Cisco ASA 5506-X

Cisco · zapora sieciowa, 8 gniazd 1 Gb/s, obudowa biurkowa bez wentylatora · Cisco ASA 5506-X

Panel przedni

Panel tylny

czym to jest

Zapora sieciowa z rodziny Cisco ASA 5500-X w obudowie biurkowej, chłodzona biernie — bez wentylatora. Według podręcznika instalacji Cisco (Hardware Installation Guide 5506-X) z przodu nie ma żadnych złącz ani diod: wszystkie gniazda są na ścianie tylnej, a diody Power, Status, Active (i nieużywana w tym modelu wLAN) na górnej krawędzi przy tylnej ścianie.

Z tyłu, od lewej: gniazdo zasilacza zewnętrznego (12 V), osiem gniazd 10/100/1000 (w systemie GigabitEthernet1/1–1/8), gniazdo zarządzania (Management1/1), pod nim konsola RJ-45, obok konsola mini-USB, gniazdo USB-A, przycisk Reset i szczelina blokady Kensington.

Sprawdzana sztuka (show inventory, show version): procesor Atom C2000, 4 rdzenie 1,25 GHz, 4 GB RAM, pamięć flash 8 GB i dysk SSD w gnieździe wewnętrznym (Micron M600 według odczytu SNMP; karta katalogowa Cisco podaje 50 GB mSATA — sama zapora pojemności nie pokazuje). Temperatury w pracy, bez obciążenia: procesor 47 °C, akcelerator 39 °C, obudowa 47 °C; wszystkie piętnaście napięć z show environment w normie.

konsola

Konsola mini-USB pojawia się w komputerze jako port szeregowy i pracuje na 9600 b/s, 8N1. Konfiguracja fabryczna wpuszcza do trybu uprzywilejowanego bez hasła.

reset nie czyści wszystkiego

Przywrócenie konfiguracji fabrycznej (przyciskiem albo configure factory-default i write memory) zostawia na urządzeniu dwie rzeczy, które warto sprawdzić przy sztuce kupionej z drugiej ręki:

pary kluczy RSA wygenerowane przez poprzedniego właściciela — show crypto key mypubkey rsa pokazuje je z nazwami, a usuwa crypto key zeroize rsa label NAZWA;
moduł programowy FirePOWER (sfr) z własnym kontem administratora i własnym adresem zarządzania — ma osobny dysk logiczny i reset zapory go nie dotyka.

Moduł, którego się nie używa, usuwa sw-module module sfr shutdown, a po przejściu w stan Down sw-module module sfr uninstall. W sprawdzanej sztuce zwolniło to ok. 3,2 GB na disk0:, a show module pokazuje potem „No Image Present”. Polecenie odinstalowania przyjmowane jest dopiero, gdy moduł jest już zatrzymany.

licencja

Licencja jest kluczem aktywacyjnym przypisanym do numeru seryjnego z show activation-key, który różni się od numeru z naklejki na obudowie — przed jakimkolwiek resetem warto go zapisać. Licencja podstawowa (Base) w sprawdzanej sztuce: 5 VLAN-ów, bez pracy w parze zapasowej (failover wyłączony), szyfrowanie 3DES/AES włączone, AnyConnect Premium dla 2 użytkowników.

oprogramowanie

Według przewodnika aktualizacji Cisco (ASA Upgrade Guide — Planning) wersja 9.16 jest ostatnią dla 5506-X (tak samo dla 5508-X i 5516-X). Z wersji 9.5 można przejść na 9.16 bez wersji pośredniej. Wydania 9.16 od 9.16(3.19) wymagają panelu ASDM w wersji co najmniej 7.18(1.152). Obraz systemu ma postać asa…-lfbff-k8.SPA — obrazy asa…-k8.bin starszych modeli 5510/5520 do niego nie pasują.

co z niej odczytujemy

Po SNMPv3 z uwierzytelnieniem i szyfrowaniem (SHA, AES-128), z gniazda zarządzania:

obciążenie procesora i zajętość pamięci;
stan i ruch każdego interfejsu na licznikach 64-bitowych, także pakiety rozgłoszeniowe i grupowe;
spis podzespołów (ENTITY-MIB) z numerami seryjnymi obudowy i dysku SSD;
nazwę i wydanie systemu oraz czas pracy.

co pokazał pełny skan SNMP

Jednorazowy skan całego drzewa (wersja 9.5(2), ok. 1800 obiektów) pokazał więcej niż powyższe: trzy czujniki temperatury z progami (procesor, akcelerator, obudowa), liczbę połączeń bieżących i szczytową, stan pracy w parze, bloki buforów, sesje VPN (zdalnego dostępu i IPsec) oraz tablicę translacji adresów (NAT-MIB).

na co uważać

Agent SNMP w 9.5(2) zapętla odczyt. W tabeli vacmSecurityToGroup polecenie GETNEXT oddaje w kółko ten sam identyfikator. Narzędzie, które nie sprawdza, czy identyfikator rośnie, nie kończy przejścia drzewa.
Nazwa community siedzi w identyfikatorach. Tabele uprawnień i celów SNMP (VACM, SNMP-TARGET) są indeksowane nazwą community zapisaną jako kody znaków — zapis surowego przejścia drzewa ujawnia ją, choć nie ma jej w żadnej wartości.
Odpytywać może tylko wpisany host. Każdy odbiorca musi mieć własny wpis snmp-server host … poll; bez niego zapora nie odpowiada wcale.

czego z niej nie odczytamy

Napięć zasilania — show environment pokazuje piętnaście kanałów, po SNMP nie ma żadnego.
Gałęzi środowiska znanych z Catalyst (CISCO-ENVMON-MIB, czujniki CISCO-ENTITY-SENSOR-MIB) i tabeli zasobów hosta (HOST-RESOURCES-MIB) — w tym modelu są puste.

pełny spis parametrów

Pełnego spisu parametrów tego modelu jeszcze tu nie ma — powyżej opisane są te, które odczytaliśmy i sprawdziliśmy. Brak spisu nie znaczy, że urządzenie niczego więcej nie wystawia.