Per definizione, le VLAN rappresentano un metodo per segmentare un dominio di broadcast in più domini di dimensione ridotta. A livello 2, ogni VLAN contiene solo il traffico dei dispositivi appartenenti a quella VLAN (vedere l'articolo VLAN per un approfondimento tecnico). Per ogni switch, possiamo assegnare una porta ad una sola VLAN; pertanto le porte assegnate ad una determinata VLAN condivideranno il traffico broadcast di quella VLAN, ma non quello proveniente da porte assegnate a VLAN diverse.

In questo articolo analizzeremo le funzioni CBAC del Cisco IOS Firewall procedendo con un esercizio che fa riferimento ad un possibile caso reale.

Le soluzioni Cisco di Intrusion Prevention System (IPS) sono disponibili nelle piattaaforme seguenti:

• Sensore Cisco serie IPS 4200r: appliance hardware dedicata all'IPS
• Cisco IDS Services Module 2 (IDSM-2): modulo hardware aggiuntivo da montare sugli switch Cisco Catalyst® 6500
• Cisco Advanced Inspection and Protection Security Services Module (AIP-SSM): modulo hardware aggiuntivo per gli ASA  serie 5500
• Cisco IDS Network Module: modulo hardware aggiuntivo da montare sui router Cisco
• Cisco IOS IPS: funzioni del sistema IOS di Cisco dedicate all'Intrusion Prevention System. Richiedono relativa licenza sui router.

In questo articolo mostreremo come implementare l'IPS sull'IOS del router Cisco tramite command line.

Cisco ha introdotto i firewall zone-based policy (ZPF o ZBF) nel 2006 a partire dalla release 12.4(6)T dell’IOS. La tecnologia zone-based prevede che le interfacce vengano assegnate a zone specifiche, con regole di analisi che si applicano al traffico tra zone. Ovviamente rimane il pieno supporto alle funzionalità stateful packet inspection, application inspection, URL filtering e protezione DoS già previste da Cisco IOS Classic Firewall, conosciuto come Context-Based Access Control (CBAC).

In questo esercizio di laboratorio con Firewall Zone-Based Policy, andremo a configurare una rete con queste caratteristiche:

Rete LAN: 192.168.10.0/24
Rete DMZ: 192.168.20.0/24. server FTP 192.168.20.31, server MAIL 192.168.20.32

In questo documento descriveremo i meccanismi di CBAC, una soluzione per il firewalling disponibile con Cisco IOS Firewall. I router che eseguono l'IOS Firewall possono svolgere il compito sia di router che di firewall di livello enterprise.

Un aspetto fondamentale delle reti è la loro sicurezza. Una rete è considerata sicura quando garantisce il controllo degli accessi e assicura la tracciabilità delle operazioni effettuate. Fa parte delle politiche di sicurezza la messa in produzione di un sistema di controllo che tenga traccia di chi ha effettuato l’accesso, del momento in cui è avvenuto l’accesso e cosa è stato fatto nel periodo di connessione. La tracciabilità deve riguardare tanto gli amministratori di rete, quanto gli utenti aziendali e quelli remoti.

Le ACL possono essere impiegate come protezione contro diversi attacchi via rete, quali:

• IP spoofing sia interno che esterno
• Attacchi DoS TCP SYN
• Attacchi DoS smurf