防火墻安全規(guī)則和配置

-.z.網(wǎng)絡(luò)平安是一個(gè)系統(tǒng)的概念，有效的平安策略或方案的制定，是網(wǎng)絡(luò)信息平安的首要目標(biāo)。網(wǎng)絡(luò)平安技術(shù)主要有，認(rèn)證授權(quán)、數(shù)據(jù)加密、訪問控制、平安審計(jì)等。而提供平安網(wǎng)關(guān)效勞的類型有：地址轉(zhuǎn)換、包過濾、應(yīng)用代理、訪問控制和DoS防御。本文主要介紹地址轉(zhuǎn)換和訪問控制兩種平安網(wǎng)關(guān)效勞，利用cisco路由器對ISDN撥號上網(wǎng)做平安規(guī)則設(shè)置。試驗(yàn)環(huán)境是一臺有firewall版本IOS的cisco2621路由器、一臺交換機(jī)組成的局域網(wǎng)利用ISDN撥號上網(wǎng)。一、地址轉(zhuǎn)換我們知道，Internet技術(shù)是基于IP協(xié)議的技術(shù)，所有的信息通信都是通過IP包來實(shí)現(xiàn)的，每一個(gè)設(shè)備需要進(jìn)展通信都必須有一個(gè)唯一的IP地址。因此，當(dāng)一個(gè)網(wǎng)絡(luò)需要接入Internet的時(shí)候，需要在Internet上進(jìn)展通信的設(shè)備就必須有一個(gè)在全球Internet網(wǎng)絡(luò)上唯一的地址。當(dāng)一個(gè)網(wǎng)絡(luò)需要接入Internet上使用時(shí)，網(wǎng)絡(luò)中的每一臺設(shè)備都有一個(gè)Internet地址，這在實(shí)行各種Internet應(yīng)用上當(dāng)然是最理想不過的。但是，這樣也導(dǎo)致每一個(gè)設(shè)備都暴露在網(wǎng)絡(luò)上，任何人都可以對這些設(shè)備攻擊，同時(shí)由于Internet目前采用的IPV4協(xié)議在網(wǎng)絡(luò)開展到現(xiàn)在，所剩下的可用的IP地址已經(jīng)不多了，網(wǎng)絡(luò)中的每一臺設(shè)備都需要一個(gè)IP地址，這幾乎是不可能的事情。采用端口地址轉(zhuǎn)換，管理員只需要設(shè)定一個(gè)可以用作端口地址轉(zhuǎn)換的公有Internet地址，用戶的訪問將會映射到IP池中IP的一個(gè)端口上去，這使每個(gè)合法InternetIP可以映射六萬多臺部網(wǎng)主機(jī)。從而隱藏部網(wǎng)路地址信息，使外界無法直接訪問部網(wǎng)絡(luò)設(shè)備。Cisco路由器提供了幾種NAT轉(zhuǎn)換的功能：1、部地址與出口地址的一一對應(yīng)缺點(diǎn)：在出口地址資源稀少的情況下只能使較少主機(jī)連到internet。2、部地址分享出口地址路由器利用出口地址和端口號以及外部主機(jī)地址和端口號作為接口。其中部地址的端口號為隨機(jī)產(chǎn)生的大于1024的，而外部主機(jī)端口號為公認(rèn)的標(biāo)準(zhǔn)端口號。這樣可以用同一個(gè)出口地址來分配不同的端口號連接任意數(shù)量的部主機(jī)到外網(wǎng)。具體配置：由于實(shí)驗(yàn)用的是ISDN撥號上網(wǎng)，在internet上只能隨機(jī)獲得出口地址，所以NAT轉(zhuǎn)換的地址池設(shè)置為BRI口上撥號所獲得的地址。interfaceFastEthernet0/0

ipaddress00

ipnatinsidetheinterfaceconnectedtoinsideworld

!

