Cómo proteger tu red con un Adaptive Security Appliance Cisco (ASA): Monitoreo y resolución de problemas en configuraciones. Pregunte al Experto

[Cisco Moderador]

Introducción

Con: Julio Carvajal

Bienvenidos  a la conversación en el CSC en Españo! Esta es su oportunidad de  aprender y de hacer todas las preguntas que tenga acerca de Cómo proteger tu red con un Adaptive Security Appliance Cisco (ASA): Monitoreo y resolución de problemas en configuraciones.

Por favor use las estrellas para calificar las respuestas y así informar a Julio que usted ha recibido una respuesta adecuada.

Puede ser que Alejandro no pueda responder cada una de las preguntas debido la cantidad que anticipamos para este evento.

Recuerde que usted puede preguntar o seguir haciendo preguntas en la comunidad de Seguridad

Este evento estará disponible del jueves 11 de julio  al viernes 25 de julio del 2013.

[anibalacuna]

Buenos días, tengo un Cisco ASA 5505 al que accedía con el software Cisco ASDM Launcher v1.5(20), pero ahora lanzo el software y se pone el círculo del tiempo de Windows 7 y no llega a entrar nunca, al final tengo que acabar matando la tarea. He probado a desinstalar el software de Cisco, bajar otra versión, he quitado el java y puesto versión más moderna pero sigue sin conectarse. Ejecuto la aplicación cómo administrador, y he probado desde otro perfil de ese mismo pc pero sigue sin ir.

He probado desde otro pc y si consigo acceder pero necesito entrar desde el que me está fallando porque es el equipo del administrador de la red.

¿Además del software de Cisco hay alguna otra manera de poder acceder a el?. Por indicación de otro forero he probado con Putty pero me da error de timeout.

Gracias a todos y un saludo.

[Julio Carvajal]

Buenas Anibal,

Como lo mencionas en un problema único al servidor del que estas tratando (puede ser por la version de Java que estes corriendo, entre otras cosas).

Hiciste algún cambio últimamente en el servidor?

Ahora para accesar al ASA puedes hacerlo:

Por consola

Por Telnet

Por SSH

Por ASDM (El q estas utilizando)

En este caso debido a que no sabemos si tienes configurado Telnet o SSH, mi recomendación seria intentar mediante una conexion de consola o ASDM desde otra PC para habilitar telnet y ssh con los siguientes comandos:

username cisco password cisco (Crearas tu propio usuario)

aaa authentication ssh console LOCAL

aaa authentication telnet console LOCAL

telnet 0 0 inside

ssh 0 0  inside

Luego puedes intentar conectarte mediante Putty a la IP de la interface del Inside del ASA desde una PC detrás de la interface del inside,

Saludos

For Networking Posts check my blog at http://laguiadelnetworking.com/

Julio Carvajal Segura

[anibalacuna]

Hola Julio, he probado con varias versiones de Java y el error es el mismo.Cambio no se ha hecho.

En cuanto pueda desplazarme a las instalaciones del cliente haré las pruebas que me indicas.

Saludos

[Julio Carvajal]

Buenas Anibal,

Podrias tomar un screenshot de el error que te muestra tu PC al conectarte y mostralo aca?

Tambien las versiones de java con las que has intentado conectarte?

Julio Carvajal Segura

[Rudy Garcia]

Hola Julio,

Cómo puedo hacer para habilitar las funciones de AntiVirus y AntiSpam en un Cisco ASA 5520? Es posible? Actualmente lo tengo 100% como firewall y concentrador de túneles IPSec.

La versión de mi firewall es 8.4(5)

Gracias de antemano por tu respuesta.

Saludos,

Rudy García.

[Julio Carvajal]

Buenas Rudy,

Claro, un placer ayudar.

Para habilitar esta funcionalidad en un ASA 5520 ocupas de el Cisco ASA Content Security and Control o CSC.

