• 47472
  • 64
  • 22
Нравится блог?
Подписывайтесь!

Cisco PIX Firewall как защита корпоративной сети

Данная статья демонстрирует как правильно скофигурировать Cisco PIX Firewall, чтобы отделить и защитить корпоративную сеть предприятия или организации от Интернет. Рассмотрим внутреннюю сеть организации, которая содержит Web сервер, почтовый сервер и FTP сервер, к которым имеют доступ пользователи Интернет; весь остальной доступ к хостам внутренней сети закрыт от внешних пользователей.

Стуруктура сети показана на сетевой диаграмме:

Адресацию серверов внутренней сети выполним следующим образом:

  • Внутренний адрес Web сервера: 192.168.1.4; его Интернет адрес: 204.69.198.3
  • Внутренний адрес Mail сервера: 192.168.1.15; его Интернет адрес: 204.69.198.4
  • Внутренний адрес FTP сервера: 192.168.1.10; его Интернет адрес: 204.69.198.5

Всем пользователям внутренней сети разрешен неограниченный доступ в Интернет. Также пользователи могут пинговать узлы в Интернет, одако пользователи интернет не могут выполнять ping на узлы организации. ISP выделил Организации диапазон внешних адресов класса C: 204.69.198.0/24. Адреса 204.69.198.1 и 204.69.198.2 зарезервированы для внешнего роутера и внешнего интерфейса PIX (см. схему). Адреса диапазона 204.69.198.3 - 204.69.198.5 отведены для серверов, а адреса 204.69.198.4 - 204.69.198.14 зарезервированы для будущего использования.

PIX необходимо настроеть так, чтобы посылать syslog сообщения на SysLog-сервер во внутренней сети, с адресом 192.168.1.220 (Он не показан на диаграмме). Версия ПО используемая на PIX: 6.3.5

Конфигурация PIX:

nameif gb-ethernet0 outside security0
nameif gb-ethernet1 inside security100

hostname pixfirewall

fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
names

!--- Создаем access list чтобы разрешить вырускать ping и принимать ответы

access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any time-exceeded
access-list 100 permit icmp any any unreachable

!--- Разрешаем всем пользователям в Интернет подсоединяться к Web, Mail, и FTP серверам.

access-list 100 permit tcp any host 204.69.198.3 eq www
access-list 100 permit tcp any host 204.69.198.4 eq smtp
access-list 100 permit tcp any host 204.69.198.5 eq ftp

!--- Включам логгирование.
logging on
no logging timestamp
no logging standby
no logging console
no logging monitor

!--- Сохраняем сообщениям об ошибках и более критичные в локальный буфер

logging buffered errors

!---Посылаем уведомления на syslog сервер

logging trap notifications
no logging history
logging facility 20
logging queue 512

!--- Указываем syslog сервер на внутренней сети.

logging host inside 192.168.1.220

!--- Все интерфейсы выключены по умолчанию. Включаем их.

interface gb-ethernet0 1000auto
interface gb-ethernet1 1000auto

!--- Назначаем адреса на интерфейсы
ip address outside 204.69.198.2 255.255.255.0
ip address inside 192.168.1.1 255.255.255.0

!---Определим пул трансляции адресов (NAT), которые внутренние хосты испоьзуют
!--- когда выходят в Интернет

global (outside) 1 204.69.198.15-204.69.198.253

!--- Определим один адрес который будет использоватся когда
!--- NAT пула будет уже не хватать (PAT)

global (outside) 1 204.69.198.254

!--- Разрешаем всем внутренним хостам использовать NAT или PAT определнные ранее

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

!--- Определяем статическую трансляцию для внутреннего web-сервера,
!--- чтобы он был доступен из Интернет

static (inside,outside) 204.69.198.3 192.168.1.4
netmask 255.255.255.255 0 0

!--- Определяем статическую трансляцию для внутреннего почтового сервера,
!--- чтобы он был доступен из Интернет

static (inside,outside) 204.69.198.4 192.168.1.15
netmask 255.255.255.255 0 0

!--- Аналогично выполняем действия и для FTP сервера

static (inside,outside) 204.69.198.5 192.168.1.10
netmask 255.255.255.255 0 0

!--- Применяем access list 100 к outside интерфейсу.

access-group 100 in interface outside

!--- Назначаем default route на роутер ISP.

route outside 0.0.0.0 0.0.0.0 204.69.198.1 1

!--- Разрешаем хосту 192.168.1.254 поключаться к PIX по телнет

telnet 192.168.1.254 255.255.255.255 inside
telnet timeout 5

Нижеследующие замечания необходимо учитывать при конфигурации PIX:

  • NAT пул и PAT должны содержать IP адреса, которые больше нигде не используются в сети, включая адреса для статических трансляций и адреса используемые на сетевых интерфейсах устройств.
  • Вы должны явно разрешать доступ к вашим серверам. По умолчанию весь входной трафик на outside интерфейс запрещен.
  • После любого листа доступа следует неявная команда deny ip any any
  • Если DNS сервер раположен за outside интерфейсом, а внутренние пользователи хотят получать доступ к внутренним серверам по их DNS имени, вам необходимо использовать команду alias, чтобы PIX пролечил ответы от DNS сервера.


