T3航站楼系统工程：两台6509交换机防火墙模块的配置.docVIP

两台6509交换机防火墙模块的配置； 将VLAN与防火墙关联 防火墙模块是通过与交换引擎的VLAN关联，每个VLAN可以定义成为一个防火墙接口。 对于与防火墙关联的VLAN，有以下限制： 不能用保留VLAN；不能用VLAN1；如果在两台交换机之间做failover，这个VLAN必须关联到防火墙上；关联的VLAN必须存在于交换引擎上。 第三步，在firewall_group 中添加 vlan_range Router(config)# firewall vlan-group firewall_group vlan_range vlan_range 允许范围是(2 to 1000 and from 1024 to 4094) Router(config)# firewall vlan-group 50 5,7-10,13,45-100 第四步，将firewall_group关联到防火墙模块 Router(config)# firewall module module_number vlan-group firewall_group Router(config)# firewall module 4 vlan-group 200 在FWSM中允许增加更多VLAN。 Router(config)# firewall multiple-vlan-interfaces Logging in to the FWSM Router# session slot number processor 1 Router# session slot 4 processor 1 Nameif命令： 定义接口名称和接口安全级别，安全级别是从0到100的。0为ouside接口，认为是最不安全的区域；100为inside接口，认为是最安全的区域。1－99为DMZ区域，优先级在inside和ouside之间。思科的防火墙就是通过这个安全级别限定不同区域间的访问的。 FWSM(config)# nameif {vlann | context_map_name} name [security]n 配置接口IP地址 FWSM(config)# ip address interface_name ip_address mask [standby ip_address] 例如： FWSM(config)# ip address inside 查看命令：show ip addressroute 设置静态路由 思科的防火墙支持静态路由和动态路由，动态路由支持RIP、OSPF协议。在这里我们只介绍静态路由。 FWSM(config)# route gateway_interface dest_ip mask gateway_ip [metric] 例如： FWSM(config)# route inside y.y.y.y 查看命令：show route NAT网络地址转换： 网络地址翻译（NAT），主要用于保护私网地址，将私网地址隐藏，翻译成公网地址，访问外部网络。如果有多个公网IP则采用如下方式：static (inside,outside) 01 (config)#nat (inside) 1 (定义源网段) (config)#golb (outside) 1 interface (定义转换成为接口地址) 如果只有1个公网IP则采用如下方式： static (inside,outside) tcp interface 80 80static (inside,outside) tcp interface 23 23(config)#nat (inside) 1 (定义源网段) (config)#golb (outside) 1 interface (定义转换成为接口地址) Access-list out permit ip any any 应该放行适当的流量如：eq telnet/http/ftp Access-group out in interface outside 如何配置telnet 设置telnet源地址和进入端口 FWSM(config)# telnet source_IP_address mask source_interface FWSM(config)# telnet timeout minutes 允许inside区域内的主机telnet到inside接口 FWSM(config)# telnet 55 inside FWSM(config)# telnet timeout 30 也可以指定网段 FWSM/contexta(config)# telnet