ibm—中國(guó)移動(dòng)pix防火墻安全配置手冊(cè)v01(已修改)
2025-07-07 06:53 本頁(yè)面
【正文】 中國(guó)移動(dòng)PIX防火墻安全配置手冊(cè)Version 中國(guó)移動(dòng)通信有限公司二零零四年十二月 擬 制:審 核:批 準(zhǔn):會(huì) 簽:標(biāo)準(zhǔn)化: 版本控制版本號(hào)日期參與人員更新說(shuō)明分發(fā)控制編號(hào)讀者文檔權(quán)限與文檔的主要關(guān)系1創(chuàng)建、修改、讀取負(fù)責(zé)編制、修改、審核2批準(zhǔn)負(fù)責(zé)本文檔的批準(zhǔn)程序3標(biāo)準(zhǔn)化審核作為本項(xiàng)目的標(biāo)準(zhǔn)化負(fù)責(zé)人，負(fù)責(zé)對(duì)本文檔進(jìn)行標(biāo)準(zhǔn)化審核4讀取5讀取25 / 25目錄1 綜述 52 CISCO PIX的幾種典型配置 6 典型配置（1）——訪問(wèn)控制、包過(guò)濾和NAT 6 網(wǎng)絡(luò)拓?fù)鋱D 6 配置環(huán)境 6 配置舉例 9 典型配置（2）——IPsec VPN Tunnel 13 網(wǎng)絡(luò)拓?fù)鋱D 13 配置 13 典型配置（3）——雙機(jī)熱備 15 典型配置（4）——內(nèi)容過(guò)濾 20 filter activex示例 20 filter url示例 20 典型配置（5）——入侵檢測(cè) 213 PIX防火墻自身加固 23 PIX防火墻操作系統(tǒng)版本較低 23 PIX防火墻沒(méi)有安全配置SNMP 23 配置了telnet允許，地址段是調(diào)試時(shí)的地址，沒(méi)有更 改為管理工作站的地址 24 telnet遠(yuǎn)程管理是明文傳輸，沒(méi)有配置SSH 24 沒(méi)有在PIX防火墻上配置防止惡意攻擊的特性 24 策略配置inside224。outside的策略不嚴(yán)格，如any224。any等 251 綜述本配置手冊(cè)介紹了Cisco PIX防火墻的幾種典型的配置場(chǎng)景，以加強(qiáng)防火墻對(duì)網(wǎng)絡(luò)的安全防護(hù)作用。同時(shí)也提供了PIX防火墻自身的安全加固建議，防止針對(duì)防火墻的直接攻擊。通用和共性的有關(guān)防火墻管理、技術(shù)、配置方面的內(nèi)容，請(qǐng)參照《中國(guó)移動(dòng)防火墻安全規(guī)范》。2 CISCO PIX的幾種典型配置 典型配置（1）——訪問(wèn)控制、包過(guò)濾和NAT 網(wǎng)絡(luò)拓?fù)鋱D 配置環(huán)境本配置中沒(méi)有用戶認(rèn)證和授權(quán)，NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）完成地址轉(zhuǎn)換工作。下面的例子中，所有接口上的用戶可以訪問(wèn)所有服務(wù)器，而在內(nèi)部、dmzdmzdmz3和dmz4接口上的主機(jī)可以啟動(dòng)連接。 高安全級(jí)到低安全級(jí)的訪問(wèn)下面的步驟將實(shí)現(xiàn)任一高安全級(jí)接口上的用戶對(duì)低安全級(jí)接口上的服務(wù)器的訪問(wèn)。步驟1：允許高安全級(jí)接口用戶訪問(wèn)安全級(jí)接口由以下兩步實(shí)現(xiàn)：使用nat命令指定用戶從哪里發(fā)起連接，使用global命令指定哪里允許訪問(wèn)。nat、global命令與NAT ID（本配置事例中為1）聯(lián)合使用。nat命令允許用戶發(fā)起從指定接口到所有低安全級(jí)接口的連接，global命令允許訪問(wèn)從任一高安全級(jí)接口轉(zhuǎn)換來(lái)的連接。178。 為使用戶能夠從內(nèi)部接口啟動(dòng)dmz1，dmz2，dmz3，dmz4和外部接口上的連接使用如下命令：nat （inside） 1 0 0178。 為使dmz1接口上的用戶能夠啟動(dòng)外部接口上的連接使用如下命令：nat （dmz1） 1 0 0178。 為使dmz2接口上的用戶能夠啟動(dòng)外部接口及dmz1 接口上的連接使用如下命令：nat （dmz2） 1 0 0178。 