quynhchi_minhthuy
New Member
Download miễn phí Bài giảng Cấu hình đa giao diện (Configuration multiple Interface)
Cấu hình 4 interface yêu cầu phải chú ý nhiều hơn đến những khía cạnh nhỏ nhưng
nói chung là chúng được cấu hình với các lệnh PIX Firewall chuẩn.Để cho phép
một người sử dụng trên interface có mức an ninh cao hơn truy cập đến các host trên
interface có m ức an ninh thấp hơn, sử dụng lệnh nat và global(ví dụ, người sử
dụng trên inside interface truy cập đến web server trên DMZ interface)
Để người sử dụng trên interface có mức an ninh thấp hơn(người sử dụng trên các
interface mạng partnernettruy cập đến các host trên interface có mức an ninh cao
hơn(DMZ), sử dụng lệnh staticvà conduit. Như b ạn thấy trong hình trên, các
mạng đối tác có mức an ninh là 40 và DMZ có mức an ninh là 50. DMZ sẽ sử dụng
lệnh natvà bglobal để giao tiếp với mạng đối tác và sẽ sử dụng lệnh staticvà
conduitđể nhận lưu lượng từ partnernet
Để tải bản Đầy Đủ của tài liệu, xin Trả lời bài viết này, Mods sẽ gửi Link download cho bạn sớm nhất qua hòm tin nhắn.
Ai cần download tài liệu gì mà không tìm thấy ở đây, thì đăng yêu cầu down tại đây nhé:
Nhận download tài liệu miễn phí
Tóm tắt nội dung tài liệu:
CHAPTER 7:CONFIGURING MULTIPLE INTERFACETrần Giáo_Khoa CNTT_ĐH Thái Nguyên
1
Chương 7
Cấu hình đa giao diện
(Configuration multiple Interface)
Tổng quan
Chương này bao gồm các topic sau:
Mục tiêu
Cấu hình thêm các interface
Tổng hợp
Lab exercise
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
2
Mục tiêu
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
3
Cấu hình thêm các interface
Phần này mô tả cách cấu hình nhiều interface trên Cisco Secure PIX Firewall
PIX Firewall hỗ trợ tới 8 interface vành đai cho các nền tảng có khả năng mở rộng
và yêu cầu về chính sách an ninh trên các dịch vụ có khả năng truy cập một cách
công cộng. Nhiều interface vành đai cho phép PIX Firewall bảo vệ các dịch vụ như
web, mail, DNS server trên miền DMZ. Web-base và các ứng dụng Electronic Data
Interchange (EDI) liên kết các nhà phát triển và các khách hàng cũng đảm bảo an
ninh hơn và khả năng mở rộng khi sử dụng mạng vật lý riêng biệt. Khi mà xu
hướng xây dựng mạng intranet ngày càng nhiều thì PIX Firewall đã chuẩn bị sẵn
sảng đáp ứng các yêu cầu đó
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
4
Khi cấu hình nhiều interface, hãy nhớ rằng mức an ninh được thiết kế cho một
interface là inside (tin cậy) hay outside (không tin cậy) liên quan tới interface khác.
Một interface được xem như là inside trong mối quan hệ với interface nếu mức an
ninh của nó cao hơn mức an ninh của interface kia. Và được xem là outside trong
mối quan hệ với một interface khác nếu mức an ninh của nó thấp hơn mức an ninh
của interface kia.
(Nói một cách nôm na theo kiểu người Việt Nam chúng ta, nó là thế này: thuật ngữ
inside, outside là tùy từng trường hợp. Với 2 interface thì cái nào có mức an ninh
thấp hơn là outside, cao hơn là inside. Vì vậy mà 1 interface có thể là inside đối với
interface này nhưng là outside đối với interface khác.)
Một quy tắc cơ bản cho mức an ninh đó là một interface có mức an ninh cao hơn có
thể truy cập tới một interface có mức an ninh thấp hơn. Lệnh nat và global làm
việc cùng nhau để cho phép mạng sử dụng bất kỳ lược đồ địa chỉ IP nào để duy trì
tính ẩn trước mạng bên ngoài
Một interface với mức an ninh thấp không thể truy cập một interface có mức an
ninh cao hơn trừ khi là bạn chỉ định cho phép nó bằng cách thực hiện cặp lệnh
static và conduit hay static và access-list
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
5
Một giao diện thứ 3 được cấu hình như hình vẽ. Khi PIX Firewall là thiết bị với 3
hay nhiều hơn các interface, sử dụng nguyên tắc sau để cấu hình cho nó khi sử
dụng NAT:
Outside interface không thể đổi tên hay thay đổi mức an ninh khác đi
Một interface luôn luôn là “outside” đối với interface khác mà có mức an
ninh cao hơn. Gói tin không thể đi qua giữa các interface mà có cùng mức an
ninh
Sử dụng một khai báo đường mặc định đơn chỉ đến outside interface. Thiết
lập tuyến đường mặc định với lệnh route
Sử dụng lệnh nat cho phép người sử dụng trên interface tương ứng bắt đầu
một outbound connection (kết nối ra ngoài). Kết hợp nat_id với global_id
trong lệnh global. Số id có thể là một số bất kỳ, hỗ trợ lên đến 2 tỷ
Sau khi bạn hoàn thành cấu hình thêm, thay đổi, gỡ bỏ khai báo global, ghi
lại cấu hình và nhập lệnh clear xlate vì vậy mà địa chỉ IP sẽ được cập nhật
trong translation table (bảng dịch).
