 netmask 255.255.255.255
access-group outside_access_in in interface outside
应用acl到inside端口
****************************************************
access-group inside_access_in in interface inside
****************************************************
route outside 0.0.0.0 0.0.0.0 X.X.76.25 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
group-policy caiwu internal
group-policy caiwu attributes
dns-server value 219.150.32.132
vpn-tunnel-protocol IPSec
split-tunnel-policy tunnelspecified
split-tunnel-network-list value caiwu_splitTunnelAcl
group-policy remote internal
group-policy remote attributes
dns-server value 219.150.32.132
vpn-tunnel-protocol IPSec
split-tunnel-policy tunnelspecified
split-tunnel-network-list value remote_splitTunnelAcl
username chufw password hs6C0g7Y0Zza/dVN encrypted privilege 15
username chufw attributes
vpn-group-policy remote
vpn-framed-ip-address 1.1.1.111 255.255.255.0
http server enable
http chufw 255.255.255.255 inside
http 219.148.242.228 255.255.255.255 outside
http 219.148.242.227 255.255.255.255 outside
http 1.1.1.111 255.255.255.255 outside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-SHA
crypto dynamic-map outside_dyn_map 40 set transform-set ESP-3DES-SHA
crypto map outside_map 20 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
crypto isakmp policy 65535
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
crypto isakmp nat-traversal  20
tunnel-group remote type ipsec-ra
tunnel-group remote general-attributes
address-pool remote
default-group-policy remote
tunnel-group remote ipsec-attributes
pre-shared-key *
tunnel-group caiwu type ipsec-ra
tunnel-group caiwu general-attributes
address-pool remote
default-group-policy caiwu
tunnel-group caiwu ipsec-attributes
pre-shared-key *
telnet chufw 255.255.255.255 inside
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 5
console timeout 0
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
  message-length maximum 512
policy-map global_policy
class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect netbios
  inspect rsh
  inspect rtsp
  inspect skinny
  inspect esmtp
  inspect sqlnet
  inspect sunrpc
  inspect tftp
  inspect sip
  inspect xdmcp
!
service-policy global_policy global
ntp server 207.46.130.100 source outside
tftp-server inside chufw pix
prompt hostname context
Cryptochecksum:c02e836587f08fa6ce4699df28408774
: end
pix515e#

我心飞翔

星福星

这个不错 :victory:

network

新特性正在翻译中，陆续会放上来

http://www.cisco.com/en/US/produ ... on_guides_list.html