Cisco ASAのsecurity-levelとACLの関係について

Question

ASAの設定で「security-level "数字"」
があるかと思います。

こちらの意味を調べるとセキュリティレベルの数値が高いインターフェースを通った通信から低い方への通信はACL関係なく通信を通す。またその通信の戻り通信もACL関係なく通信を通す。
という意味で記載されているように見えますが意味合いは上記の認識でお間違えないでしょうか。

つまり内部のセキュリティレベルが高く外部のインターフェースが低い場合、内部からの通信はACL関係なく通信を通す。と認識してよろしいでしょうか。
※外部から内部への通信に対応するようにACLは考慮する必要あり。

よおｒしくお願いいたします。

Answer 1

ASAのコマンドリファレンスにsecurity-levelコマンドの詳細が記載されています。

レベルによって、次の動作が制御されます。

ネットワーク アクセス：デフォルトで、高いセキュリティ レベルのインターフェイスから低いセキュリティ レベルのインターフェイスへの通信（発信）は暗黙的に許可されます。高いセキュリティ レベルのインターフェイス上のホストは、低いセキュリティ レベルのインターフェイス上の任意のホストにアクセスできます。インターフェイスにアクセス リストを適用することによって、アクセスを制限できます。
同じセキュリティ レベルのインターフェイス間では、同じセキュリティ レベル以下の他のインターフェイスへのアクセスが暗黙的に許可されます。

あくまで、高いセキュリティレベルのインターフェイスから低いセキュリティレベルへの通信は暗黙的に
許可されますが、あくまで暗黙的に許可されるだけなのでACLを設定して特定の通信を拒否することが
できます。
同じく低いセキュリティレベルのインターフェイスから高いセキュリティレベルへの通信は暗黙的に
拒否されますが、ACLを設定すれば特定の通信を許可することができます。

Comments

[Megg]

すごい簡易的な話にするとACLがTCPで送信元1.1.1.1/32(inside側) 送信先2.2.2.2/32(outside側)宛の許可設定しか設定がなされていなかった場合
送信元1.1.1.1/32 から 7.7.7.7/32 宛のTCP通信に関してはsecurity levelが高い方から低い方への通信であれば行も戻りも通信は通るということでしょうか。
この"暗黙的に許可"というのが念の為確認したいところです。

[ozwind918]

発信パケットについてはsecurity-levelで暗黙的に許可されていますので、通ります。
戻りのパケットについてはestablishedコマンドが有効になっていれば（デフォルト有効）、許可されます。
なお、FTPのような戻りのパケットのポート番号が変わるパケットについてはinspection機能を使用する必要があります。
CiscoASAのパケット処理順序については公式ドキュメントが参考になります。
https://www.cisco.com/cisco/web/support/JP/111/1110/1110128_asa-packet-flow-00.html

[Megg]

ありがとうございます！