cisco

Zone Based Firewall

ستاره غیر فعالستاره غیر فعالستاره غیر فعالستاره غیر فعالستاره غیر فعال
 

در small office ها برای کاهش هزینه ها بجای خریدن فایروال سخت افزاری از zone based firewall استفاده میکنیم که قابلیتش روی خود روتر ها میباشد.

کانفیگ آن بسیار شبیه به QOS یا Quality of Service است در QOS هم ترافیک را کلاس بندی میکنیم.

 

کانفیگ Zone Based Firewall

در این سناریو میخواهیم وقتی client به server ما telnet میزند ترافیک را inspect کنیم

 

برای این کار ابتدا باید Zone ها بسازیم:

Router (config) # zone security INSIDE

یکzone با نام INSIDE ساختیم وارد مُد (config-sec-zone) میشویم اگر بخواهیم میتوانیم یک description برای آن بنویسیم.

حال یکzone دیگر با نام OUTSIDE میسازیم :

Router (config) # zone security OUTSIDE

در مرحله بعد باید اینترفیس ها عضو zone ها کنیم :

به اینترفیس سمت داخلمان میرویم:

Router (config) # int fa0/0

Router (config-if) # zone-member security INSIDE   

 اسم zone ای که ساختیم را مینویسم       

به اینترفیس خارجی مان میرویم :

Router (config) # int fa0/1

Router (config-if) # zone-member security OUTSIDE

 * نکته * همه ی ترافیک بین zone ها Block ، By default هستند و اگر اینترفیسی را عضو هیچ zone ای نکنیم (اینترفیس Normal) با آنهایی که عضو zone ها شده اند نمیتوانند ارتباطی برقرار کنندهمچنین اینترفیس هایی که عضو یک zone هستند با هم ارتباط دارند و policy ای هم بین آنها نیست.

در این مرحله باید ترافیک را کلاس بندی کنیم و class map بنویسیم ، برای کلاس بندی ۳ مدل داریم:

( match protocol (protocol’s name

(match access-group  (ACL No

match classmap

که در مدل ۳ class map ای که قبلاً نوشتیم را اینجا صدا میزنیم.

class-default : همیشه یک class-default هم مینویسم برای ترافیک هایی که با هیچ کدام match نشده اند تا drop شوند.

Router (config) # class-map type inspect TELNET

Router (config-cmap) # match protocol telnet

در مرحله بعد باید policy بنویسیم به این معنا که ترافیک هایی که میخواهیم معرفی کینم inspect کنیم:

Router (config) # policy-map type inspect hellodigi

به policy یک اسم میدهیم که در اینجا hellodigi را انتخاب کردیم سپس اسم class map مان را صدا میزنیم:

Router (config-pmap) # class type inspect TELNET

حالا باید برای تعریف برای class type چه action ای انجام دهد ، drop کند ؟ پهنای باند را کم کند ؟ که ما در این مثال برای  inspect , telnet و برای class-default مان drop را میزنیم

Router (config-pmap-c) # inspect

Router (config-pmap) # class Class-default

Router (config-pmap-c) # drop

در مرحله بعد باید policy هایی که نوشته ایم را به zone pair ها اعمال کنیم چون unidirectional هستند باید جهت را دقیقاً مشخص کنیم برای source و destination مان

نکته : ترافیک هایی که مبدا و مقصدشان خود روتر است ترافیکشان چک نمیشود.

 

Router (config) # zone-pair security IN_OUT (zone pair’s name) sourse INSIDE destination OUTSIDE

 INSIDE و OUTSIDE اسم zone هایی است که ساختیم.

Router (config-sec-zone-pair) # service-policy type inspect hellodigi

برای تست آن با command show میتوانیم ببینیم کار کرده است یا خیر

Router # show policy-map type inspect


اتصال روتر به اینترنت در GNS3 و ساختن Loopback کانکشن در ویندوز

VLAN Hopping

Router Reset Factory

حافظه های روتر سیسکو

دستورات تنظیمات روتر که باید بدانید

تمام حقوق سایت برای سلام دیجی و نويسندگان آن محفوظ می باشد