首页 | 邮件资讯 | 技术教程 | 解决方案 | 产品评测 | 邮件人才 | 邮件博客 | 邮件系统论坛 | 软件下载 | 邮件周刊 | 热点专题 | 工具
网络技术 | 操作系统 | 邮件系统 | 客户端 | 电子邮箱 | 反垃圾邮件 | 邮件安全 | 邮件营销 | 移动电邮 | 邮件软件下载 | 电子书下载

邮件网络安全

系统安全 | 邮件软件漏洞 | 攻防技术 | 安全基础 | 病毒公告 | 病毒查杀 | Forefront/TMG/ISA | 防火墙 | 数字签名 |
首页 > 邮件网络安全 > 软硬件防火墙 > 一个思科PIX防火墙的实际应用配置 > 正文

一个思科PIX防火墙的实际应用配置

出处:5DMail.Net收集整理 作者:5DMail.Net收集整理 时间:2007-12-23 21:15:16
 PIX:一个合法IP完成inside、outside和dmz之间的访问

  现有条件:

  100M宽带接入,分配一个合法的IP(222.134.135.98)(只有1个静态IP是否够用?);Cisco防火墙PiX515e-r-DMZ-BUN1台(具有Inside、Outside、DMZ三个RJ45接口)!

  请问能否实现以下功能:

  1、内网中的所有用户可以防问Internet和DMZ中的WEB服务器。

  2、外网的用户可以防问DMZ区的Web平台。

  3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器。

  注:DMZ区WEB服务器作为应用服务器,使用内网中的数据库服务器。

  解决方案:

  一、 概述

  本方案中,根据现有的设备,只要1个合法的IP地址(电信的IP地址好贵啊,1年租期10000元RMB),分别通过PIX515所提供的NAT、PAT、端口重定向、ACL和route功能完全可以实现所提的功能要求。

  二、 实施步骤

  初始化Pix防火墙:

  给每个边界接口分配一个名字,并指定安全级别

pix515e(config)# nameif ethernet0 outside security0
pix515e(config)# nameif ethernet1 inside security100
pix515e(config)# nameif ethernet2 dmz security50

  给每个接口分配IP地址

pix515e(config)# ip address outside 222.134.135.98 255.255.255.252 pix515e(config)# ip address inside 192.168.1.1 255.255.255.0 pix515e(config)# ip address dmz 10.0.0.1 255.255.255.0

  为Pix防火墙每个接口定义一条静态或缺省路由

pix515e(config)# route outside 0.0.0.0 0.0.0.0 222.134.135.97 1
(通过IP地址为222.134.135.97的路由器路由所有的出站数据包/外部接口/)
pix515e(config)# route dmz 10.0.0.0 255.255.255.0 10.0.0.1 1
pix515e(config)# route inside 192.168.1.0 255.255.255.0 192.168.1.1 1
pix515e(config)# route outside 222.134.135.96 255.255.255.252 222.134.135.98 1

  配置Pix防火墙作为内部用户的DPCH服务器

pix515e(config)# dhcpd address 192.168.1.2-192.168.1.100 inside
pix515e(config)# dhcpd dns 202.102.152.3 202.102.134.68
pix515e(config)# dhcpd enable inside

 1、配置Pix防火墙来允许处于内部接口上的用户防问Internet和堡垒主机

  同时允许DMZ接口上的主机可以防问Internet

  通过设置NAT和PAT来实现高安全级别接口上的主机对低安全级别接口上的主机的防问。

  (1)命令如下:

pix515e(config)# nat (inside) 10 192.168.1.0 255.255.255.0
pix515e(config)# nat (dmz) 10 10.0.0.0 255.255.255.0
pix515e(config)# global (outside) 10 interface
pix515e(config)# global (dmz) 10 10.0.0.10-10.0.0.254 netmask 255.255.255.0

  (2)第一个nat命令允许在安全级别为100的内部接口上的主机,去连接那些安全级别比它低的接口上的主机。在第一个命令中,低安全级别接口上的主机包括外部接口上的主机和非军事区/DMZ/上的主机。第二个nat命令允许在安全级别为50的DMZ上的主机,去连接那些安全级别比它低的接口上的主机。而在第二个命令中,低安全级别的接口只包含外部接口。

  (3)因为全局地址池和nat (inside)命令都使用nat_id为10,所以在192.168.1.0网络上的主机地址将被转换成任意地址池中的地址。因此,当内部接口上用户访问DMZ上的主机时,它的源地址被转换成global (dmz)命令定义的10.0.0.10-10.0.0.254范围中的某一个地址。当内部接口上的主机防问Internet时,它的源地址将被转换成global (outside)命令定义的222.134.135.98和一个源端口大于1024的结合。

