计算机网络安全技术与实施（旧） 电子课件 电子课件-任务3.3基于思科路由器的IOS防火墙防护功能配置.ppt

3.3.4 利用路由防火墙实施安全防护 在配置页面中的任务中，选择其它任务可以进行其它功能的配置，这些功能包括：时间、日志、SNMP网络管理等基本配置，路由器的访问管，DHCP、DNS、ACL、URL过滤、AAA等的配置。记录到缓冲器的配置命令是：logging buffered 4096 debugging。 3.3.5 进行防护效果检测 1、对两种类型的IOS防火墙的防护的检测 如何对两接口和三接口的IOS防火墙的配置进行防护的检测时。可以利用内部主机A与外部主机B之间互相访问，如利用ping命令测试，得到的结果应该是在A主机ping主机B有返回（echo-reply），但B主机ping主机A有返回是目的地址不可达信息（unreachable），这种不可达是因为访问控制管理上的不可达，而不是网络目的地找不到或网关误配置造成的。 在三接口的任务中可以对三台主机进行互相访问的测试，结果应该是A和B都可以访问S1的WWW服务，并能Ping通S1，但是A与B的互相访问与两接口的防火墙的检测结果是一样的。 当然这种配置的结果就是为了实现内网可以主动连接外网，但外网不能主动发起对内网的连接；内网和外网主机都可以与DMZ接口中的WWW服务器S1进行基于HTTP协议和ICMP协议的通信。 也可以通过开启日志功能在SDM的性能监视中或在日志服务器中（要开启日志服务器，并设置日志服务器地址才可以）查看到检测的日志信息。根据设定的的日志级别可以得到相关的日志记录信息。 3.3.5 进行防护效果检测 2、基于命令行对两种类型的IOS防火墙配置的检查 显示检查、接口配置、会话和统计信息： Router#show ip inspect name inspection-name Router#show ip inspect config Router#show ip inspect interfaces Router#show ip inspect session [detail] Router#show ip inspect statistics Router#show ip inspect all 例如：Router#show ip inspect session Router#show ip inspect sessions Established Sessions Session(:1036)=(:80) tcp SIS_OPEN 3、对两种类型的IOS防火墙配置的调试 Router#debug ip inspect function-trace Router#debug ip inspect object-creation Router#debug ip inspect object-deletion Router#debug ip inspect events Router#debug ip inspect timers Router#debug ip inspect detail Router#debug ip inspect protocol 以上是常用调试命令与针对特定协议的调试命令。 3.3.5 进行防护效果检测 4、下面是对三接口路由器的配置检查 Router#show run Building configuration... ! hostname Router ! ip inspect name appfw_100 tcp ip inspect name appfw_100 udp ! username cey privilege 15 password 0 cey123 ! interface FastEthernet0/0 description $FW_INSIDE$ ip address ip access-group 100 in ip inspect appfw_100 in duplex auto speed auto ! interface FastEthernet0/1 description $FW_OUTSIDE$ ip address ip access-group 102 in ip verify unicast reverse-path duplex auto speed auto ! interface FastEthernet1/0 description $FW_DMZ$ ip address ip access-group 101