【网络安全-防火墙配置】

网络安全-防火墙配置一、概念二、区域策略配置三、NAT配置一、概念控制谁能访问谁、允许什么流量、拒绝什么流量负责访问控制允许 / 拒绝、NAT地址转换内网访问外网、安全策略端口、协议、时间段。二、区域策略配置1.区域划分Zone防火墙会把接口分成不同安全区域默认规则高安全区内→ 低安全区外默认允许低安全区外 → 高安全区内默认拒绝。常见区域Trust信任区内网、办公网安全级别高Untrust非信任区互联网安全级别低DMZ隔离区服务器区如 Web、邮件。2.安全策略Policy源区域 源IP 目的区域 目的IP 服务/端口 动作允许/拒绝举例1允许某IP段允许内网192.168.1.0/24访问外网所有地址security-policy下发安全策略rule name trust-to-untrust-all设定规则名称是trust-to-untrust-allsource-zone trust源区域是信任区域destination-zone untrust目标区域是非信任区域source-address 192.168.1.0 24源IP段是192.168.1.0 24action permit动作是允许。举例2禁止某服务拒绝外网访问内网3389端口RDPsecurity-policy下发安全策略rule name untrust-to-trust-rdp-deny设定规则名称是untrust-to-trust-rdp-denysource-zone untrust源区域是非信任区域destination-zone trust目标区域是信任区域service rdp服务是rdp服务action deny动作是拒绝举例3允许某服务允许外网访问DMZ区80/443端口security-policy下发安全策略rule name untrust-to-dmz-http-https设定规则名称是untrust-to-dmz-http-httpssource-zone untrust源区域是非信任区域destination-zone dmz目标区域是dmz区域service http https服务是http、https服务action permit动作是允许三、NAT配置1.源NATSNAT内网访问互联网时把内网IP换成公网IP常用Easy IP。2.目的NATDNAT / 端口映射外网访问内网服务器时把公网IP 端口映射到内网服务器。3.接口与路由给接口配IP写默认路由指向运营商内网网段静态路由。举例1配置内网口TrustIP网关地址接口GigabitEthernet 0/0/1内网网关192.168.10.1 24加入安全区域trust。interface GigabitEthernet 0/0/1ip address 192.168.10.1 255.255.255.0设置GE0/0/1口地址service-manage all permit允许别人访问防火墙自己的管理功能quitfirewall zone trust设定信任区域add interface GigabitEthernet 0/0/1将GE0/0/1口加入到信任区域中quit举例2配置外网口Untrust公网 IP接口GigabitEthernet 0/0/0运营商给的公网IP202.100.1.2 30对端运营商网关202.100.1.1加入安全区域untrust。interface GigabitEthernet 0/0/0ip address 202.100.1.2 255.255.255.252设置GE0/0/0口地址quitfirewall zone untrust设定位非信任区域add interface GigabitEthernet 0/0/0将GE0/0/0口加入到非信任区域中quit举例3配置SNAT使内网PC能够访问互联网内网网段192.168.10.0 24。nat-policy设定nat策略rule name trust-to-untrust-snat规则名称是trust-to-untrust-snatsource-zone trust源区域是信任区域destination-zone untrust目标区域是非信任区域source-address 192.168.10.0 24设定源地址段action nat easy-ip用接口本身IPquit举例4配置 DNAT端口映射外网访问内网服务器公网口 IP202.100.1.2外网访问202.100.1.2:8080映射到内网服务器192.168.10.100:80外网用户访问的8080端口时映射到本地服务器80端口。nat server protocol tcp global 202.100.1.2 8080 inside 192.168.10.100 80nat server代表内网服务器对外发布protocol tcp代表tcp协议global 202.100.1.2 8080代表外网的地址和端口inside 192.168.10.100 80代表访问的内网的地址和端口security-policy设定nat策略rule name untrust-to-server-http规则名称是untrust-to-server-httpsource-zone untrust源区域是非信任区域destination-zone trust目标区域是信任区域destination-address 192.168.10.100 32表明内网服务器的地址service http访问的服务是httpaction permit规则是允许举例5外网RDP远程桌面进内网电脑公网 IP123.1.1.1内网电脑192.168.1.100端口3389nat server protocol rdp global 123.1.1.1 3389 inside 192.168.1.100 3389nat server代表内网服务器对外发布protocol rdp代表rdp协议global 123.1.1.1 3389代表外网的地址和端口inside 192.168.1.100 3389代表访问的内网的地址和端口security-policy设定nat策略rule name untrust-to-trust-rdp-permit规则名称是untrust-to-trust-rdp-permitsource-zone untrust源区域是非信任区域destination-zone trust目标区域是信任区域destination-address 192.168.1.100 32表明内网服务器的地址service rdp访问的服务是rdpaction permit规则是允许nat server protocol tcp global 123.1.1.1 3389 inside 192.168.1.100 3389security-policyrule name untrust-to-serversource-zone untrustdestination-zone trustdestination-address 192.168.100.100 32service tcp 80action permit