  (4)当DMZ上用户访问外部主机时,它的源地址被转换成global (outside)命令定义的222.134.135.98和一个源端口大于1024的结合。Global (dmz)命令只在内部用户访问DMZ接口上的Web服务器时起作用。

  (5)内部主机访问DMZ区的主机时,利用动态内部NAT——把在较安全接口上的主机地址转换成不太安全接口上的一段IP地址或一个地址池(10.0.0.10-10.0.0.254)。内部主机和DMZ区的主机防问Internet时,利用PAT——1个IP地址和一个源端口号的结合,它将创建一个惟一的对话,即PAT全局地址(222.134.135.98)的源端口号对应着内部或DMZ区中的唯一的IP地址来标识唯一的对话。PAT全局地址(222.134.135.98)的源端口号要大于1024.理论上,在使用PAT时,最多可以允许64000台内部主机使用一个外部IP地址,从实际环境中讲大约4000台内部的主机可以共同使用一个外部IP地址。)

  2、 配置PIX防火墙允许外网的用户可以防问DMZ区的Web服务器

  通过配置静态内部转换、ACL和端口重定向来实现外网对DMZ区的Web防问。

  (1)命令如下

static (dmz,outside) tcp interface www 10.0.0.2 www dns netmask 255.255.255.255 0 0
access-list outside_access_in line 1 permit tcp any interface outside
access-group 101 in interface outside

  (2)PIX防火墙静态PAT所使用的共享全局地址可以是一个惟一的地址,也可以是一个共享的出站PAT地址,还可以与外部接口共享一个地址。

  (3)Static静态转换中“DNS”表示进行“DNS记录转换”

  DNS记录转换应用在当内部的主机通过域名连接处于内部的服务器,并且用来进行域名解析的服务器处于PIX防火墙外部的情况下。

  一个处于内网中的客户端通过域名向地址为10.0.0.2的Web服务器发送一个HTTP请示。首先要通过PIX防火墙外部接口上的DNS服务器进行域名解析,因此客户端将DNS解析请求包发送到PIX防火墙上。当PIX防火墙收到客户端的DNS解析请求包时,将IP头中不可路由的源地址进行转换,并且将这个DNS解析请求转发到处于PIX防火墙外部接口上的DNS服务器。DNS服务器通过A-记录进行地址解析,并将结果返回到客户端。当PIX防火墙收到 DNS解析回复后,它不仅要将目的地址进行转换,而且还要将DNS解析回复中的地址替换成Web服务器的实际地址。然后PIX防火墙将DNS解析发回客户端。这样所产生的结果是,当客户端收到这个DNS解析回复,它会认为它与Web服务器处于内部网络中,可以通过DMZ接口直接到达。

  3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器

  通过静态内部转换可以实现DMZ区的主机对内网中的主机的防问。

  (1)命令如下:

static (inside,dmz) 10.0.0.9 192.168.1.200 netmask 255.255.255.255 0 0
access-list dmz_access_in line 1 permit tcp any any
access-group dmz_access_in in interface dmz

  (2)静态内部地址转换可以让一台内部主机固定地使用PIX防火墙全局网络中的一个地址。使用Static命令可以配置静态转换。Static命令创建一个在本地IP地址和一个全局IP地址之间的永久映射(被称为静态转换槽或xlate),可以用来创建入站和出站之间的转换。

  除了Static命令之外,还必须配置一个适当的访问控制列表(ACL),用来允许外部网络对内部服务器的入站访问

相关文章 热门文章
  • 垃圾邮件防火墙在运营商环境中的应用
  • 普通用户选用防火墙的方方面面
  • 公司防火墙应该做好的10件事
  • 安全知识:公司防火墙应做的10 件事
  • 梭子鱼应用防火墙在纳斯达克(NASDAQ)的实施案例
  • 一夫当关!谈垃圾邮件防火墙产品(图)
  • 解决ORF在FortiGate (飞塔)防火墙后过滤失效一例
  • Barracuda垃圾邮件防火墙SQL注入和跨站脚本漏洞
  • 自己动手打造免费的高性能宽带路由防火墙
  • 梭子鱼WEB防火墙应用案例 中海油网站整体安全方案
  • MDaemon使用技巧大全--如何配置windows的防火墙
  • 政府网站WEB应用防火墙网站防黑防篡改解决方案
  • [图解]如何设置代理服务器?
  • Kerio Winroute Firewall 6.01 VPN使用详解
  • Kerio WinRoute Firewall安装全攻略
  • Kerio Network Monitor完全使用教程
  • CISCO PIX 防火墙及网络安全配置
  • 路由器典型防火墙设置
  • 惊爆!腾讯QQ2003Ⅲ正式版安全出现漏洞(图)
  • PIX防火墙系统管理
  • 邮件服务器与代理服务器软件配合方案
  • 完整的pix525配置
  • 用PIX构筑铜墙铁壁
  • CISCO PIX515E 防火墙的设置
  • 自由广告区
     
