ibm—中國(guó)移動(dòng)pix防火墻安全配置手冊(cè)v01(完整版)
【正文】 ess outside ip address inside ip address dmz1 ip address dmz2 ip address dmz3 ip address dmz4 !PIX防火墻為各個(gè)接口設(shè)定IP地址。 內(nèi)部接口：。 dmz1接口：。 為允許從內(nèi)部接口和dmz3，dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)dmz2接口，使用如下命令：global （dmz2） 1 178。178。同時(shí)也提供了PIX防火墻自身的安全加固建議，防止針對(duì)防火墻的直接攻擊。通用和共性的有關(guān)防火墻管理、技術(shù)、配置方面的內(nèi)容，請(qǐng)參照《中國(guó)移動(dòng)防火墻安全規(guī)范》。 為使用戶(hù)能夠從內(nèi)部接口啟動(dòng)dmz1，dmz2，dmz3，dmz4和外部接口上的連接使用如下命令：nat （inside） 1 0 0178。 為允許從內(nèi)部接口和dmz4接口轉(zhuǎn)換來(lái)的連接訪問(wèn)dmz3接口，使用如下命令：global （dmz3） 1 低安全級(jí)到高安全級(jí)的訪問(wèn)為使低安全級(jí)接口上的用戶(hù)能夠訪問(wèn)某一高安全級(jí)接口上的服務(wù)器，使用static和conduit命令。178。此外，允許訪問(wèn)連接到路由器的網(wǎng)絡(luò)需要使用靜態(tài)route命令。hostname pixfirewall!為防火墻設(shè)定主機(jī)名，該主機(jī)名出現(xiàn)在命令行提示符中。這種方法可以用來(lái)給遠(yuǎn)程故障定位和管理PIX防火墻。 設(shè)備的當(dāng)前狀態(tài)（active和standby）178。Failover電纜是一種改進(jìn)的RS232串行電纜（115Link的缺點(diǎn)主要有：178。Link的優(yōu)點(diǎn)：178。failover中，其電纜的Primary端連接的就是Primary設(shè)備；Secondary端連接的PIX就稱(chēng)為Sencondary設(shè)備。178。 全狀態(tài)Failover（Statefulduplex178。link端口雖然可以使用交換機(jī)相連，但為避免額外的故障點(diǎn)，還是推薦使用交叉線直接將端口相連。memory中；178。standby命令時(shí)，standby設(shè)備會(huì)從active設(shè)備同步配置；配置示例1：CableBasedshutdowninterfacesecurity100nameifencryptedtelnetaddressipip0staticacl_outinFailoverethernet3ethernet2encryptedpasswordoutsidefailoverlan12345678failover（inside）anyoutsiderouteethernet2addressfailoverfailover如果你在filter命令中使用了allow選項(xiàng)而WebSENSE服務(wù)器斷線，端口80處的流量將會(huì)通過(guò)PIX防火墻而不被過(guò)濾。PIX通常用做一個(gè)分隔至少兩個(gè)以上網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備，并且能為隱藏于其后的網(wǎng)絡(luò)提供自適應(yīng)的安全性。解決方案： a) 從Cisco網(wǎng)站下載最新PIX防火墻操作系統(tǒng)版本b) 在本地通過(guò)tftp方式升級(jí)。解決方案： 在PIX防火墻的特權(quán)模式下輸入telnet local_ip [netmask]命令設(shè)置管理工作站地址，local_ip 表示被允許通過(guò)telnet訪問(wèn)到pix的ip地址注意事項(xiàng)：建議使用堡壘主機(jī)的方式。outside的策略不嚴(yán)格，如any224。檢測(cè)方法：利用PIX防火墻提供的WEB管理界面查看策略配置情況，或命 令行方式查看。n ssh ip_address [netmask] [interface_name] n ssh timeout number注意事項(xiàng)：PIX防火墻支持SSH版本1中提供的SSH遠(yuǎn)程殼式程序。 PIX防火墻沒(méi)有安全配置SNMP 危害：SNMP認(rèn)證字符串使用缺省配置、SNMP權(quán)限開(kāi)放范圍過(guò)大,可讀、寫(xiě)等，均易遭到入侵者攻擊。PIX IDS不能向Cisco Secure Policy Manager或IDS管理器發(fā)警告，只能向syslog服務(wù)器發(fā)警告。過(guò)濾URL步驟如下：步驟1：使用urlserver命令指定一臺(tái)WebSENSE服務(wù)器。keyfailoversecurity10ip0enablefailoverglobalprimaryfailoveripipaddressaddressencryptedtelnetsecurity10nameifethernet0ethernet0outsideroutetcpnatstateoutsidehostnamestate100fullnameifConfigurationinterface 在active設(shè)備上輸入writefailover中，我們可以將stateEthernet（GE）（1000BASET）full當(dāng)failover事件發(fā)生時(shí)，由于在新的Active設(shè)備上已經(jīng)有了這些連接狀態(tài)信息，所以用戶(hù)不用重新連接就能繼續(xù)通訊。macfailover中，Primary和Sencondary設(shè)備是在配置文件中設(shè)定的。 配置同步的速度快178。 standby設(shè)備的配置需要單獨(dú)設(shè)置（在cablebased設(shè)備。 Hello信息包（也通過(guò)所有其它端口發(fā)送）178。缺省值為5分鐘nat （inside） 1 0 0!允許內(nèi)部用戶(hù)發(fā)起到低安全級(jí)接口（DMZ1，DMZ2，DMZ3，DMZ4和外部接口）上的連接nat（dmz1） 1 0 0!允許dmz1用戶(hù)發(fā)起到低安全級(jí)接口（外部接口）上的連接nat（dmz2） 1 0 0!允許dmz2用戶(hù)發(fā)起到低安全級(jí)接口（DMZ1，外部接口）上的連接nat（dmz3） 1 0 0!允許dmz3用戶(hù)發(fā)起到低安全級(jí)接口（dmz2，dmz1，外部接口）上的連接nat（dmz4） 1 0 0!允許dmz4用戶(hù)發(fā)起到低安全級(jí)接口（DMZ1，DMZ2，DMZ3，外部接口）上的連接global （outside）1 netmask global （outside） 1 netmask !為外部接口建立一個(gè)全局地址池，以便其他接口上的用戶(hù)訪問(wèn)因特網(wǎng)。缺省配置中提供該命令。靜態(tài)route命令的格式如下：route inside 1。178。第二個(gè)IP地址是服務(wù)器的準(zhǔn)確地址。 為使dmz2接口上的用戶(hù)能夠啟動(dòng)外部接口及dmz1 接口上的連接使用如下命令：nat （dmz2） 1 0 0178。下面的例子中，所有接口上的用戶(hù)可以訪問(wèn)所有服務(wù)器，而在內(nèi)部、dmzdmzdmz3和dmz4接口上的主機(jī)可以啟動(dòng)連接。outside的策略不嚴(yán)格，如any224。nat、global命令
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1