Newsgroup: it.comp.reti.cisco
Titolo: Settaggio PIX 515 ver. 8.0(4)

Ciao a tutti,
  espongo il problema:
Scenario
Firewall PIX 515 Versione IOS 8.0(4)
posizionato alla frontiera della rete
Cosa si vuole ottenere
----------------------
Si vogliono implementare alcune regole  per una rete
( ad esempio di classe C come la 
192.168.30.0/24
 )
il cui scopo sia quello di modulare l'accesso
alla rete da parte di uno stesso IP.
Come si vorrebbe fare
---------------------
Si preparano quattro insiemi di questo tipo
(config)#object-group network UTENTI_BLOCCATI
(config)#object-group network UTENTI_SOLO_BIBLIOTECHE
(config)#object-group network UTENTI_SOLO_POSTA_E_WEB
(config)#object-group network UTENTI_VANNO_OVUNQUE
Il nome dato a questi gruppi e' autoesplicativo.
Le regole associate dovrebbero naturalmente
rispecchiare il comportamento aspettato
( cioe' un IP in UTENTI_VANNO_OVUNQUE non ha nessuna
  limitazione; un IP in UTENTI_BLOCCATI non deve
 oltrapassare il firewall; un IP in UTENTI_SOLO_POSTA_E_WEB
 deve solo accedere a server di posta e server web)
Si vorrebbe ora aggiungere o togliere  un IP da uno o piu'
insiemi ( lo stesso IP quindi normalmente si troverebbe in diversi
insiemi ) ottenendo una diversa politica:
ad esempio facciamo il caso che la persona
con un IP appartenente a UTENTI_VANNO_OVUNQUE
abbia preso un virus. Si vuole nel piu'
breve tempo possibile bloccarlo inserendolo in UTENTI_BLOCCATI
Dopo un po' di tempo si vorra' toglierlo da UTENTI_BLOCCATI e
inserirlo
in UTENTI_SOLO_POSTA_E_WEB
( per consentirgli di leggere la posta e scaricare eventuali
  aggiornamenti per l'antivirus )
( lo stesso IP quindi si trova in due insiemi: in un primo momento
in UTENTI_VANNO_OVUNQUE e UTENTI_BLOCCATI e in un secondo momento
in UTENTI_VANNO_OVUNQUE e UTENTI_SOLO_POSTA_E_WEB )
A fine controllo, verificato che il PC non sia piu' infettato
si togliera' dall'insieme UTENTI_SOLO_POSTA_E_WEB rimanendo
solo in UTENTI_VANNO_OVUNQUE.
Problema: come si gestisce questo con il PIX ?
Come si devono creare le access-list per ottenere tutto questo ?
Come vengono lette le regole da parte del PIX ?
E' possible,mettendo le regole in cascata, far si' che il PIX
non appena trova il match con l'IP esca dal parsing delle
regole ?
 Grazie per l'aiuto.
 Alessandro

 regole ?
Non lo fa già?
Secondo me è difficile implementare queste regole con un PIX.
Sarebbe meglio mettere gli utenti dietro a un proxy (ad esempio Squid)
e filtrare tramite quello.


Semplifico il problema.
Supponiamo di voler fare solo due categorie
( insiemi di IP ) di utenti.
(config)#object-group network UTENTI_BLOCCATI
(config)#object-group network UTENTI_VANNO_OVUNQUE
Gli utenti (quale che sia la categoria )
devono poter andare su alcune
macchine selezionate e porte specificate
quindi si aggiunge
(config)#object-group network IP_SEMPRE_DISPONIBILI
(config)#object-group service PORTE_TCP_SEMPRE_DISPONIBILI tcp
Dopo scriviamo  queste regole sul PIX:
access-list INSIDEin extended permit tcp  object-group UTENTI_BLOCCATI
                                 object-group IP_SEMPRE_DISPONIBILI
                                 object-group
PORTE_TCP_SEMRE_DISPONIBILI
access-list INSIDEin extended deny  ip  object-group  UTENTI_BLOCCATI
any
access-list INSIDEin extended permit ip UTENTI_VANNO_OVUNQUE  any
access-group INSIDEin in interfaca INSIDE
Se il PIX legge sequenzialmente le regole
( scusate la domanda: come si fa ad essere sicuri della sequenza
  delle regole ? E' possibile siglare una regola come la prima
  regola, poi un'altra regola come seconda regola e cosi' via ?)
dovrebbe capitare la seguente cosa per un IP presente
in UTENTI_BLOCCATI:
 l'IP che si vuole bloccare punta su un IP lecito.
 Entra in funzione la prima regola ,il PIX esce
 dalla lettura regole, e l'utente si collega.
 Poi lo stesso IP tenta un accesso diverso dal consentito.
 La prima regola non matcha e  il PIX continua;
 La seconda regola matcha;  il PIX esce e l'utente viene bloccato)
 Se un utente ( IP ) diverso da quelli presenti in UTENTI_BLOCCATI
 tenta il collegamento deve capitare la seguente cosa:
 la prima regola non matcha ( non e' nei UTENTI_BLOCCATI)
 la seconda regola non matcha ( come sopra )
 la terza regola matcha e l'utente va in rete.
 Giusto ?

  Giusto ?
Sì, funziona così.
Puoi anche inserire in mezzo a due regole una nuova regola usando
l'opzione line.
Dai un'occhiata qui:
http://www.cisco.com/en/US/products/hw/vpndevc/ps2030/products_tech_note09186a008009402f.shtml#commandsyntax