    最新软件下载
  • SharePoint Server 2010 部署文档
  • Exchange 2010 RTM升级至SP1 教程
  • Exchange 2010 OWA下RBAC实现的组功能...
  • Lync Server 2010 Standard Edition 标..
  • Lync Server 2010 Enterprise Edition...
  • Forefront Endpoint Protection 2010 ...
  • Lync Server 2010 Edge 服务器部署文档
  • 《Exchange 2003专家指南》
  • Mastering Hyper-V Deployment
  • Windows Server 2008 R2 Hyper-V
  • Microsoft Lync Server 2010 Unleashed
  • Windows Server 2008 R2 Unleashed
  • 今日邮件技术文章
  • 腾讯,在创新中演绎互联网“进化论”
  • 华科人 张小龙 (中国第二代程序员 QQ...
  • 微软推出新功能 提高Hotmail密码安全性
  • 快压技巧分享:秒传邮件超大附件
  • 不容忽视的邮件营销数据分析过程中的算..
  • 国内手机邮箱的现状与未来发展——访尚..
  • 易观数据:2011Q2中国手机邮箱市场收入..
  • 穿越时空的爱恋 QQ邮箱音视频及贺卡邮件
  • Hotmail新功能:“我的朋友可能被黑了”
  • 入侵邻居网络发骚扰邮件 美国男子被重..
  • 网易邮箱莫子睿:《非你莫属》招聘多过..
  • 中国电信推广189邮箱绿色账单
  • 最新专题
  • 鸟哥的Linux私房菜之Mail服务器
  • Exchange Server 2010技术专题
  • Windows 7 技术专题
  • Sendmail 邮件系统配置
  • 组建Exchange 2003邮件系统
  • Windows Server 2008 专题
  • ORF 反垃圾邮件系统
  • Exchange Server 2007 专题
  • ISA Server 2006 教程专题
  • Windows Vista 技术专题
  • “黑莓”(BlackBerry)专题
  • Apache James 专题
  • 分类导航
    邮件新闻资讯:
    IT业界 | 邮件服务器 | 邮件趣闻 | 移动电邮
    电子邮箱 | 反垃圾邮件|邮件客户端|网络安全
    行业数据 | 邮件人物 | 网站公告 | 行业法规
    网络技术:
    邮件原理 | 网络协议 | 网络管理 | 传输介质
    线路接入 | 路由接口 | 邮件存储 | 华为3Com
    CISCO技术 | 网络与服务器硬件
    操作系统:
    Windows 9X | Linux&Uinx | Windows NT
    Windows Vista | FreeBSD | 其它操作系统
    邮件服务器:
    程序与开发 | Exchange | Qmail | Postfix
    Sendmail | MDaemon | Domino | Foxmail
    KerioMail | JavaMail | Winwebmail |James
    Merak&VisNetic | CMailServer | WinMail
    金笛邮件系统 | 其它 |
    反垃圾邮件:
    综述| 客户端反垃圾邮件|服务器端反垃圾邮件
    邮件客户端软件:
    Outlook | Foxmail | DreamMail| KooMail
    The bat | 雷鸟 | Eudora |Becky! |Pegasus
    IncrediMail |其它
    电子邮箱: 个人邮箱 | 企业邮箱 |Gmail
    移动电子邮件:服务器 | 客户端 | 技术前沿
    邮件网络安全:
    软件漏洞 | 安全知识 | 病毒公告 |防火墙
    攻防技术 | 病毒查杀| ISA | 数字签名
    邮件营销:
    Email营销 | 网络营销 | 营销技巧 |营销案例
    邮件人才:招聘 | 职场 | 培训 | 指南 | 职场
    解决方案:
    邮件系统|反垃圾邮件 |安全 |移动电邮 |招标
    产品评测:
    邮件系统 |反垃圾邮件 |邮箱 |安全 |客户端
    广告联系 | 合作联系 | 关于我们 | 联系我们 | 繁體中文
    版权所有:邮件技术资讯网©2003-2010 www.5dmail.net, All Rights Reserved
    www.5Dmail.net Web Team   粤ICP备05009143号