Security Device Manager : Exemple de configuration du blocage du trafic P2P sur un routeur Cisco IOS à l'aide de NBAR
Contenu
Introduction
Ce document décrit comment configurer le routeur de Cisco IOS® pour bloquer le trafic peer-to-peer (de P2P) du réseau intérieur à l'Internet utilisant le Reconnaissance d'application fondée sur le réseau (NBAR).
NBAR identifie les protocoles réseau et les applications réseau spécifiques qui sont utilisés dans votre réseau. Une fois qu'un protocole ou une application est identifié par NBAR, vous pouvez employer l'interface de ligne de commande de qualité de service modulaire (MQC) pour grouper les paquets associés avec ces protocoles ou applications dans des classes. Ces classes sont groupées sur la base de si les paquets se conforment à certains critères.
Pour NBAR, le critère est si le paquet apparie un protocole ou une application spécifique connue de NBAR. Utilisant le MQC, le trafic réseau avec un protocole réseau (Citrix, par exemple) peut être placé dans une classe du trafic, alors que le trafic qui apparie un protocole réseau différent (gnutella, par exemple) peut être placé dans une autre classe du trafic. Plus tard, le trafic réseau dans chaque classe peut être donné le traitement approprié de QoS à l'aide d'une stratégie de trafic (carte de stratégie). Référez-vous le trafic réseau de classification utilisant la section NBAR du guide de configuration de solutions de Qualité de service Cisco IOS pour plus d'informations sur NBAR.
Conditions préalables
Conditions requises
Avant que vous configuriez NBAR pour bloquer le trafic P2P, vous devez activer le Technologie Cisco Express Forwarding (CEF).
Employez l'ip cef en mode de configuration globale afin d'activer le CEF :
Hostname(config)#ip cef
Composants utilisés
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
-
Routeur de Cisco 2801 avec la version de logiciel 12.4(15)T de Cisco IOS®
-
Cisco Security Device Manager (SDM) version 2.5
Remarque: Consultez Configuration de routeur de base à l'aide de SDM afin de permettre la configuration du routeur par SDM.
Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.
Conventions
Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.
Aperçu de Reconnaissance d'application fondée sur le réseau (NBAR)
Le Reconnaissance d'application fondée sur le réseau (NBAR) est une engine de classification qui identifie et classifie une grande variété de protocoles et d'applications. Quand NBAR identifie et classifie un protocole ou une application, le réseau peut être configuré pour appliquer le Qualité de service (QoS) approprié pour cette application ou pour trafiquer avec ce protocole.
NBAR remplit ces fonctions :
-
Identification des applications et des protocoles (couche 4 pour poser 7)
NBAR peut classifier les applications qui les utilisent :
-
Numéros de port statiquement assignés de Control Protocol (TCP) et de Protocole UDP (User Datagram Protocol) de transfert.
-
Protocoles de Non-UDP et IP de non-tcp.
-
Numéros de port dynamiquement assignés de TCP et UDP négociés pendant l'établissement de la connexion. L'inspection avec état est exigée pour la classification des applications et des protocoles. L'inspection avec état est la capacité de découvrir les connexions de données qui seront classifiées en passant les connexions de contrôle au-dessus du port de connexion de données où des affectations sont faites.
-
Classification de port secondaire : Classification de HTTP (URLs, pantomime ou noms d'hôte) et d'indépendant d'applications de Citrix calculant le trafic de l'architecture (AIC) basé sur le nom d'application édité.
-
Classification basée sur l'inspection profonde de paquet et les plusieurs attributs spécifiques à l'application. La classification de charge utile de Protocole RTP (Real-Time Transport Protocol) est basée sur cet algorithme dans lequel le paquet est classifié comme RTP basé sur de plusieurs attributs dans l'en-tête de RTP.
