应用层网关防火墙.docVIP

防火墙 按照防火墙硬件平台分为： x86架构防火墙：采用通用的cpu和pci总线接口，典型代表：cisco系统防火墙CiscoASA ASIC架构防火墙：通过专门的设计的ASIC芯片进行硬件加速处理，缺点：灵活性和扩 展性不够，代表：netscreen 按照数据处理分为：主机防火墙，包过滤防火墙，电路层防火墙，应用代理防火墙，状态检测防火墙 应用层网关防火墙 特点： 所有连接都通过防火墙 在应用层上实现 可以监视包的内容 可以实现基于用户的认证 所有的应用需要单独实现 可以提供理想的日志功能 非常安全但开销大 在ISA中有三个常见的名词 要素，规则，访问策略 之间的关系：要素组成规则，规则组成访问策略 在win2003中安装ISA 后，初始状况是ping安装ISA的主机ping不通，且在ISA主机上访问web服务，访问不了。 ASA防火墙 基本配置 配置主机名，域名和密码 Ciscoasa config #hostname ASA5520 主机名 ASA5520 config #domain-name 域名 ASA5520 config #enable password 特权密码 ASA5520 config #passwd 远程登录密码 配置接口 例子 ASA5520 config #interface E0/1 ASA5520 config-if #nameif inside/outside/dmz ASA5520 config-if #sercurty-level 100 ASA5520 config-if #ip address ip地址 子网掩码 ASA5520 config-if #no shutdown 配置路由 Route nameif geteway_ip 配置远程管理接入 telnet network/ip-address mask interface-name 设置超时：telnet timeout 时间 配置SSH接入 生成RSA密钥对：cryptography key generated rsa modulus 1024 配置防火墙允许ssh接入：ssh ip地址 inside Ssh 0 0 outside 配置ASDM（自适应安全设备管理器）接入 http server enable [port] http network/ip-adress mask interface_name asdm image disk0:/asdmfile username 用户 password 密码 privilege 15 为出站流量配置网络地址转换 动态NAT 指定什么流量需要被转换：nat interface_name nat_id local-ip mask 定义一个全局地址池：global interface_name nat_id global-ip [-global-ip]|interface ingerface指端口地址 例子： nat-control nat inside 1 0 0 global outside 1 interface global dmz 1 00-10 配置静态NAT Static internal_if_name,external_if_name outside_ip_addr inside_ip_address 配置ACL Access-list acl_name standard permit|deny ip_addr mask Access-list acl_name extended permit|deny protocol src_ip_addr src_mask dst_ip_addr dst_mask [operator port] Access-group acl_name in|out interface interface_name 例子： Access-list test1 deny 4 55 standard Access-list test1 permit any Access-list test2 extended deny ip host 4 any extended Access-list test2 extended permit ip any any Icmp协议应用例子 Access-list 111 permit icmp any any echo-reply Access-list 111 permit icmp any any unreachable Access-list 111 permit icmp any any time-e