FWSM培训文档.docx
- 文档编号:10540245
- 上传时间:2023-02-21
- 格式:DOCX
- 页数:12
- 大小:20.26KB
FWSM培训文档.docx
《FWSM培训文档.docx》由会员分享,可在线阅读,更多相关《FWSM培训文档.docx(12页珍藏版)》请在冰豆网上搜索。
FWSM培训文档
目录
1.各提示符说明2
2.基本信息配置2
配置机器名、telnet、密码2
3.说明3
4.进入防火墙模块3
5.配置防火墙模块4
5.1.在6509上的配置4
5.2.配置接口名4
5.3.配置IP地址4
5.4.配置路由4
5.4.1.配置静态路由4
5.4.2.配置OSPF5
5.4.3.查看路由表5
5.5.配置地址转换5
5.6.配置策略6
5.6.1.配置访问控制列表6
5.6.2.配置访问控制列表的方法7
5.6.3.配置访问控制列表的步骤7
5.7.配置FWSM的双机冗余8
5.7.1.配置接口名8
5.7.2.配置IP地址8
5.7.3.配置Failover8
6.其他的一些命令11
1.各提示符说明
CISCOFWSM在不同的状态下有不同的提示符,表示系统当前的状态:
●一般用户状态
提示符:
FWSM>
该模式下只能查看系统的一些基本情况;
●特权状态
提示符:
FWSM#
该模式下可以查看系统的全部配置以及状态;
●配置状态
提示符:
FWSM(config)#
该模式下可以对系统进行各种参数配置;
2.基本信息配置
配置机器名、telnet、密码
1.在特权模式下,用configureterminal命令(可以简化为:
conft),进入配置模式,进行以下的配置:
FWSM>
●进入特权模式:
FWSM>enable
FWSM#
●进入配置模式:
Router#configureterminal
Enterconfigurationcommands,oneperline.EndwithCNTL/Z.
FWSM(config)#
●设置主机名称:
FWSM(config)#hostnameSVR-FWSM
●设置特权口令(Enable口令):
SVR-FWSM(config)#enablesecretcisco
●设置telnet口令:
SVR-FWSM(config)#linevty04
SVR-FWSM(config-line)#passwordcisco
SVR-FWSM(config-line)#end
SVR-FWSM#
3.说明
下面命令中,使用的是斜体字的都是需要我们具体配置的命令
4.进入防火墙模块
首先我们要进入防火墙模块才能对它进行配置,具体操作如下:
●如果你的引擎使用的是IOS,Router#sessionslotmodproc1
●如果你的引擎使用的是CatOS,Catalyst(enable)>sessionmod
其中mod是防火墙模块所占用的插槽号。
5.配置防火墙模块
5.1.在6509上的配置
由于FWSM是嵌入在Catalyst6509内的,因此在对FWSM进行配置:
5.2.配置接口名
首先要进入配置模式,防火墙模块没有物理接口,它是基于VLAN部署的,我们要为逻辑接口VLAN取名,具体的命令是:
FWSM(Config)#nameifVlanIDNamesecurityID
其中:
VlanID是挂在防火墙模块上的Vlan
Name是我们为这个Vlan取的名字
SecurityID是这个Vlan的安全级别
5.3.配置IP地址
配置完了接口名后,我们就要对这个接口配置IP地址了,具体命令如下:
FWSM(Config)#ipaddressInterfaceIPMask
其中:
Interface是上面我们配置的接口名
IP和Mask我们为这个接口分配的IP地址
5.4.配置路由
现在要配置路由信息。
首先要确定是配静态路由,还是动态路由协议,若用动态,是用RIP,还是OSPF。
具体命令如下:
5.4.1.配置静态路由
FWSM(config)#routeInterfaceIPMaskGatewayMetric
其中:
Interface是表示该路由的出口是哪个接口
IPMask表示目的网段或者目的IP
Gateway表示下一跳的IP地址,即对端的网关的IP地址
Metric开销值,即对端的网关离本地有几跳,一般我们不填。
5.4.2.配置OSPF
OSPF(OpenShortestPathFirst)协议即最短路径优先协议。
OSPF是一个内部网关协议,与RIP相对,OSPF是链路状态路由协议,RIP是距离向量路由协议。
OSPF与其他路由器交换信息,所交换的信息不是路由,而是链路状态。
OSPF协议配置步骤大致如下:
●启用OSPF动态路由协议
ØFWSM(config)#routeospfID
其中:
ID表示ospf的进程号,进程号可以随意设置,只标识ospf为本FWSM内的一个进程,各路由设备上的OSPF进程号也可以不一样。
ØFWSM(config-router)#networkIPMaskareaID
该命令是向外宣告和本设备直连的网段
其中:
IPMask表示宣告的直连网段
ID表示该网段所在的区域,区域是统一规划的
IP子网号可以用一段网络的网络号表示,此时掩码为该网络掩码,这种表示方法下,所有IP地址落在该网段范围的FWSM接口都将参与OSPF信息交换;
FWSM将限制只能在相同区域内交换子网信息,不同区域间不交换路由信息。
另外,区域0为主干OSPF区域。
不同区域交换路由信息必须经过区域0。
一般地,某一区域要接入OSPF路由区域,该区域必须至少有一台路由器为区域边缘路由器,即它既参与本区域路由又参与区域0路由。
5.4.3.查看路由表
查看路由表命令:
Router#showroute
5.5.配置地址转换
光有路由对防火墙模块来说还是不够的,因为它是靠地址转换表来确定进入防火墙模块的数据是内部接口的PC请求的。