-
-
Détection de Protocol
La détection de Protocol est une caractéristique utilisée généralement NBAR qui recueille des statistiques d'application et de protocole (comptes de paquet, nombres d'octets, et débits binaires) par interface. Les outils de gestion basés par GUI peuvent graphiquement afficher ces informations, en votant des statistiques SNMP du Management Information Base palladium NBAR (MIB). Comme avec n'importe quelle configuration de réseau, il est important de comprendre les caractéristiques de performance et évolutivité avant de déployer la caractéristique dans un réseau de production. Sur les Plateformes articulées autour d'un logiciel, les mesures qui sont considérées sont incidence d'utilisation du processeur et le débit de données viable tandis que cette caractéristique est activée. Afin de configurer NBAR pour découvrir le trafic pour tous les protocoles qui sont connus à NBAR sur une interface spécifique, utilisez la commande d'ip nbar protocol-discovery dans le mode de configuration d'interface ou le mode de configuration VLAN. Afin de désactiver la détection du trafic, n'utilisez l'aucune commande d'ip nbar protocol-discovery.
Configurez le blocage peer-to-peer du trafic (de P2P)
Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.
Remarque: Du trafic P2P ne peut pas être dû complètement bloqué à la nature de son protocole de P2P. Ces protocoles de P2P changent dynamiquement leurs signatures pour sauter toutes les engines DPI qui essayent de bloquer complètement leur trafic. Par conséquent, Cisco recommande que vous limitiez la bande passante au lieu de les bloquer complètement. (Étranglez la bande passante pour ce trafic. Donnez très moins de bande passante ; cependant, permettez la connexion d'intervenir.)
Remarque: Utilisez l'outil Command Lookup Tool (clients enregistrés seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.
Diagramme du réseau
Ce document utilise la configuration réseau suivante :
Configuration du routeur
| Configuration pour bloquer le trafic P2P sur le routeur Cisco IOS |
|---|
R1#show run Building configuration... Current configuration : 4543 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec service password-encryption ! hostname R1 ! logging buffered 4096 enable secret 5 $1$bKq9$AHOxTgk6d3hcMGn6jTGxs/ ! aaa new-model ! ! ! ! aaa session-id common !--- IP CEF should be enabled at first to block P2P traffic. !--- P2P traffic cannot be blocked when IPC CEF is disabled. ip cef ! !--- Configure the user name and password with Privilege level 15 !--- to get full access when using SDM for configuring the router. username cisco123 privilege 15 password 7 121A0C0411045D5679 secure boot-image secure boot-config archive log config hidekeys ! ! ! !--- Configure the class map named p2p to match the P2P protocols !--- to be blocked with this class map p2p. class-map match-any p2p !--- Mention the P2P protocols to be blocked in order to block the !--- P2P traffic flow between the required networks. edonkey, !--- fasttrack, gnutella, kazaa2, skype are some of the P2P !--- protocols used for P2P traffic flow. This example !--- blocks these protocols. match protocol edonkey match protocol fasttrack match protocol gnutella match protocol kazaa2 match protocol winmx match protocol skype !--- The access list created is now mapped with the class map P2P !--- to specify the interesting traffic. match access-group 102 ! ! !--- Here the policy map named SDM-QoS-Policy-2 is created, and the !--- configured class map p2p is attached to this policy map. !--- Drop is the command to block the P2P traffic. policy-map SDM-QoS-Policy-2 class p2p drop ! ! ! !--- Below is the basic interface configuration on the router. interface FastEthernet0/0 ip address 10.77.241.109 255.255.255.192 duplex auto speed auto ! interface FastEthernet0/1 ip address 10.10.10.2 255.255.255.0 !--- The command ip nbar protocol-discovery enables NBAR !