实施方案防火墙补充

1、北京理工大学校园网建设二期工程网络系统集成补充文档（防火墙）北京理工大学信息中心北京北辰东软二 OO 三年四月0北京理工大学校园网建设二期工程网络系统集成-补充文档补充文档，本文档对 PIX535本文档系“北京理工大学校园网二期工程的设计、配置及主要操作命令进行了详细描述。编写人：德编写日期：2003 年 4 月审核人：，波审核日期：2003 年 4 月发布人：德发布日期：2003 年 4 月1北京理工大学校园网建设二期工程网络系统集成-补充文档目 录一、PIX535 网络连接图3二、PIX535 性能及软硬件配置情况3三、PIX535配置说明53.1 接口配置53.2 路由3.3 NAT.

2、5. 63.4 安全规则7四、PIX535 配置. 9五、基本操作命令125.1 接口配置命令125.2 配置静态路由和缺省路由135.3 配置 NAT 转换135.4 配置安全策略14六、参考英文资料NAMEIF16INTERFACE18IP ADDRESS25ROUTE27NAT30GLOBAL36OUTBOUND/APPLY41ACCESS-LIST49CONDUIT622北京理工大学校园网建设二期工程网络系统集成-补充文档一、PIX535 网络连接图CERNETCHINANET网络中心交换机计费网关PIX535Cisco 740

3、1校园骨干网Cisco 2511DMZ区IPV6实验床服务器群二、PIX535 性能及软硬件配置情况PIX 535 为 CISCO 公司高端安全，是电信级的 1000M。包含无限软件（PIX 535-UR）的 PIX 535 配有 1GB 的 RAM，支持多达 8 个千兆位以太网或 10/100 快速以太网接口以及一个 VAC。另外，PIX 535-UR 还添加了与热备用 PIX 共享状态信息以实现完全冗余的能力（Failover）。性能总结纯文本吞吐量：1.0Gbps 同时连接：50 万每秒连接数：7000168 位 3DES IPsec吞吐量：100 Mbps同时隧道：2000技术规格3P

4、STN北京理工大学校园网建设二期工程网络系统集成-补充文档处理器：1.0 GHz Intel Pentium III随机读写内存：512 MB 或 1 GB SDRAM（寄存型PC 133） 闪存：16 MB高速缓存：256 KB Level 2，1 GHz系统总线：双 64 位，66MHz PCI；单 32 位，33MHz PCIPIX535 前面板PIX535 后面板软硬件配置情况4PIX 535（机箱，2 个 10/100 端口）PIX-535-UR-BUNPIX-535-PWR-AC用于PIX 535 的冗余交流电源PIX-1GE-66单 66MHz 千兆位以太网接口（多模光纤，SC

5、连接器）3 个 1000M 端口CPU/RAMPIII/1GHz, 1GB RAMSoftwarePIX Firewall Version 6.2北京理工大学校园网建设二期工程网络系统集成-补充文档三、PIX535配置说明3.1 接口配置PIX535 目前配置了 5 个端口，2 个 100M 端口，3 个 1000M 端口，2 个 100M 接口暂时没有用，3 个 1000M 端口分别定义为 inside、outside、DMZ，连接内网、和区，并且设置不同的。3 个 1000M 端口的 IP 地址分配为：inside： （对Catalyst 6509 与 PIX535

6、互连端口地址为：）Outside： （对Cisco 7401 与 PIX535 互连端口地址为：）DMZ：03 个 1000M 端口（inside、Outside、DMZ）的设置分别为：（100、0、50）有关端口配置如下：nameif gb-ethernet0 outside security0nameif gb-ethernet1 inside security100nameif gb-ethernet2 dmz security50interface gb-ethernet0 1000autointer

7、face gb-ethernet1 1000autointerface gb-ethernet2 1000autoip address outside ip address inside 52ip address dmz 0 923.2 路由对于PIX535 来说，DMZ 区不需要路由配置，因为所有 DMZ 区的服务器与PIX535 DMZ端口在同一网段。内网目的网段为 /8，其余路由均指向（即缺省路由）。因5北京理工大学校园网建设

8、二期工程网络系统集成-补充文档此路由配置为：route outside 1route inside 13.3 NAT由于理工校园网采用内部保留地址 ，而 CERNET 分配给理工大学的合法地址范围为： 55，为了与 CERNET/INTERNET 互连，在网络出口必需进行地址转换。对于理工校园网，NAT包括静态转换、动态转换、端口转换和不转换四个部分的配置。 静态转换：主要是指对外提供服务的服务器的 IP 地址转换，目前约

9、有 10 台左右的服务器需要进行静态一对一地址转换，转换方向为(insideoutside)。具体配置如下：static (inside,outside) netmask 55 0 0static (inside,outside) 00 netmask 55 0 0static (inside,outside) netmask 55 0 0static (inside,outside) 211.68.