因此我们必须配置地址转换,地址转换有静态映射和动态映射,其中动态映射是单向的做映射,并且映射的地址是动态分配的,静态映射是对被影射的地址和映射后的地址做一一对应的。
本项目使用的都是静态映射,因此我们只讲静态映射。
具体的命令如下:
FWSM(config)#static(Interface,Interface)IPIPnetmaskMask
其中:
第一个Interface表示数据进入防火墙模块的接口
第二个Interface表示数据出去防火墙模块的接口
第一个IP表示将IP翻译成什么IP地址或者网段
第二个IP表示哪些IP地址或者网段将被做地址翻译
本次项目我们其实不需要做地址翻译,我们把前后两个IP都设置为一致
5.6.配置策略
地址转换做完了还是不行,因为我们没做策略,没做策略的防火墙缺省的策略是关闭FWSM的所有接口,因此我们需要配置策略。
具体命令如下:
5.6.1.配置访问控制列表
access-listnamepermit|denyip|tcp|udp|icmp[host]IPMask[host]IPMask
其中:
name本表示访问控制的名字,对同样的对象的访问控制表的名字需要是一致的。
permit|deny表示对和后面状态匹配的数据的策略,是允许还是禁止。
permint表示允许,deny表示禁止。
ip|tcp|udp|icmp表示被允许或禁止的协议。
ip则查看ip协议,tcp则查看tcp协议,udp则查看udp协议。
后面的命令比较复杂,不同的协议后面的也不同。
◆ip,access-listnamepermit|denyip[host]IPMask[host]IPMask如果是针对某个IP地址就要加host,如果是要表示所有IP,可以使用any
◆tcp|udp和上面的ip基本一样,不过我们需要在后面加上eq和端口号。
access-listnamepermit|denytcp|udp[host]IPMask[host]IPMaskeqport
◆icmp和上面的ip基本一样,基本我们用以下的命令:
access-listnamepermit|denyicmp[host]IPMask[host]IPMaskecho
access-listnamepermit|denyicmp[host]IPMask[host]IPMaskecho-reply
第一个命令表示允许|禁止Ping的请求,第二个命令则表示允许|禁止Ping的回复。
5.6.2.配置访问控制列表的方法
配置访问控制列表有两种方式,第一种是先关闭一些已知的病毒端口,然后开放其他所有端口,此方法安全性很低一般不建议是使用;第二种方法是开放对外提供服务的应用端口,然后关闭其他所有端口。
Ø关闭一些已知的病毒端口,然后开放其他所有端口
◆access-listnamedenyip|tcp|udp|icmp[host]IPMask[host]IPMask
◆access-listnamepermitipanyany
Ø开放对外提供服务的应用端口,然后关闭其他所有端口
◆access-listnamepermitip|tcp|udp|icmp[host]IPMask[host]IPMask由于系统会在所有列表后面加上缺省的命令access-listnamedenyipanyany,所以我们不需要配置关闭其他所有端口的命令。
5.6.3.配置访问控制列表的步骤
1.确定内网有哪些服务器需要对外提供服务
2.确定该服务器对外提供服务的IP地址-----host_ip
3.确定该服务器对外提供服务的应用
4.确定应用的协议(TCP或者UDP)和端口号-------port
5.确定外部能访问该应用的IP地址或者网段,所有网段用any
6.写针对该服务器的该应用的访问控制策略:
access-listnamepermittcp|udpanyhost_ipeqport
注意:
FWSM对访问控制列表的使用规则是从第1条顺序往下逐条匹配,当前面一条与该数据匹配,FWSM将执行针对该列表的控制(允许还是禁止),而不再往下匹配。
因此我们在定义访问控制列表的时候一定要注意列表的循序。
定义列表遵循的规则:
Ø针对相同服务器IP的列表,控制粒度细的策略放在列表前面
Ø针对相同服务器IP的列表,控制优先级大的策略放在前面
●加载访问控制列表
访问控制列表写完了,这还不够,我们需要加载它。
需要把它应用到接口上,具体命令是:
access-groupnameout|ininterfaceinterface
其中:
name是想加载的访问控制列表的名字。
out|in是表示访问控制列表控制的是进入防火墙模块接口还是从防火墙模块接口出去的数据。
Interface表示访问控制列表加载在哪个接口上。
5.7.配置FWSM的双机冗余
为了提高FWSM的可靠性,FWSM提供了2台FWSM做双机冗余的设计,当主的FWSM出现故障的时候,备用的FWSM可以变成主FWSM。
做冗余的配置与单机配置有少量的不同。
对主FWSM的配置
5.7.1.配置接口名
首先要进入配置模式,具体的命令是:
FWSM(Config)#nameifVlanIDNamesecurityID
5.7.2.配置IP地址
配置完了接口名后,我们就要对这个接口配置IP地址了,具体命令如下:
FWSM(Config)#ipaddressserverip_addmaskstandbystandby_ip_add
其中:
Interface是上面我们配置的接口名
IP和Mask我们为这个接口分配的IP地址
Standby是我们为备用FWSM的该接口分配IP地址
standby_ip_add是我们为备用FWSM的该接口分配IP的地址
5.7.3.配置Failover
配置Failover就开始了双FWSM冗余配置。
5.7.3.1.配置主FWSMFailoverLink接口名
Failover链路是用来监听对方状态的链路。
