ibm—中國移動(dòng)pix防火墻安全配置手冊(cè)v01-全文預(yù)覽
【正文】 onfigurationinterface 如果兩設(shè)備的startupconfig不同，在設(shè)備啟動(dòng)后，Secondary設(shè)備會(huì)根據(jù)Primary設(shè)備的runningconfig同步自己的runningconfig；178。 在active設(shè)備上輸入write 當(dāng)standby設(shè)備完成初始化啟動(dòng)時(shí)，會(huì)從active設(shè)備同步配置；178。failover中，我們可以將statelink。Ethernet（GE）（1000BASET）full Fast當(dāng)failover事件發(fā)生時(shí)，由于在新的Active設(shè)備上已經(jīng)有了這些連接狀態(tài)信息，所以用戶不用重新連接就能繼續(xù)通訊。 常規(guī)Failover（Regularmac Secondary設(shè)備成為active，但無法通過failoverfailover中，Primary和Sencondary設(shè)備是在配置文件中設(shè)定的。 當(dāng)前負(fù)責(zé)轉(zhuǎn)發(fā)網(wǎng)絡(luò)流量的設(shè)備就是Active設(shè)備，另一臺(tái)是Standby設(shè)備。 配置同步的速度快178。Link的交換機(jī)會(huì)成為另一個(gè)硬件的故障點(diǎn)178。 standby設(shè)備的配置需要單獨(dú)設(shè)置（在cablebased注意，此方式一定要通過交換機(jī)（推薦使用單獨(dú)的交換機(jī)）進(jìn)行連接，而不能通過交叉線直接連接兩機(jī)的以太口。設(shè)備。failover”）——，建議使用這種方式。 Hello信息包（也通過所有其它端口發(fā)送）178。Link用于設(shè)備間相互溝通彼此的工作狀態(tài)，F(xiàn)ailover缺省值為5分鐘nat （inside） 1 0 0!允許內(nèi)部用戶發(fā)起到低安全級(jí)接口（DMZ1，DMZ2，DMZ3，DMZ4和外部接口）上的連接nat（dmz1） 1 0 0!允許dmz1用戶發(fā)起到低安全級(jí)接口（外部接口）上的連接nat（dmz2） 1 0 0!允許dmz2用戶發(fā)起到低安全級(jí)接口（DMZ1，外部接口）上的連接nat（dmz3） 1 0 0!允許dmz3用戶發(fā)起到低安全級(jí)接口（dmz2，dmz1，外部接口）上的連接nat（dmz4） 1 0 0!允許dmz4用戶發(fā)起到低安全級(jí)接口（DMZ1，DMZ2，DMZ3，外部接口）上的連接global （outside）1 netmask global （outside） 1 netmask !為外部接口建立一個(gè)全局地址池，以便其他接口上的用戶訪問因特網(wǎng)。PIX防火墻檢測(cè)接口IP地址確保其為內(nèi)部接口。缺省配置中提供該命令。interface ethernet0 autointerface ethernet1 autointerface ethernet2 autointerface ethernet3 autointerface ethernet4 autointerface ethernet5 auto!缺省配置下，PIX防火墻為六接口提供interface命令語句。靜態(tài)route命令的格式如下：route inside 1。178。178。178。第二個(gè)IP地址是服務(wù)器的準(zhǔn)確地址。 為允許從內(nèi)部接口和dmz2，dmz3，dmz4接口轉(zhuǎn)換來的連接訪問dmz1接口，使用如下命令：global （dmz1） 1 178。 為使dmz2接口上的用戶能夠啟動(dòng)外部接口及dmz1 接口上的連接使用如下命令：nat （dmz2） 1 0 0178。nat命令允許用戶發(fā)起從指定接口到所有低安全級(jí)接口的連接，global命令允許訪問從任一高安全級(jí)接口轉(zhuǎn)換來的連接。下面的例子中，所有接口上的用戶可以訪問所有服務(wù)器，而在內(nèi)部、dmzdmzdmz3和dmz4接口上的主機(jī)可以啟動(dòng)連接。any等 251 綜述本配置手冊(cè)介紹了Cisco PIX防火墻的幾種典型的配置場(chǎng)景，以加強(qiáng)防火墻對(duì)網(wǎng)絡(luò)的安全防護(hù)作用。outside的策略不嚴(yán)格，如any224。2 CISCO PIX的幾種典型配置 典型配置（1）——訪問控制、包過濾和NAT 網(wǎng)絡(luò)拓?fù)鋱D 配置環(huán)境本配置中沒有用戶認(rèn)證和授權(quán)，NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）完成地址轉(zhuǎn)換工作。nat、global命令與NAT ID（本配置事例中為1）聯(lián)合使用。 為使dmz1接口上的用戶能夠啟動(dòng)外部接口上的連接使用如下命令：nat （dmz1） 1 0 0178。 為允許從內(nèi)部接口和dmz1，dmz2，dmz3，dmz4接口轉(zhuǎn)換來的連接訪問外部接口，使用如下命令：global （outside） 1 178。static命令行中的第一個(gè)IP地址是低安全級(jí)接口上的用戶在訪問高安全級(jí)接口上的服務(wù)器時(shí)使用的地址。 外部接口：， 一個(gè)PAT。 DMZ2接口：。 DMZ4接口：。靜態(tài)route命令語句指出接到接口路由器的網(wǎng)絡(luò)的流量。在這種情況下，缺省的周邊名可以從dmz21到dmz24變化。arp timeout 14400!設(shè)置ARP超時(shí)為14400秒（4小時(shí)）?？蛻粜枰獮檫吔缃涌谠黾覯TU命令telnet telnet timeout 15!授權(quán)dmz2主機(jī)可以使用Telnet訪問防火墻控制臺(tái)。利用timeout特性設(shè)定PIX防火墻關(guān)閉連接前telnet組可以空閑的最大時(shí)間為15分鐘。global （dmz3） 1 !允許內(nèi)部接口和DMZ4 接口的用戶訪問dmz3接口global （dmz4） 1 netmask !允許內(nèi)部接口的用戶訪問dmz4接口，static （dmz1，outside） netmask conduit permit tcp host eq smtp any!允許外部用戶訪問dmz1接口上的郵件服務(wù)器static （dmz2，outside） netmask conduit permit tcp host eq telnet any!允許外部用戶訪問dmz2接口上的Telent服務(wù)器static （dmz2，DMZ1） netmask conduit permit tcp host eq telnet any!允許dmz1用戶訪問dmz2接口上的Telent服務(wù)器 典型配置（2）——IPsec VPN Tunnel 網(wǎng)絡(luò)拓?fù)鋱D 配置 PIX1配置PIX防火墻1的步驟如下：步驟1：定義主機(jī)名：hostname NewYork步驟2：定義域名：domainname 步驟3：建立一個(gè)靜態(tài)網(wǎng)絡(luò)：static （inside，outside） 步驟4：配置ISKMP策略：isakmp enable outsideisakmp policy 9 authenticati
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1