inside、outside和dmz之间的访问

转载 2007年09月24日 11:39:00
作者:懒虫    出处:懒虫s blog

现有条件:100M宽带接入,分配一个合法的IP(222.134.135.98)(只有1个静态IP是否够用?);Cisco防火墙PiX515e-r-DMZ-BUN1台(具有Inside、Outside、DMZ三个RJ45接口)!请问能否实现以下功能:
1、内网中的所有用户可以防问Internet和DMZ中的WEB服务器。
2、外网的用户可以防问DMZ区的Web平台。
3、DMZ区的WEB服务器可以防问内 网中的SQL数据库服务器和外网中的其它服务器。

注:DMZ区WEB服务器作为应用服务器,使用内网中的数据库服务器。解决方案:
一、 概述
本方案中,根据现有的设备,只要1个合法的IP地址(电信的IP地址好贵啊,1年租期10000元RMB),分别通过PIX515所提供的NAT、PAT、端口重定向、ACL和route功能完全可以实现所提的功能要求。

二、 实施步骤
初始化Pix防火墙:
给每个边界接口分配一个名字,并指定安全级别
pix515e(config)# nameif ethernet0 outside security0
pix515e(config)# nameif ethernet1 inside security100
pix515e(config)# nameif ethernet2 dmz security50
给每个接口分配IP地址
pix515e(config)# ip address outside 222.134.135.98 255.255.255.252
pix515e(config)# ip address inside 192.168.1.1 255.255.255.0
pix515e(config)# ip address dmz 10.0.0.1 255.255.255.0
为Pix防火墙每个接口定义一条静态或缺省路由
pix515e(config)# route outside 0.0.0.0 0.0.0.0 222.134.135.97 1
(通过IP地址为222.134.135.97的路由器路由所有的出站数据包/外部接口/)
pix515e(config)# route dmz 10.0.0.0 255.255.255.0 10.0.0.1 1
pix515e(config)# route inside 192.168.1.0 255.255.255.0 192.168.1.1 1
pix515e(config)# route outside 222.134.135.96 255.255.255.252 222.134.135.98 1
配置Pix防火墙作为内部用户的DPCH服务器
pix515e(config)# dhcpd address 192.168.1.2-192.168.1.100 inside
pix515e(config)# dhcpd dns 202.102.152.3 202.102.134.68
pix515e(config)# dhcpd enable inside

1、配置Pix防火墙来允许处于内部接口上的用户防问Internet和堡垒主机
同时允许DMZ接口上的主机可以防问Internet
通过设置NAT和PAT来实现高安全级别接口上的主机对低安全级别接口上的主机的防问。
(1)命令如下:
pix515e(config)# nat (inside) 10 192.168.1.0 255.255.255.0
pix515e(config)# nat (dmz) 10 10.0.0.0 255.255.255.0
pix515e(config)# global (outside) 10 interface
pix515e(config)# global (dmz) 10 10.0.0.10-10.0.0.254 netmask 255.255.255.0

(2) 第一个nat命令允许在安全级别为100的内部接口上的主机,去连接那些安全级别比它低的接口上的主机。在第一个命令中,低安全级别接口上的主机包括外部 接口上的主机和非军事区/DMZ/上的主机。第二个nat命令允许在安全级别为50的DMZ上的主机,去连接那些安全级别比它低的接口上的主机。而在第二 个命令中,低安全级别的接口只包含外部接口。

(3)因为全局地址池和nat (inside)命令都使用nat_id为10,所以在192.168.1.0网络上的主机地址将被转换成任意地址池中的地址。因此,当内部接口上用户访 问DMZ上的主机时,它的源地址被转换成global (dmz)命令定义的10.0.0.10-10.0.0.254范围中的某一个地址。当内部接口上的主机防问Internet时,它的源地址将被转换成 global (outside)命令定义的222.134.135.98和一个源端口大于1024的结合。

(4)当DMZ上用户访问外 部主机时,它的源地址被转换成global (outside)命令定义的222.134.135.98和一个源端口大于1024的结合。Global (dmz)命令只在内部用户访问DMZ接口上的Web服务器时起作用。(5)内部主机访问DMZ区的主机时,利用动态内部NAT——把在较安全接口上的主 机地址转换成不太安全接口上的一段IP地址或一个地址池(10.0.0.10-10.0.0.254)。内部主机和DMZ区的主机防问Internet 时,利用PAT——1个IP地址和一个源端口号的结合,它将创建一个惟一的对话,即PAT全局地址(222.134.135.98)的源端口号对应着内部 或DMZ区中的唯一的IP地址来标识唯一的对话。PAT全局地址(222.134.135.98)的源端口号要大于1024。理论上,在使用PAT时,最 多可以允许64000台内部主机使用一个外部IP地址,从实际环境中讲大约4000台内部的主机可以共同使用一个外部IP地址。)
2、 配置PIX防火墙允许外网的用户可以防问DMZ区的Web服务器
通过配置静态内部转换、ACL和端口重定向来实现外网对DMZ区的Web防问。

(1)命令如下
static (dmz,outside) tcp interface www 10.0.0.2 www dns netmask 255.255.255.255 0 0
access-list outside_access_in line 1 permit tcp any interface outside
access-group 101 in interface outside

