ĐỒ ÁN FIREWALL CISCO ASA
LỜI CÁM ƠN Trước tiên, em xin gởi lời cám ơn chân thành tới thầy hướng dẫn đồ án tốt nghiệp em, Th.S Trần Đình Thuần, người tạo điều kiện, động viên giúp đỡ em hoàn thành tốt kỳ đồ án Trong suốt trình nghiên cứu thầy kiên nhẫn hướng dẫn, giúp đỡ động viên em nhiều Sự hiểu biết sâu sắc kinh nghiệm thầy tiền đề giúp em đạt thành tựu kinh nghiệm quý báu Xin cám ơn khoa Viễn Thông II Học viện cơng nghệ bưu viễn thơng tạo điều kiện thuận lợi cho em làm việc khoa để tiến hành tốt cho đồ án em Em xin gởi lời cảm ơn đến bạn bè gia đình ln bên em, cổ vũ động viên em lúc khó khăn để em vượt qua hoàn thành tốt đồ án Một lần em xin chân thành cảm ơn thầy trường Học viện cơng nghệ Bưu Chính Viễn Thơng, đặc biệt thầy Trần Đình Thuần người tận tình hướng dẫn em Cuối em xin gởi lời chúc đến quý thầy cô bạn sinh viên trường dồi sức khỏe thành công công việc Em xin chân thành cảm ơn! Sinh viên thực Nguyễn Xuân Hòa MỤC LỤC MỤC LỤC i MỤC LỤC HÌNH v MỤC LỤC BẢNG vi LỜI MỞ ĐẦU CHƯƠNG : AN TOÀN TRONG MẠNG MÁY TÍNH 1.1 Tình hình thực tế 1.2 Các lỗ hổng mạng Các mật yếu Dữ liệu khơng mã hóa Các file chia sẻ 1.3 Các mục tiêu cần bảo vệ Dữ liệu Tài nguyên Danh tiếng 1.4 Các dạng công mạng Xâm nhập Từ chối dịch vụ 1.5 Các chiến lược bảo vệ Quyền hạn tối thiểu (Least Privilege) Bảo vệ theo chiều sâu (Defence in Depth ) Nút thắt (Choke Point) Liên kết yếu ( Weakest Link ) Hỏng an toàn ( Fail – Safe Stance ) 10 Tính tồn cục ( Universal Participation ) 10 CHƯƠNG : TỔNG QUAN VỀ FIREWALL 11 2.1 Khái niệm 11 2.2 Phân loại Firewall 11 Firewall phần cứng 11 Firewall phần mềm 12 2.3 Ưu điểm nhược điểm Firewall 12 Ưu điểm 12 Firewall điểm tập trung giải vấn đề an ninh 12 Firewall thiết lập sách an ninh 13 Firewall ghi lại hoạt động cách hiệu 13 Nhược điểm 13 Firewall bảo vệ có cơng từ bên 13 Firewall bảo vệ cơng khơng qua 13 2.4 Các chức Firewall 14 Packet Filtering 14 Khái niệm 14 Các hoạt động Packet Filtering 16 Proxy 16 Khái niệm 16 Các hoạt động Proxy 17 Phân loại Proxy 17 Sử dụng Proxy với dịch vụ Internet 18 Theo dõi ghi chép (Monitoring and Logging) 19 CHƯƠNG : TƯỜNG LỬA CISCO ASA 20 3.1 Giới thiệu 20 3.2 Các chức 21 Các chế độ làm việc 21 Quản lý File 22 3.3 Network Access Translation (NAT) 24 Khái niệm 24 NAT thiết bị ASA 25 3.4 Access Control List 27 3.5 VPN 30 Giới thiệu 30 Các mô hình VPN 32 Site to site VPN 32 Remote Access 32 CHƯƠNG : TRIỂN KHAI CÁC GIẢI PHÁP TRÊN CISCO ASA VÀ DEMO KẾT QUẢ 34 4.1 Giới thiệu xây dựng mơ hình Firewall ASA 34 4.2 Hoạch định, giải pháp kết đạt được: 35 Hoạch định 35 Giải pháp 36 Triển khai Router ISP 36 Interface Cisco ASA 37 Static Route Cisco ASA 37 Access Control List Cisco ASA 37 NAT Cisco ASA 38 Remote Access VPN 39 Kết đạt 41 KẾT LUẬN 42 PHỤ LỤC i DANH MỤC CÁC TỪ VIẾT TẮT xxi TÀI LIỆU THAM KHẢO xxiii MỤC LỤC HÌNH Hình 1.1: Tấn cơng kiểu DoS DdoS Hình 1.2: Tấn cơng kiểu DRDoS Hình 1.3: Bảo vệ theo chiều sâu Hình 2.1: Vị trí Firewall mạng doanh nghiệp 11 Hình 2.2: Packet Filtering 14 Hình 2.3: Proxy server 17 Hình 3.1: Cisco ASA 5505 20 Hình 3.2: Security Level mạng lưới doanh nghiệp 23 Hình 3.3: Chuyển đổi địa mạng .24 Hình 3.4: Mơ tả chế PAT (NAT overload) 25 Hình 3.5: Sơ đồ ACL điều khiển truy cập mạng 27 Hình 3.6: Mô tả đường hầm VPN mạng LAN doanh nghiệp 30 Hình 3.7: Sơ đồ mạng mô tả kết nối Site to site VPN 32 Hình 3.8: Sơ đồ mạng mô tả kết nối Remote Access VPN 33 Hình 4.1: Mơ hình triển khai Firewall ASA 34 Hình 4.2: Mơ hình logic Firewall ASA 34 MỤC LỤC BẢNG Bảng 