 

25 января 2011, 2:02
1284

Loading...

Комментарии

Образование есть то, что остаётся после того, когда забывается всё, чему нас учили Любишь кататься – катись к чёртовой матери. Женщины любят ушами, а мужчины – где придется. Девушка, а вы владеете языком по-французски? Выхожу как-то из ресторана, а мнне какая-то сволочь на руку наступила…
бесплатный контент

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Исламская ипотека в Казахстане: в этом году выйдет на розничный рынок

Исламская ипотека в Казахстане: в этом году выйдет на розничный рынок

Многие клиенты, вздыхая о харамном ссудном проценте местных банков, сокрушались по поводу отсутствия у нас халяльного кредитования. Поддержка исламского банкинга на уровне МФЦА есть...
DanaJarlygapova
24 марта 2017 / 18:28
  • 6656
  • 43
Престарелый старец-киборг Рокфеллер предлагал уничтожить 90% населения Земли

Престарелый старец-киборг Рокфеллер предлагал уничтожить 90% населения Земли

Первую пересадку сердца Рокфеллер пережил в 1976 году на 62-м году жизни. Последнюю пересадку ему сделали в августе 2016 года. Пересадка сердца такому старому пациенту не имеет аналогов...
Timur_Tregulov
21 марта 2017 / 23:10
  • 6396
  • 52
Компания LG Electronics открыла предзаказ на новый флагман LG G6

Компания LG Electronics открыла предзаказ на новый флагман LG G6

LG Electronics объявляет о начале предварительного заказа онлайн на новый смартфон LG G6. Оформить предзаказ можно на сайтах магазинов электроники до 16 апреля 2017 года.
LG Electronics
24 марта 2017 / 14:20
  • 4481
  • 0
Беременность по-американски. Никто не ждет до 40 дней, с малышом гуляют с первого дня

Беременность по-американски. Никто не ждет до 40 дней, с малышом гуляют с первого дня

Мои волшебные 9 месяцев протекали в новой среде и далеко от всех родственников и подружек. Никто из моих знакомых в США на тот момент не успел обзавестись малышом, поэтому мне не с кем было...
Zarema_
23 марта 2017 / 9:25
  • 4009
  • 14
Алматы – это город-урод. Если вы живете здесь, то сами найдете кучу примеров

Алматы – это город-урод. Если вы живете здесь, то сами найдете кучу примеров

Париж, Рим, Барселона, Лондон, Алматы, Венеция – выберите город, который на ваш взгляд кажется лишним в этом списке. Если бы не было слова "урод", было бы легче определиться?
corridere
21 марта 2017 / 14:59
  • 4191
  • 75
Страну, где так строят дороги, победить невозможно!

Страну, где так строят дороги, победить невозможно!

Шестиминутный ролик про строительство автомобильной дороги в США - это как острый нож в пузо нашим чиновникам. Они же подавятся бешбармаком, увидев его! Похлеще любого пропагандистского фильма...
Timur_Tregulov
24 марта 2017 / 11:26
  • 3198
  • 31
Будьте бдительны при покупке цифровой техники! «Наебизнес» в магазинах техники

Будьте бдительны при покупке цифровой техники! «Наебизнес» в магазинах техники

Покупая бытовую технику в магазинах будьте внимательны. Сейчас практикуется впаривание дополнительных услуг по настройке. Прежде чем оформлять, проверьте суммы и уточните у манагеров если что-то не сходится.
dr_Motor
20 марта 2017 / 2:13
Это вам не Дисней. Реальный прототип «Красавицы и Чудовища»

Это вам не Дисней. Реальный прототип «Красавицы и Чудовища»

Многие уверенны на 100%, что сказка «Красавица и Чудовище» - это интересная выдумка ее создателей. Однако, действия, происходящие в мультфильме и фильме, имели место в истории, и у главных героев...
Naomi_K
24 марта 2017 / 18:42
  • 3253
  • 30
Посчитав сколько я смогу сэкономить на еде, я понял, что это очень приличная сумма

Посчитав сколько я смогу сэкономить на еде, я понял, что это очень приличная сумма

Именно сейчас я начинаю понимать, как себя чувствуют иногородние студенты, которые живут общежитиях у нас в Алматы. Я не говорю, что они живут плохо, но многие из них рассчитывают только на свои...
noyanovmyras
23 марта 2017 / 0:18
  • 2684
  • 59