第十三章 思科防火墙完全配置.docVIP

第五章 防火墙的具体应用 远键实业公司是一个典型的中小企业。大概100 人左右。是一家科技企业，主要从事计算机 系统集成服务，大约有100 人左右，分为市场部、财务部、销售部、人力资源部、办公室、 网络管理部、工程部，网络分成内网、外网。内网经常感染病毒，蠕虫，而且某些员工使用 工具进行大数据量下载也影响网络正常工作，有时也发现来自外网黑客攻击现象，同时公司 随着业务的发展也将扩大宣传，考虑建立一个Web 服务器用来对外发布信息。公司领导和 网络部经过仔细讨论，决定在公司现有网络基础上部署一台防火墙。防火墙有很多种，国外 和国内有很多防火墙。经过选型后公司选择一款Cisco PIX 515 防火墙。公司拓扑结构如下： 公司网络要求 一、配置公司PIX划分内网、外网及DMZ区域： 远键实业公司的规模并不是很大，网络拓扑结构如上图，分为内网、外网。在满足 内网用户快速访问INTERNET 的同时有效防止来自外网黑客攻击；此外，公司随着业务的 发展也需要扩大宣传，市场部考虑建立电子营销，所以希望建立一个Web 服务器用来对外 发布业务信息。公司网络管理部门决定在公司的防火墙上部署在内网和外网之 间配置PIX划分内网、外网及DMZ区域。 pixfirewallena pixfirewall# #进入全局配置模式 pixfirewall# conf t #配置防火墙接口的名字，并指定安全级别（nameif）。 pixfirewall(config)#int e0 pixfirewall(config-if)# nameif inside pixfirewall(config-if)# security-level 100 pixfirewall(config)#int e1 pixfirewall(config-if)# nameif dmz pixfirewall(config-if)# security-level 50 pixfirewall(config)#int e2 pixfirewall(config-if)# nameif outside pixfirewall(config-if)# security-level 0 security-leve 0 是外部端口outside 的安全级别（0 安全级别最高） security-leve 100 是内部端口inside 的安全级别,如果中间还有以太口，则security-leve 10， security-leve 20 等等命名，多个网卡组成多个网络，一般情况下增加一个以太口作为dmz security-leve 50 是停火区dmz 的安全级别。 #配置内外网卡的IP 地址 pixfirewall(config)#int e0 pixfirewall(config-if)# ip address 00 pixfirewall(config-if)# no shut pixfirewall(config)#int e1 pixfirewall(config-if)# ip address pixfirewall(config-if)# no shut pixfirewall(config)#int e1 pixfirewall(config-if)# ip address pixfirewall(config-if)# no shut 在配置内外网卡的IP 地址时注意别忘了用no shutdown 命令来激活端口。（no shut 是no shutdown 的简写）。 #允许内部网络服务器telnet pix（允许远程登录到防火墙） pixfirewall(config)# telnet inside #同时你也可以允许外部网络服务器远程登录到防火墙命令如下 pix515(config)# telnet outside 但为了安全最好是只允许内部网络服务器远程登录到防火墙，保证防火墙的安全。 #配置远程登录密码 Pix515(config)# password 123456 以上表明远程登录密码为 123456 #保存配置 write memory 在配置完成后，要记住保存配置，以便以后进一步的配置及管理。 、配置DMZ #设置DMZ 接口IP 地址，设置好后可以按拓扑结构图测试从PIX 上ping 检查连通性。 pixfirewall(config)#int e1 pixfirewall(config-if)# ip address #允许DMZ 主机访问外部网络icmp 协议 pixfirewall(config-if)# access-list acl_dmz permit icmp any any #应用策略到DMZ 接口 把acl_dmz