Để cho phép truy cập đến server trên các mạng được bảo vệ, sử dụng lệnh
static và conduit
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
6
Trong hình vẽ phía trên PIX Firewall có 4 interface, người sử dụng trên tất cả các
interface có thể truy cập đến các server và host (inside, outside, DMZ và
partnernet).
Cấu hình 4 interface yêu cầu phải chú ý nhiều hơn đến những khía cạnh nhỏ nhưng
nói chung là chúng được cấu hình với các lệnh PIX Firewall chuẩn. Để cho phép
một người sử dụng trên interface có mức an ninh cao hơn truy cập đến các host trên
interface có mức an ninh thấp hơn, sử dụng lệnh nat và global (ví dụ, người sử
dụng trên inside interface truy cập đến web server trên DMZ interface)
Để người sử dụng trên interface có mức an ninh thấp hơn (người sử dụng trên các
interface mạng partnernet truy cập đến các host trên interface có mức an ninh cao
hơn (DMZ), sử dụng lệnh static và conduit. Như bạn thấy trong hình trên, các
mạng đối tác có mức an ninh là 40 và DMZ có mức an ninh là 50. DMZ sẽ sử dụng
lệnh nat và bglobal để giao tiếp với mạng đối tác và sẽ sử dụng lệnh static và
conduit để nhận lưu lượng từ partnernet
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
7
Bảng dưới đây là một tham chiếu nhanh nhằm hướng dẫn khi sử dụng lệnh nat và
static để cấu hình nhiều interface khác nhau trong PIX Firewall:
Từ giao diện Đến giao diện Sử dụng lệnh này
Inside Outside Nat
Inside DMZ Nat
Inside Partnernet Nat
DMZ Outside Nat
DMZ Partnernet Nat
DMZ Inside Static
Partnernet Outside Nat
Partnernet DMZ Static
Partnernet Inside Static
Outside DMZ Static
Ouside Partnernet Static
Outside Inside static
Qua bảng trên thì chúng ta có thể nhớ nôm na theo kiểu người Việt như sau:
Với 2 interface: thằng có mức an ninh cao muốn truy cập tới thằng có mức an ninh
thấp thì dùng lệnh nat. còn ngược lại thì dùng lệnh static. (bọn Tây nó cứ dài dòng
thế đấy các bạn ạ)
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
8
Lab exercise – Configure Inside Multiple Interface
Cấu hình nhiều inside interface
Mục tiêu: Trong bài lab này bạn sẽ phải hoàn thành những nhiệm vụ sau:
Cấu hình nhiều inside interface
Cấu hình ouside truy cập đến DMZ
Topo
Hướng dẫn
Nhiệm vụ của bạn trong bài tập này là cấu hình PIX Firewall để nó làm việc cùng
với router vành đai để bảo vệ mạng campus (mạng của trường đại học) trước những
kẻ tấn công. Có 1 PIX Firewall cho mỗi nhóm 2 sinh viên. Làm việc cùng với thành
viên của nhóm để thực hiện những bước sau đây:
Nhiệm vụ 1 – cấu hình nhiều inside interface
Nhiệm vụ 2 – cấu hình truy cập từ outside đến DMZ
CHAPTER 7:CONFIGURING MULTIPLE INTERFACE
Trần Giáo_Khoa CNTT_ĐH Thái Nguyên
9
Nhiệm vụ 1 – Cấu hình nhiều inside interface
Cấu hình PIX Firewall cho phép truy cập đến DMZ từ mạng inside và outside. Thực
hiện những bước dưới đây để cấu hình global address pool, NAT và định tuyến cho
interface DMZ
Bước 1: gán một dải địa chỉ IP cho các host trên public DMZ
pixP(config)# global (dmz) 1 172.16.P.20-172.16.P.254 netmask 255.255.255.0
(P = pod number)
Bước 2: cho phép sử dụng lệnh name để ánh xạ chuỗi text đến địa chỉ IP
pixP(config)# names
Bước 3: sử dụng lệnh name đặt tên cho host bastion. Tên được cấu hình sẽ được
sử dụng trong các bước sau
pixP(config)# name 172.16.P.2 bastionhost
pixP(config)# show name
(where P = pod number)
Bước 4: xóa translation table vì vậy mà global IP address sẽ được cập nhật trong
bảng translation
pixP(config)# clear xlate
Bước 5: ghi cấu hình hiện tại vào bộ nhớ flash
pixP(config)# write memory
Bước 6: kiểm tra kết nối đến host bastion từ các host trong vùng inside
C:\> ping 172.16.P.2
(P = pod number)
Bước...