(2)PIX防火墙静态PAT所使用的共享全局地址可以是一个惟一的地址,也可以是一个共享的出站PAT地址,还可以与外部接口共享一个地址。

(3)Static静态转换中“DNS”表示进行“DNS记录转换”
DNS记录转换应用在当内部的主机通过域名连接处于内部的服务器,并且用来进行域名解析的服务器处于PIX防火墙外部的情况下。
一 个处于内网中的客户端通过域名向地址为10.0.0.2的Web服务器发送一个HTTP请示。首先要通过PIX防火墙外部接口上的DNS服务器进行域名解 析,因此客户端将DNS解析请求包发送到PIX防火墙上。当PIX防火墙收到客户端的DNS解析请求包时,将IP头中不可路由的源地址进行转换,并且将这 个DNS解析请求转发到处于PIX防火墙外部接口上的DNS服务器。DNS服务器通过A-记录进行地址解析,并将结果返回到客户端。当PIX防火墙收到 DNS解析回复后,它不仅要将目的地址进行转换,而且还要将DNS解析回复中的地址替换成Web服务器的实际地址。然后PIX防火墙将DNS解析发回客户 端。这样所产生的结果是,当客户端收到这个DNS解析回复,它会认为它与Web服务器处于内部网络中,可以通过DMZ接口直接到达。

3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器
通过静态内部转换可以实现DMZ区的主机对内网中的主机的防问。

(1)命令如下:
static (inside,dmz) 10.0.0.9 192.168.1.200 netmask 255.255.255.255 0 0
access-list dmz_access_in line 1 permit tcp any any
access-group dmz_access_in in interface dmz

(2) 静态内部地址转换可以让一台内部主机固定地使用PIX防火墙全局网络中的一个地址。使用Static命令可以配置静态转换。Static命令创建一个在本 地IP地址和一个全局IP地址之间的永久映射(被称为静态转换槽或xlate),可以用来创建入站和出站之间的转换。
除了Static命令之外,还必须配置一个适当的访问控制列表(ACL),用来允许外部网络对内部服务器的入站访问.
 

理解Cisco ASA防火墙上的alias命令

关于在DMZ或INSIDE区服务器发布的问题,从互联网访问inside或dmz的服务器都很正常,从inside可以访问互联网,但就是不能通过互联网域名访问inside和dmz的服务器。有些朋友提到al...
  • haixiao1314
  • haixiao1314
  • 2014年04月08日 20:52
  • 828

彻底理解Cisco NAT内部的一些事

为了配一条NAT,发生了很多事。一.Inside和Outside很多在Cisco配置过NAT的人都有过一个疑问,那就是inside和outside的区别!以下是Cisco官方文档上关于NAT执行顺序的...
  • dog250
  • dog250
  • 2013年09月08日 13:09
  • 17023

NAT地址转换顺序:inside→outside先路由再转换;outside→inside先转换再路由

如下多级联NAT路由拓扑图: 多级路由器NAT与单个路由器NAT一样的。对于下行路由器来说,它只不过是上行路由器(外网)中的局域网“PC”而已。由于默认路由的作用,即使不做NAT任何目标IP都可以...
  • zainwei1766
  • zainwei1766
  • 2014年12月09日 09:51
  • 2460

小米路由器设置DMZ主机 并在外网访问

一、前提条件: 1、小米路由器 2、拥有公网IP的网络 二、步骤: 1、登陆小米路由器管理界面  miwifi.com 2、高级设置=》端口转发  页面底部的DMZ选项开启,然后选择...
  • lwz2008123
  • lwz2008123
  • 2016年04月15日 23:51
  • 18503

路由器虚拟服务器、DMZ配置,让你的网站在外网能够访问

如图所示是某个SOHO用户的网络拓扑示意图。用户通过一台宽带路由器接入到Internet,希望在自己的内网架设一台Web服务器和FTP服务器为外网用户提供Web站点服务和FTP资源的下载服务。   ...
  • lm16875
  • lm16875
  • 2013年05月11日 23:59
  • 1820

用nginx反向代理创建DMZ区,三层安全区划

DMZ区域及非军事管理区域,网络的三层架构。
  • nirvana52
  • nirvana52
  • 2014年08月07日 10:31
  • 3486

端口映射和DMZ的区别

端口映射     一、概念 什么是端口映射 在网络技术中,端口(Port)有好几种意思。集线器、交换机、路由器的端口指的是连接其他网络设备的接口,如RJ-45端口、Serial端口等。我们这里所说的端...
  • wejfoasdbsdg
  • wejfoasdbsdg
  • 2016年12月15日 15:38
  • 1707

虚拟服务器/DMZ/花生壳

这段时间需要做有关网络的调试,这里就整理一下相关知识点。   我的路由器是迅捷迷你型路由器,登录路由器,在“转发规则”下有如下的设置: 虚拟服务器:也可以称为端口映射,我们可以把局域网中的一台...
  • u011388550
  • u011388550
  • 2016年05月28日 13:43
  • 1208

简单两步搞定小米路由新增功能-DDNS

DDNS(Dynamic Domain Name Server)是动态域名服务的缩写!简单来说目前ISP大多为我们提供动态IP(如ADSL拨号上网),而很多设备或服务需要通过远程访问时需要一个固定的I...
  • oray2013
  • oray2013
  • 2016年05月20日 11:46
  • 1809

DMZ区的介绍及连接图

DMZ称为“隔离区”,也称“非军事化区”。为了解决安装防火墙后外部网络不能访问内部网络服务器的问题,而设立的一个非安全系统与安全系统之间的缓冲区,这个缓冲区位于企业内部网络和外部网络之间的小网络区域内...
  • clerk0324
  • clerk0324
  • 2017年06月06日 13:22
  • 459
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:inside、outside和dmz之间的访问
举报原因:
原因补充:

(最多只允许输入30个字)