| 打造企业坚固的城墙 Cisco PIX防火墙特殊配置 |
| 2008-12-9 15:31:15 51CTO安全论坛 XUEYAN |
在PIX防火墙5.2之前的版本中，用来定义允许流量的协议参数的命令是conduit命令。Conduit命令的语法看起来非常像扩展访问列表所使用的格式，不过在命令的语法中，源地址和目的地址的位置正好相反。从5.2版本开始，传统的扩展访问列表代替了conduit命令。目前，尽管Cisco推荐使用新的格式，但是实际上这两种命令格式都可以使用。 为了对去往这些服务器的流量定义相应的通道，可以规定服务器的IP地址作为目的地址，并规定HTTP、DNS和SMTP作为目的端口号，但是通常并不知道源地址和源端口号。下面是一个访问列表的例子，在这个例子中，IP地址为10.1.1.1的服务器能够提供所有3种服务。 Access-list dmz permit tcp any host 10.1.1.1 eq http Access-list dmz permit tcp any host 10.1.1.1 eq smtp Access-list dmz permit tcp any host 10.1.1.1 eq domain 上面所列方法就举例而言是已经足够了，但是在安全方面还要进一步设置。因为并不能预知外部用户将使用哪些源IP地址和源端口，所以必须在ACL中规定允许使用所有的原地址和源端口。 |
|
|