ibm—中國移動(dòng)pix防火墻安全配置手冊v01(參考版)
2025-06-28 06:53本頁面
【正文】 注意事項(xiàng)：對于業(yè)務(wù)調(diào)試時(shí)配置的臨時(shí)策略，在調(diào)測完畢后及時(shí)刪除。檢測方法：利用PIX防火墻提供的WEB管理界面查看策略配置情況，或命 令行方式查看。outside的策略不嚴(yán)格，如any224。注意事項(xiàng)：注意判斷惡意攻擊時(shí)的條件判定，如果條件控制不好會(huì)造成正常數(shù)據(jù)包無法通過。u 洪流防御通過給nat和static命令設(shè)置最大的初始連接數(shù)，以保護(hù)內(nèi)部網(wǎng)絡(luò)免受TCP SYN洪流的攻擊允許內(nèi)部網(wǎng)絡(luò)服務(wù)器免受拒絕服務(wù)的攻擊（DoS）（這并不是floodguard的特性）保護(hù)內(nèi)部系統(tǒng)免受SYN的攻擊Flood Guard控制AAA服務(wù)對無回答登錄企圖的容忍度，特別要防止對AAA拒絕服務(wù)攻擊優(yōu)化AAA系統(tǒng)的使用，用floodguard1命令缺省處于激活狀態(tài)。n ssh ip_address [netmask] [interface_name] n ssh timeout number注意事項(xiàng)：PIX防火墻支持SSH版本1中提供的SSH遠(yuǎn)程殼式程序。解決方案： 在PIX防火墻的特權(quán)模式下輸入telnet local_ip [netmask]命令設(shè)置管理工作站地址，local_ip 表示被允許通過telnet訪問到pix的ip地址注意事項(xiàng)：建議使用堡壘主機(jī)的方式。c) 用snmpserver host命令確定SNMP管理站的IP地址注意事項(xiàng)：由于目前SNMP的自身安全機(jī)制還比較簡單，如果沒有必要，可停止此項(xiàng)服務(wù)。解決方案： a) 輸入SNMP管理站使用的密碼密鑰使用snmpserver munity key命令。 PIX防火墻沒有安全配置SNMP 危害：SNMP認(rèn)證字符串使用缺省配置、SNMP權(quán)限開放范圍過大,可讀、寫等，均易遭到入侵者攻擊。解決方案： a) 從Cisco網(wǎng)站下載最新PIX防火墻操作系統(tǒng)版本b) 在本地通過tftp方式升級。在PIX的全局模式下，輸入下列命令：ip audit info action alarmip audit attack action alarm!系統(tǒng)默認(rèn)配置ip audit name idsattack attack action alarm drop resetip audit name idsinfo info action alarm!將IDS策略文件指定為idsattack和idsinfoip audit interface outside idsinfoip audit interface outside idsattack!將已經(jīng)命名的IDS策略應(yīng)用到外部接口3 PIX防火墻自身加固 PIX防火墻操作系統(tǒng)版本較低危害：PIX防火墻操作系統(tǒng)版本低存在著許多安全漏洞，如SSH漏洞、認(rèn)證DOS攻擊漏洞和SMTP過濾漏洞等，易受入侵者攻擊。有一點(diǎn)需要注意的是，針對info和attack簽名采取的警告操作都是使用當(dāng)前配置好的syslog服務(wù)器，這意味著syslog需要被配置并且在某個(gè)內(nèi)部接口上使用。PIX IDS不能向Cisco Secure Policy Manager或IDS管理器發(fā)警告，只能向syslog服務(wù)器發(fā)警告。PIX通常用做一個(gè)分隔至少兩個(gè)以上網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備，并且能為隱藏于其后的網(wǎng)絡(luò)提供自適應(yīng)的安全性。在使用urlcatch命令前累計(jì)WebSENSE運(yùn)行記錄。步驟3：如果需要，使用urlcache命令提高通過率（throughput）。過濾URL步驟如下：步驟1：使用urlserver命令指定一臺WebSENSE服務(wù)器。如果你在filter命令中使用了allow選項(xiàng)而WebSENSE服務(wù)器斷線，端口80處的流量將會(huì)通過PIX防火墻而不被過濾。 filter url示例filter url命令使你阻止向外用戶訪問你使用WebSENSE過濾程序指定的World Wide Web URLs。lankeyfailoverfailoverlanunitfailoveraddressfailoverfailoversecurity10ipethernet2ethernet20outsideroutein80accessgroupanypermit0accesslist（inside,outside）0（inside）netmask1enablefailoverglobal12345678failoverlaninterfaceprimaryfailoverlanlinkstateipfailoveripinsideipoutsideipaddressaddressaddressaddresshostnameencryptedtelnetencryptedpasswordpasswordstatesecurity10nameifethernet2insidesecurity0nameifethernet0ethernet3ethernet2ethernet1ethernet0Failover0outsideroutein80accessgrouptcpacl_out0netmask0static1nat（outside）linkstateipinsideipoutsideipaddressaddressaddresshostnameencryptedtelnetencryptedpasswordpasswordstatesecurity100nameifethernet1outside100fullnameifshutdowninterface100fullinterface100fullinterfaceConfigurationinterfacestandby命令時(shí)，standby設(shè)備會(huì)從active設(shè)備同步配置；配置示例1：CableBased 如果兩設(shè)備的startupconfig不同，在設(shè)備啟動(dòng)后，Secondary設(shè)備會(huì)根據(jù)Primary設(shè)備的runningconfig同步自己的runningconfig；178。memory；178。 在active設(shè)備上輸入writememory中；178。 當(dāng)standby設(shè)備完成初始化啟動(dòng)時(shí)，會(huì)從active設(shè)備同步配置；178。Link設(shè)置為使用同一連接（推薦盡可能使用兩個(gè)鏈路），但此時(shí)不能用交叉線直連。failover中，我們可以將statelink端口雖然可以使用交換機(jī)相連，但為避免額外的故障點(diǎn)，還是推薦使用交叉線直接將端口相連。link。535上，Ethernet（GE）（1000BASET）fullduplex178。 Fastlink
公司管理相關(guān)推薦
鄂ICP備17016276號-1