interfaceBRI0/0

ipaddressnegotiated

ipnatoutsidetheinterfaceconnectedtooutsidenetwork

encapsulationppp

noipsplit-horizon

dialerstring163

dialerload-threshold150inbound

dialer-group1

isdnswitch-typebasic-net3

ipnatinsidesourcelist1interfaceBRI0/0overload

access-list1permit55

3、部地址和外部地址出現(xiàn)交疊當(dāng)部和外部用同一個(gè)網(wǎng)絡(luò)段地址時(shí)，在地址沒有重復(fù)的情況下，可以同時(shí)對外接口進(jìn)展NAT轉(zhuǎn)換使之可以正常通訊。4、用一個(gè)出口地址映射部多臺主機(jī)應(yīng)用于internet上的大型有多臺主機(jī)對應(yīng)同一個(gè)系統(tǒng)的同一個(gè)出口地址?？梢杂胹hipnattranslation和debugipnat命令來檢查NAT的狀態(tài)。二、基于上下文的訪問控制〔Conte*t-basedaccesscontrol--CBAC〕CISCO路由器的access-list只能檢查網(wǎng)絡(luò)層或者傳輸層的數(shù)據(jù)包，而CBAC能夠智能過濾基于應(yīng)用層的〔如FTP連接信息〕TCP和UDP的session；CBAC能夠在firewallaccess-list翻開一個(gè)臨時(shí)的通道給起源于部網(wǎng)絡(luò)向外的連接，同時(shí)檢查外兩個(gè)方向的sessions。1、工作原理比方當(dāng)CBAC配置于連到internet的外部接口上，一個(gè)從部發(fā)出的TCP數(shù)據(jù)包〔telnet會話〕經(jīng)過該接口連出，同時(shí)CBAC的配置中已經(jīng)包括了tcpinspection，將會經(jīng)過以下幾步：〔1〕數(shù)據(jù)包到達(dá)防火墻的外部接口〔設(shè)為s0〕；〔2〕數(shù)據(jù)包由該接口outboundaccess-list檢查是否允許通過〔不通過的數(shù)據(jù)包在此被丟棄，不用經(jīng)過以下步驟〕；〔3〕通過accesslist檢查的數(shù)據(jù)包由CBAC檢查來決定和記錄包連接狀態(tài)信息，這個(gè)信息被記錄于一個(gè)新產(chǎn)生的狀態(tài)列表中為下一個(gè)連接提供快速通道；〔4〕如果CBAC沒有定義對telnet應(yīng)用的檢查，數(shù)據(jù)包可以直接從該接口送出；〔5〕基于第三步所獲得的狀態(tài)信息，CBAC在s0的inboundaccesslist中插入一個(gè)臨時(shí)創(chuàng)立的accesslist入口，這個(gè)臨時(shí)通道的定義是為了讓從外部回來的數(shù)據(jù)包能夠進(jìn)入；〔6〕數(shù)據(jù)包從s0送出；〔7〕接下來一個(gè)外部的inbound數(shù)據(jù)包到達(dá)s0，這個(gè)數(shù)據(jù)包是先前送出的telnet會話連接的一局部，經(jīng)過s0口的accesslist檢查，然后從第五步建立的臨時(shí)通道進(jìn)入；〔8〕被允許進(jìn)入的數(shù)據(jù)包經(jīng)過CBAC的檢查，同時(shí)連接狀態(tài)列表根據(jù)需要更新，基于更新的狀態(tài)信息，inboundaccesslist臨時(shí)通道也進(jìn)展修改只允許當(dāng)前合法連接的數(shù)據(jù)包進(jìn)入；〔9〕所有屬于當(dāng)前連接的進(jìn)出s0口數(shù)據(jù)包都被檢查，用以更新狀態(tài)列表和按需修改臨時(shí)通道的accesslist，同時(shí)數(shù)據(jù)包被允許通過s0口；〔10〕當(dāng)前連接終止或超時(shí)，連接狀態(tài)列表入口被刪除，同時(shí)，臨時(shí)翻開的accesslist入口也被刪除。