系统安全配置技术规范-Cisco防火墙
思科防火墙配置
11、给内部某个主机配置一个静态的公网IP地址
打开某端口给某台机器（假设IP为1.1.1.1）：
conduit permit tcp host 1.1.1.1 eq 2000 any any
查看端口打开状态，应该用show static吧，记不清了。
以下是pix506的基本配置：
1、 给PIX506接上电源，并打开电脑主机。
2、 将CONSOLE口连接到主机的串口上，运行Hyperterminal程序，从CONSOLE口进入PIX系统。
3、 进入特权模式
PIX> enable
PIX#
4、 进入全局控制模式并设置密码
PIX#configure terminal
PIX(config)#passwd chenhong
arp inside 192.168.1.66 0017.316a.e5e8 alias
arp inside 192.168.1.70 0017.316a.e140 alias
/*允许访问外网的IP，其他IP都不能访问*/
access-list 110 permit ip host 192.168.1.86 any
icmp-object echo-reply
icmp-object unreachable
object-group network WWWSERVERS
network-object host 外网IP
access-list ACLIN permit tcp 外网IP 子网掩码 object-group WWWSERVERS object-group MYSERVICES
cisco防火墙配置手册
ASA防火墙配置笔记二〇〇六年十月二十七日序言：Cisco新的防火墙ASA系列已经面市了，将逐步取代PIX防火墙，网上关于ASA配置资料很少，现把我积累的ASA配置技术编写一个文档，供大家参考。
如有问题，可发邮件给我。
1. ....................................................................................... 常用技巧12. ....................................................................................... 故障倒换13. ....................................................... 配置telnet、ssh及http管理34. ........................................................................ v pn常用管理命令35. ............................................................................... 配置访问权限36. .................................................................. 配置sitetosite之VPN47. .............................................................. w ebvpn配置（ssl vpn）48. .............................................................................. 远程拨入VPN59. ........................................................................... 日志服务器配置610. .......................................................................... Snmp网管配置711. .................................................................................... ACS配置712. ................................................................................... AAA配置713. ..................................................................................... 升级IOS814. ..................................................................................... 疑难杂症81.常用技巧Sh ru ntp查看与ntp有关的Sh ru crypto 查看与vpn有关的Sh ru | inc crypto 只是关健字过滤而已2.故障倒换failoverfailover lan unit primaryfailover lan interface testint Ethernet0/3failover link testint Ethernet0/3failover mac address Ethernet0/1 0018.1900.5000 0018.1900.5001failover mac address Ethernet0/0 0018.1900.4000 0018.1900.4001failover mac address Ethernet0/2 0018.1900.6000 0018.1900.6001failover mac address Management0/0 0018.1900.7000 0018.1900.7001failover interface ip testint 10.3.3.1 255.255.255.0 standby 10.3.3.2注：最好配置虚拟MAC地址sh failover显示配置信息write standby写入到备用的防火墙中failover命令集如下：configure mode commands/options:interface Configure the IP address and mask to be used for failoverand/or stateful update informationinterface-policy Set the policy for failover due to interface failureskey Configure the failover