ASA从ASA发送网络流量到AIPSSM配置示例.PDFVIP

ASA ：从ASA发送网络流量到AIP SSM配置示例 Contents Introduction Prerequisites Requirements Components Used Conventions Configure Network Diagram 初始配置 检查所有数据流同线型的AIP-SSM或promiscous模式 通过使用 ASDM 的 AIP-SSM 检查所有数据流 使用 AIP-SSM 检查特定数据流 从AIP-SSM扫描排除特定网络流量 Verify Troubleshoot 与故障切换相关的问题 错误信息 Syslog 支持 AIP-SSM 重新启动 AIP-SSM 电子邮件警报 Related Information Introduction 本文档提供了一个有关如何将经由 Cisco ASA 5500 系列自适应安全设备 (ASA) 的网络数据流发送 到高级检查和防御安全服务模块 (AIP-SSM) (IPS) 的配置示例。配置示例与命令行界面 (CLI) 一起 提供。 请参阅 ASA：从 ASA 向 CSC-SSM 发送网络数据流配置示例 ，以便将网络数据流从 Cisco ASA 5500 系列自适应安全设备 (ASA) 发送到内容安全和控制安全服务模块 (CSC-SSM)。 参考分配虚拟传感器到安全上下文(仅AIP SSM)关于如何发送穿过Cisco ASA 5500系列可适应的安 全工具的网络流量的更多信息(ASA)在多个上下文模式下到先进的检查和预防安全服务模块(AIP- SSM) (IPS)模块。 Note: 经由 ASA 的网络数据流包括访问 Internet 的内部用户或访问此类资源的 Internet 用户：隔离 区 (DMZ) 或内部网络中由 ASA 保护的资源。不会将发送到 ASA 中或从 ASA 中发送的网络数据流 发送到 IPS 模块中进行检查。不发送到 IPS 模块中的数据流包括用于 ping (ICMP) ASA 接口或使用 Telnet 访问 ASA 的数据流。 Note: ASA 用来对数据流进行分类以便实施检查的模块化策略框架不支持 IPv6。因此，如果您通过 ASA 将 IPv6 数据流转移至 AIP SSM，则不受支持。 Note: 关于AIP-SSM的初始配置的更多信息，请参见AIP-SSM传感器的初始配置。 Prerequisites Requirements 本文档假定读者对如何配置 Cisco ASA 软件版本 8.x 和 IPS 软件版本 6.x 有基本的了解。 ASA 8.x 的必要配置组件包括接口、访问列表、网络地址转换 (NAT) 和路由。 AIP-SSM（IPS 软件 6.x）的必要配置组件包括网络设置、允许的主机、接口配置、签名定义和 事件操作规则。 Components Used 本文档中的信息基于以下软件和硬件版本： 软件版本为 8.0.2 的 ASA 5510 IPS 软件版本为 6.1.2 的 AIP-SSM-10 Note: 此配置示例适用于 OS 7.x 及更高版本的任何 Cisco ASA 5500 系列防火墙和 IPS 5.x 及更高 版本的 AIP-SSM 模块。 The information in this document was created from the devices in a specific lab environment.All of the devices used in this document started with a cleared (default) configuration.If your network is live, make sure that you understand the potential impact of any command. Conventions Refer to Cisco Technical Tips Conventions for more information on document conventions. Configure 本部分提供有关如何配置本文档所述功能的信息。 Note: 使用命令查找工具 （仅限注册用户 ）可获取有关本部分所使用命令的详细信息。 此配置中使用的 IP 编址方案在 Internet 上不可合法路由。这些地址是在实验室环境中使用的 RFC 1918 地址。 Network Diagram 本文档使用以下网络设置： 初始配置 本文档使