防火墙实施策略--最高级防火墙.docVIP

最高级防火墙（思科pix525防火墙）配置命令： PIX525有三个以太接口，分别接入内网，外网和中间区域。??? 设置：(pix515只有两个口而且固定的优先级)ePix525#conf tPix525(config)#nameif ethernet0 inside security100Pix525(config)#nameif ethernet1 dmz security50Pix525(config)#nameif ethernet2 outside security0 ??? 设置接口工作方式：Pix525(config)#interface ethernet0 autoPix525(config)#interface ethernet1 autoPix525(config)#interface ethernet2 auto 设置接口IP地址：Pix525(config)#ip address outside 40Pix525(config)#ip address inside Pix525(config)#ip address dmz 设置时间： clock set 9:0:0 1 5 2010-5-21 指定接口的安全级别： pix525(config)#nameif ethernet0 outside security0? ? # outside是指pix525(config)#nameif ethernet0 dmz security50 ? # outside是指外部接口外部接口 ?pix525(config)#nameif ethernet1 inside security100 # inside是指内部接口 路由： route inside 1 route outside NAT地址转换：将三部门网络地址分别划成一组,并转换成外部地址 ?nat (inside) 1 ?nat (inside) 2 ?nat (inside) 3 ?global (outside) 1 -1netmask ?global (outside) 2 - netmask ?global (outside) 3 -2 netmask 设置内（telnet）外部（ssh）用户登录本地服务器或设备命令：? telnet 10 inside password admin enable password admin ssh outside username miaosen password miaosen aaa authernacation ssh local /使用本地认证 认证： config#ca zeroise config#ca generate config#ca save 包过滤型防火墙的访问控制表（ACL）配置其他部分访问财务部门策略：禁止www，ftp，smtp允许管理主机访问财务 access-list 100 deny tcp eq ftp ?access-list 100 deny tcp eq www access-list 100 deny tcp eq smtp access-list 100 deny tcp eq ftp ?access-list 100 denny tcp eq www access-list 100 deny tcp eq smtp access-list 100 permit tcp // eq smtp access-list 100 permit tcp // eq www access-list 100 permit tcp // eq icmp access-list 100 permit tcp any access-list 100 permit tcp 10 access-list 100 permit tcp any 地址映射： static (inside, outside) /重要的财务主机 命令主机端口重定向： PIX525(config)#static (inside,outside) tcp telnet telnet netmask 55 0 0 PIX525(config)#static (inside,outside) ftp telnet ftp netmask 55 0 0 PIX525(config)#static (inside,outside) tcp www www netmask 55 0 0 /到服务器的端口转换 配置允许低级向高级的数据流