防火墙技术在政府网站中的应用与方案设计附录Word格式.docx
《防火墙技术在政府网站中的应用与方案设计附录Word格式.docx》由会员分享,可在线阅读,更多相关《防火墙技术在政府网站中的应用与方案设计附录Word格式.docx(6页珍藏版)》请在冰豆网上搜索。
Pix525(config-if)#noshutdown
//启动接口Ethernet1
Pix525(config)#interfaceEthernet2
//启动接口Ethernet2
Pix525(config)#interfaceEthernet3
//启动接口Ethernet3
将防火墙的内网接口命名为inside,外部网络接口命名为outside,与DMZ区相连的接口命名为DMZ,并指定它们的安全级别分别为100,0,50。
即内网接口安全级别最高,DMZ口次之,外部网络接口最低。
(2)为接口命名并指定安全级别
Pix525(config-if)#nameifoutside
Pix525(config-if)#security-level0
//ethernet0接口命名为outside并指定安全级别为0
Pix525(config-if)#nameifinside1
Pix525(config-if)#security-level100
//ethernet1接口命名为inside1并指定安全级别为100
Pix525(config-if)#nameifdmz
Pix525(config-if)#security-level50
//ethernet2接口命名为dmz并指定安全级别为50
Pix525(config-if)#nameifinside2
//ethernet3接口命名为inside2并指定安全级别为100
(3)配置内外网卡的IP地址(idaddress)
Pix525(config-if)#ipaddress209.165.201.3255.255.255.252
//外部接口IP地址为209.165.201.3
Pix525(config-if)#ipaddress10.1.4.1255.255.255.252
//内部接口IP地址为10.1.4.1
Pix525(config-if)#ipaddress10.1.4.5255.255.255.252
//内部接口IP地址为10.1.4.5
Pix525(config-if)#ipaddress10.1.4.9255.255.255.252
//dmz口IP地址为10.1.4.9
在为接口配置了IP地址后用showip命令将系统的运行情况显示出来。
截图如图A1防火墙接口配置截图所示:
图A1防火墙接口配置截图
附录B静态路由配置
PIX防火墙具有部分路由选择能力,静态路由条目告诉PIX防火墙把目的地址为某个特定网络的数据包,转发给指定的路由器或是与网桥类似的网关类设备。
在配置静态路由时,指定到达某网络静态路由的下一跳路由IP地址。
在本方案中,创建了一条到网络10.1.2.0和10.1.3.0的静态路由,静态路由的下一条路由器IP地址都是10.1.4.2。
到网络10.1.1.0的静态路由,静态路由的下一条路由IP地址是10.1.4.10。
(1)静态路由配置
Pix525(config)#routeinside10.1.2.0255.255.255.010.1.4.21
//到达网络10.1.2.0静态路由的下一条路由器IP地址为10.1.4.2
Pix525(config)#routeinside10.1.3.0255.255.255.010.1.4.61
//到达网络10.1.3.0静态路由的下一条路由器IP地址为10.1.4.6
Pix525(config)#routedmz10.1.1.0255.255.255.010.1.4.101
//到网络10.1.1.0的静态路由,静态路由的下一条路由器IP地址是10.1.4.10
(2)静态IP地址翻译:
pix525(config)#static(dmz,outside)209.165.201.3ftp10.1.1.27ftpnetmask255.255.255.255
//IP地址为10.1.1.27的FTP服务器,被翻译成209.165.201.3这个全局地址
pix525(config)#static(dmz,outside)209.165.201.3http10.1.1.28httpnetmask255.255.255.255
//IP地址为10.1.1.28的HTTP服务器,被翻译成209.165.201.3这个全局地址
pix525(config)#static(dmz,outside)209.165.201.3smtp10.1.1.29smtpnetmask255.255.255.255
//IP地址为10.1.1.29的SMTP服务器,被翻译成209.165.201.3这个全局地址
用showroute将静态路由配置情况显示出来,截图如图B1静态路由配置截图所示:
图B1静态路由配置截图
附录C防火墙的ACL配置
