思科PIX防火墙的实际应用配置.doc

《思科PIX防火墙的实际应用配置.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、PIX：一个合法IP完成inside、outside和dmz之间的访问现有条件：100M宽带接入，分配一个合法的IP（222.134.135.98）（只有1个静态IP是否够用？）；Cisco防火墙PiX515e-r-DMZ-BUN1台（具有Inside、Outside、DMZ三个RJ45接口）！请问能否实现以下功能：1、内网中的所有用户可以防问Internet和DMZ中的WEB服务器。2、外网的用户可以防问DMZ区的Web平台。3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器

2、。注：DMZ区WEB服务器作为应用服务器，使用内网中的数据库服务器。解决方案：一、概述本方案中，根据现有的设备，只要1个合法的IP地址（电信的IP地址好贵啊，1年租期10000元RMB），分别通过PIX515所提供的NAT、PAT、端口重定向、ACL和route功能完全可以实现所提的功能要求。二、实施步骤初始化Pix防火墙：给每个边界接口分配一个名字，并指定安全级别pix515e(config)#nameifethernet0outsidesecurity0pix515e(config)#nameifeth

3、ernet1insidesecurity100pix515e(config)#nameifethernet2dmzsecurity50给每个接口分配IP地址pix515e(config)#ipaddressoutside222.134.135.98255.255.255.252pix515e(config)#ipaddressinside192.168.1.1255.255.255.0pix515e(config)#ipaddressdmz10.0.0.1255.255.255.0为Pix防火墙每个接口定义

4、一条静态或缺省路由pix515e(config)#routeoutside0.0.0.00.0.0.0222.134.135.971（通过IP地址为222.134.135.97的路由器路由所有的出站数据包／外部接口／）pix515e(config)#routedmz10.0.0.0255.255.255.010.0.0.11pix515e(config)#routeinside192.168.1.0255.255.255.0192.168.1.11pix515e(config)#routeoutside22

5、2.134.135.96255.255.255.252222.134.135.981配置Pix防火墙作为内部用户的DPCH服务器pix515e(config)#dhcpdaddress192.168.1.2-192.168.1.100insidepix515e(config)#dhcpddns202.102.152.3202.102.134.68pix515e(config)#dhcpdenableinside1、配置Pix防火墙来允许处于内部接口上的用户防问Internet和堡垒主机同时允许DMZ接口上的

6、主机可以防问Internet通过设置NAT和PAT来实现高安全级别接口上的主机对低安全级别接口上的主机的防问。（1）命令如下：pix515e(config)#nat(inside)10192.168.1.0255.255.255.0pix515e(config)#nat(dmz)1010.0.0.0255.255.255.0pix515e(config)#global(outside)10interfacepix515e(config)#global(dmz)1010.0.0.10-10.0.0.254ne

7、tmask255.255.255.0（2）第一个nat命令允许在安全级别为100的内部接口上的主机，去连接那些安全级别比它低的接口上的主机。在第一个命令中，低安全级别接口上的主机包括外部接口上的主机和非军事区／DMZ／上的主机。第二个nat命令允许在安全级别为50的DMZ上的主机，去连接那些安全级别比它低的接口上的主机。而在第二个命令中，低安全级别的接口只包含外部接口。（3）因为全局地址池和nat（inside）命令都使用nat_id为10，所以在192.168.1.0网络上的主机地址将被转换成任意地址池中

8、的地址。因此，当内部接口上用户访问DMZ上的主机时，它的源地址被转换成global（dmz）命令定义的10.0.0.10-10.0.0.254范围中的某一个地址。当内部接口上的主机防问Internet时，它的源地址将被转换成global（outside）命令定义的222.134.135.98和一个源端口大于1024的结合。（4）当DMZ上用户访问外部主机时，它的源地址被转换成global（outside）命令定义