4.1: Các vùng mạng hệ thống mạng .35 Bảng 4.2: Chính sách cho vùng mạng .36 LỜI MỞ ĐẦU LỜI MỞ ĐẦU Mặc dù Internet mỏ thông tin giao tiếp xã hội quý giá, lúc thân thiện Thay vào đó, có nhiều kẻ xấu rình rập mạng với mưu đồ xâm nhập vào máy tính kết nối với Internet Sau hàng loại vụ công mạng với quy mô lớn diễn gần đây, vấn đề bảo mật máy tính trở nên quan trọng hết Bên cạnh phần mềm diệt virus, cổng giao tiếp hệ thống, bạn cần ý đến yếu tố tường lửa Firewall Để làm rõ vấn đề đồ án “FIREWALL CISCO ASA” cho nhìn sâu khái niệm, chức Firewall Nội dung đồ án chia làm chương sau: Chương 1: An tồn mạng máy tính Chương 2: Tổng quan Firewall Chương 3: Tường lửa Cisco ASA Chương 4: Triển khai giải pháp Cisco ASA demo kết Dưới hướng dẫn , bảo nhiệt tình thầy Th.S Trần Đình Thuần với cố gắng nổ lực cá nhân, em hoàn thành đồ án thời hạn cho phép Do nội dung đồ án rộng bao gồm nhiều kiến thức mẻ, thời gian kiến thức hạn chế, việc nghiên cứu chủ yếu dựa lý thuyết nên chắn đề tài không tránh khỏi thiếu xót Em mong nhận được đóng góp ý kiến thầy giáo bạn bè SVTH: NGUYỄN XUÂN HÒA LỚP: L15CQVT01-N Trang CHƯƠNG 1: AN TỒN TRONG MẠNG MÁY TÍNH CHƯƠNG : AN TỒN TRONG MẠNG MÁY TÍNH Trong chương trình bày khái niệm chung an tồn an ninh mạng, tình hình thực tế Các mơ hình mạng giao thức sử dụng để truyền thông mạng Các dạng công, số kỹ thuật công sử dụng phổ biến nay, từ đưa chiến lược bảo vệ hệ thống khỏi nguy 1.1 Tình hình thực tế Mạng Internet – mạng tồn cầu kết nối máy tính cung cấp dịch vụ WWW, E-mail, tìm kiếm thơng tin … tảng cho dịch vụ điện tử ngày phát triển nhanh chóng Internet trở thành phần thiếu sống ngày Và với nguy hiểm mà mạng Internet mang lại Những kẻ công ngày tinh vi hoạt động chúng Thông tin lỗ hổng bảo mật, kiểu cơng trình bày cơng khai mạng Khơng kể kẻ công không chuyên nghiệp, người có trình độ cao mà cần người có chút hiểu biết lập trình, mạng đọc thơng tin trở thành hacker Chính lí mà số vụ công mạng không ngừng tăng nhiều phương thức công đời, kiểm sốt Theo điều tra Ernst & Young, 4/5 tổ chức lớn ( số lượng nhân viên lớn 2500 ) triển khai ứng dụng tảng, quan trọng mạng cục LAN Khi mạng cục kết nối với mạng Internet, thông tin thiết yếu nằm khả bị đột nhập, lấy cắp, phá hoại cản trở lưu thơng Phần lớn tổ chức có áp dụng biện pháp an toàn chưa triệt để có nhiều lỗ hổng để kẻ cơng lợi dụng Những năm gần đây, tình hình bảo mật mạng máy tính trở lên nóng bỏng hết hàng loạt vụ công, lỗ hổng bảo mật phát bị lợi dụng công Theo Arthur Wong – giám đốc điều hành SecurityFocus – trung bình tuần, phát 30 lỗ hổng bảo mật Theo điều tra SecurityFocus số 10.000 khách hàng hãng có cài đặt phần mềm phát SVTH: NGUYỄN XN HỊA LỚP: L15CQVT01-N Trang CHƯƠNG 1: AN TỒN TRONG MẠNG MÁY TÍNH xâm nhập trái phép trung bình khách hàng phải chịu 129 thăm dò, xâm nhập Những phần mềm web server IIS Microsoft mục tiêu phổ biến cơng Trước tình hình việc bảo vệ an tồn thơng tin cho hay hệ thống máy tính trước nguy bị cơng từ bên kết nối vào Internet vấn đề cấp bách Để thực yêu cầu trên, giới xuất phần mềm khác với tính khác mà gọi Firewall Sử dụng Firewall để bảo vệ mạng nội bộ, tránh cơng từ bên ngồi giải pháp hữu hiệu, đảm bảo yếu tố : An toàn cho hoạt động toàn hệ thống mạng Bảo mật cao nhiều phương diện Khả kiểm soát cao Mềm dẻo dễ sử dụng Trong suốt với người sử dụng Đảm bảo kiến trúc mở Để bảo vệ hệ thống, chống lại công hacker, ta phải biết mục tiêu cần bảo vệ, kỹ thuật công khác nhau, đưa chiến lược bảo vệ mạng hợp lý 1.2 Các lỗ hổng mạng