pix525(config)#access-listACL_OUTpermittcpanyhost209.165.201.3eqWeb
//允许任意主机对主机209.165.201.3进行Web访问
pix525(config)#access-listACL_OUTpermittcpanyhost209.165.201.3eqFTP
//允许任意主机对主机209.165.201.3进行FTP访问
pix525(config)#access-listACL_OUTpermittcpanyhost209.165.201.3eqSMTP
//允许任意主机对主机209.165.201.3进行SMTP访问
pix525(config)#access-groupACL_OUTininterfaceoutside
//将名为ACL_OUT的ACL绑定到接口outside上
pix525(config)#access-listINSIDEpermitipanyany
//表示允许从任意源主机到任意目标从接口inside进入的IP流量。
pix525(config)#access-groupINSIDEininterfaceinside
//将名为INSIDE的ACL绑定到接口inside上
pix525(config)#access-list100permiticmpanyany
//表示允许从任意源主机到任意目标进入的ICMP流量。
pix525(config)#access-group100ininterfaceoutside
//将名为100的ACL绑定到接口outside上
Pix525(config)#showaccess-list
用showaccess-list命令将配置的ACL运行情况显示出来截图如图C1ACL配置截图所示:
图C1ACL配置截图
附录D防火墙的NAT配置
在本方案中,对DMZ区的IP地址进行了静态地址转换,而考虑到内部网络用户数量大,利用global命令定义一个地址池来对其IP地址进行动态NAT地址转换,将内部网络IP地址映射到不同的公网IP地址。
其中将10.1.2.0网段的地址转换为209.165.202.3-209.165.202.10地址池中的一个地址。
在第三章的图3.2中可以看到当10.1.2.0和10.1.3.0这两个网段的主机访问DMZ区的服务器的时候没有进行地址转换,原因是不进行NAT,可提高访问速度,因为它是访问DMZ区的服务器,所以也不存在IP地址暴露于Internet的危险。
所以在进行配置的时候就要用到标识NAT。
NAT0命令可以关闭地址转换,当在内部网络中拥有一个公网的IP地址并且这个地址要被外部网络访问的时候就要使用这个特性。
在本设计中主要是因为为提高访问速度,而不进行NAT转换。
pix525(config)#access-listNET1permitip10.1.2.0255.255.255.0any
//建立一个ACL,允许10.1.2.0网段的主机访问外网
pix525(config)#global(outside)1209.165.202.3-209.165.202.10
//指定外部地址范围为209.165.202.3-209.165.202.10
pix525(config)#nat(inside)1access-listNET1
//将ACL中的10.1.2.0网段的地址转换为209.165.202.3-209.165.202.10地址池中的一个地址
pix525(config)#access-listNET2permitip10.1.3.0255.255.255.0any
//建立一个ACL,允许10.1.3.0网段的主机访问外网
pix525(config)#global(outside)2209.165.202.11-209.165.202.18
//指定外部地址范围为209.165.202.11-209.165.202.18
pix525(config)#nat(inside)2access-listNET2
//将ACL中的10.1.3.0网段的地址转换为209.165.202.11-209.165.202.18地址池中的一个地址
pix525(config)#access-listEXEMPTpermitip10.1.2.0255.255.255.010.1.1.0255.255.255.0
//配置一条ACL规则,表示允许10.1.2.0网段进入到10.1.1.0的IP流量。
pix525(config)#access-listEXEMPTpermitip10.1.3.0255.255.255.010.1.1.0255.255.255.0
//配置一条ACL规则,表示允许10.1.3.0网段进入到10.1.1.0的IP流量。
pix525(config)#nat(inside)0access-listEXEMPT
//对名为EXEMPT的ACL规则中的IP地址不进行NAT转换
Pix525(config)#showxlate
用showxlate命令将系统运行的地址转换表显示出来,截图如图D1NAT配置截图所示:
图D1NAT配置截图