Руководство по настройке брандмауэра FWSM — Cisco

1 FWSM не поддерживает модуль supervisor engine версии 1 или 1A. 2 При использовании ОС Catalyst на модуле supervisor engine на плате MSFC можно использовать любую поддерживаемую версию ПО Cisco IOS. При использовании ПО Cisco IOS на модуле supervisor engine на плате MSFC должна быть установлена та же версия ПО. Данные сведения были получены в результате тестирования приборов в специфической лабораторной среде. В качестве начальной конфигурации для всех описанных в документе устройств использовались стандартные (заводские) настройки. В условиях реально действующей сети при использовании каждой команды необходимо четко понимать, какие последствия может иметь применение той или иной команды.

Сопутствующие продукты Эти настройки также справедливы для маршрутизаторов серии Cisco 7600 с требуемыми компонентами, как показано: Модуль supervisor engine с программным обеспечением Cisco IOS. См. Таблицу со списком поддерживаемых выпусков ПО Cisco IOS и модуля supervisor engine. Плата MSFC 2 с программным обеспечением Cisco IOS. См. Таблицу со списком поддерживаемых версий ПО Cisco IOS. Условные обозначения Более подробную информацию о применяемых в документе обозначениях см. в статье Cisco Technical Tips Conventions (Условные обозначения, используемые в технической документации Cisco).

Общие сведения FWSM представляет собой высокопроизводительный, компактный, отслеживающий состояние модуль брандмауэра, который устанавливается на коммутаторы серии Catalyst 6500 и маршрутизаторы серии Cisco 7600. Брандмауэры защищают локальные сети от доступа неавторизованных пользователей извне. Брандмауэр также может защитить локальные сети друг от друга, например, если сеть с кадровой информацией работает отдельно от пользовательской сети. Если часть сетевых ресурсов необходимо открыть для внешнего доступа, например веб-сервер или FTP-сервер, можно поместить эти ресурсы в отдельную сеть, защищенную брандмауэром, которую называют "демилитаризованной" зоной (DMZ).

Брандмауэр предоставляет ограниченный доступ к DMZ, а так как DMZ включает в себя только публичные серверы, при атаке пострадают только они, в то время как внутренняя локальная сеть не пострадает. Вы также можете контролировать доступ локальных пользователей к внешним ресурсам, например, к Интернету; вы можете разрешить доступ только к указанным сайтам, потребовать аутентификации или авторизации, либо ПО Cisco IOS версии 12.2(18)SXF и выше 720, 32 ПО Cisco IOS версии 12.2(18)SXF2 и выше 2, 720, 32 Модульное ПО Cisco IOS ПО Cisco IOS версии 12.2(18)SXF4 720, 32 Операционная система Catalyst2 версии 8.5(3) и выше 2, 720, 32

Стр. 2

настроить удаленный фильтр URL-адресов. FWSM включает множество дополнительных функций, например "несколько контекстов безопасности", похожие на виртуализованные брандмауэры, прозрачный (Слой 2) или маршрутизируемый (Слой 3) режимы работы брандмауэра, сотни интерфейсов и многие другие функции. Итак, подключенные к брандмауэру сети работают следующим образом: внешняя сеть находится перед брандмауэром; внутренняя сеть защищена и находится за брандмауэром, при этом к зоне DMZ, которая защищена брандмауэром, имеется ограниченный доступ извне.

В связи с тем, что FWSM позволяет настроить много интерфейсов с разными политиками безопасности, включающими различные внутренние интерфейсы, зоны DMZ и даже при желании внешние интерфейсы, данные инструкции описывают только стандартные ситуации. Конфигурация В этом разделе приводится информация по настройке функций, описанных в данном документе. Примечание: Используйте Средство поиска команд ( registered customers only ) для получения дополнительной информации по используемым в данном разделе командам. Сетевой график В данном документе используется следующая настройка сети: Примечание:

Использованные в этой конфигурации схемы IP-адресов даны для примера и не годятся для использования в Интернете. Это адреса RFC 1918, которые использовались в лабораторной среде. Конфигурации Этот документ использует следующие конфигурации: Настройка коммутатора серии Catalyst 6500 Настройка модуля FWSM Настройка коммутатора серии Catalyst 6500

Стр. 3

Вы можете установить плату FWSM в коммутаторы серии Catalyst 6500, или в маршрутизаторы серии Cisco 7600. Конфигурация обеих серий идентична и в данном документе серии упоминаются под общим названием коммутатор . 1. Примечание: Необходимо правильно настроить коммутатор перед конфигурацией FWSM. 2. Назначение сети VLAN модулю FWSM — раздел описывает процесс назначения сети VLAN модулю FWSM. Модуль FWSM не включает в себя каких-либо внешних физических интерфейсов. Вместо этого он использует интерфейсы сетей VLAN.

