Nenhuma porta bloqueada na interface interna do ASA

Question

Eu tenho um Cisco ASA 5505 com três interfaces: Internal (100), DMZ (50) e External (0). O interno tem um túnel VPN IPSEC para minha rede interna

Não consegui fazer login no meu domínio por causa de todas as restrições de porta e tal. Eu tentei monitorar o tráfego através da interface, ver o que está bloqueando e depois desbloquear essas portas, mas mesmo assim ele não funcionou completamente corretamente

Eu finalmente adicionei uma regra para permitir qualquer tráfego ip de qualquer rede para qualquer rede na interface interna e, claro, funcionou bem

Mas essa é uma boa prática de segurança? Devo estar bloqueando portas em uma interface interna e através de uma VPN com o mais alto nível de segurança?

    

Answer 1

Seria sensato permitir apenas o que é definido como tráfego aceitável e bloquear todos os outros.

Sei que pode ser uma dor, mas você deve analisar o que passa pelo seu roteador e determinar o que deve ser permitido como tráfego "oficial". Isso pode exigir algum trabalho sistemático para determinar as portas usadas pelas tecnologias que você está operando atualmente.

Considere o seguinte: Se um sistema interno for comprometido, ele poderá enviar dados para uma porta que normalmente não usaria em nenhum endereço IP?