2022年思科PIX防火墙的实际应用配置 .pdf

《2022年思科PIX防火墙的实际应用配置 .pdf》由会员分享，可在线阅读，更多相关《2022年思科PIX防火墙的实际应用配置 .pdf（3页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、思科 PIX 防火墙的实际应用配置PIX：一个合法 IP 完成 inside、outside和 dmz之间的访问现有条件：100M 宽带接入，分配一个合法的IP（222.134.135.98 ）（只有 1个静态 IP是否够用？）； Cisco防火墙 PiX515e-r-DMZ-BUN1 台（具有 Inside、Outside、DMZ三个 RJ45接口）！请问能否实现以下功能：1、内网中的所有用户可以防问Internet和 DMZ 中的 WEB 服务器。2、外网的用户可以防问DMZ 区的 Web 平台。3、DMZ 区的 WEB 服务器可以防问内网中的SQL 数据库服务器和外网中的其它服务器。注：

2、DMZ 区 WEB 服务器作为应用服务器，使用内网中的数据库服务器。解决方案：一、 概述本方案中，根据现有的设备，只要1 个合法的 IP 地址（电信的 IP 地址好贵啊，1年租期 10000元 RMB），分别通过 PIX515 所提供的 NAT、PAT、端口重定向、ACL 和 route功能完全可以实现所提的功能要求。二、 实施步骤初始化 Pix 防火墙：给每个边界接口分配一个名字，并指定安全级别pix515e(config)# nameif ethernet0 outside security0 pix515e(config)# nameif ethernet1 inside securit

3、y100 pix515e(config)# nameif ethernet2 dmz security50 给每个接口分配 IP 地址pix515e(config)# ip address outside 222.134.135.98 255.255.255.252 pix515e(config)# ip address inside 192.168.1.1 255.255.255.0 pix515e(config)# ip address dmz 10.0.0.1 255.255.255.0为 Pix 防火墙每个接口定义一条静态或缺省路由pix515e(config)# route outs

4、ide 0.0.0.0 0.0.0.0 222.134.135.97 1 （通过 IP地址为 222.134.135.97的路由器路由所有的出站数据包外部接口）pix515e(config)# route dmz 10.0.0.0 255.255.255.0 10.0.0.1 1pix515e(config)# route inside 192.168.1.0 255.255.255.0 192.168.1.1 1 pix515e(config)# route outside 222.134.135.96 255.255.255.252 222.134.135.98 1配置 Pix 防火墙作为

5、内部用户的DPCH 服务器pix515e(config)# dhcpd address 192.168.1.2-192.168.1.100 inside pix515e(config)# dhcpd dns 202.102.152.3 202.102.134.68 pix515e(config)# dhcpd enable inside 1、配置 Pix 防火墙来允许处于内部接口上的用户防问Internet和堡垒主机同时允许 DMZ 接口上的主机可以防问Internet 通过设置 NAT 和 PAT 来实现高安全级别接口上的主机对低安全级别接口上的名师资料总结 - - -精品资料欢迎下载 -

6、- - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 3 页 - - - - - - - - - 主机的防问。（1）命令如下：pix515e(config)# nat (inside) 10 192.168.1.0 255.255.255.0 pix515e(config)# nat (dmz) 10 10.0.0.0 255.255.255.0 pix515e(config)# global (outside) 10 interface pix515e(config)# global (dmz) 10 10.0.0.10

7、-10.0.0.254 netmask 255.255.255.0 （2）第一个 nat命令允许在安全级别为100的内部接口上的主机，去连接那些安全级别比它低的接口上的主机。在第一个命令中，低安全级别接口上的主机包括外部接口上的主机和非军事区DMZ上的主机。第二个nat命令允许在安全级别为 50的 DMZ 上的主机，去连接那些安全级别比它低的接口上的主机。而在第二个命令中，低安全级别的接口只包含外部接口。（3）因为全局地址池和nat （inside）命令都使用 nat_id为 10，所以在192.168.1.0网络上 的主机地址将被转换成任意地址池中的地址。因此，当内部接口上用户访 问 DMZ