Назначение сети VLAN модулю FWSM схоже с процедурой назначения сети VLAN порту коммутатора; в модуль FWSM входит внутренний интерфейс подключения к модулю фабрик коммутации (при наличии) либо общая шина. Примечание: Дополнительные сведения о сетей VLAN и назначении их портам коммутатора см. в разделе Настройка сети VLAN руководства по настройке ПО коммутаторов серии Catalyst 6500. Рекомендации по использованию сетей VLAN: 1. Вы можете использовать частные сети VLAN вместе с FWSM. Назначьте первичную сеть VLAN модулю FWSM; после чего FWSM автоматически сможет работать с трафиком вторичной сети VLAN. 1. Зарезервированные сети VLAN использовать нельзя. 2.

Нельзя использовать сеть VLAN с идентификатором "1". 3. 4. Если вы используете резервный FWSM в корпусе того же коммутатора, не назначайте сети VLAN, которые предназначены для резерва и отслеживания состояния, порту коммутатора. Однако, если вы используете обеспечение отказоустойчивости устройств, сеть VLAN необходимо включить в магистральный порт между устройствами. Если вы не добавите сети VLAN в коммутатор перед их назначением модулю FWSM, они будут храниться в базе данных модуля Supervisor Engine и переданы в модуль FWSM сразу после добавления в коммутатор. 5. Назначьте сети VLAN модулю FWSM перед тем, как назначить их модулю MSFC. 6.

При несоблюдении этого условия, сети VLAN будут исключены из списка на назначение модулю FWSM. Назначение сетей VLAN модулю FWSM в ПО Cisco IOS: 2. В ПО Cisco IOS создайте до 16 защищенных брандмауэром групп сетей VLAN и затем назначьте эти группы модулю FWSM. Например, можно назначить все сети VLAN одной группе, либо можно создать внешнюю и внутреннюю группы, либо по отдельной группе на каждого клиента. Каждая группа может содержать неограниченное число сетей VLAN. Вы не можете назначить одну и ту же сеть VLAN нескольким защищенным брандмауэром группам; тем не менее, можно назначить несколько таких групп модулю FWSM, либо назначить одну группу нескольким модулям FWSM.

Сети VLAN, которые назначены нескольким модулям FWSM, к примеру, могут находиться в отдельной группе по сравнению с виртуальными ЛВС, которые уникальны для каждого модуля FWSM. Для назначения сетей VLAN модулю FWSM выполните следующую процедуру: 1. Router(config)# firewall vlan-group firewall_group vlan_range vlan_range может обозначать одну или несколько сетей VLAN, например от 2 до 1000 или от 1025 до 4094, обозначенных либо одним числом (n), например 5, 10, 15, либо в виде диапазона (n-x), например 5-10, 10-20. Примечание: Маршрутизируемые порты и WAN-порты потребляют ресурсы внутренних сетей VLAN, так что сети VLAN в диапазоне 1020-1100 могут уже использоваться. Пример:

firewall vlan-group 1 10,15,20,25 Для назначения защищенных брандмауэром групп модулю FWSM выполните следующую процедуру: 2. Router(config)# firewall module module_number vlan-group firewall_group

Стр. 4

Значение firewall_group представляет собой один или несколько номеров групп, как отдельных цифр (n) типа 5, так и диапазонов типа 5-10. Пример: firewall module 1 vlan-group 1 3. Назначение сетей VLAN модулю FWSM в операционной системе Catalyst ПО —В ПО Catalyst OS следует назначить список сетей VLAN модулю FWSM. При желании вы можете назначить одну и ту же сеть VLAN нескольким модулям FWSM. Список может содержать неограниченное число сетей VLAN. Для назначения сетей VLAN модулю FWSM выполните следующую процедуру:

Console> (enable) set vlan vlan_list firewall-vlan mod_num Значение vlan_list может содержать один или несколько номеров сетей VLAN, к примеру, от 2 до 1000 и от 1025 до 4094, обозначенных как отдельными цифрами (n) типа 5, 10, 15, так и диапазонами типа 10-20. 3. Добавление виртуальных интерфейсов SVI к модулю MSFC — сеть VLAN, заданная на модуле MSFC, называется виртуальным интерфейсом коммутатора (SVI). Если вы назначите сеть VLAN, используемую для SVI, модулю FWSM, то MSFC начнет маршрутизацию между модулем FWSM и другими виртуальными ЛВС третьего уровня (L3). По соображениям безопасности, по умолчанию только один SVI может существовать между MSFC и модулем FWSM.

К примеру, при неправильной настройке системы с несколькими SVI трафик может пойти в обход модуля FWSM, если вы назначите модулю MSFC как внутренние, так и внешние сети VLAN. Для настройки SVI выполните следующую процедуру Router(config)# interface vlan vlan_number Router(config-if)# ip address address mask Пример: interface vlan 20 ip address 192.168.1.1 255.255.255.0 Настройка коммутатора серии Catalyst 6500 !--- Output Suppressed firewall vlan-group 1 10,15,20,25 firewall module 1 vlan-group 1 interface vlan 20 ip address 192.168.1.1 255.255.255.0 !--- Output Suppressed Примечание:

При помощи соответствующей команды операционной системы коммутатора установите сеанс его работы с модулем FWSM: ПО Cisco IOS:

Стр. 5