Zone-Based Firewall: Introducción y análisis a su funcionamiento. Pregunte al experto

[Cisco Moderador]

Durante esta presentación Julio cubrirá detalles para convertir un IOS router en un firewall de alto nivel como el Zone-Based Firewall (ZBFW). Tendremos una explicación avanzada de sus principales usos y configuración, además de realizar un laboratorio en vivo.

Agenda:

• Introducción
• Usos
• Configuración
• Demo en vivo

Julio Carvajal actualmente se desempeña como ingeniero de seguridad en IBM donde trabaja con dispositivos de seguridad de todo el mercado (Cisco, Juniper, Websense, etc). Julio formó parte del TAC de  Cisco por más de dos años, trabajando para los equipos de seguridad, adicional colaboró como instructor en la misma área con temas de Firewall, VPN, AAA y NMS. Cuenta con las certificaciones CCNP R&S, CCNP Security, CCIE R&S, JNCIA, CompTIA Sec.

Por favor use las estrellas para calificar las respuestas e indique si la respuesta que ha recibido es la corrrecta.

Puede ser que Julio no pueda  responder cada una de las preguntas debido la cantidad  que    anticipamos  para este evento. Recuerde que usted puede  preguntar o  seguir haciendo  preguntas en la comunidad de Seguridad

Este evento estará disponible del martes 22 de enero al viernes 7 de febrero del 2014.

[Julio Carvajal]

Saludos a todos desde Costa Rica,

Comandos Importantes del training:

1- ip port-map:

Nos permite "mapear" protocolos no standard a puertos TCP/UDP específicos o ínclusive poner al router a tratar tráfico a un puerto no estandar como parte de un protocolo estándard.

Ejemplo 1. Crear un protocolo para inspeccionar sesiones RDP (Recuerda que RDP no es un protocolo estandard)

     ip port-map user-RDP port tcp 3389

Ejemplo 2. Empezar a inspeccionar tráfico en puerto 8080 TCP como si fuera HTTP

ip port-map HTTP port 8080

2- Audit-Trail

Nos permite no solo generar logs de cuando una sesión se crea y se termina a tráves del Firewall sino que tambien nos muestra la cantidad de bytes intercambiados por sesión. Se crea mediante un parameter-map y se habilita en un policy-map.

     Configuración

Parameter-map type inspect Jcarvaja

audit-trail enable

policy-map type inspect inside_to_outside

class test

inspect Jcarvaja

3-Show policy-map type inspect zone-pair $name sessions

Nos muestra la cantidad de sesiones activas en un zone-pair específico,así como información detallada de dichas conexiones.

Alguna otra consulta, me la pueden hacer saber.

Para más información siganme en mi sitio web http://laguiadelnetworking.com

Julio Carvajal Segura
http://laguiadelnetworking.com

[Jorge Guimaraes]

Hola Julio,

Gustaria de saber que es ZBFW?

Saludos,

Jorge

[Julio Carvajal]

Hola Jorge,

ZBFW es la funcionalidad que nos permite transformar nuestro Router en un Firewall de alto nivel.

Julio Carvajal Segura
http://laguiadelnetworking.com

[Jorge Guimaraes]

Gustaria saber tambien, 1ue se requiere para establecer un VPN utilizando ZBFW?

Tks,

Jorge

[Julio Carvajal]

Hola Jorge,

Para poder permitir un VPN mientras se utiliza la zona Self se necesita permitir el tráfico UDP 500 y UDP 4500 hacia y desde el router utilizando la acción de Pass.

No se requiere permitir el tráfico ESP desde y hacia el router.

Julio Carvajal Segura
http://laguiadelnetworking.com

[Christopher Duarte]

Julio,

Puedo prevenir ataques de DoS o DDoS con un Router corriendo ZBFW?

Gracias!

Chris

[Julio Carvajal]

Hola Chris,

ZBFW te permite configurar límites en el número de conexiones activas así como para conexiones embríonicas en un router por destino o total.

Aparte de ello puedes configurar limites de tiempo para respuestas a paquetes de protocolos como DNS o ICMP.

Julio Carvajal

[Christopher Duarte]

Julio

Es obligatorio el uso del Self-Zone?

Gracias again!

Chris

[Julio Carvajal]

Hola Chris,

No pero es 100 % recomendado hacerlo debido a que estaremos protegiendo no solo nuestra red sino tambien al FW que protege dicha red.

Así que si van a implementar ZBFW recuerden  utilizar la zona Self.

Julio Carvajal