Настройка Cisco ASA Firewall

Настройка NetFlow возможна на устройствах ASA 5580 series, а также на моделях с меньшим номером, при условии, что у них установлена система ASA 8.2.x.

Это не типичный NetFlow
Три типа событий могут включаться/выключаться в записи NetFlow.

* flow-create
* flow-denied
* flow-teardown

Естественно, в ASA необходимо ввести IP-адрес коллектора, а также несколько других команд, чтобы могла осуществляться пересылка. Для определения деталей функциональности NetFlow используйте Modular Policy Framework.

Включение NetFlow в ASA
Вы должны также определить сервисную политику, передавая данные потоков в сервер анализа. Ниже мы предполагаем, что ваш ASA использует глобальную политику по умолчанию.

policy-map global_policy
class class-default
flow-export event-type all destination x.x.x.x

Вышеуказанные команды для CLI, но NetFlow может конфигурироваться и через Cisco ASDM GUI путем нажатия:

Configuration-Firewall->Service Policy Rules.
нажмите Add->выберите "Use class-default as the traffic class”->Затем->Netflow (tab)->Add (отметьте коллектор(-ы), который хотите использовать)->Finish->Apply.

Команды Cisco ASA NetFlow для специфических событий
Например: Log Flow Creation events между хостами 10.1.1.1 и 10.2.2.2
Адрес внутреннего коллектора NetFlow: 192.168.100.1

Заходим в консоль ASA и прописывам там наш сервер:

ASA (config)#  flow-export destination inside 192.168.100.1 2055
ASA (config)# flow template timeout-rate 1
ASA (config)# access-list flow_export_acl permit ip host 10.1.1.1 host 10.2.2.2

Создаём класс сервиса для экспорта:

ASA (config)# class-map flow_export_class
ASA (config-cmap)# match access-list flow_export_acl

Создаём политику для экспорта:

ASA (config)# policy-map flow_export_policy
ASA (config-pmap)# class flow_export_class

Собственно включаем экспорт:

ASA (config-pmap-c)# flow-export event-type flow-creation destination 192.168.100.1

Для увеличения производительности Cisco рекомендует выключить сислог:

logging flow-export-syslogs disable

Конфигурирование NetFlow возможно также при использовании Cisco ASDM (Adaptive Security Device Manager).
Установка экспортеров:


Перейдите к конфигурации файервола и создайте ACL, соответствующий ANY to ANY:



Отредактируйте вышеуказанный ACL, примените для всех (ALL) типов событий NetFlow rule action. Подключены могут быть до 5 коллекторов. См.ниже:



Как только трафик пройдет через файервол, начнется экспорт NetFlow в различных типах шаблонов.