Based interzone Firewall

最新推荐文章于 2023-12-22 15:26:22 发布

原创最新推荐文章于 2023-12-22 15:26:22 发布 · 475 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#security #interface #internet #审查 #路由器 #防火墙

本文介绍了Cisco ZFW（Zone-based Firewall）技术的基本概念和配置步骤，通过实例展示了如何配置不同区域间的流量审查策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Cisco IOS防火墙（CBAC）提供了基于接口的流量保护，可以在任意的接口上针对流量进行保护。所有穿过这个接口的流量受到相同的审查策略的保护。这样就降低了防火墙策略实施的颗粒度，同时也给合理的实施防火墙策略造成了困难。

而ZFW技术对原有的CBAC功能进行了增强，ZWF策略防火墙改变了老式的基于接口的配置模式，并且提供了更容易理解和更灵活的配置方法。接口需要加入区域，针对流量的审查策略在区域间内部生效。区域内部策略提供了更灵活和更细致的流量审查，不同的审查策略可以应用在与路由器相同接口相连的多个组上。

ZFW提供了状态型的包检测，URL过滤，对DOS攻击的减缓等功能，同时提供了多种协议的支持，例如HTTP,POP3,IMAP,SMTP,ESMTP,sun RPC,IM,P2P等协议。但是需要注意的是，以下特性ZFW暂时还不能支持：

            • Authentication proxy
            • Stateful firewall failover
            • Unified firewall MIB
            • IPv6 stateful inspection
            • TCP out−of−order support

与传统的IOS相比，ZFW完全改变了配置IOS防火墙的配置。

第一点主要的改变是，ZFW是基于区域的配置。ZFW不在使用CBAC的命令。两种技术可以同时配置在路由器上，但是需要注意的是，这两种技术不能同时在接口上叠加。接口在加入了安全区域以后不能同时在该接口上配置ip inspect命令。

ZFW默认的策略为拒绝所有流量。如果没有配置放行策略，那么所有在区域间进行转发的流量将会被拒绝。而cbac默认情况下允许转发所有的流量，除非通过使用ACL来对流量进行丢弃。

第二点主要的改变是ZFW的配置命令使用了MQC命令格式。可以使用更灵活的方式来定义ZFW的策略。在本文中只对命令进行介绍，详细的MQC语句的使用请自行参看文档。

ZFW的策略规定如下：

       在为接口指定区域之前，必须先配置这个区域。
       一个接口只能被指定到一个区域内。
       当一个接口被指定了一个区域后，除了在相同的区域内从这个接口始发终结的流量，以及从该接口到其他本路由器接口的流量，默认允许转发外，其他关于这个接口的流量都隐式的拒绝。
       相同区域成员间的流量，默认转发
       如果要求流量从其他区域来或者到其他区域去，那么必须配置再要通信的区域间允许策略或者审查策略。
       自身区域是唯一一个默认策略不是DENY的区域。从自身区域到任何区域的流量都是默认允许的，除非明确的配置了拒绝语句。
       流量不能在一个设置了区域成员的接口和一个没有加入区域的接口间转发。pass，inspect和drop行为只能在两个区域之间进行配置。
       一个没有加入任何区域的接口是可以使用CBAC特性的。
       根据上面所提到的相关问题，我们可以知道，如果流量要在这个路由器的所有接口间转发，那么所有的接口都必须是区域的成员。
       唯一一个例外是，到达或者从这个路由器始发的流量默认情况下是允许的（默认情况下路由器的自身接口属于self区域）。如果要限制这样的流量，则需要配置明确的限制策略。

ZFP策略包括三种：pass，deny，intercept。Drop是默认行为，intercept是指对流量进行审查，返回流量通过查看路由器的session表来决定是否允许进入。PASS行为不会跟踪连接的状态或者是流量的session。并且PASS策略只能允许单方向的流量通过。必须定义一个相对应返回流量的策略来允许返回流量进入。

同时ZFP对与VPN流量也进行了特别的定义，当VPN配置以后，路由器动态的生成一个名叫VTI的接口（virtual tunnel interface），如果我们需要对VPN流量进行bypass或者是审查时，我们可以通过将VTI接口加入不同的区域来进行区分。

转载请注明文章来自：【思科学习问答网】http://www.ciscoask.com/a/jishuzhuanti/_wangluoanquan_/_fanghuoqiangjishu_/2010/0107/33.html