需要配置它的接口名。
具体命令如下:
failoverlaninterfacefailover_namevlanID
其中:
failover_name是我们为FailoverLink起的名字
vlanID是用来做Failover的vlan,注意:
此VLAN不能做其它用途
5.7.3.2.配置主FWSMFailoverLink接口IP
FailoverLink的接口名配置完成后,我们需要配置该接口的IP地址,具体命令如下:
failoverinterfaceipfailover_interface_namefailover_interface_ipMaskstandbystand_failover_standby_ip_address
其中:
failover_interface_name是上面我们配置的failoverlink的接口名
failover_interface_ip是我们为主FWSMfailoverlink分配的IP地址
stand_failover_interface_ip是我们为备用FWSMfailoverlink分配的IP地址
5.7.3.3.配置stateLink接口名
StateLink是用来主FWSM向备FWSM传输在主FWSM建立连接的会话数和会话状态的链路。
具体配置如下:
failoverlinkstatevlanID
其中:
state是我们为StateLink起的名字
vlanID是用来做Stat的vlan注意:
此VLAN不能做其它用途
5.7.3.4.配置主FWSMStateLink接口IP
FailoverLink的接口名配置完成后,我们需要配置该接口的IP地址,具体命令如下:
failoverinterfaceipstate_interface_namestate_interface_ipMaskstandbystand_state_standby_ip_address
其中:
state_interface_name是上面我们配置的statelink的接口名
state_interface_ip是我们为主FWSMstatelink分配的IP地址
stand_state_interface_ip是我们为备用FWSMstatelink分配的IP地址
5.7.3.5.配置主FWSM的Failover是主防火墙
前面我们所讲的主FWSM是我们在规划是将该FWSM规划为主防火墙,但FWSM自己并不知道,下面的配置就是让防火墙知道它是主FWSM。
failoverlanunitprimary
5.7.3.6.启动主FWSMFailover
主FWSM的冗余配置已经做完了,现在就可以启动Failover,让主FWSM和备FWSM联系并同步配置还有会话连接状态了。
具体命令如下:
failoverlanunitprimary
对备FWSM的配置
5.7.3.7.配置备FWSMFailoverLink接口名
Failover链路是用来监听对方状态的链路。
需要配置它的接口名。
具体命令如下:
failoverlaninterfacefailover_namevlanID
其中:
failover_name是我们为FailoverLink起的名字
vlanID是用来做Failover的vlan,
注意:
配置备FWSMFailoverLink和配置主FWSMFailoverLink参数是一样的
5.7.3.8.配置备FWSMFailoverLink接口IP
FailoverLink的接口名配置完成后,我们需要配置该接口的IP地址,具体命令如下:
failoverinterfaceipfailover_interface_namefailover_interface_ipMaskstandbystand_failover_standby_ip_address
其中:
failover_interface_name是上面我们配置的failoverlink的接口名
failover_interface_ip是我们为主FWSMfailoverlink分配的IP地址
stand_failover_interface_ip是我们为备用FWSMfailoverlink分配的IP地址
注意:
配置备FWSMFailoverLink和配置主FWSMFailoverLink参数是一样的
5.7.3.9.配置备FWSM的Failover是备防火墙
备FWSM的冗余配置已经做完了,现在就可以启动Failover,让备FWSM和主FWSM联系并同步配置还有会话连接状态了。
具体命令如下:
failoverlanunitsecondary
5.7.3.10.启动备FWSMFailover
Failover
注释:
启动Failover后备防火墙就会通过FailoverLink去和主防火墙联系并开始同步配置和会话连接状态,但是它从主防火墙同步过来的配置只是存在running-config里,防火墙重启后配置会丢失,我们需要在主防火墙上输入:
copyrunning-configstartup-config。
这样主防火墙和备防火墙的配置就都存在了startup-config,重启防火墙也不怕配置丢失。
6.其他的一些命令
icmppermit|denyIPMaskInterface表示允许或者禁止哪个IP地址或者网段Ping防火墙模块的哪个接口
telnetIPMaskInterface表示允许哪个IP地址或网段telnet防火墙模块的哪个接口
httpserverenable表示激活Web服务器的功能
httpIPMaskInterface表示允许哪个IP地址或网段通过Web访问防火墙模块的哪个接口
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- FWSM 培训 文档
![提示](https://static.bdocx.com/images/bang_tan.gif)