shared secret or keylan Specify the unit as primary or secondary or configure theinterface and vlan to be used for failover communication link Configure the interface and vlan to be used as a link forstateful update informationmac Specify the virtual mac address for a physical interface polltime Configure failover poll intervalreplication Enable HTTP (port 80) connection replicationtimeout Specify the failover reconnect timeout value forasymmetrically routed sessionssh failover 命令集如下：history Show failover switching historyinterface Show failover command interface informationstate Show failover internal state informationstatistics Show failover command interface statistics information| Output modifiers<cr>3.配置telnet、ssh及http管理username jiang password Csmep3VzvPQPCbkx encrypted privilege 15aaa authentication enable console LOCALaaa authentication telnet console LOCALaaa authentication ssh console LOCALaaa authorization command LOCALhttp 192.168.40.0 255.255.255.0 managementssh 192.168.40.0 255.255.255.0 inside4.vpn常用管理命令sh vpn-sessiondb full l2l 显示site to site 之vpn通道情况sh ipsec stats 显示ipsec通道情况sh vpn-sessiondb summary 显示vpn汇总信息sh vpn-sessiondb detail l2l 显示ipsec详细信息sh vpn-sessiondb detail svc 查看ssl client信息sh vpn-sessiondb detail webvpn 查看webvpn信息sh vpn-sessiondb detail full l2l 相当于linux下的ipsec whack –status 如果没有建立连接，则表示ipsec通道还没有建立起来。
防火墙安全规则和配置
网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信息安全的首要目标。
网络安全技术主要有，认证授权、数据加密、访问控制、安全审计等。
而提供安全网关服务的类型有：地址转换、包过滤、应用代理、访问控制和D oS防御。
本文主要介绍地址转换和访问控制两种安全网关服务，利用cisco路由器对ISDN拨号上网做安全规则设置。
试验环境是一台有fir ewall版本IOS的cisco2621路由器、一台交换机组成的局域网利用ISDN拨号上网。
一、地址转换我们知道，Internet 技术是基于IP 协议的技术，所有的信息通信都是通过IP包来实现的，每一个设备需要进行通信都必须有一个唯一的IP地址。
因此，当一个网络需要接入Inte rnet的时候，需要在Internet上进行通信的设备就必须有一个在全球Internet网络上唯一的地址。
当一个网络需要接入Internet上使用时，网络中的每一台设备都有一个I nternet地址，这在实行各种Internet 应用上当然是最理想不过的。
但是，这样也导致每一个设备都暴露在网络上，任何人都可以对这些设备攻击，同时由于I nternet目前采用的IPV4协议在网络发展到现在，所剩下的可用的IP地址已经不多了，网络中的每一台设备都需要一个IP地址，这几乎是不可能的事情。
采用端口地址转换，管理员只需要设定一个可以用作端口地址转换的公有Internet 地址，用户的访问将会映射到IP池中IP的一个端口上去，这使每个合法Internet IP可以映射六万多台部网主机。
从而隐藏部网路地址信息，使外界无法直接访问部网络设备。
Cisco路由器提供了几种NAT转换的功能：1、部地址与出口地址的一一对应缺点：在出口地址资源稀少的情况下只能使较少主机连到internet 。
2、部地址分享出口地址路由器利用出口地址和端口号以及外部主机地址和端口号作为接口。
其中部地址的端口号为随机产生的大于1024的，而外部主机端口号为公认的标准端口号。
CISCO：防火墙常见问题及解答
106 问题：CacheEngine是否具有URL过滤功能？ 答案：CacheEngine1.7-2.0版本的软件⽀持⼀种叫URL Blocking的功能，该功能是在 CacheEngine的适配器接⼝上进⾏配置实现的，它可以将由特定地址来的流量阻断。
CacheEngine2.1版本的软件可以通过与基于WindowsNT、UNIX系统的Websense软件结合使⽤实现⽀持URL Filtering功能。
107 问题：PIX-520-FO-BUN在购买时是否需要额外定购License? 答案：PIX-520-FO-BUN本⾝已经包含有⽆限制版本的License，因⽽不需额外定购软件。
108 问题：对于能够⽀持IPSec的PIX 防⽕墙，客户端的VPN软件是否有特殊要求？ 答案：Cisco公司有⾃⼰的客户端VPN软件，它可与PIX防⽕墙进⾏完美的互操作。
109 问题：PIX防⽕墙如果要实现URL过滤功能，需要额外的软件吗？ 答案：需要购买第三⽅软件产品，Websense。
110 问题：Netsonar上的软件可以应⽤于哪些操作系统？ 答案：Netsonar具有以下软件系统：NS-20-NT；NS-201-S-2500。
前者⽤于WindowsNT 环境中，后者⽤于Solaris环境中。
111 问题：⽬前Cisco 公司PIX防⽕墙系列产品有那些型号，有何区别？ 答案：在⽬前的PIX防⽕墙系列产品中，主要有两种型号PIX515和PIX520。