--- protocol discovery on this interface where the QoS !--- policy configured is being used. ip nbar protocol-discovery duplex auto speed auto !--- Use the service-policy command to attach a policy map to !--- an input interface so that the interface uses this policy map. service-policy input SDM-QoS-Policy-2 ! ip route 10.77.241.0 255.255.255.0 10.10.10.2 ip route 10.77.0.0 255.255.0.0 10.77.241.65 ! !--- Configure the below commands to enable SDM !--- access to the Cisco routers. ip http server ip http authentication local no ip http secure-server ! !--- Configure the access lists and map them to the configured class map. !--- Here the access list 102 is mapped to the class map p2p. The access !--- lists are created for both Incoming and outgoing traffic through !--- the inside network interface. access-list 102 remark SDM_ACL Category=256 access-list 102 remark Outgoing Traffic access-list 102 permit ip 10.10.10.0 0.0.0.255 10.77.241.0 0.0.0.255 access-list 102 remark Incoming Traffic access-list 102 permit ip 10.77.241.0 0.0.0.255 10.10.10.0 0.0.0.255 ! ! line con 0 exec-timeout 0 0 line aux 0 password 7 02250C520807082E01165E41 line vty 0 4 exec-timeout 0 0 password 7 05080F1C22431F5B4A transport input all ! ! webvpn cef end |
Configurez le routeur avec SDM
Configuration SDM du routeur
Terminez-vous ces étapes afin de configurer le blocage du trafic P2P sur un routeur Cisco IOS :
Remarque: Afin de configurer NBAR pour découvrir le trafic pour tous les protocoles qui sont connus à NBAR sur une interface spécifique, la commande d'ip nbar protocol-discovery devrait être utilisée dans le mode de configuration d'interface ou le mode de configuration VLAN pour activer la détection du trafic. Procédez à la configuration SDM après avoir configuré la détection de protocole sur l'interface requise où la stratégie QoS configurée est utilisée.
Hostname#config t
Hostname(config)#interface fastEthernet 0/1
Hostname(config-if)#ip nbar protocol-discovery
Hostname(config-if)#end
-
Ouvrez un navigateur, et écrivez l'adresse IP du routeur qui a été configuré pour l'accès SDM. Par exemple, <SDM_Router_IP_Address de https:// >
Veillez à autoriser tous les avertissements que votre navigateur vous donne lié à l'authenticité de certificat ssl. Le nom d'utilisateur et le mot de passe par défaut sont deux blanc.
Le routeur affiche cette fenêtre pour permettre le téléchargement de l'application SDM. Cet exemple charge l'application sur l'ordinateur local et ne fonctionne pas dans une applet Java.
Le téléchargement de SDM commence alors.
-
Une fois le lanceur de SDM téléchargé, exécutez les étapes stipulées par les invites afin d'installer le logiciel et d'exécuter le lanceur de Cisco SDM.
-
Entrez un nom d'utilisateur et un mot de passe, si vous spécifiiez un, et cliquez sur OK.
Cet exemple utilise le cisco123 pour le nom d'utilisateur et cisco123 comme mot de passe.
-
Choisissez configurent > qualité de service, et cliquent sur l'onglet de stratégie QoS d'éditer sur la page d'accueil SDM.
-
De la stratégie de vue sur la liste déroulante d'interface, choisissez le nom d'interface, et puis choisissez la direction de la circulation (d'arrivée ou sortant) du dans la liste déroulante de direction.
Dans cet exemple, l'interface est FastEthernet 0/1, et la direction est d'arrivée.
-
Cliquez sur Add afin d'ajouter une nouvelle classe de QoS pour l'interface.
L'ajouter une boîte de dialogue de classe de QoS apparaît.
-
Si vous voulez créer une nouvelle classe, cliquer sur la case d'option de nom de classe, et écrire un nom pour votre classe. Autrement, cliquez sur la case d'option de par défaut de classe si vous voulez utiliser la classe par défaut.
Cet exemple crée une nouvelle classe nommée p2p.
-
Dans la région de classification, cliquez sur la n'importe quelle case d'option ou la toute la case d'option pour l'option de correspondance.