本拓扑中主要分为以下几个区域，Private，DMZ和Internet区域，而Private区域内又包含Servers和clients两个区域。

1. Clients到Servers区域需要进行TCP/UDP/ICMP的审查

2. Private到DMZ区域需要进行SSH/FTP/POP/IMAP/ESMTP/HTTP的审查

3. Internet到DMZ区域需要进行SMTP/HTTP/DNS需要进行审查，并限制能访问的主机

4. Servers到Clients区域X-Windows协议需要进行审查，使用PAM来对端口进行定义

5. Private到Internet区域需要进行HTTP/HTTPS/DNS/ICMP协议的审查。

根据需求，我们将该实验分为几个部分：

第一部分：初始配置

            zone security clients
            zone security servers
            zone security private
            zone security internet
            zone security dmz

            bridge irb
            bridge 1 protocol ieee
            bridge 1 route ip

            interface Ethernet0/1
            no ip address
            bridge−group 1

            interface Ethernet0/2
            no ip address
            bridge−group 1

interface BVI1
ip address 192.168.1.254 255.255.255.0

interface FastEthernet0/3
ip address 172.16.1.88 255.255.255.0

interface FastEthernet0/4
ip address 172.16.2.1 255.255.255.0

第二部分：配置从Private区域到Internet区域的策略

interface Ethernet0/1
zone−member clients

interface Ethernet0/2
zone−member servers

interface BVI1
zone−member private

interface fastethernet0/3
zone−member security internet

            class−map type inspect match−any internet−traffic−class
            match protocol http
            match protocol https

转载请注明文章来自：【思科学习问答网】http://www.ciscoask.com/a/jishuzhuanti/_wangluoanquan_/_fanghuoqiangjishu_/2010/0107/33_2.html

match protocol dns
match protocol icmp

            policy−map type inspect private−internet−policy
            class type inspect internet−traffic−class
            inspect

zone−pair security private−internet source private destination internet
service−policy type inspect private−internet−policy

第三部分：配置从Private区域到DMZ区域的策略

interface fastethernet0/2
zone−member security dmz

            class−map type inspect match−any L7−inspect−class
            match protocol ssh
            match protocol ftp
            match protocol pop
            match protocol imap
            match protocol esmtp
            match protocol http

            policy−map type inspect private−dmz−policy
            class type inspect L7−inspect−class
            inspect

zone−pair security private−dmz source private destination dmz
service−policy type inspect private−dmz−policy

第四部分：配置从Internet区域到DMZ区域的策略

access−list 110 permit ip any host 172.16.2.2
access−list 111 permit ip any host 172.16.2.3

            class−map type inspect match−any dns−http−class
            match protocol dns
            match protocol http

class−map type inspect match−any smtp−class
match protocol smtp

            class−map type inspect match−all dns−http−acl−class
            match access−group 110
            match class−map dns−http−class

            class−map type inspect match−all smtp−acl−class
            match access−group 111
            match class−map smtp−class

policy−map type inspect internet−dmz−policy

转载请注明文章来自：【思科学习问答网】http://www.ciscoask.com/a/jishuzhuanti/_wangluoanquan_/_fanghuoqiangjishu_/2010/0107/33_3.html

class type inspect dns−http−acl−class
            inspect
            class type inspect smtp−acl−class
            inspect

zone−pair security internet−dmz source internet destination dmz
service−policy type inspect internet−dmz−policy

第五部分：配置servers到client区域的策略:

ip port−map user−Xwindows port tcp from 6900 to 6910

class−map type inspect match−any Xwindows−class
match protocol user−Xwindows

            policy−map type inspect servers−clients−policy
            class type inspect Xwindows−class
            inspect

zone−pair security servers−clients source servers destination clients
service−policy type inspect servers−clients−policy

第六部分：配置servers到client区域的策略:

            class−map type inspect match−any L4−inspect−class
            match protocol tcp
            match protocol udp
            match protocol icmp

            policy−map type inspect clients−servers−policy
            class type inspect L4−inspect−class
            inspect

zone−pair security clients−servers source clients destination servers
service−policy type inspect clients−servers−policy

到这里基本的配置就完成了,我们可以通过show policy−map type inspect zone−pair和show policy−map type inspect zone−pair session命令来查看ZFP的工作状态，通过show zone security <zone-name>来查看区域的相关信息。

对于更深层次的审查，例如HTTP的url，TCP的性能调整，VPN的审查，各位可以举一反三，自行进行测试。

转载请注明文章来自：【思科学习问答网】http://www.ciscoask.com/a/jishuzhuanti/_wangluoanquan_/_fanghuoqiangjishu_/2010/0107/33_4.html