Việc sử dụng mạng Internet làm tăng nhanh khả kết nối, đồng thời chứa đựng hiểm hoạ khơng ngờ Những lỗ hổng để kẻ cơng lợi dụng, gây tổn thương cho hệ thống có nhiều Sau vài lỗ hổng phổ biến cộng đồng mạng Các mật yếu Mọi người thường có thói quen sử dụng mật theo tên người thân hay quen thuộc với Với mật dễ bị phán đốn, kẻ cơng chiếm đoạt quyền quản trị mạng, phá huỷ hệ thống, cài đặt backdoor … Ngày nay, người ngồi từ xa đăng nhập vào hệ thống ta cần phải sử dụng mật khó đốn, khó dò tìm SVTH: NGUYỄN XN HỊA LỚP: L15CQVT01-N Trang Hình 18: PC1-Outside truy cập vào Web Server-DMZ Hình 19: PC1-Outside truy cập vào FTP Server-DMZ Hình 20: PC1-Outside remote desktop vào DMZ VPN-Client thuộc vùng Outside truy cập liệu thành cơng vào vùng nội DMZ cơng ty Hình 21: VPN CLient truy cập liệu thành công mạng nội qua IP: 10.0.0.10 Bảng cấu hình Firewall Cisco ASAv952 hostname ASA enable password 8Ry2YjIyt7RRXU24 encrypted names ip local pool MYPOOL 172.16.3.1-172.16.3.10 mask 255.255.255.0 ! interface GigabitEthernet0/0 nameif inside security-level 100 ip address 172.16.1.1 255.255.255.0 ! interface GigabitEthernet0/1 nameif dmz security-level 50 ip address 10.0.0.1 255.255.255.0 ! interface GigabitEthernet0/2 nameif outside security-level ip address 151.1.1.1 255.255.255.0 ! interface Management0/0 management-only nameif management security-level 100 ip address 192.168.1.50 255.255.255.0 ! regex urllist1 ".*\.exe" regex urllist2 ".*\.mp4" regex urllist3 ".*\.mp3" regex urllist4 ".*\.png" regex urllist5 ".*\.rar" regex domainlist1 ".*.*kenh14\.vn" regex domainlist2 "\.youtube\.com" regex applicationheader "application/.*" regex contenttype "Content-Type" ftp mode passive object network Net_Inside_172.16.1.0 subnet 172.16.1.0 255.255.255.0 description Nat Inside to Internet ( Allow user go to Internet) object network Host_10.0.0.10 host 10.0.0.10 object service 3389 service tcp destination eq 3389 object network Internet subnet 0.0.0.0 0.0.0.0 object network External_Interface host 151.1.1.1 object service HTTP service tcp destination eq www object network Nat_10.0.0.10_FTP host 10.0.0.10 description Nat Host_10.0.0.10 FTP port 21 to 300 object network Nat_10.0.0.10_3389 host 10.0.0.10 description Nat Host_10.0.0.10 RDP port 3389 to 12345 object network Nat_10.0.0.10_80 host 10.0.0.10 description Nat Host_10.0.0.10 WEB port 80 object network Net_Remote_VPN_Client subnet 172.16.3.0 255.255.255.0 object network Net_10.0.0.0 subnet 10.0.0.0 255.255.255.0 object-group network Inside_Net network-object object Net_Inside_172.16.1.0 object-group network Server_Net network-object object Host_10.0.0.10 network-object object Net_10.0.0.0 object-group service Join_domain tcp port-object eq ldap port-object eq ldaps object-group service web_Services tcp port-object eq www port-object eq https object-group service DM_INLINE_SERVICE_1 service-object icmp service-object tcp-udp destination eq domain object-group service DM_INLINE_SERVICE_2 service-object icmp service-object tcp-udp destination eq domain access-list inside_access_in extended permit tcp object Net_Inside_172.16.1.0 object Host_10.0.0.10 object-group web_Services access-list inside_access_in extended permit object-group DM_INLINE_SERVICE_2 object Net_Inside_172.16.1.0 object Host_10.0.0.10 access-list inside_access_in extended permit tcp object Net_Inside_172.16.1.0 object Host_10.0.0.10 eq ftp access-list inside_access_in extended permit object 3389 object Net_Inside_172.16.1.0 