ibm—中國移動pix防火墻安全配置手冊v01-閱讀頁
2025-07-10 06:53本頁面
【正文】 nary設(shè)備就成為Active設(shè)備。IP地址和Primary設(shè)備的MAC地址，除非發(fā)生以下狀況：178。link獲得Primary設(shè)備的MAC地址。 在配置中把兩臺設(shè)備的MAC地址固定了（使用指令：failoveraddress）。178。Failover）：發(fā)生Failover事件時，所有當(dāng)前活動的連接都會丟棄，用戶需要重新刷新連接；178。Failover）：在雙機正常工作時，Active設(shè)備不斷地把連接的狀態(tài)信息發(fā)送給standby設(shè)備。在全狀態(tài)Failover中，必需使用一個以太連接（Ethernetlink：178。Ethernet（100BASET）full Gigabitduplex在配有GE端口的PIX必須選擇GE端口配置state兩設(shè)備的state在LANbasedlink與Failover關(guān)于配置同步178。 配置同步只改變runningconfig，而不會把配置存到Flash 在Active設(shè)備上輸入的指令會立刻被同步到Standby設(shè)備上；178。memory命令時，standby設(shè)備也會將配置寫入Flash 在Standby設(shè)備上輸入的指令不會被同步到Active設(shè)備；178。 在active設(shè)備上輸入writeFailoverethernet0ethernet1ethernet2ethernet3ethernet0security0nameifinsideethernet3security20enablefarscapecrichtonpixfirewallipoutsideipinsideipstatefailoveraddressfailoveraddressfailoveraddressfailoverstatefailoverglobal1netmask（inside）0（inside,outside）0accesslistpermitanyeqacl_outinterfaceoutside01配置示例2：LANBasedConfigurationPrimary設(shè)備配置：interface100fullinterface100fullinterface100fullinterface100fullnameifoutsideethernet1security100nameiffailoverethernet3security20enablefarscapecrichtonpixfirewallipoutsideipinsideipfailoveripstatefailoveraddressfailoveraddressfailoveraddressfailoveraddressfailoverstatefailoverunitlanfailoverfailoverkeylan（outside）nat10staticnetmask0acl_outtcphosteqacl_outinterfaceoutside01Secondary設(shè)備配置：interface100fullnameiffailoveraddressipfailoverlansecondaryfailoverinterfacelan12345678failoverenablefailover 典型配置（4）——內(nèi)容過濾 filter activex示例要使所有向外連接被ActiveX阻塞，使用filter activex 80 0 0 0 0命令指定ActiveX阻塞應(yīng)用于從任何本地主機來的端口80的Web流量和到任何外部主機的連接。filter命令中的allow選項決定當(dāng)WebSENSE服務(wù)器斷線時PIX防火墻如何反應(yīng)。使用filter命令而不帶allow選項，則當(dāng)服務(wù)器斷線時，PIX防火墻將停止端口80的向外流量直到服務(wù)器上線，或者如果另一個URL服務(wù)器可用，則轉(zhuǎn)換控制到該服務(wù)器。步驟2：使用filter命令進(jìn)行過濾。然而，該命令并不更新WebSENSE記錄，記錄將影響WebSENSE記帳報告。：urlserver （perimeter） host filter url 0 0 0 0filter url except 0 0 典型配置（5）——入侵檢測（1）或更高的版本，加入了入侵檢測功能。PIX防火墻上的IDS功能可以使管理員在已經(jīng)提供安全性服務(wù)的設(shè)備上增強網(wǎng)絡(luò)邊界的入侵檢測能力。在PIX上進(jìn)行IDS配置可以使用一個具有多個相關(guān)變量的命令來實現(xiàn)，該命令為ip audit。Syslog可以通過使用logging命令來啟用。檢測方法：在PIX防火墻的特權(quán)模式下輸入show version命令查看版本信息。注意事項：操作系統(tǒng)版本升級過程中可能出現(xiàn)防火墻工作異常，HA模式工作的多個防火墻必須同時升級并保證最終版本一致。 檢測方法：在PIX防火墻的特權(quán)模式下輸入show snmp命令查看snmp信息。b) 所有的SNMP值只讀（RO）。 配置了telnet允許，地址段是調(diào)試時的地址，沒有更 改為管理工作站的地址危害：未授權(quán)用戶管理控制防火墻檢測方法：從主機啟動一個到PIX防火墻接口IP地址的Telnet會話。 telnet遠(yuǎn)程管理是明文傳輸，沒有配置SSH 危害：用戶名、口令被入侵者攫取 檢測方法：在PIX防火墻的特權(quán)模式下輸入show ssh ip_address命令查看SSH信息解決方案：啟用SSH服務(wù)，通過下述命令安全設(shè)置SSH地址、端口和超時情況。 沒有在PIX防火墻上配置防止惡意攻擊的特性 危害：會遭受到Unicast RPF、Flood Defender等各種拒絕服務(wù)攻擊檢測方法：在PIX防火墻的特權(quán)模式下輸入show config 檢查解決方案：u PIX防火墻的ActiveX阻塞特性將Web頁面中出現(xiàn)的HTMLobject命令過濾掉作為一種技術(shù)，ActiveX對網(wǎng)絡(luò)客戶產(chǎn)生了許多潛在的問題，包括導(dǎo)致工作站故障，引起的網(wǎng)絡(luò)安全問題，或者被用于攻擊服務(wù)器。u 防止IP碎片保護(hù)PIX防火墻免受IP碎片的攻擊保護(hù)PIX防火墻免受IP碎片的攻擊同樣阻塞了正常的IP碎片，缺省設(shè)置為失效。 策略配置inside224。any等危害：非授權(quán)用戶可以訪問防火墻所保護(hù)主機的全部應(yīng)用服務(wù)。解決方案： 利用PIX防火墻提供的WEB管理界面對防火墻的策略配置進(jìn)行審計，并依據(jù)實際的業(yè)務(wù)系統(tǒng)信任關(guān)系對防火墻策略進(jìn)行調(diào)整，去掉insideoutside的雙向全通的全放過規(guī)則，提高對受保護(hù)系統(tǒng)的保護(hù)級別。
公司管理相關(guān)推薦
鄂ICP備17016276號-1