ASA security level 1問

bbsky622

1.      If we didn’t applied a ACL in interface , then by default, traffic from higher security level is allowed to go to lower security level

2.      If we applied a ACL in interface ,ACL will filter the traffic and overwrite the default security level behavior .

想问一下ASA 如何体现/理解这种security level 行为?

因为ASA 的ACCESS LIST 都是INCOMING RULE, 只看进站的流量,没有明确表明2个ZONE 之间的ACCESS LIST(不像JUNIPER 跟FORTIGATE)

举个例子:

3个ZONE
INSIDE security level 100
CORP security level 50
OUTSIDE security level 0

在 CORP 介面上定义
any any tcp permit
它是表示CORP->INSIDE , CORP->OUTSIDE 全放(这个理解对吗?)

但在 JUNIPER 跟FORTIGATE
你要在 CORP->INSIDE 跟 CORP->OUTSIDE 上
定义 any any tcp permit

然后想问的就是, security level high 去low 的体验方式是在原有的ACCESS LIST 基础上, 最后插入一条
Permit security level high > security level low 的ACL 吗?

还是怎样?

因为在cisco 指令转换fortiage 指令中, 发现如果security level high > security level low , 在fortiage 指令中,
它会帮你在每一个security level high zone -> security level low zone 中最后的ACL 位置插入一条permit any any.
他的这种行为跟CISCO 所做的行为一样吗?

bbsky622

乱了江湖

能不能不用繁体字……

bbsky622

bbsky622

乱了江湖 发表于 2013-5-29 17:12
能不能不用繁体字……

OK 了

bbsky622

乱了江湖

     其实我对防火墙安全这边不太了解，我们公司用的是华为的设备，华为称之为信任区域，在低信任到高信任区域的访问默认是 全部拒绝 。
    当时上司说过 ，不同公司同型号可能默认都不一样，要根据操作手册来具体确认……

乱了江湖

对了  重要的  低到高被拒绝 这是共性。

但是这里面的默认设置只有在 acl中找不到匹配项才会进行匹配。   如果你最后加了允许全部，那么已经找到匹配项 就不会再经过默认拒绝了。

bbsky622

乱了江湖 发表于 2013-5-29 17:28
对了  重要的  低到高被拒绝 这是共性。

但是这里面的默认设置只有在 acl中找不到匹配项才会进行匹配。  ...

那华为的安全级别的行为，可以理解成 是在所有的ACL找不到匹配后，所进行的一个“包底(用安全级别的行为 作為最後一條ACL )” 的 动作(DENY/PERMIT)？

乱了江湖

bbsky622 发表于 2013-5-29 17:47
那华为的安全级别的行为，可以理解成 是在所有的ACL找不到匹配后，所进行的一个“包底(用安全级别的行为  ...

应该可以这么理解，它的防火墙裸配的时候 就要按照默认进行，也就是高向低可访问。

bbsky622

乱了江湖 发表于 2013-5-30 09:24
应该可以这么理解，它的防火墙裸配的时候 就要按照默认进行，也就是高向低可访问。

裸配的时候@@
如不是 裸配呢?  就按我那種理解去進行 ?

乱了江湖

bbsky622 发表于 2013-5-30 10:11
裸配的时候@@
如不是 裸配呢?  就按我那種理解去進行 ?

安装防火墙的时候  一般是先裸配 然后把 默认全部关闭 ，保证双方互通，然后根据实际情况认真编撰 ACL条目，达到精确控制，之后是否把默认打开就要看情况了。

bbsky622

乱了江湖 发表于 2013-5-30 10:14
安装防火墙的时候  一般是先裸配 然后把 默认全部关闭 ，保证双方互通，然后根据实际情况认真编撰 ACL条目 ...

其實我的意思是指 當 不是裸配時 , 安全级别的行为 是在所有的ACL找不到匹配后，所进行的一个“包底(用安全级别的行为 作為最後一條ACL )” 的 动作(DENY/PERMIT) , 這樣理解對不對

乱了江湖

bbsky622 发表于 2013-5-30 11:28
其實我的意思是指 當 不是裸配時 , 安全级别的行为 是在所有的ACL找不到匹配后，所进行的一个“包底(用安 ...

正解~  不过思科的没有接触过 华为的是这样

乱了江湖

bbsky622 发表于 2013-5-30 11:28
其實我的意思是指 當 不是裸配時 , 安全级别的行为 是在所有的ACL找不到匹配后，所进行的一个“包底(用安 ...

你为什么总有繁体字……总不会是台湾人吧