Konfigurasi ACL pada CISCO ASA 5500

Cisco ASA 5500 adalah seri Cisco firewall model baru yang mengikuti alat Cisco PIX firewall yang sukses. Cisco ASA 5500 menyebut sebuah alat keamanan "" bukan hanya firewall hardware "", karena bukan hanya ASA firewall. Perangkat ini menggabungkan beberapa fungsi keamanan, seperti Intrusion Detection, Intrusion Prevention, Content Inspeksi, botnet Inspeksi, di samping fungsi firewall.
Namun, fungsi inti ASA adalah bekerja sebagai firewall kinerja tinggi. Semua fitur keamanan lainnya hanya layanan gratis di atas fungsi firewall. Karena itu, tujuan dari sebuah firewall untuk melindungi jaringan komputer dan IT sumber daya dari sumber-sumber berbahaya dengan memblokir dan mengendalikan arus lalu lintas. Cisco ASA firewall mencapai hal ini kontrol lalu lintas menggunakan Access Control Lists (ACL).

 ACL adalah daftar peraturan dengan mengizinkan atau menolak laporan. Pada dasarnya sebuah Daftar Akses Kontrol memaksa kebijakan keamanan pada jaringan. The ACL (daftar aturan kebijakan) kemudian diterapkan pada interface firewall, baik pada inbound atau arah lalu lintas keluar. Jika ACL diterapkan pada arah lalu lintas inbound (dalam), maka ACL diterapkan pada lalu lintas memasuki antarmuka firewall. Hal sebaliknya terjadi untuk ACL diterapkan pada keluar (dari) arah.
The ACL mengijinkan atau menolak laporan pada dasarnya terdiri dari sumber dan tujuan alamat IP dan port. Izin pernyataan ACL memungkinkan sumber alamat IP yang ditetapkan / jaringan untuk mengakses alamat IP tujuan yang ditetapkan / jaringan. Hal sebaliknya terjadi untuk menolak pernyataan ACL. Pada akhir ACL, memasukkan firewall secara default sebuah MENYANGKAL SEMUA implisit pernyataan aturan yang tidak terlihat di konfigurasi.
Cukup teori sejauh ini. Mari kita lihat beberapa contoh di bawah ini untuk memperjelas apa yang kita katakan di atas.

ciscoasa(config)# access-list "access_list_name" extended {deny | permit} protocol "source_address" "mask" [source_port] "dest_address" "mask" [ dest_port]

To apply the ACL on a specific interface use the access-group command as below:

ciscoasa(config)# access-group "access_list_name" [in|out] interface "interface_name"

Contoh 1
Allow only http traffic from inside network 10.0.0.0/24 to outside internet

ciscoasa(config)# access-list HTTP-ONLY extended permit tcp 10.0.0.0 255.255.255.0 any eq 80
ciscoasa(config)# access-group HTTP-ONLY in interface inside 

"HTTP-Only" adalah Access Control List itu sendiri yang pada contoh kita hanya berisi satu pernyataan izin aturan, Ingat bahwa ada sebuah aturan Implicit DENY ALL di pada akhir ACL yang tidak ditampilkan secara default.

Contoh 2
Deny telnet traffic from host 10.1.1.1 to host 10.2.2.2 and allow everything else.

ciscoasa(config)# access-list DENY-TELNET extended deny tcp host 10.1.1.1 host 10.2.2.2 eq 23
ciscoasa(config)# access-list DENY-TELNET extended permit ip host 10.1.1.1 host 10.2.2.2
ciscoasa(config)# access-group DENY-TELNET in interface inside
The above example ACL (DENY-TELNET) contains two rule statements, one deny and one permit. As we mentioned above, the "access-group" command applies the ACL to an interface (either to an inbound or to an outbound direction).

Contoh 3
The example below will deny ALL TCP traffic from our internal network 192.168.1.0/24 towards the external network 200.1.1.0/24. Also, it will deny HTTP traffic (port 80) from our internal network to the external host 210.1.1.1. All other traffic will be permitted from inside.

ciscoasa(config)# access-list INSIDE_IN extended deny tcp 192.168.1.0 255.255.255.0 200.1.1.0 255.255.255.0
ciscoasa(config)# access-list INSIDE_IN extended deny tcp 192.168.1.0 255.255.255.0 host 210.1.1.1 eq 80
ciscoasa(config)# access-list INSIDE_IN extended permit ip any any
ciscoasa(config)# access-group INSIDE_IN in interface inside