需要注意的是：對于配置到s0口outboundipaccesslist，accesslist必須允許所有需要的應(yīng)用通過，包括希望被CBAC檢查的應(yīng)用；但是inboundipaccesslist必須制止所有需要CBAC檢查的應(yīng)用，當(dāng)CBAC被出去的數(shù)據(jù)包觸發(fā)后，會在inboundaccesslist中臨時(shí)開放一個(gè)通道給合法的、正在傳送的數(shù)據(jù)進(jìn)入。2、CBAC可提供如下效勞〔1〕狀態(tài)包過濾：對企業(yè)部網(wǎng)絡(luò)、企業(yè)和合作伙伴互連以及企業(yè)連接internet提供完備的平安性和強(qiáng)制政策?！?〕Dos檢測和抵御：CBAC通過檢查數(shù)據(jù)報(bào)頭、丟棄可疑數(shù)據(jù)包來預(yù)防和保護(hù)路由器受到攻擊?！?〕實(shí)時(shí)報(bào)警和跟蹤：可配置基于應(yīng)用層的連接，跟蹤經(jīng)過防火墻的數(shù)據(jù)包，提供詳細(xì)過程信息并報(bào)告可疑行為?！?〕無縫兼容性：整和防火墻和其它c(diǎn)iscoIOS軟件于一體；優(yōu)化廣域網(wǎng)利用率；提供強(qiáng)大的、可升級的路由選擇etc?！?〕支持VPN：利用封裝了防火墻版本的ciscoIos軟件和Qos特性來保證在公共網(wǎng)絡(luò)上傳輸數(shù)據(jù)的平安性，同時(shí)節(jié)省費(fèi)用?！?〕可升級配置：適用于大局部路由器平臺，cisco帶防火墻版本的IOS可升級來滿足網(wǎng)絡(luò)帶寬和性能的需要。3、CBAC受到的限制〔1〕僅適用于IP數(shù)據(jù)流：只有TCP和UDP包被檢測，其它如ICMP等不能被CBAC檢測，只能通過根本的accesslists過濾?！?〕如果我們在配置CBAC時(shí)重新更改accesslists，要注意：如果accesslists制止TFTP數(shù)據(jù)流進(jìn)入一個(gè)接口，我們將不能通過那個(gè)接口從網(wǎng)絡(luò)啟動路由器〔netboot〕?！?〕CBAC忽略ICMPunreachable信息?！?〕當(dāng)CBAC檢查FTP傳輸時(shí)，它只允許目的端口為1024—65535圍的數(shù)據(jù)通道?！?〕如果FTP客戶端/效勞器認(rèn)證失敗，CBAC將不會翻開一條數(shù)據(jù)通道?！?〕IPSec和CBAC的兼容性：如果CBAC和IPSec配置于同一臺路由器上，只要對數(shù)據(jù)包的檢查是在部網(wǎng)接口上進(jìn)展的，而數(shù)據(jù)包加密是終止在外部網(wǎng)接口上的，則IPsec和CBAC就能共存在該邊界路由器上。在這種方式下，檢查的是不加密的數(shù)據(jù)流。4、CBAC所需的存和性能有一些參數(shù)會影響CBAC所需的存和性能：〔1〕CBAC對每條連接使用600byte的存；〔2〕在檢查數(shù)據(jù)包的過程中，CBAC使用額外的CPU資源；〔3〕盡管CBAC通過對accesslists的高效存儲〔對accesslist進(jìn)展散列索引，然后評估該散列〕來最小化其對資源的需求，它在accesslist檢查過程中仍要使用一定的CPU資源。5、配置CBAC

