CiscoASAFirePOWER模块快速入门指南.pdfVIP

快速入门指南 Cisco ASA FirePOWER 模块 1 ASA FirePOWER 模块 2 ASA FirePOWER 指导原则 3 连接 ASA FirePOWER 管理接口 4 启动 ASA 上的自适应安全设备管理器 (ASDM) 5 安装或重新映像 ASA FirePOWER 软件模块 6 更改 ASA FirePOWER 管理 IP 地址 7 在 ASA FirePOWER CLI 配置基本 ASA FirePOWER 设置 8 向 FireSIGHT 管理中心添加 ASA FirePOWER 9 配置 ASA FirePOWER 模块安全策略 10 向 ASA FirePOWER 模块重定向流量 11 更多信息指南 修订日期：2014 年 10 月 1 日 1 ASA FirePOWER 模块 ASA FirePOWER 模块提供下一代防火墙服务，包括下一代入侵防御系统 (NGIPS) 、应用可视性与可控性 (AVC) 、URL 过滤和 高级恶意软件防护 (AMP) 。您可在单个或多情景模式以及路由模式或透明模式中使用本模块。 本模块也称为 ASA SFR 。 虽然本模块具有用于初始配置和故障排除的基本命令行界面 (CLI) ，您也可使用单独的应用 - FireSIGHT 管理中心，来配置设备 的安全策略。该应用可托管在单独的 FireSIGHT 管理中心设备或作为虚拟设备运行在 VMware 服务器上。（FireSIGHT 管理中 心也称为防御中心。） ASA FirePOWER 模块与 ASA 的配合方式 ASA FirePOWER 模块运行 ASA 提供的单独应用。本模块可以是一个硬件模块（仅在 ASA 5585-X 上），也可以是一个软件模 块（其他型号）。作为一个硬件模块时，设备包括单独的管理和控制台端口，以及由 ASA 直接使用而非模块自身使用的额外数 据接口。 您可以在被动部署（“仅监控”）或内联部署中配置设备。 ? 在被动部署中，流量副本将会被发送到设备，但不会被返回到 ASA 。通过被动模式，您可以知道设备可能完成的流量处 理，并能在不影响网络的情况下评估流量内容。 ? 在内联部署中，实际流量将会被发送至设备，并且设备策略影响对流量的处理。在丢弃不需要的流量并采取策略应用的任 何其他操作后，流量将会返回至 ASA ，以进行进一步处理和最终传输。 以下各节详细地说明了这些模式。 ASA FirePOWER 内联模式 在内联模式中，流量在被转发到 ASA FirePOWER 模块之前会通过防火墙检查。当在 ASA 上识别流量以进行 ASA FirePOWER 检查时，流量按以下顺序流经 ASA 和本模块： 1. 流量进入 ASA 。 2. 解密流入 VPN 的流量。 3. 应用防火墙策略。 4. 流量被发送至 ASA FirePOWER 模块。 5. ASA FirePOWER 模块将安全策略应用至流量，并执行适当的操作。 6. 有效流量被返回到 ASA ；ASA FirePOWER 模块可能根据其安全策略阻止某些流量，这些流量将不会被传送。 7. 加密流出 VPN 的流量。 8. 流量退出 ASA 。 下图显示在内联模式中使用 ASA FirePOWER 模块时的流量。在本示例中，模块阻止了某个应用所不允许的流量。所有其他流 量都是通过 ASA 转发。 2 图 1 ASA 中的 ASA FirePOWER 模块流量 ASA Main System Firewall VPN inside Policy Decryption outside Diverted Traffic Block ASA FirePOWER 4