作者：三石

曾经就职于联想、锐捷等知名厂商，目前在武汉中继者IT培训中心负责思科、华为的IE课程的开发和培训，具有6年以上的网络技术从业经验，先后获取CCIE RS等证书。

一.防火墙模式的介绍

防火墙为网络安全中必不可少的部分，为了保障三层网络和二层网络的安全，ASA 防火墙提供了Routed(路由)和Transparent（透明）两种工作模式。

1. 路由模式和透明模式介绍

• 路由模式：Cisco ASA的默认工作模式，俗称3层防火墙模式，ASA所有接口均为3层接口。用于3层网络的安全隔离。如图1所示。

  
  

如图下所示，Routed 模式中，ASA每个接口都配置IP地址，将网络分成了3个广播域。

图1：路由模式连接

• 透明模式：透明模式的ASA，接口无法配置IP地址，唯一IP地址配置在Management 接口，用于设备的管理。用于2层网络的安全隔离。如图2所示。

  
  

如下图所示，Transparent模式中，ASA为2层接口，无IP地址，控制同一局域网内部安全访问。

图2：透明模式连接

2. 路由模式和透明模式流量转发

• 路由模式流量转发：与路由器类似，接口分配不同网段IP，通过目的IP转发数据包。

• 透明模式流量转发：与交换机类似，接口无IP地址，通过目的MAC地址转发数据帧。

3. 透明模式中，当接收到的数据帧目的MAC不在ASA本地MAC地址表项中，ASA将做如下尝试：

• ARP request :  当目的IP地址为本地直连网段时，ASA将发送该目的地的ARP请求消息，收到目的地ARP Reply后，刷新本地MAC地址表项。

• Ping request:  当目的IP地址非本地网段时，ASA将向此目的地发送ICMP echo request消息，当收到目的设备或者路由器的ICMP echo reply时，刷新本地MAC地址表。

二.透明模式部署要求

1. 软件版本必须8.4(1)及以后版本。

2. 透明模式中ASA 接口必须加入到逻辑的bridge Group（类似与交换的VLAN）中 。

3. 每个Bridge Group 中必须最少包含2个接口，最多包含4个接口。

4. 每个bridge Group是一个独立的透明防火墙，默认情况，Bridge Group之间无法互访。

5. 每个物理ASA中最多同时支持8个Bridge Group。

三.路由模式和透明模式的对比

四.配置透明模式防火墙

1. 查看当前防火墙工作模式

2. 配置ASA为透明模式

配置完透明模式后，设备无需重启。因透明模式和路由模式使用不同安全模块，所以必须提前保存配置到本地硬盘或者第三方设备。

3. 配置说明

• 将Ethernet0/0和Ethernet0/1加入到bridge group 1，设置安全基本，命名。

• 为bridge group分配一个IP地址，仅用在管理流量，此处BVI，类似与交换机的SVI接口.

CISCOASA(config)# interface BVI 1

CISCOASA(config-if)# ip address 192.168.1.1 255.255.255.0

五.透明模式防火墙中的流量控制

1. 与路由模式一样如下：

• 透明模式也可以执行安全策略，允许单播流量中高安全级别的接口到低安全级别的接口。

• 当来自于低安全级别接口的流量访问高安全级别接口时，默认不允许，需要ACL放行。

• 数据包同路由模式一样，被状态化监控。

2. 与路由模式不同如下

• 当无ACL情况下，允许ARP数据包在所有接口传递。可配置ARP检测技术，

• 默认情况，多播和广播流量不允许通过，可以用ACL放行。

• 运用二层ACL可以放行非IP流量

六.ARP检测

1. 问题：当ASA处于透明模式时，一个接口收到的所有ARP报文时，都从其他接口发送出去。那么可能会存在ARP欺骗的问题，如下图所示：

图片3

当PC对路由发起访问，因为不知道目的MAC地址，所以发送ARP Request查询路由器IP所对应的MAC地址

ASA从inside接口 收到ARP Request消息后会从outside接口转发，outside为非信任网络，存在一个攻击者，则此时会伪装大量ARP Replay消息发送给PC，此时PC学习到192.168.100.1（路由器MAC地址）的MAC地为0000.9999.9999（攻击者MAC地址）。则导致PC访问路由的流量被转发到攻击者。

2. 解决方案：在透明模式ASA中部署ARP Inspection，在inside和outside接口做ARP Inspection，手动指定允许接口的IP地址所对应的MAC地址。

• 如果ASA收到数据帧的源IP和MAC的对应关系，可以与本地单一ARP条目一致，则允许通过。

• 如果ASA收到数据帧的源IP和MAC只有其中一个与定义的ARP单一条目一致，则不允许通过。

• 如果ASA收到数据帧的源IP和MAC在定义的ARP对应关系中都无法一致。则自定义动作（泛洪或者非泛红）

3. 配置说明

• 在inside和outside接口绑定允许放行的IP和MAC对应关系，并开启ARP Inspection功能。

七.透明模式防火墙实验

1. 实验拓扑

图片4

2. 设备IP地址规划

3. 实验需求

• R1模拟outside网络，R2模拟Inside网络

• R1与R2之间运行OSPF协议，相互传递环回口路由。

• ASA部署透明模式，eth1连接outside网络，eth2连接inside网络

• R2环回口可以telnet到R1.

4. 实验步骤

• R1 IP地址配置，OSPF配置，激活接口，并开启Telnet服务。

• R2IP地址配置，运行OSPF协议，激活接口。

• 配置ASA为透明模式，将ASA接口加入到Bridge Group 1，并为BVI配置IP地址。

• 默认情况透明模式防火墙不放行多播流量，会导致R1与R2 OSPF邻居关系无法建立，此处需要放行inside接口和outside接口去往224.0.0.5和224.0.0.6（OSPF建立邻居时，报文发送目的地。）的多播流量。