ibm—中國移動(dòng)pix防火墻安全配置手冊(cè)v01(編輯修改稿)
2024-07-22 06:53 本頁面
【文章內(nèi)容簡介】 mp key cisco1234 address 步驟6：配置支持IPSec的轉(zhuǎn)換集：crypto ipsec transformset strong esp3des espshahmac步驟7：建立訪問列表：accesslist 90 permit ip 步驟8：定義密碼映射：crypto map toSanJose 20 ipsecisakmpcrypto map toSanJose 20 match address 90crypto map toSanJose 20 set transformset strongcrypto map toSanJose 20 set peer 步驟9：將密碼映射應(yīng)用于外部接口：crypto map toSanJose interface outside步驟10：指定隱式允許IPSec流量：sysopt connection permitipsec PIX2配置PIX防火墻2的步驟如下：步驟1：定義主機(jī)名：hostname SanJose步驟2：定義域名：domainname 步驟3：建立一個(gè)靜態(tài)網(wǎng)絡(luò)：static （inside，outside） 步驟4：配置ISKMP策略：isakmp enable outsideisakmp policy 8 authentication preshareisakmp policy 8 hash md5isakmp policy 8 encr 3des步驟5：配置預(yù)共享密鑰并與對(duì)等實(shí)體關(guān)聯(lián)：crypto isakmp key cisco1234 address 步驟6：配置支持IPSec的轉(zhuǎn)換集：crypto ipsec transformset strong esp3des espshahmac步驟7：建立訪問列表：accesslist 80 permit ip 步驟8：定義密碼映射：crypto map newyork 10 ipsecisakmpcrypto map newyork 10 match address 90crypto map newyork 10 set transformset strongcrypto map newyork 10 set peer 步驟9：將密碼映射應(yīng)用于外部接口：crypto map newyork interface outside步驟10：指定IPSec流量為隱式可信的：sysopt connection permitipsec 典型配置（3）——雙機(jī)熱備FailoverLink用于設(shè)備間相互溝通彼此的工作狀態(tài)，F(xiàn)ailoverlink上傳遞的信息包括：178。 設(shè)備的當(dāng)前狀態(tài)（active和standby）178。 電源狀態(tài)（基于專用failover電纜的才有）178。 Hello信息包（也通過所有其它端口發(fā)送）178。 Active設(shè)備向Standby設(shè)備傳遞配置（稱為配置同步）Failoverlink可以使用兩種介質(zhì)（構(gòu)成不同的failover形式）178。 基于專用電纜（“cablebasedfailover”）——，建議使用這種方式。因?yàn)樵O(shè)備可以通過此電纜感知對(duì)方的電源狀態(tài)，而且能分辨出是設(shè)備斷電還是根本沒插電源線。Failover電纜是一種改進(jìn)的RS232串行電纜（115Kbps），一端標(biāo)有“Primary”用以連接primary設(shè)備，另一端標(biāo)有“Secondary”用以連接secondary設(shè)備。178。 基于以太網(wǎng)（“LANbasedfailover”）——可以使用設(shè)備上任意未占用的以太口，請(qǐng)用這種方式。注意，此方式一定要通過交換機(jī)（推薦使用單獨(dú)的交換機(jī)）進(jìn)行連接，而不能通過交叉線直接連接兩機(jī)的以太口?；谝蕴W(wǎng)的FailoverLink的缺點(diǎn)主要有：178。 當(dāng)電源故障時(shí)，需要更長的時(shí)間才能failover178。 standby設(shè)備的配置需要單獨(dú)設(shè)置（在cablebasedfailover中，standby設(shè)備可以不用enable任何端口或不用設(shè)置IP地址的時(shí)候就跟active設(shè)備通訊，并從active設(shè)備接受整個(gè)的配置信息。）178。 兩設(shè)備間用于FailoverLink的交換機(jī)會(huì)成為另一個(gè)硬件的故障點(diǎn)178。 占用以太網(wǎng)端口基于以太網(wǎng)的FailoverLink的優(yōu)點(diǎn)：178。 178。 配置同步的速度快178。 在LANbased failover中，如果FailoverLink斷開，會(huì)自動(dòng)使用其它端口查看對(duì)方狀態(tài)。178。 當(dāng)前負(fù)責(zé)轉(zhuǎn)發(fā)網(wǎng)絡(luò)流量的設(shè)備就是Active設(shè)備，另一臺(tái)是Standby設(shè)備。在cablebasedfailover中，其電纜的Primary端連接的就是Primary設(shè)備；Secondary端連接的PIX就稱為Sencondary設(shè)備。在LANbasedfailover中，Primary和Sencondary設(shè)備是在配置文件中設(shè)定的。當(dāng)兩臺(tái)設(shè)備同時(shí)啟動(dòng)，而且都處于健康狀態(tài)時(shí)，Primary設(shè)備就是Active設(shè)備；當(dāng)Primary設(shè)備產(chǎn)生故障時(shí)，發(fā)生failover事件，Seconary設(shè)備就成為Active設(shè)備。Active設(shè)備總是使用ActiveIP地址和Primary設(shè)備的MAC地址，除非發(fā)生以下狀況：178。 Secondary設(shè)備成為active，但無法通過failoverlink獲得Primary設(shè)備的MAC地址。178。 在配置中把兩臺(tái)設(shè)備的MAC地址固定了（使用指令：failovermacaddress）。常規(guī)Failover和全狀態(tài)Failover。178。 常規(guī)Failover（RegularFailover）：發(fā)生Failover事件時(shí)，所有當(dāng)前活動(dòng)的連接都會(huì)丟棄，用戶需要重新刷新連接；178。 全狀態(tài)Failover（StatefulFailover）：在雙機(jī)正常工作時(shí)，Active設(shè)備不斷地把連接的狀態(tài)信息發(fā)送給standby設(shè)備。當(dāng)failover事件發(fā)生時(shí)，由于在新的Active設(shè)備上已經(jīng)有了這些連接狀態(tài)信息，所以用戶不用重新連接就能繼續(xù)通訊。在全狀態(tài)Failover中，必需使用一個(gè)以太連接（Ethernetlink）來傳遞狀態(tài)信息，PIX可以用下列以太口來設(shè)置statelink：178。 FastEthernet（100BASET）fullduplex178。 GigabitEthernet（GE）（1000BASET）fullduplex在配有GE端口的PIX535上，必須選擇GE端口配置statelink。兩設(shè)備的statelink端口雖然可以使用交換機(jī)相連，但為避免額外的故障點(diǎn)，還是推薦使用交叉線直接將端口相連。在LANbasedfailover中，我們可以將state16
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1