第一步，CBAC用timeout和threshold值來管理會話，配置判斷是否在會話還未完全建立的時(shí)候終止連接。這些參數(shù)全局性地應(yīng)用于所有會話。具有firewallfeature的ciscorouter12.0以上版本的IOS缺省是起了IPINSPECT抵御DoS進(jìn)攻的。當(dāng)half-open會話數(shù)量大到一定的程度往往意味著正在有DOS攻擊發(fā)生或*人正在做端口掃描，CBAC既監(jiān)測half-open會話總數(shù)也監(jiān)測會話企圖建立的速率。以下是缺省配置：Hp*g_1*shipinspectall

Sessionaudittrailisdisabled〔相關(guān)命令是ipinspectaudittrail,是用來翻開自動跟蹤審計(jì)功能并將信息傳送到console口，缺省是disabled.〕Sessionalertisenabled

one-minutethresholdsare[400:500]connections〔相關(guān)命令是ipinspectone-minutehigh500和ipinspectone-minutelow400,是將引起或?qū)е侣酚善鏖_場或停頓刪除half-open會話的新增未建立會話的速率，即每分鐘500/400個(gè)half-open會話〕ma*-inpletesessionsthresholdsare[400:500]〔相關(guān)命令是ipinspectma*-inpletehigh500,表示將引起路由器開場刪除half-open會話的已經(jīng)存在的half-open會話數(shù)500個(gè)；ipinspectma*-inpletelow400表示將導(dǎo)致路由器開場停頓刪除half-open會話的已經(jīng)存在的half-open會話數(shù)〕ma*-inpletetcpconnectionsperhostis50.Block-time0minute.〔相關(guān)命令：ipinspecttcpma*-inpletehost50block-time0表示將引起路由器開場丟棄到同一目的主機(jī)地址的超過50個(gè)的half-open會話。如果block-time值為0表示到*個(gè)目的主機(jī)的每條連接請求，CBAC會刪除到該主機(jī)的最老的已存在的half-open會話，并讓該SYN包通過；如果block-time值大于0表示CBAC將刪除到該目的主機(jī)的所有已存在的half-open連接，并阻攔所有新的連接請求直到block-time值超時(shí)〕。tcpsynwait-timeis30sec〔ipinspecttcpsynwait-time30：表示路由器在阻斷會話前等待TCP會話到達(dá)連接建立狀態(tài)的時(shí)間〕tcpfinwait-timeis5sec〔ipinspecttcpfinwait-time5:表示防火墻檢測到一個(gè)FIN標(biāo)志后仍繼續(xù)管理TCP會話的時(shí)間長度〕tcpidle-timeis3600sec〔ipinspecttcpidle-time3600:在沒有TCP連接后仍繼續(xù)管理TCP會話的時(shí)間長度〕udpidle-timeis30sec〔ipinspectudpidle-time30：在UDP會話停頓后仍繼續(xù)管理UDP會話信息的時(shí)間長度〕dns-timeoutis5sec〔ipinspectdns-timeout5：DNS名字查詢停頓后仍繼續(xù)被管理的時(shí)間〕設(shè)置timeout值可以通過丟棄超過時(shí)限的會話來有效阻止DoS攻擊釋放系統(tǒng)資源，設(shè)置threshold值可以通過限制half-open會話的數(shù)量來阻止DoS攻擊。CBAC提供三種threshold值來抵御DOS攻擊：1、最大half-open的TCP或UDP會話的數(shù)量。2、基于時(shí)間的half-open會話數(shù)量。3、每個(gè)host可以翻開的TCPhalf-open會話的數(shù)量。對于超過threshold值的連接，CBAC會初始化舊的half-open連接，釋放資源承受新的要求同步的數(shù)據(jù)包。第二步：配置accesslist

access-list101permiticmpanyanyecho

access-list101permiticmpanyanyecho-reply

access-list101permiticmpanyanyunreachable

access-list101permiticmpanyanytime-e*ceeded

access-list101permiticmpanyanypacket-too-big

access-list101permiticmpanyanytraceroute(以上命令允許ping包通過，主要用來排錯(cuò)，如果沒有必要上述命令可以不做)

access-list101permitanyanyeqsmtp〔允許在效勞器上的平安驗(yàn)證〕access-list101denyipanyanylog〔CBAC要求制止其他所有進(jìn)入的ip包〕第三步：根據(jù)實(shí)際環(huán)境定義一個(gè)檢查規(guī)則。ipinspectnameCBACfragmentma*imum256timeout1(此命令12.1以后的版本出現(xiàn)，防止分段攻擊)

ipinspectnameCBACsmtp

ipinspectnameCBACftp

ipinspectnameCBAC

ipinspectnameCBACtcp(進(jìn)入的數(shù)據(jù)包必須與先前流出的數(shù)據(jù)包有一樣的源/目的地址和端口號〔源和目的對調(diào)〕，否則就被丟棄)

ipinspectnameCBACudptimeout5(如果配置了timeout值，則應(yīng)答數(shù)據(jù)包是在最后的UDP請求包被送出后的預(yù)定時(shí)間圍收到的，就被允許通過防火墻返回)

第四步：把檢查規(guī)則定義到一個(gè)接口上。interfaceBRI0/0

ipaddressnegotiated

ipaccess-group101in

ipnatoutside

ipinspectCBACout

做完以上配置后，實(shí)際運(yùn)行中路由器顯示的log如下：04:20:27:%FW-6-SESS_AUDIT_TRAIL:sessioninitiator(:1426)sent656bytes--responder(56:80)sent307