思科IOS防火墙系列命令的学习体会

会计考友

虽然有人认为防火墙已经辉煌不再，但笔者认为如果充分利用设备中的防火墙功能，仍不失为一个强化安全的选择。本文将展示设置思科IOS防火墙的基本步骤。 　　注意，本文中部分内容属于IOS防火墙特性集部分。如果你的路由器上并没有防火墙特性集，请不要运行防火墙命令。不过，为了强化安全，笔者推荐你使用支持防火墙的IOS版本。虽然仅有NAT就可以为你的内部网络提供最小程度的保护，但你面向互联网的路由器更易于遭受到黑客的攻击。(以下命令省略了提示符，在每条命令下加了解释或描述。)
　　enable
　　进入特权用户模式
　　config t
! r$ O; ^5 c3 f7 V　　进入全局配置模式
2 }9 z, @3 W8 z( G1 h" A1 C2 T; {　　ip dhcp excluded-address 192.168.100.1 192.168.100.10
　　从内部DHCP地址池中排除前10个IP地址
5 {7 I  h% c% b4 x+ u# F: X　　ip dhcp pool Internal-DHCP
0 S+ J! k$ T* J# Q# [/ [, g+ W　　创建一个称为“Internal DHCP”的DHCP池
1 y  ]& A0 J% o1 R$ p- ]/ Y7 ?( v　　import all
5 V' ]" @9 n4 n* X　　将外部的DHCP设置从ISP导入到“Internal DHCP”池中
8 W. ^. [" d" R. C1 D0 i5 _) a! Q+ j　　network 192.168.100.0 255.255.255.0
　　定义这个DHCP池运行的网络
　　default-router 192.168.100.1
; |1 h# D: r: K! |1 ]7 }) n　　为“Internal DHCP”池设置默认网关
" Y- m' L1 z5 S( U3 L　　ip inspect name cbac tcp
( H+ ^; T* h! c) Q　　检查向外发出的数据通信，以便于准许对内的响应TCP通信
　　ip inspect name cbac udp
　　检查向外发出的数据通信，以便于准许对内的响应UDP通信
　　interface f0/0
- \  y3 k( Q: q+ y( T8 O　　进入接口f0/0， F0/0在这里即是内部的局域网接口
　　ip address 192.168.100.1 255.255.255.0
, X) Y8 O7 }* N/ |　　将内部的局域网接口IP设置为 192.168.100.1，子网掩码为24位。
. ^" A9 u. Y8 @" ~& T5 I　　ip nat inside
; r' T- v1 O& `- h0 \- r$ V8 F$ m! K　　将此接口指定为网络地址转换的内部接口
  d" e0 e# s: X5 t  R　　interface e0/0
　　进入接口 e0/0. E0/0在这里即是外部的局域网接口。
# n/ `$ D2 R4 H$ o: \2 V　　ip address dhcp设置外部局域网接口的IP使用DHCP，DHCP由ISP提供。

　　ip access-group CBAC in
　　打开对内的状态数据包检查
* X4 Q$ C- @3 ?　　ip inspect cbac out
" r0 z" S  K1 _  Z) ?" O1 G: ^　　打开对内的状态数据包检查，这点对于响应对内通信极为关键。
- o% L8 \, P$ f9 H( {. ~3 P　　ip nat outside
　　将这个接口指定为网络地址转换的内部接口

　　mac-address ffff.ffff.ffff

会计考友

</p>　　可选， 允许用户进行MAC地址欺骗。有一些ISP会锁定MAC地址。
　　ip nat inside source list NATACL interface e0/0 overload
6 i7 ~6 d4 G9 K5 }/ H　　它将所有的IP地址从NATACL ACL转换到外部的接口和IP地址
　　ip access-list extended CBAC
　　定义一个称为CBAC的扩展ACL，用于对内的防火墙规则
　　permit udp any eq bootps any eq bootpc
　　准许对内的DHCP。如果不用这个功能，用户的ISP就不能为其分配一个DHCP IP地址。
. N# ^) Z0 f4 E  G　　permit gre any any
　　如果不这样的话，外发的PPTP VPN无法工作
6 o" {0 a3 G+ e, r! k　　permit icmp any any echo
9 Y: L8 e2 H# k: n. {4 c　　准许ping入. 注意，如果你想要保持秘密，请不要使用此功能。
' L# y) D( i, e! v; x8 Q3 Q& _　　permit icmp any any echo-reply
　　准许ping出
& a) {, C4 }+ v! _; g　　permit icmp any any traceroute
8 k3 t- W6 J- `4 t4 [　　准许 traceroute
　　deny ip any any log
　　如果你想记录所拒绝的进入企图功能，这条命令就很有用。
　　ip access-list extended NATACL
2 s  c. p. h. V　　定义一个称为NATACL的扩展ACL，用于实现NAT
1 G* ^1 Y2 C4 d) e) d5 [　　permit ip 192.168.100.0 0.0.0.255 any
　　准许192.168.100.0/24到达已经进行了网络地址转换的任何地方。
　　exit
# `% t7 d0 c& o/ M　　退出 NATACL ACL
　　exit
  J: w$ B7 [( B　　退出全局配置模式
0 W) ]6 o( v9 u8 q% T$ I# P　　wr mem
　　将配置改变写往永久性闪存