10、0.56 netmask 55 0 0static (inside,outside) 0 0 netmask 55 0 0static (inside,outside) 9 netmask 55 0 0static (inside,outside) netmask 55 0 0static (inside,outside) 1 10.1.

11、120.4 netmask 55 0 0static (inside,outside) 33 33 netmask 55 0 0static (inside,outside) 08 08 netmask 55 0 0static (inside,outside) 5 netmask 55 0 0 动态转换：理工绝大部分的用户都是通过动态转换，将 中的一个地址动态地转

12、换成 54 池中的一个地址，转换方向为(insideoutside)。如：global (outside) 1 -53 netmask 6北京理工大学校园网建设二期工程网络系统集成-补充文档nat (inside) 1 0 0 端口转换（PAT）：将多个内部 IP 转换成一个 IP，对于不同的内部 IP，外部 IP 通过不同的端口与之对应，端从 1-65535，因此，一个外部 IP 可以对应 60000 多个内部 IP。在理工大学校园网中，有两种情况使

13、用 PAT。由于外部 IP 地址不够，当地址池中的地址用尽时，后面的用户就采用 PAT，转换方向为(insideoutside)；另外内网DMZ 区时，也采用 PAT。global (outside) 1 54global (dmz) 1 9nat (inside) 1 0 0 不转换：由于 DMZ 区采用的是合法地址，因此 DMZoutside 不需要转换，但必需用 Nat 0 命令指明，采用如下命令：nat (dmz) 0 92 0 03.4 安全规则的端口区域

14、（如 inside）能低的安全规则在默认情况下高的端口区域（DMZ 和 outside），反过来则不行。理工 PIX535 的配置为：inside：security100Outside：security 0DMZ：security 50通过配置access-list 或conduit 命令来打开和内网或DMZ 区对外提供服务的主机的相关协议和端口，如 WWW、FTP、x（端）等。具体配置如下：conduit permit ip host anyconduit permit icmp any anyconduit permit ip 255.2

15、55.255.192 anyconduit permit ip host anyconduit permit tcp host range 1 100 any7北京理工大学校园网建设二期工程网络系统集成-补充文档conduit permit tcp host eq www anyconduit permit tcp host 6 eq www anyconduit permit ip host 0 anyconduit permit ip host anycondui

16、t permit tcp host eq www anyconduit permit tcp host 1 eq ftp anyconduit permit ip host 08 anyconduit permit ip host anyconduit permit ip host anyconduit permit tcp host eq 8080 anyconduit permit tcp host range 8080 8081 a

17、nyconduit permit tcp host range 3000 4000 anyconduit permit tcp host 6 eq 9014 anyconduit permit tcp host 6 eq 8080 anyconduit permit tcp host 1 eq www anyconduit permit tcp host 1 eq 8080 any8北京理工大学校园网建设二期工程网络系统集成-补充文档四、PIX535 配置pix535# sh run PIX

18、Version 6.2(2)nameif gb-ethernet0 outside security0 nameif gb-ethernet1 inside security100 nameif gb-ethernet2 dmz security50 nameif ethernet0 intf3 security15 nameif ethernet1 intf4 security20enable password 2KFQnbNIdI.2KYOU encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pix535domain-name fix

19、up protocol ftp 21 fixup protocol http 80fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol ils 389fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sqlnet 1521 fixup protocol sip 5060 fixup protocol skinny 2000 no fixup protocol smtp 25 namespager lines 24int

20、erface gb-ethernet0 1000auto interface gb-ethernet1 1000auto interface gb-ethernet2 1000auto interface ethernet0 auto shutdown interface ethernet1 auto shutdown mtu outside 1500mtu inside 1500mtu dmz 1500mtu intf3 1500mtu intf4 1500ip address outside ip address inside 192.168

21、.2.2 52ip address dmz 0 92ip address intf3 55ip address intf4 55 ip audit info action alarm9北京理工大学校园网建设二期工程网络系统集成-补充文档ip audit attack action alarm no failoverfailover timeout 0:00:00failover poll 15failover ip addres

22、s outside failover ip address inside failover ip address dmz failover ip address intf3 failover ip address intf4 pdm location 55 insidepdm location insidepdm location 55 insidepdm location 10.0.0

23、.7 55 insidepdm location 0 55 insidepdm location 9 55 insidepdm location 00 55 insidepdm location 33 55 insidepdm location 55 insidepdm location 55 insidepdm l

