模块化策略框架三部曲

  1. 定义需要做访问控制的流量（class-map）

  2. 关联流量到网络策略（policy-map）

  3. 接口下或全局激活网络策略（service-policy）

Class-map

  • 基于OSI 3-4层的Class-map，关联需要执行访问控制的3到4层流量

  • 基于OSI 5-7层的Class-map，关联需要执行访问控制的5到7层流量（应用层）

Policy-map

  • 基于OSI 3-4层的Policy-map，关联需要执行访问控制的3-4层流量

  • 基于OSI 5-7层的Policy-map，关联需要执行访问控制的5-7层流量

  • 一个Policy-map可以包含多个策略

  • 一个策略包含一个class-map以及为其定义的行为

  • 每个接口只允许存在一个Policy-map（对出入流量做处理），全局也只允许存在一个Policy-map（只对入方向执行处理）

MPF 模块化策略框架 - 图1

Service-map

  • 基于接口部署启用Policy-map

  • 基于全局部署启用Policy-map

  • 一个Policy

  1. ASAv(config)# class-map class_1
  2. ASAv(config-cmap)# match ?
  3. mpf-class-map mode commands/options:
  4.   access-list                 Match an Access List
  5.   any                         Match any packet
  6.   default-inspection-traffic  Match default inspection traffic:
  7.                               ctiqbe----tcp--2748      diameter--tcp--3868
  8.                               diameter--tcp/tls--5868  diameter--sctp-3868
  9.                               dns-------udp--53        ftp-------tcp--21
  10.                               gtp-------udp--2123,3386 h323-h225-tcp--1720
  11.                               h323-ras--udp--1718-1719 http------tcp--80
  12.                               icmp------icmp           ils-------tcp--389
  13.                               ip-options-----rsvp      m3ua------sctp-2905
  14.                               mgcp------udp--2427,2727 netbios---udp--137-138
  15.                               radius-acct----udp--1646 rpc-------udp--111
  16.                               rsh-------tcp--514       rtsp------tcp--554
  17.                               sip-------tcp--5060      sip-------udp--5060
  18.                               skinny----tcp--2000      smtp------tcp--25
  19.                               sqlnet----tcp--1521      tftp------udp--69
  20.                               vxlan-----udp--4789      waas------tcp--1-65535
  21.                               xdmcp-----udp--177
  22.   dscp                        Match IP DSCP (DiffServ CodePoints)
  23. # 与QOS相关
  24.   flow                        Flow based Policy
  25.   port                        Match TCP/UDP/SCTP port(s)
  26.   precedence                  Match IP precedence
  27. # 与QOS相关
  28.   rtp                         Match RTP port numbers
  29.   tunnel-group                Match a Tunnel Group

Example 控制telnet 最大连接数量为1

  2. ASAv(config)# class-map type management c1
  3. ASAv(config-cmap)# match port tcp eq 23
  4. ASAv(config-cmap)# exit
  5. ASAv(config-cmap)# exit
  6. ASAv(config)# policy-map p1
  7. ASAv(config-pmap)# class c1
  8. ASAv(config-pmap-c)# set connection conn-max 1
  9. ASAv(config-pmap-c)# exit
  10. ASAv(config-pmap)# exit
  11. ASAv(config)# service-policy p1 interface Inside_1