Cisco ASA com bypass do módulo CSC

Question

Recentemente, atualizamos de um dispositivo de firewall Watchguard X5500e Peak para um Cisco 5500 ASA com o módulo CSC. O ASA está executando o software 8.2 e o CSC está no software 6.3.1172. Nós finalmente conseguimos estabilizar tudo depois de algumas semanas puxando os cabelos e ranger de dentes e agora está tentando configurar alguns itens que estavam abaixo na lista de prioridades.

Com o watchguard, conseguimos ir com o navegador para uma página da Web interna e nos autenticar contra o firewall para nos permitir ignorar os filtros. Útil quando uma sala de aula precisa de acesso à mídia de streaming ou um executivo precisa que façamos o download de um vídeo. Eu estou tentando configurar algo semelhante, mas eu sou bastante inexperiente com os dispositivos Cisco como este ASA, então eu não tenho certeza se é tratado como uma conexão VPN ou algum tipo de ACL. Idealmente, gostaríamos de configurar mais de um para limitar a exposição, em vez de um que seja totalmente aberto quando usado.

Eu fiz uma pesquisa e não consegui encontrar nada relacionado a coisas nas outras perguntas feitas aqui, e também não tive sorte em fazer isso.

    

Answer 1

O que você está procurando é AAA (Autenticação, Autorização e Contabilidade), no site de suporte da Cisco:

"AAA enables the security appliance to determine who the user is (authentication), what the user can do (authorization), and what the user did (accounting). AAA provides an extra level of protection and control for user access than using ACLs alone. For example, you can create an ACL allowing all outside users to access Telnet on a server on the DMZ network. If you want only some users to access the server and you might not always know IP addresses of these users, you can enable AAA to allow only authenticated and/or authorized users to make it through the security appliance. (The Telnet server enforces authentication, too; the security appliance prevents unauthorized users from attempting to access the server.) You can use authentication alone or with authorization and accounting. Authorization always requires a user to be authenticated first. You can use accounting alone, or with authentication and authorization. This section includes the following topics:

•About Authentication
•About Authorization
•About Accounting

link

Mas, até onde eu saiba, você precisará configurar um "Servidor Cisco Secure Access Control". Acho que seria melhor se você usasse uma solução de filtragem da Web (websense e similares). você também pode configurar um servidor squid, integrado com o ldap e configurar o ACL com base no usuário autenticado.