object Host_10.0.0.10 access-list inside_access_in extended permit udp object Net_Inside_172.16.1.0 object Internet eq domain access-list inside_access_in extended permit tcp object Net_Inside_172.16.1.0 object Internet object-group web_Services access-list inside_access_in remark kenh14 access-list dmz_access_in remark Allow Net_Server to Net_Remote_VPN_Client access-list dmz_access_in extended permit ip object-group Server_Net object Net_Remote_VPN_Client access-list dmz_access_in extended permit object-group DM_INLINE_SERVICE_1 object Host_10.0.0.10 object Net_Inside_172.16.1.0 access-list dmz_access_in extended permit tcp object Host_10.0.0.10 object Net_Inside_172.16.1.0 object-group web_Services access-list dmz_access_in extended permit object 3389 object Host_10.0.0.10 object Net_Inside_172.16.1.0 access-list dmz_access_in extended permit udp object Host_10.0.0.10 object Internet eq domain access-list dmz_access_in extended permit tcp object Host_10.0.0.10 object Internet object-group web_Services access-list outside_access_in_1 extended permit tcp any object Host_10.0.0.10 eq www access-list outside_access_in_1 extended permit tcp any object Host_10.0.0.10 eq ftp access-list outside_access_in_1 extended permit object 3389 any object Host_10.0.0.10 access-list internet extended permit ip any any access-list VPN-ACL extended permit ip object-group Server_Net object Net_Remote_VPN_Client pager lines 23 logging enable logging asdm informational mtu inside 1500 mtu dmz 1500 mtu outside 1500 mtu management 1500 ip verify reverse-path interface outside no failover no monitor-interface service-module icmp unreachable rate-limit burst-size asdm image disk0:/asdm-752.bin no asdm history enable arp timeout 14400 no arp permit-nonconnected nat (dmz,outside) source static Server_Net Server_Net destination static Net_Remote_VPN_Client Net_Remote_VPN_Client no-proxy-arp description Nat Net_10.0.0.0 to Net_Remote_VPN ! object network Net_Inside_172.16.1.0 nat (inside,outside) dynamic interface object network Nat_10.0.0.10_FTP nat (dmz,outside) static interface no-proxy-arp service tcp ftp 300 object network Nat_10.0.0.10_3389 nat (dmz,outside) static interface no-proxy-arp service tcp 3389 12345 object network Nat_10.0.0.10_80 nat (dmz,outside) static interface no-proxy-arp service tcp www www ! nat (dmz,outside) after-auto source dynamic Host_10.0.0.10 interface description Nat Host_10.0.0.10 update services Internet access-group inside_access_in in interface inside access-group dmz_access_in in interface dmz access-group outside_access_in_1 in interface outside route outside 0.0.0.0 0.0.0.0 151.1.1.254 timeout xlate 3:00:00 timeout pat-xlate 0:00:30 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 sctp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute timeout tcp-proxy-reassembly 0:01:00 timeout floating-conn 0:00:00 user-identity default-domain LOCAL url-server (inside) vendor smartfilter host 172.168.1.10 port 4005 timeout 30 protocol TCP connections aaa authentication ssh console LOCAL aaa authentication telnet console LOCAL filter url http 172.16.1.10 255.255.255.255 123.30.215.16 255.255.255.255 http server enable http 0.0.0.0 0.0.0.0 management no snmp-server location no snmp-server contact crypto ipsec ikev1 transform-set ESP-3DES-MD5 esp-3des esp-md5-hmac crypto ipsec ikev1 transform-set MYSET esp-3des esp-md5-hmac crypto ipsec security-association pmtu-aging infinite crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set pfs group1 crypto dynamic-map SYSTEM_DEFAULT_CRYPTO_MAP 65535 set ikev1 transform-set ESP-AES-128-SHA ESP-AES-128-MD5 ESP-AES-192-SHA ESPAES-192-MD5 ESP-AES-256-SHA ESP-AES-256-MD5 ESP-3DES-SHA ESP3DES-MD5 ESP-DES-SHA ESP-DES-MD5 crypto dynamic-map DYNAMIC-MAP 10 set ikev1 transform-set MYSET crypto map outside_map 65535 ipsec-isakmp dynamic SYSTEM_DEFAULT_CRYPTO_MAP crypto map MYMAP 10 ipsec-isakmp dynamic DYNAMIC-MAP crypto map MYMAP interface outside crypto ca trustpoint _SmartCallHome_ServerCA no validation-usage crl configure crypto ca trustpool policy auto-import crypto ca certificate chain _SmartCallHome_ServerCA crypto ikev1 enable outside crypto ikev1 policy 10 authentication pre-share encryption 3des hash md5 group lifetime 86400 telnet 0.0.0.0 0.0.0.0 inside telnet 0.0.0.0 0.0.0.0 dmz telnet 0.0.0.0 0.0.0.0 management telnet timeout ssh stricthostkeycheck ssh 0.0.0.0 0.0.0.0 inside ssh 0.0.0.0 0.0.0.0 management ssh timeout ssh key-exchange group dh-group1-sha1 console timeout threat-detection basic-threat threat-detection statistics access-list no threat-detection statistics tcp-intercept webvpn enable outside anyconnect image disk0:/anyconnect-win-3.1.03103-k9.pkg anyconnect enable tunnel-group-list enable cache disable error-recovery disable group-policy "GroupPolicy_SSL VPN" internal group-policy REMOTE-VPN internal group-policy REMOTE-VPN attributes wins-server value 10.0.0.10 dns-server value 10.0.0.10 split-tunnel-policy tunnelspecified split-tunnel-network-list value VPN-ACL address-pools value MYPOOL dynamic-access-policy-record DfltAccessPolicy username svptit password len5ww4BCIjUFCYI encrypted username cisco password 3USUcOPFUiMCO4Jk encrypted tunnel-group REMOTE-VPN type remote-access tunnel-group REMOTE-VPN general-attributes default-group-policy REMOTE-VPN tunnel-group REMOTE-VPN ipsec-attributes ikev1 pre-shared-key ***** ! class-map type regex match-any URLBLockList match regex urllist1 match regex urllist2 match regex urllist3 match regex urllist4 class-map type regex match-any DomainBlockList match regex domainlist2 match regex domainlist1 class-map type inspect http match-all BlockDomainsClass match request header host regex class DomainBlockList class-map inspection_default match default-inspection-traffic class-map type inspect http match-all AppHeaderClass match response header regex contenttype regex applicationheader class-map httptraffic class-map type inspect http match-all BlockURLsClass match request uri regex class URLBLockList ! ! policy-map type inspect http http_inspection_policy parameters protocol-violation action drop-connection class BlockDomainsClass reset log class BlockURLsClass reset log class AppHeaderClass drop-connection log match request method connect drop-connection log policy-map inside-policy class httptraffic inspect http http_inspection_policy policy-map type inspect dns migrated_dns_map_1 parameters message-length maximum client auto message-length maximum 512 policy-map global_policy class inspection_default inspect dns migrated_dns_map_1 inspect ftp inspect h323 h225 inspect h323 ras inspect ip-options inspect netbios inspect rsh inspect rtsp inspect skinny inspect esmtp inspect sqlnet inspect sunrpc inspect tftp inspect sip inspect xdmcp ! service-policy global_policy global service-policy inside-policy interface inside prompt hostname context no call-home reporting anonymous call-home profile CiscoTAC-1 no active destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService destination address email callhome@cisco.com destination transport-method http subscribe-to-alert-group diagnostic subscribe-to-alert-group environment subscribe-to-alert-group inventory periodic monthly subscribe-to-alert-group configuration periodic monthly subscribe-to-alert-group telemetry periodic daily profile License destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService destination transport-method http Cryptochecksum:728ca14c3486a2757e58c6b2ab841646 : end DANH MỤC CÁC TỪ VIẾT TẮT Internet Protocol Giao thức liên mạng LAN Local Area Network Mạng máy tính cục DMZ Demilitarized Zone Vùng phi quan FTP File Transfer Protocol Giao thức truyền tập tin OSI Open Systems Interconnection Mơ hình tham chiếu kết nối hệ thống mở TCP Transmission Control Protocol Giao thức điều khiển truyền vận DNS Domain Name System Hệ thống tên miền ISA Internet Security and Acceleration An ninh tăng tốc Internet VPN Virtual Private Network Mạng riêng ảo NAT Network Address Translation Chuyển đổi địa mạng OS Operating System Hệ điều hành ISP Internet Service Provider Nhà cung cấp dịch vụ Internet ACL Access Con trol List Danh sách điều khiển truy cập ASA Adaptive Security Appliance Thiết bị an ninh thích nghi ICMP Internet Control Message Protocol Giao thức gói Internet UDP User Datagram Protocol Giao thức điều khiển truyền vận PAT Port Address Translation Dịch địa cổng IPsec IP security Bảo mật gia thức liên mạng DoS Denial of Service Từ chối dịch vụ Distributed Denial-of-Service Từ chối dịch vụ NTP Network Time Protocol Giao thức đồng thời gian mạng TFTP Trivial File Transfer Protocol Giao thức truyền tập tin SNMP Simple Network Management Protocol Giao thức quản lý thiết bị mạng Intrusion Detection System Hệ thống phát xâm nhập IP DDoS IDS SMTP Simple Mail Transfer Protocol Giao thức truyền tải thư tín đơn giản IIS Internet Information Services Dịch vụ thông tin Internet CGI Common Gateway Interface Giao diện cổng chung URL Uniform Resource Locator Tham chiếu tài nguyên Internet SYN Synchronous Idle Character Ký tự đồng hóa PIX Private Internet Exchange Trao đổi Internet cá nhân ISDN Integrated Services Digital Network Mạng số tích hợp đa dịch vụ DSL Digital Subscriber Line Đường thuê bao số TÀI LIỆU THAM KHẢO [1] Richard Deal, “Cisco Asa Configuration”, Network professional’s library [2] Harris Andrea “Cisco-ASA-Firewall-Fundamentals-2nd-Edition” step by step configura tion tutorial (CCNA, CCNP, CCSP) [3] Anthony Sequeira, CCIE No 15626 “CCNP Security FIREWALL 642-618 Quick Reference” [4] Andrew Ossipov, Jazib Frahim, Omar Santos “Cisco ASA : All in one Next generation Firewall, IPS, and VPN Service ,3rd Edition” [5] Giáo trình Mạng máy tính-TS Phạm Quế Thuế-Học viện Cơng nghệ Bưu Viễn thơng Một số trang web : [6] www.cisco.com [7] www.svuit.vn [8] www.vnpro.vn [9] www.microsoft.com/vpn [10] www.pcworld.com.vn ... lửa Firewall Để làm rõ vấn đề đồ án FIREWALL CISCO ASA cho nhìn sâu khái niệm, chức Firewall Nội dung đồ án chia làm chương sau: Chương 1: An toàn mạng máy tính Chương 2: Tổng quan Firewall. .. 36 Triển khai Router ISP 36 Interface Cisco ASA 37 Static Route Cisco ASA 37 Access Control List Cisco ASA 37 NAT Cisco ASA 38 Remote Access VPN 39... Trang 19 CHƯƠNG 3: TƯỜNG LỬA CISCO ASA CHƯƠNG : TƯỜNG LỬA CISCO ASA 3.1 Giới thiệu Tường lửa Cisco ASA công nghệ giải pháp tường lửa đưa Cisco, thay tường lửa PIX tốt ASA viết tắt Adaptive Security