%Schriftgröße, Layout, Papierformat, Art des Dokumentes
\documentclass[10pt,oneside,a4paper]{scrartcl}

%Einstellungen der Seitenränder
\usepackage[left=2cm,right=2cm,top=1.5cm,bottom=1.5cm,includeheadfoot]{geometry}

%neue Rechtschreibung
\usepackage[ngerman]{babel}

%Umlaute ermöglichen
\usepackage[utf8]{inputenc}

%Gesamtseitenzahl
\usepackage{lastpage}

% Kopf- und Fußzeile
\usepackage[headsepline,footsepline]{scrlayer-scrpage}

%Quellcode-Listings
\usepackage{listings}

%Hyperlinks
\usepackage{hyperref}

%Kopfzeile
\ihead{CISCO}
\chead{}
\ohead{http://kohnlehome.de/netz/cisco-zbf.pdf}


%Fußzeile
\ifoot{Franz Kohnle}
\cfoot{Seite \thepage\ von  \pageref{LastPage}}
\ofoot{\today}

\pagestyle{scrheadings}

\begin{document}

% Überschrift 
\begin{center}
\LARGE % Schriftgröße
\bfseries % Fettdruck
\sffamily % Serifenlose Schrift
Cisco Zone Based Firewall
\end{center}

\section*{Grundprinzip}
\begin{itemize}
    \item Traffic innerhalb einer Zone: erlaubt
    \item Traffic zur \texttt{self}-Zone (IP-Adressen der Routerschnittstellen): erlaubt 
    \item Traffic über Schnittstelle, die in keiner Zone ist: verboten
    \item Traffic von einer Zone zur anderen: standardmässig verboten, kann durch Policy erlaubt werden
    \item \texttt{inspect} (Stateful inspection): allow returning traffic
\end{itemize}

\section*{Konfiguration}
\subsection*{1. Zone erstellen}
\begin{verbatim}
ROUTER(config)# zone security ZONE    
\end{verbatim}

\subsection*{2. Schnittstelle einer Zone zuweisen}
\begin{verbatim}
ROUTER(config-if)# zone-member security ZONE
\end{verbatim}


\subsection*{3. Class Map (welcher Traffic?) [match-all $\mid$ match-any]}
\subsubsection*{a) über Protocol}
\begin{verbatim}
ROUTER(config)# class-map type inspect ICMP-CMAP
ROUTER(config-cmap)# match protocol icmp

ROUTER(config)# class-map type inspect match-any WEB-CMAP
ROUTER(config-cmap)# match protocol http
ROUTER(config-cmap)# match protocol https
\end{verbatim}

\subsubsection*{b) über ACL}
\begin{verbatim}
ROUTER(config)# ip access-list extended VPN-ACL
ROUTER(config-ext-nacl)# permit udp any any eq isakmp
ROUTER(config-ext-nacl)# permit ahp any any
ROUTER(config-ext-nacl)# permit esp any any 
ROUTER(config-ext-nacl)# permit udp any any eq non500-isakmp 

ROUTER(config)# class-map type inspect match-any VPN-CMAP
ROUTER(ROUTER(config-cmap)# match access-group name VPN-ACL
\end{verbatim}

\subsection*{4. Policy Map (was darf Traffic?) [inspect $\mid$ pass $\mid$ drop]}
\begin{verbatim}
ROUTER(config)# policy-map type inspect ZONE1-ZONE2-PMAP
ROUTER(config-pmap)# class type inspect ICMP-CMAP
ROUTER(config-pmap-c)# inspect
ROUTER(config-pmap-c)# exit
ROUTER(config-pmap)# class type inspect WEB-CMAP
ROUTER(config-pmap-c)# inspect
\end{verbatim}

\subsection*{5. Zone Pair konfigurieren und Policy zuweisen (wo gilt die Policy?)}
\begin{verbatim}
ROUTER(config)# zone-pair security ZONE1-TO-ZONE2 source ZONE1 destination ZONE2
ROUTER(config-sec-zone-pair)# service-policy type inspect ZONE1-ZONE2-PMAP
\end{verbatim}

\section*{Diagnose}
\begin{verbatim}
ROUTER# show zone security                                  # Zonen und Schnittstellen
ROUTER# show zone-pair security                             # Zonenpaare und Policies
ROUTER# show policy-map type inspect zone-pair sessions     # offene Sessions
\end{verbatim}

\end{document}