8、 上的主机时，它的源地址被转换成global （dmz）命令定义的10.0.0.10-10.0.0.254范围中的某一个地址。当内部接口上的主机防问Internet时，它的源地址将被转换成 global （outside）命令定义的 222.134.135.98和一个源端口大于 1024的结合。（4）当 DMZ 上用户访问外部主机时，它的源地址被转换成global （outside）命令定义的 222.134.135.98和一个源端口大于1024的结合。 Global （dmz）命令只在内部用户访问DMZ 接口上的 Web 服务器时起作用。（5）内部主机访问 DMZ 区的主机时，利用动态内部N

9、AT把在较安全接口上的主机地址转换成不太安全接口上的一段IP 地址或一个地址池（10.0.0.10-10.0.0.254）。内部主机和 DMZ 区的主机防问 Internet时，利用 PAT1个 IP 地址和一个源端口号的结合，它将创建一个惟一的对话，即PAT 全局地址（222.134.135.98 ）的源端口号对应着内部或DMZ 区中的唯一的 IP 地址来标识唯一的对话。 PAT 全 局地址（ 222.134.135.98 ）的源端口号要大于1024.理论上，在使用 PAT 时，最多可以允许64000台内部主机使用一个外部IP 地址，从 实际环境中讲大约 4000台内部的主机可以共同使用一个

10、外部IP 地址。）2、 配置 PIX 防火墙允许外网的用户可以防问DMZ 区的 Web服务器通过配置静态内部转换、 ACL 和端口重定向来实现外网对DMZ 区的 Web防问。（1）命令如下static (dmz,outside) tcp interface www 10.0.0.2 www dns netmask 255.255.255.255 0 0 access-list outside_access_in line 1 permit tcp any interface outside access-group 101 in interface outside （2）PIX 防火墙静态 P

11、AT 所使用的共享全局地址可以是一个惟一的地址，也可以是一个共享的出站PAT 地址，还可以与外部接口共享一个地址。（3）Static静态转换中 “DNS ” 表示进行 “DNS 记录转换 ”DNS 记录转换应用在当内部的主机通过域名连接处于内部的服务器，并且用来进行域名解析的服务器处于PIX 防火墙外部的情况下。一个处于内网中的客户端通过域名向地址为10.0.0.2的 Web服务器发送一个HTTP 请示。首先要通过PIX 防火墙外部接口上的DNS 服务 器进行域名解析，因名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整

12、理 - - - - - - - 第 2 页，共 3 页 - - - - - - - - - 此客户端将 DNS 解析请求包发送到PIX 防火墙上。当 PIX 防火墙收到客户端的DNS 解析请求包时，将IP头中不可路由的源地址进行转换，并且将这个 DNS 解析请求转发到处于PIX 防火墙外部接口上的DNS 服务器。 DNS 服务器通过 A-记录进行地址解析，并将结果返回到客户端。当PIX 防火墙收到 DNS 解析回复后，它不仅要将目的地址进行转换，而且还要将DNS 解析回复中的地址替换成Web 服务器的实际地址。然后PIX 防火墙将 DNS 解析发回客户 端。这样所产生的结果是，当客户端收到这个

13、DNS 解析回复，它会认为它与Web 服务器处于内部网络中，可以通过 DMZ 接口直接到达。3、DMZ 区的 WEB 服务器可以防问内网中的SQL 数据库服务器和外网中的其它服务器通过静态内部转换可以实现DMZ 区的主机对内网中的主机的防问。（1）命令如下：static (inside,dmz) 10.0.0.9 192.168.1.200 netmask 255.255.255.255 0 0 access-list dmz_access_in line 1 permit tcp any any access-group dmz_access_in in interface dmz （2）静态内部地址转换可以让一台内部主机固定地使用PIX 防火墙全局网络中的一个地址。使用Static 命令可以配置静态转换。 Static 命令创建一个在本地IP地址和一个全局 IP 地址之间的永久映射（被称为静态转换槽或xlate），可以用来创建入站和出站之间的转换。除了 Static 命令之外，还必须配置一个适当的访问控制列表（ACL ），用来允许外部网络对内部服务器的入站访问。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 3 页 - - - - - - - - -