為使dmz3接口上的用戶能夠啟動(dòng)dmz1，dmz2，dmz3和外部接口上的連接使用如下命令：nat （dmz3） 1 0 0178。 為使dmz4接口上的用戶能夠啟動(dòng)dmz1，dmz2，dmz3和外部接口上的連接使用如下命令：nat （dmz4） 1 0 0步驟2：為每個(gè)低安全級(jí)接口上即將發(fā)起的連接建立全局地址池：178。 為允許從內(nèi)部接口和dmz1，dmz2，dmz3，dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)外部接口，使用如下命令：global （outside） 1 178。 為允許從內(nèi)部接口和dmz2，dmz3，dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)dmz1接口，使用如下命令：global （dmz1） 1 178。 為允許從內(nèi)部接口和dmz3，dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)dmz2接口，使用如下命令：global （dmz2） 1 178。 為允許從內(nèi)部接口和dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)dmz3接口，使用如下命令：global （dmz3） 1 低安全級(jí)到高安全級(jí)的訪問(wèn)為使低安全級(jí)接口上的用戶能夠訪問(wèn)某一高安全級(jí)接口上的服務(wù)器，使用static和conduit命令。static命令行中的第一個(gè)IP地址是低安全級(jí)接口上的用戶在訪問(wèn)高安全級(jí)接口上的服務(wù)器時(shí)使用的地址。第二個(gè)IP地址是服務(wù)器的準(zhǔn)確地址。客戶在配置中輸入static命令后，總是指定接口的安全級(jí)（高、低）和IP地址的高和低，例如：static （inside，dmz1） 當(dāng)dmz1接口上的用戶訪問(wèn)Telnet服務(wù)器時(shí)。實(shí)現(xiàn)每個(gè)低安全級(jí)接口上的用戶訪問(wèn)每一個(gè)高安全級(jí)接口上的服務(wù)，可遵循以下步驟：步驟1：允許外部接口上的用戶訪問(wèn)DMZ1接口上的郵件服務(wù)器，使用如下命令：static （dmz1，outside） conduit permit tcp host eq smtp any步驟2：允許外部接口上的用戶訪問(wèn)DMZ2接口上的Telnet服務(wù)器，使用如下命令：static （dmz2，outside） conduit permit tcp host eq telnet any步驟3：允許dmz1接口上的用戶訪問(wèn)dmz2接口上的Telnet服務(wù)器，使用如下命令：static （dmz2，dmz1） conduit permit tcp host eq telnet any 各個(gè)接口配置IP地址178。 外部接口：，， 一個(gè)PAT。178。 dmz1接口：。178。 DMZ2接口：。178。 DMZ3接口：。178。 DMZ4接口：。178。 內(nèi)部接口：。此外，允許訪問(wèn)連接到路由器的網(wǎng)絡(luò)需要使用靜態(tài)route命令。靜態(tài)route命令語(yǔ)句指出接到接口路由器的網(wǎng)絡(luò)的流量。靜態(tài)route命令的格式如下：route inside 1。因?yàn)樵趦?nèi)部、dmzdmz4接口的相互連接都有路由器，所以共需要六條靜態(tài)route命令——每個(gè)接口兩條。 配置舉例nameif ethernet0 outside security0nameif ethernet1 insidesecurity100nameif ethernet2 dmz1 security20nameif ethernet3 dmz2 security40nameif ethernet4 dmz3 security60nameif ethernet6 dmz4 security80!PIX防火墻為所有的接口提供nameif命令語(yǔ)句。在這種情況下，缺省的周邊名可以從dmz21到dmz24變化。interface ethernet0 autointerface et
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1