其主要区别如下： PIX515适合在中⼩型企业应⽤，可提供128，000同时连接数。
络接⼝卡只⽀持以太卡，可⽀持到6个以太卡。
其机箱上带有2个固定的10/100M 以太卡，并带有两个扩展插槽。
PIX520适合在电信⾏业和⼤型的企业中应⽤，能提供256，000个同时连接数。
可⽀持多种介质类型：以太，令牌环和FDDI。
最多能够提供6个以太接⼝，⽀持3个令牌环接⼝和2个FDDI络接⼝，并且以太接⼝卡只能和令牌环接⼝混合使⽤。
Cisco防火墙模块安装配置手册
WS-SVC-FWM-1
Serial No. SAD062302U4
例如，刚才我们查看的防火墙模块是在 Mod 4 上，我们就可以输入登陆防火 墙
Router# session slot 4 processor 1
第三步，输入登陆密码默认是 cisco
password:
第四步，输入 enable 密码，默认没有密码
防火墙模块安装配置
防火墙模块安装配置
1 内容介绍
为配合 PICC 项目防火墙模块的安装，此防火墙配置说明文档将对防火墙基 本配置和使用情况进行介绍。
本文章包括防火墙基本性能介绍、安装方法、防火墙配置命令说明等内容， 并通过实例对命令进行一一讲解。
2 防火墙模块介绍
2.1 防火墙模块介绍
Cisco Catalyst® 6500 交换机和 Cisco 7600 系列路由器的防火墙服务模块 （FWSM）是一种高速的、集成化的服务模块，可以提供业界最快的防火墙数据 传输速率：5Gb 的吞吐量，100000CPS，以及一百万个并发连接。在一个设备中 最多可以安装四个 FWSM，因而每个设备最高可以提供 20Gb 的吞吐量。作为世 界领先的 Cisco PIX 防火墙系列的一部分，FWSM 可以为大型企业和服务供应商 提供无以伦比的安全性、可靠性和性能。
4
防火墙模块安装配置
3.2 确认防火墙模块
安装完防火墙模块后，开启交换机，确认防火墙模块是否被交换机识别。 Cisco IOS software 通过命令 show module 查看防火墙模块状态是否正常
Router> show module
Mod Ports Card Type
Model
--- ----- -------------------------------------- ------------------ -----------
思科防火墙使用及功能配置
10/100BaseTX Ethernet 1 (RJ-45)
10/100BaseTX Ethernet 0 (RJ-45)
Console port (RJ-45)
Power switch
通常的连接方案
PIX防火墙通用维护命令
访问模式
• PIX Firewall 有4种访问模式:
name 命令
pixfirewall(config)#
name ip_address name
DMZ
• 关联一个名称和一个IP地址
pixfirewall(config)# name 172.16.0.2 bastionhost
192.168.0.0/24
e0
.2 e2
.2
Bastion
.1
host
– 为中小企业而设计 – 并发吞吐量188Mbps – 168位3DES IPSec VPN吞吐量
63Mbps – Intel 赛扬 433 MHz 处理器 – 64 MB RAM – 支持 6 interfaces
PIX 515 基本配件
• PIX 515主机 • 接口转换头 • 链接线 • 固定角架 • 电源线 • 资料
terminal – show interface, show ip address,
show memory, show version, show xlate – exit reload – hostname, ping, telnet
enable 命令
pixfirewall>
enable
– Enables you to enter different access modes
Telecommuter
思科ASA防火墙基本配置
思科ASA防火墙基本配置思科ASA防火墙基本配置Fire Wall 防火墙，它是一种位于内部网络与外部网络之间的网络安全系统，当然，防火墙也分软件防火墙与硬件防火墙。
硬件防火墙又分为：基于PC架构与基于ASIC芯片今天来聊一聊思科的'硬件防火墙 Cisco ASACisco ASA 防火墙产品线挺多：Cisco ASA5505 Cisco ASA5510 Cisco ASA5520 Cisco ASA5540 Cisco ASA5550 等等ASA 的基本配置步骤如下：配置主机名、域名hostname [hostname]domain-name xx.xxhostname Cisco-ASA 5520domain-name 配置登陆用户名密码password [password]enable password [password]配置接口、路由interface interface_namenameif [name]name 有三种接口类型 insdie outside dmzsecurity-level xx(数值)数值越大接口安全级别越高注：默认inside 100 ,outside 0 ,dmz 介于二者之间静态路由route interface_number network mask next-hop-addressroute outside 0.0.0.0 0.0.0.0 210.210.210.1配置远程管理接入Telnettelnet {network | ip-address } mask interface_nametelnet 192.168.1.0 255.255.255.0 insidetelnet 210.210.210.0 255.255.255.0 outsideSSHcrypto key generate rsa modulus {1024| 2048 }指定rsa系数，思科推荐1024ssh timeout minutesssh version version_numbercrypto key generate rsa modulus 1024ssh timeout 30ssh version 2配置 ASDM(自适应安全设备管理器)接入http server enbale port 启用功能http {networdk | ip_address } mask interface_nameasdm image disk0:/asdm_file_name 指定文件位置username user password password privilege 15NATnat-controlnat interface_name nat_id local_ip maskglobal