Cisco四种类型的防火墙技术汇总
添加时间: 2008-2-24 12:34:43 作者: Cisco指导 阅读次数:14 来源: http://www.d9soft.com
4. 输入命令： configure terminal,对系统进行初始化设置。
5. 配置以太口参数:
interface ethernet0 auto （auto选项表明系统自适应网卡类型 ）interface ethernet1 auto
6. 配置内外网卡的IP地址：
ip address inside ip_address netmask
ip address outside ip_address netmask
7. 指定外部地址范围：
global 1 ip_address-ip_address
8. 指定要进行要转换的内部地址：
nat 1 ip_address netmask
9. 设置指向内部网和外部网的缺省路由
route inside 0 0 inside_default_router_ip_address
route outside 0 0 outside_default_router_ip_address
10. 配置静态IP地址对映:
static outside ip_address inside ip_address
11. 设置某些控制选项：
conduit global_ip port<-port> protocol foreign_ip global_ip 指的是要控制的地址
port 指的是所作用的端口，其中0代表所有端口
protocol 指的是连接协议，比如：TCP、UDP等
foreign_ip 表示可访问global_ip的外部ip，其中表示所有的ip。
12. 设置telnet选项：
telnet local_ip
local_ip 表示被允许通过telnet访问到pix的ip地址（如果不设此项， PIX的配置只能由consle方式进行）。
13. 将配置保存：
wr mem
14. 几个常用的 网络 测试命令：
#ping
#show interface 查看端口状态
#show static 查看静态地址映射
六、PIX与路由器的结合配置
（一）、PIX防火墙
1、设置PIX防火墙的外部地址：
ip address outside 131.1.23.2
2、设置PIX防火墙的内部地址：
ip address inside 10.10.254.1
3、设置一个内部计算机与Internet上计算机进行通信时所需的全局地址池：
global1 131.1.23.10-131.1.23.254
4、允许 网络 地址为10.0.0.0的网段地址被PIX翻译成外部地址：
nat 110.0.0.0
5、网管工作站固定使用的外部地址为131.1.23.11：
static 131.1.23.11 10.14.8.50
6、允许从RTRA发送到到网管工作站的系统日志包通过PIX防火墙：
conduit 131.1.23.11514 udp 131.1.23.1 255.255.255.255
7、允许从外部发起的对邮件服务器的连接（131.1.23.10）：
mailhost 131.1.23.10 10.10.254.3
8、允许网络 管理 员通过远程登录管理IPX防火墙：
telnet 10.14.8.50
9、在位于网管工作站上的日志服务器上记录所有事件日志：
syslog facility 20.7
syslog host 10.14.8.50
（二）、路由器RTRA
RTRA是外部防护路由器，它必须保护PIX防火墙免受直接攻击，保护FTP/HTTP服务器，同时作为一个警报系统，如果有人攻入此路由器，管理可以立即被通知。
1、阻止一些对路由器本身的攻击：
no service tcps mall-servers
2、强制路由器向系统日志服务器发送在此路由器发生的每一个事件 :
3、此地址是网管工作站的外部地址，路由器将记录所有事件到此主机上：
logging 131.1.23.11
4、保护PIX防火墙和HTTP/FTP服务器以及防卫欺骗攻击（见存取列表）：
enable secret xxxxxxxxxxx
interface Ethernet 0
ipaddress 131.1.23.1 255.255.255.0
interfaceSerial 0
ip unnumbered ethernet 0
ip access-group 110 in
5、禁止任何显示为来源于路由器RTRA和PIX防火墙之间的信息包，这可以防止欺骗攻击：
access-list 110 deny ip 131.1.23.0 0.0.0.255 anylog
6、防止对PIX防火墙外部接口的直接攻击并记录到系统日志服务器任何企图连接PIX防火墙外部接口的事件：
access-list 110 deny ip any host 131.1.23.2 log
7、允许已经建立的TCP会话的信息包通过：
access-list 110 permit tcp any 131.1.23.0 0.0.0.255 established
8、允许和FTP/HTTP服务器的FTP连接：
access-list 110 permit tcp any host 131.1.23.3 eq ftp
9、允许和FTP/HTTP服务器的FTP数据连接：
access-list 110 permit tcp any host 131.1.23.2 eq ftp-data
10、允许和FTP/HTTP服务器的HTTP连接：
access-list 110 permit tcp any host 131.1.23.2 eq www
11、禁止和FTP/HTTP服务器的别的连接并记录到系统日志服务器任何企图连接FTP/HTTP的事件：
access-list 110 deny ip any host 131.1.23.2 log
12、允许其他预定在PIX防火墙和路由器RTRA之间的流量：
access-list 110 permit ip any 131.1.23.0 0.0.0.255
13、限制可以远程登录到此路由器的IP地址：
line vty 0 4
login
password xxxxxxxxxx
access-class 10 in
14、只允许网管工作站远程登录到此路由器，当你想从Internet 管理 此路由器时，应对此存取控制列表进行修改：
access-list 10 permit ip 131.1.23.11
（三）、路由器RTRB
RTRB是内部网防护路由器，它是你的防火墙的最后一道防线，是进入内部网的入口。
1、记录此路由器上的所有活动到网管工作站上的日志服务器，包括配置的修改：
logging trap debugging
logging 10.14.8.50
2、允许通向网管工作站的系统日志信息：
interface Ethernet 0
ip address 10.10.254.2 255.255.255.0
no ip proxy-arp
ip access-group 110 in
access-list 110 permit udp host 10.10.254.0 0.0.0.255
3、禁止所有别的从PIX防火墙发来的信息包：
access-list 110 deny ip any host 10.10.254.2 log
4、允许邮件主机和内部邮件服务器的SMTP邮件连接：
access-list permit tcp host 10.10.254.31 0.0.0.0 0.255.255.255 eq smtp
5、禁止别的来源与邮件服务器的流量：
access-list deny ip host 10.10.254.31 0.0.0.0 0.255.255.255
6、防止内部 网络 的信任地址欺骗：
access-list deny ip any 10.10.254.0 0.0.0.255
7、允许所有别的来源于PIX防火墙和路由器RTRB之间的流量：
access-list permit ip 10.10.254.0 0.0.0.255 10.0.0.0 0.255.255.255
8、限制可以远程登录到此路由器上的IP地址：
line vty 0 4
login
password xxxxxxxxxx
access-class 10 in
9、只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改：
access-list 10 permit ip 10.14.8.50
按以上设置配置好PIX防火墙和路由器后，PIX防火墙外部的攻击者将无法在外部连接上找到可以连接的开放端口，也不可能判断出内部任何一台主机的IP地址，即使告诉了内部主机的IP地址，要想直接对它们进行Ping和连接也是不可能的。这样就可以对整个内部网进行有效的保护。
Cisco四种类型的防火墙技术汇总(2) 第 [1] [2] [3] 下一页
上一篇文章: 谈谈学习方法和ccna的重要性 下一篇文章: Cisco3550配置DHCP实例