24、ocation 08 55 insidepdm location 55 insidepdm location 55 inside pdm history enablearp timeout 14400global (outside) 1 -53 netmask global (outside) 1 54global (dmz) 1 9nat (i

25、nside) 1 0 0nat (dmz) 0 92 0 0static (inside,outside) netmask 55 0 0static (inside,outside) 00 netmask 55 0 0static (inside,outside) netmask 55 0 0static (insid

26、e,outside) 6 netmask 55 0 0static (inside,outside) 0 0 netmask 55 0 0static (inside,outside) 9 netmask 55 0 0static (inside,outside) netmask 55 0 0static (inside,outside)

27、 1 netmask 55 0 0static (inside,outside) 33 33 netmask 55 0 0static (inside,outside) 08 08 netmask 55 0 0static (inside,outside) 5 netmask 55 0 0 conduit permit ip host 202

28、.204.80.6 anyconduit permit icmp any anyconduit permit ip 92 any conduit permit ip host any10北京理工大学校园网建设二期工程网络系统集成-补充文档conduit permit tcp host range 1 100 any conduit permit tcp host eq www any conduit permit tcp host 6 eq www any

29、conduit permit ip host 0 anyconduit permit ip host anyconduit permit tcp host eq www any conduit permit tcp host 1 eq ftp any conduit permit ip host 08 any conduit permit ip host any conduit permit ip host any conduit perm

30、it tcp host eq 8080 anyconduit permit tcp host range 8080 8081 anyconduit permit tcp host range 3000 4000 any conduit permit tcp host 6 eq 9014 any conduit permit tcp host 6 eq 8080 any conduit permit tcp host 1 eq www any conduit permit

31、 tcp host 1 eq 8080 anyroute outside 1route inside 1timeout xlate 3:00:00timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absoluteaaa-server TACACS+ pr

32、otocol tacacs+ aaa-server RADIUS protocol radius aaa-server LOCAL protocol localhttp server enablehttp 55 insidehttp 00 55 insideno snmp-server location no snmp-server contactsnmp-server commupublicno snmp-server enable traps floodguard enableno sysopt r

33、oute dnattelnet 00 55 insidetelnet timeout 5ssh timeout 5terminal width 80 Cryptochecksum:c27bc261a12cc78d11b11077950dfbcb: end11北京理工大学校园网建设二期工程网络系统集成-补充文档五、基本操作命令5.1 接口配置命令1、nameif 端口命名及指定nameif hardware_id if_name security_levelhardware_id：硬件名标识，如 gb-ethernet0, gb-ethernet1, -

34、ethernet0 等，不能随便写if_name：接口名字，如：inside、outside、intfn(n 从 2-5)security_level：，0 为口 inside，100 为内网口 outside，其它端口为 1-99例：nameif gb-ethernet0 outside security0nameif gb-ethernet1 inside security100nameif gb-ethernet2 dmz security50show nameif显示端口名clear nameif 删除 nameif 命令2、interface 配置端口类型interface hard

35、ware_id hardware_speed shutdownhardware_id：硬件名标识，如 gb-ethernet0, gb-ethernet1, -ethernet0 等hardware_speed：接口速度，如： 100basetx、1000sx、full1000basesx、1000auto 等例：interface gb-ethernet0 1000autointerface gb-ethernet1 1000autointerface gb-ethernet2 1000autoshow interface hardware_id 显示接口信息clear interface删

36、除 interface 命令3、ip address 配置接口 IP 地址ip address if_name ip_address netmaskif_name：接口名字，如：inside、outside、intfn(n 从 2-5)ip_address / netmask: IP 地址及子网掩码例：ip address outside 12北京理工大学校园网建设二期工程网络系统集成-补充文档ip address inside 52ip address dmz 0 255

37、.255.255.1925.2 配置静态路由和缺省路由route if_name ip_address netmask gateway_ip metricif_name：接口名字，如：inside、outside、intfn(n 从 2-5)ip_address：目的 IP 地址，配置缺省路由时为 netmask：掩码，配置缺省路由时为 gateway_ip：网关地址metric：跳数，缺省为 1例：route outside 1route inside 192.168.2.