interface_name nat_id {global-ip [global-ip] |interface} nat-controlnat inside 1 192.168.1.0 255.255.255.0global outside 1 interfaceglobal dmz 1 192.168.202.100-192.168.202.150ACLaccess-list list-name standad permit | deny ip maskaccess-list list-name extendad permit | deny protocol source-ip mask destnation-ip mask portaccess-group list-name in | out interface interface_name如果内网服务器需要以布到公网上staic real-interface mapped-interface mapped-ip real-ip staic (dmz,outside) 210.210.202.100 192.168.202.1保存配置wirte memory清除配置clear configure (all)【思科ASA防火墙基本配置】。
sophos防火墙设置防火墙的典型配置
sophos防火墙设置防火墙的典型配置总结了防火墙基本配置十二个方面的内容。
硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上讲，简单地说是一种PC式的电脑主机加上闪存（Flash）和防火墙操作系统。
它的硬件跟共控机差不多，都是属于能适合24小时工作的，外观造型也是相类似。
闪存基本上跟路由器一样，都是那中EEPROM，操作系统跟Cisco IOS相似,都是命令行（Command）式。
我第一次亲手那到的防火墙是Cisco Firewall Pix 525，是一种机架式标准（即能安装在标准的机柜里），有2U的高度，正面看跟Cisco 路由器一样，只有一些指示灯，从背板看，有两个以太口（RJ-45网卡）,一个配置口（console）,2个USB,一个15针的Failover口，还有三个PCI扩展口。
如何开始Cisco Firewall Pix呢？我想应该是跟Cisco 路由器使用差不多吧，于是用配置线从电脑的COM2连到PIX 525的console口，进入PIX操作系统采用windows系统里的“超级终端”，通讯参数设置为默然。
初始使用有一个初始化过程，主要设置：Date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡IP地址)、domain(主域)等，如果以上设置正确，就能保存以上设置，也就建立了一个初始化设置了。
进入Pix 525采用超级用户(enable),默然密码为空，修改密码用passwd 命令。
防火墙是处网络系统里，因此它跟网络的结构密切相关，一般会涉及的有Route(路由器)、网络IP 地址。
还有必须清楚标准的TCP[RFC793]和UDP[RFC768]端口的定义。
下面我讲一下一般用到的最基本配置1、建立用户和修改密码跟Cisco IOS路由器基本一样。
2、激活以太端口必须用enable进入，然后进入configure模式PIX525>enablePassword:PIX525#config tPIX525(config)#interface ethernet0 autoPIX525(config)#interface ethernet1 auto在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
系统安全配置技术规范—Cisco防火墙
文档说明（一）变更信息
（二）文档审核人
目录
1适用范围 (4)
2账号管理与授权 (4)
2.1【基本】设置非特权模式密码 (4)
2.2【基本】ENABLE PASSWORD的使用 (4)
2.3【基本】设置与认证系统联动 (5)
2.4【基本】设置登录失败处理功能 (5)
2.5认证授权最小化 (6)
3日志配置要求 (7)
3.1【基本】设置日志服务器 (7)
4IP协议安全要求 (7)
4.1【基本】设置SSH方式访问系统 (7)
4.2【基本】远程访问源地址限制 (8)
4.3【基本】设置F AILOVER KEY (8)
4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9)
4.5【基本】SNMP服务的共同体字符串设置 (9)
4.6【基本】SNMP服务的访问控制设置 (9)
4.7【基本】防火墙策略修订 (10)
4.8常见攻击防护 (10)
4.9VPN安全加固 (10)
5服务配置要求 (11)
5.1【基本】启用NTP服务 (11)
5.2禁用HTTP配置方式 (11)
5.3禁用DHCP服务 (12)
5.4启用SERVICE RESETOUTSIDE (12)
5.5启用F LOODGUARD (12)
5.6启用F RAGMENT CHAIN保护 (13)
5.7启用RPF保护 (13)
6其他配置要求 (13)
6.1【基本】系统漏洞检测 (13)
6.2【基本】设置登录超时时间 (14)
6.3【基本】检查地址转换超时时间 (14)
6.4信息内容过滤 (14)
1适用范围
如无特殊说明，本规范所有配置项适用于Cisco ASA/FWSM 7.x系列版本。
其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。
2账号管理与授权
2.1【基本】设置非特权模式密码
2.2【基本】enable password的使用
2.3【基本】设置与认证系统联动
2.4【基本】设置登录失败处理功能
2.5认证授权最小化
3日志配置要求
3.1【基本】设置日志服务器
4IP协议安全要求
4.1【基本】设置SSH方式访问系统
4.2【基本】远程访问源地址限制
4.3【基本】设置Failover KEY
4.4【基本】关闭不使用的SNMP服务或更正不当权限设置
【基本】SNMP服务的共同体字符串设置
4.5
4.6【基本】SNMP服务的访问控制设置
4.7【基本】防火墙策略修订
4.8常见攻击防护
4.9VPN安全加固
5服务配置要求
5.1【基本】启用NTP服务
5.2禁用HTTP配置方式
5.3禁用DHCP服务
5.4启用service resetoutside
5.5启用Floodguard
5.6启用Fragment chain保护
5.7启用RPF保护
6其他配置要求
6.1【基本】系统漏洞检测
6.2【基本】设置登录超时时间
6.3【基本】检查地址转换超时时间
6.4信息内容过滤。