Esto basicamente es un módulo adicional que comprarias para poder filtrar diferente tipo de tráfico tal como:

SMTP

POP3

FTP

HTTP

y en la ultima version 6.6 HTTPS

Tenemos licensias base y avanzadas (donde dependiendo de lo que requieras comprarias la base o avanzada)

Base licenses: Antivirus and antispyware functionality for the number of users licensed; pattern file, scan engine updates, and software updates for the first year.

• Plus licenses: URL filtering and blocking, antispam, antiphishing, and content filtering functionality for the number of users licensed; pattern file, scan engine updates, and major and minor software updates for the first year.

• User licenses: The right to perform the Base and Plus (if applicable) functionality for the number of users licensed. For licensing purposes, users are considered to be the total number of nonconcurrent users whose traffic is being scanned and/or protected by the module.

Acá te dejo una guia sobre la configuracion inicial del CSC

https://supportforums.cisco.com/docs/DOC-14970

Para aprender sobre contenido acerca de redes y mas, visita mi blog en http://www.laguiadelnetworking.com/category/espanol/

Saludos,

Julio Carvajal Segura

[Rudy Garcia]

Hola Julio, muchas gracias por el soporte.

Saludos,

Rudy García

[Julio Carvajal]

Para servirle,

Recuerda calificar todas las repuestas que te ayuden,

Saludos
Julio Carvajal Segura

[chispipone]

Buenas tardes,

como poder realizar Twice Nat (el cual ya lo hago sin problema), pero tengo dudas de como hacer  Nats por rango de puertos (sin que  interfieran con otras Vpns peers)  como puedo hacerlo desde ASDM 6.4.9

Tengo

Asa 5550, 8.4.(4)5

desde ya muchas gracias por su tiempo.

Gracias

[Julio Carvajal]

Buenas fm Ratus,

En este preciso momento no tengo accesso a un ASDM GUI donde pueda tomar screenshots de los pasos necesarios para realizar dicha tarea pero te puedo ayudar via CLI.

Notas:

1. Para que el NAT no interfiera con el NAT para VPN o mas bien el No Nat simplemente pon los NAT referentes a VPN de numero 1 en la lista, para que estos siempre tomen precedencia.
   
2. Configura un objeto que mencione los rangos de puertos y los objetos relacionadas a las IPs en juego
   
   1. object network host_Interno
      
      1. host 192.168.12.2
         
   2. object network IP_Publica_host
      
      1. host x.x.x.x
         
3. Configura el rango de puertos para el nat
   
   1. object service Rango_puertos_12.2
      
      1. service tcp source range 5000 5010
         
4. Configura el Twice NAT (Imaginemos que tenemos un NAT para vpn , por ende pondremos este nat de numero dos en la lista)
   
   1. nat (inside,outside) 2 source static host_Interno IP_Publica_host service Rango_puertos_12.2 Rango_puertos_12.2
      
5. Recuerda que las listas de acceso de igual manera deben ser configuradas para permitir el acceso a los rangos de puertos.
   

Saludos,

Julio Carvajal Segura

[Cisco Moderador]

Hola, buen día,

Gracias por hacer su pregunta en la Comunidad de Soporte de Cisco, le pedimos por favor indicar si la respuesta fue correcta y calificarla con las estrellas.

Saludos cordiales.

Moderador CSCe

[Jaime Gonzalez]

Hola julio.

He notado caida de un par de Firewalls que estan en fail-over cuando se emite el comando write standby,  la caida es total y dura un par de minutos, no he encontrado informacion para corregir este  bug.

Gracias

[Julio Carvajal]

Buenas Jaime,

A que te refieres con caída?

A que cada vez q introduces el comando write-standby en el primary device failover falla y los devices se ven como failed o que?

Que version estas corriendo?

For more information about Core and Security Networking follow my website at http://laguiadelnetworking.com

Any question contact me at jcarvaja@laguiadelnetworking.com

Cheers,

Julio Carvajal Segura

[Jaime Gonzalez]

Hola julio

Caida me refiero que despues de emitir el comando write standby , ni el ASA primario ni secundario pueden aceptar conexiones por un periodo aprox de 5 a 10 segundos

saludos