Ce les exemples utilise la n'importe quelle option de correspondance, qui exécute la commande de p2p de match any de class-map sur le routeur.
-
Protocol choisi dans la liste de Classifcation, et cliquent sur Edit afin d'éditer le paramètre du protocole.
La boîte de dialogue de valeurs de match protocol d'éditer apparaît.
-
De la liste de valeurs disponible de Protocol, sélectionnez chaque protocole de P2P que vous voulez bloquer, et cliquez sur le bouton de flèche à droite (>>) pour déplacer chaque protocole à la liste de valeurs sélectionnée de Protocol.
Remarque: Afin de classifier le trafic P2P avec NBAR, allez à la page de téléchargement du logiciel, et téléchargez le plus défunts logiciel et fichiers readmes du module de langage de description de Protocol de P2P (PDLM). Le P2P PDLMs disponible pour le téléchargement incluent WinMx, Bittorrent, Kazaa2, Gnutella, eDonkey, promotion accélérée, et Napster. Selon votre IOS, vous ne pourriez pas avoir besoin des dernières versions PDLM puisque certains pourraient être intégrés dans votre IOS (par exemple, promotion accélérée et Napster). Une fois que téléchargé, copiez le PDLMs sur l'éclair du routeur, et chargez-les dans l'IOS en configurant le <flash_device d'ip nbar pdlm > : <filename >.pdlm. Émettez la commande de show ip nbar pdlm afin de s'assurer qu'elle a été chargée avec succès. Une fois que chargé, vous pouvez les utiliser dans les déclarations de match protocol sous votre configuration de class map.
-
Cliquez sur OK.
-
Dans l'ajouter une boîte de dialogue de classe de QoS, des règles d'accès choisies de la liste de classification, et cliquent sur Edit afin de créer une nouvelle règle d'accès. Vous pouvez également tracer une règle d'accès existante au class map de p2p.
La boîte de dialogue d'ACL de correspondance d'éditer apparaît.
-
Cliquez sur le bouton de règle d'accès (…), et choisissez l'option appropriée. Cet exemple crée un nouvel ACL.
L'ajouter une boîte de dialogue de règle apparaît.
-
Dans l'ajouter une boîte de dialogue de règle, entrent dans le nom ou le nombre de l'ACL à créer dans le domaine de nom/numéro de l'ACL.
-
De la liste déroulante de type, choisissez le type d'ACL à créer (règle étendue ou règle standard).
-
Cliquez sur Add afin d'ajouter des détails à l'ACL 102.
L'ajouter une boîte de dialogue étendue d'entrée de règle apparaît.
-
Dans l'ajouter une boîte de dialogue étendue d'entrée de règle, choisissent une action (ou l'autorisation ou refusent) du choisi une liste déroulante d'action qui indique si la règle d'ACL devrait permettre ou refuser le trafic entre la source et les réseaux de destination. Cette règle est pour le trafic sortant du réseau intérieur au réseau extérieur.
-
Entrez dans les informations pour la source et les réseaux de destination dans les régions de Source Host/Network et de destination host/réseau respectivement.
-
Dans Protocol et la zone de service, cliquez sur la case d'option appropriée. Cet exemple utilise l'IP.
-
Si vous voulez se connecter les paquets assortis contre cet ACL ordonnent, cochent les correspondances de log contre cette case d'entrée.
-
Cliquez sur OK.
-
Dans l'ajouter une boîte de dialogue de règle, cliquent sur OK.
-
Dans la boîte de dialogue d'ACL de correspondance d'éditer, cliquez sur OK.
-
Dans l'ajouter une boîte de dialogue de classe de QoS, cochent la case de baisse afin de forcer le routeur pour bloquer le trafic P2P.
-
Cliquez sur OK.
Le message d'avertissement suivant est affiché par défaut car aucune stratégie QoS n'est tracée à l'interface.
