扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
PIX(Private Internet Exchange)防火墙是Cisco 产品系列中称得上佼佼者的防火墙产品。PIX防火墙可以部署到各种各样的设计方案中。简单的情况如下,PIX防火墙可能只有两个接口,一个接口连接至受保护的内部网络(内部接口),而另一个接口则连接到公共网络(外部接口),一般来说就是指因特网。这里所谓的内部和外部具有特别的意义,且各个接口在PIX 防火墙配置中分别被命名为Inside接口(内部)和Outside接口(外部)。
从市场所占份额来说,状态数据报防火墙是主导类型的防火墙产品。大多数的市场都显示,PIX防火墙或Chechpoint 软件公司的Firewall经常占据市场中的第一位。在PIX防火墙的具体配置中共有58个PIX独有特性,这些特性中有些功能非常明显,而有些却略显隐蔽;有些特性是默认启动的,而有些则需要手动进行配置。下面我们就来看下一些在企业组网中需要特别“关注”特性的配置方法,以便充分利用PIX防火墙,为企业网络提高安全系数。
手动配置TCP Intercept
思科从IOS 11.2版本中首次在路由器产品中引用了TCP Intercept(TCP截获)特性,在PIX5.2以上版本中也引入了相同的特性,这个功能特性虽然是默认启用的,但是仍需要一些手动设置。
由于TCP是双向和全双工的,所以它在两个方向上都要建立连接。为了建立从服务器到客户端的连接,服务器设置SYN位并包括他自己的顺序号以便请求建立从服务器到客户端的连接,服务器设置SYN位置承载对来自客户端的初始连接请求的确认(ACK位)的分段重并发送给客户端。此后,服务器等待第3步:从客户端发来的对服务器到客户端的连接请求的确认。这个过程通常被成为TCP的“3次握手”。
如果应答者服务器没有在特定的TCP时间间隔内接收到应答,那么服务器会重传设置有SYN和ACK位的分段。根据具体的TCP实现,重传的次数一般是4次,重传的时间间隔开始是1秒,然后一次加倍。如果服务持续的接受连接请求,那么资源可能很快就会被这些半开放的请求耗尽,这样就不能再接受其他传入请求,从而拒绝了那项服务。
TCP Intercept通过启用此特性实现保护的主机设备截获连接,以及对连接请求进行应答来解决这个问题。它代表客户端建立了从PIX到受保护的主机的第二条连接。如果客户端正常的完成连接,那么PIX防火墙透明地将这两条连接结合在一起,最后的结果是建立了一条在客户端和服务器之间的直接连接。
PIX防火墙使用了更短的超时时间间隔,而且如果在这个时间间隔内连接没有完成,那么PIX就会放弃与客户端的未完成连接,并且向受保护的服务器发送 RST位,结束PIX到服务器的连接,从而释放掉服务器资源。除了更短的超时之外,TCP Intercept还加入了可配置的阈值。阈值会对连接总数以及最近1分钟内的连接速率进行监控。如果这两个指标中任何一个超过了阈值,TCP Intercept都会从最久的连接开始断掉半开放的连接,知道连接的数目或速率降到阈值以下。
在PIX防火墙上,半开放连接称作初期连接。阈值可以通过static 命令的可选参数进行设置。阈值默认值为0,这样就有效的禁用了TCP Intercept.而若将这些初期连接参数设置为任何非零数值,就可以启用TCP Intercept.它有效的替代了称作Flood Defender的旧PIX特性。这个旧特性只允许对每个主机和服务上的初期连接总数进行限制。
PIX特殊应用配置
PIX防火墙支持很多需要某种特殊形式处理的标准或普通应用,其中一些要求对ASA状态表所维护的信息作一些修改,以便在状态数据报过滤环境中可以使用。
1、 Java Applet封锁
PIX防火墙使得网络管理员能够过滤掉可能有害的Java小程序。可以根据内部客户端的源地址、外部服务器的目的地址,或者同时根据两者,来对Java 过滤进行定义。命令语法中包含反掩码,它可以用来定义单个的地址或地址范围。当启用了Java过滤后,PIX防火墙就会搜索含有Java小程序标记(十六进制字符串0 x CEFE BABE)的http数据报。
启用Java过滤的配置命令的一个实例如下:
2、ActiveX
与ActiveX有关的网络安全问题类似于Java问题。ActiveX控件由可嵌入到Web页中的对象组成,这些空间能够下载到客户端计算机中运行。ActiveX的过滤可以通过注释掉HTML<object>命令的引用来实现。所用到的命令语法实际上与Java过滤使用的命令相同,只不过是用filter activex…代替了filter java…。
2、 URL过滤
利用与Websense公司合作,Cisco提供了将Websense的Open Server内容过滤服务器与PIX防火墙配合使用的能力。Websense被很多组织用于设置和增强作为网络安全策略的一个组成部分的因特网访问策略 (IAP)。Websense利用一个由超过150万的站点构成的主数据库对因特网内容进行过滤。对访问的拒绝(封锁)可以根据用户、团体或者时间来设置。
URL过滤允许PIX防火墙将Websense服务器定义的IAP出站用户所请求的URL进行比较。下面的例子使用地址为 10.2.2.2的Websense服务器过滤掉除子网10.1.1.0上的用户之外的所有出站访问。第3行只在例外情况时才需要,否则它是可选的。
url-server host 10.2.2.2
filter url http 0000
filter url except 10.1.1.0 255.255.255.0
控制通过PIX防火墙的流量
在PIX防火墙5.2之前的版本中,用来定义允许流量的协议参数的命令是conduit命令。Conduit命令的语法看起来非常像扩展访问列表所使用的格式,不过在命令的语法中,源地址和目的地址的位置正好相反。从5.2版本开始,传统的扩展访问列表代替了conduit命令。目前,尽管Cisco推荐使用新的格式,但是实际上这两种命令格式都可以使用。
为了对去往这些服务器
Access-list dmz permit tcp any host 10.1.1.1 eq http
Access-list dmz permit tcp any host 10.1.1.1 eq smtp
Access-list dmz permit tcp any host 10.1.1.1 eq domain
后记
正如文章篇头提到的一样PIX防火墙是Cisco系列网络安全
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者