38、1 1show route 显示路由表5.3 配置 NAT 转换1、 静态 NAT 转换static (internal_if_name, external_if_name) tcp | udpglobal_ip | interface global_portlocal_ip local_port netmask maskmax_conns emb_limit norandomseqinternal_if_name：内部端口名，insideexternal_if_name：外部端口名，outsideglobal_ip：外部 IP 地址global_port：外部端local_ip：内部 IP

39、地址local_port：内部端netmask mask：掩码max_cons：最大连接数13北京理工大学校园网建设二期工程网络系统集成-补充文档emb_limit：起始连接数例：2、动态 NAT 转换global (if_name) nat_id global_ip -global_ip netmask global_mask | interfaceif_name：端口名，如：outsidenat_id：NAT 号global_ip -global_ip：外部地址池地址范围netmask global_mask：外部地址池掩码例：global (outside) 1 -2

40、53 netmask 3、PAT 地址转换global (if_name) nat_idglobal_ipif_name：接口名，如：outsidenat_id：NAT 号global_ip：转换后的外部地址例：global (outside) 1 54global (dmz) 1 94、不转换nat (if_name) 0 access-list acl_nameif_name：接口名，如：DMZaccess-list：列表acl_name：列表名例：nat (dmz) 0

41、92 0 05.4 配置安全策略1、conduit 命令14北京理工大学校园网建设二期工程网络系统集成-补充文档conduit permit | deny protocol global_ip global_mask operatorportportforeign_ipforeign_mask operator port portprotocol：协议，如 TCP、ICMP、UDPglobal_ip global_mask：地址池中的公网地址和掩码operator port port：操作符及端口，如 eq FTP，lt 2025，gt 42foreign_ip fo

42、reign_mask：global_ip 的外部地址例：conduit permit tcp host eq www any2、 指定可以对 PIX 进行 http的服务器http server enablehttp 00 55 insdide3、指定可以对 PIX 进行 telnet的服务器telnet 00 55 inside15北京理工大学校园网建设二期工程网络系统集成-补充文档六、参考英文资料6.1nameifName interfaces and assign security

43、level. (Configuration mode.)Syntax Description16hardware_idThe hardware name for the network interface that specifies the interfaces slot location on the PIX Firewall motherboard. For more information on PIX Firewall hardware configuration, refer to the Cisco PIX Firewall Hardware Installation Guide

44、.A logical choice for an Ethernet interface is ethernetn. These names can also be abbreviated with any leading characters in the name, for example, ether1 or e2.if_nameA name for the internal or external network interface of up to 48 characters in length. By default, PIX Firewall names the inside in

45、terface inside, the outside interface outside, and any perimeter interface intfn where n is 2 through 5.security_levelEnter 0 for the outside network or 100 for the inside network. Perimeter interfaces can use any number between 1 and 99. By default, PIX Firewall sets the security level for the insi

46、de interface to security100 and the outside interface to security0. The first perimeter interface is initially set to security10, the second to security15, the third to security20, and the fourth perimeterConfigure with the command.Remove with the if hardware_id if_name security_levelcle

47、ar nameifShow command optionsShow command outputshow nameifDisplays interface names.北京理工大学校园网建设二期工程网络系统集成-补充文档Usage GuidelinesThe nameif command lets you assign a name to an interface. You can use this command to assign interface names if you have more than two network interface circuit boards in yo

48、ur PIX Firewall. The first two interfaces have the default names inside and outside. The inside interface has a default security level of 100, the outside interface has a default security level of 0. The clear nameif command reverts nameif command statements to default interface names and security l

49、evels.Usage Notes1. If you change the hardware_id of the outside interface; for example, from ethernet0 to ethernet1, PIX Firewall changes every reference to the outside interface in your configuration to inside, which can cause problems with route, ip, and other command statements that affect the f

50、low of traffic through the PIX Firewall.2. After changing a nameif command, use the clear xlate command.3. The inside interface cannot be renamed or given a different security level. The outside interface can be renamed, but not given a different security level.4. An interface is always external wit

51、h respect to another interface that has a higher security level.ExamplesThe following example shows use of the nameif command:nameif ethernet2 perimeter1 sec50nameif ethernet3 perimeter2 sec2017interface to security25 (a total of 6 interfaces are permitted, with a total of 4 perimeter interfaces per

52、mitted).For access from a higher security to a lower security level, nat and global commands or static commands must be present. For access from a lower security level to a higher security level, static and access-list commands must be present.Interfaces with the same security level cannot communica

53、te with each other. We recommend that every interface have a unique security level.北京理工大学校园网建设二期工程网络系统集成-补充文档6.2interfaceIdentify network interface speed and duplex. (Configuration mode.)Syntax Description18hardware_idIdentifies the network interface type. Possible values are ethernet0, ethernet1 to

54、 ethernetn, or gb-ethernetn depending on how many network interfaces are in the PIX Firewall.hardware_speedNetwork interface speed (optional). Possible Ethernet values are:10basetSet for 10 Mbps Ethernet half-duplex communication.10fullSet for 10 Mbps Ethernet full-duplex communication.100basetxSet for 100 Mbps Ethernet half-duplex communication.100fullSet for 100 Mbps Et