SDM automatique-génèrera la stratégie QoS et reliera le class map configuré à la stratégie. L'équivalent de l'interface de ligne de commande (CLI) de cette étape de configuration SDM est :
R1(config)#policy-map SDM-QoS-Policy-2 R1(config-pmap)#class p2p R1(config-pmap-c)#drop R1(config-pmap-c)#end R1#
-
Sur l'onglet de stratégie QoS d'éditer, cliquez sur Apply les modifications afin de fournir la configuration au routeur.
Pare-feu d'application — Caractéristique instantanée d'application de trafic téléphonique dans des versions 12.4(4)T et ultérieures de Cisco IOS
Application de trafic téléphonique d'instant message
Le pare-feu d'application — La caractéristique d'application de trafic téléphonique d'instant message permet à des utilisateurs de définir et imposer une stratégie qui spécifie que des types de trafic de messagerie instantanée sont permis dans le réseau. Vous pouvez contrôler de plusieurs messengers (à savoir AOL, YAHOO, et MSN) simultanément une fois configuré dans la stratégie d'appfw sous l'application im. Par conséquent, la fonctionnalité supplémentaire suivante peut également être imposée :
-
Configuration des règles d'inspection de Pare-feu
-
Inspection profonde de paquet de la charge utile (recherchant des services tels que la conversation textuelle)
Remarque: La caractéristique d'application de trafic téléphonique de Pare-feu-instant d'application est prise en charge dans des versions 12.4(4)T et ultérieures de Cisco IOS.
Stratégie d'application d'Instant Messenger
Le pare-feu d'application emploie une stratégie d'application, qui se compose d'une collection de signatures statiques, pour détecter des violations de sécurité. Une signature statique est une collection de paramètres qui spécifient les conditions de protocole qui doivent être remplies avant qu'une mesure soit prise. Ces états et réactions de protocole sont définis par l'utilisateur final par l'intermédiaire du CLI pour former une stratégie d'application.
Le pare-feu d'application de Cisco IOS a été amélioré pour prendre en charge des stratégies indigènes instantanées d'application de messenger. Ainsi, le Pare-feu Cisco IOS peut maintenant détecter et interdire des connexions utilisateur aux serveurs de messagerie instantanée pour AOL Instant Messenger (AIM), Yahoo! Services de messagerie instantanée de messenger, et de MSN Messenger. Cette fonctionnalité contrôle toutes les connexions pour des services pris en charge, y compris le texte, la Voix, le vidéo, et les capacités de transfert de fichier. On peut être individuellement refusé ou permis les trois applications. Chaque service peut être individuellement contrôlé de sorte qu'on permette le service de texte-dialogue, et la Voix, le transfert de fichiers, le vidéo, et d'autres services sont limités. Cette fonctionnalité augmente la capacité d'inspection d'application existante pour contrôler le trafic de l'application de messagerie instantanée (IM) qui a été déguisé car le trafic de HTTP (Web). Référez-vous au pare-feu d'application - Pour en savoir plus d'application de trafic téléphonique d'instant message.
Remarque: Si une application IM est bloquée, la connexion est remise à l'état initial et un message de Syslog est généré, comme approprié.
Vérifiez
Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.
L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .
-
show ip nbar pdlm — Afin d'afficher le PDLM en service par NBAR, utilisez la commande de show ip nbar pdlm dans le mode d'exécution privilégié :
Router#show ip nbar pdlm The following PDLMs have been loaded: flash://edonkey.pdlm flash://fasttrack.pdlm flash://gnutella.pdlm flash://kazaa2.pdlm -
show ip nbar version — Afin d'afficher des informations sur la version du logiciel NBAR dans votre Cisco IOS libérez ou la version d'un NBAR PDLM sur votre routeur Cisco IOS, utilisent la commande de show ip nbar version dans le mode d'exécution privilégié :
R1#show ip nbar version NBAR software version: 6 1 base Mv: 2 2 ftp Mv: 2 3 http Mv: 9 4 static Mv: 6 5 tftp Mv: 1 6 exchange Mv: 1 7 vdolive Mv: 1 8 sqlnet Mv: 1 9 rcmd Mv: 1 10 netshow Mv: 1 11 sunrpc Mv: 2 12 streamwork Mv: 1 13 citrix Mv: 10 14 fasttrack Mv: 2 15 gnutella Mv: 4 16 kazaa2 Mv: 7 17 custom-protocols Mv: 1 18 rtsp Mv: 4 19 rtp Mv: 5 20 mgcp Mv: 2 21 skinny Mv: 1 22 h323 Mv: 1 23 sip Mv: 1 24 rtcp Mv: 2 25 edonkey Mv: 5 26 winmx Mv: 3 27 bittorrent Mv: 4 28 directconnect Mv: 2 29 skype Mv: 1 {<No.>}<PDLM name> Mv: <PDLM Version>, {Nv: <NBAR Software Version>; <File name> }{Iv: <PDLM Interdependency Name> - <PDLM Interdependency Version>} -
show policy-map interface — Afin d'afficher les statistiques de paquet de toutes les classes qui sont configurées pour toutes les stratégies de service sur l'interface spécifiée ou la sous-interface ou sur un circuit virtuel permanent spécifique (PVC) sur l'interface, utilisez la commande de show policy-map interface dans le mode d'exécution privilégié :
R1#show policy-map interface fastEthernet 0/1 FastEthernet0/1 Service-policy input: SDM-QoS-Policy-2 Class-map: p2p (match-any) 0 packets, 0 bytes 5 minute offered rate 0 bps, drop rate 0 bps Match: protocol edonkey 0 packets, 0 bytes 5 minute rate 0 bps Match: protocol fasttrack 0 packets, 0 bytes 5 minute rate 0 bps Match: protocol gnutella 0 packets, 0 bytes 5 minute rate 0 bps Match: protocol kazaa2 0 packets, 0 bytes 5 minute rate 0 bps Match: protocol winmx 0 packets, 0 bytes 5 minute rate 0 bps Match: access-group 102 0 packets, 0 bytes 5 minute rate 0 bps Match: protocol skype 0 packets, 0 bytes 5 minute rate 0 bps drop Class-map: class-default (match-any) 0 packets, 0 bytes 5 minute offered rate 0 bps, drop rate 0 bps Match: any -
policy-map de show running-config — Afin d'afficher tous les configuration de policy-map aussi bien que stratégie par défaut tracez la configuration, utilisent la commande de policy-map de show running-config :
R1#show running-config policy-map Building configuration... Current configuration : 57 bytes ! policy-map SDM-QoS-Policy-2 class p2p drop ! end
-
class-map de show running-config — Afin d'afficher les informations sur la configuration de class map, utilisez la commande de class-map de show running-config :
R1#show running-config class-map Building configuration... Current configuration : 178 bytes ! class-map match-any p2p match protocol edonkey match protocol fasttrack match protocol gnutella match protocol kazaa2 match protocol winmx match access-group 102 ! end
Dépannez
Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.
L'Outil Interpréteur de sortie (clients enregistrés uniquement) (OIT) prend en charge certaines commandes show. Utilisez l'OIT pour afficher une analyse de la sortie de la commande show .
Remarque: Référez-vous aux informations importantes sur les commandes de débogage avant d'utiliser les commandes de débogage.
-
liste d'accès d'exposition — Afin d'afficher la configuration d'accesslist qui fonctionne sur le routeur Cisco IOS, utilisez la commande access-list d'exposition :
R1#show access-lists Extended IP access list 102 10 permit ip 10.10.10.0 0.0.0.255 10.77.241.0 0.0.0.255 20 permit ip 10.77.241.0 0.0.0.255 10.10.10.0 0.0.0.255
Informations connexes
CommentairesContacter Cisco
- Ouvrir un dossier d’assistance
- (Un contrat de service de Cisco est requis)