区域策略防火墙设计和应用指引-cisco.pdfVIP

区域策略防火墙设计和应用指南 目录 简介 先决条件 要求 使用的组件 规则 区域策略概述 区域策略配置模型 应用区域策略防火墙的规则 设计区域策略网络安全 在 IPSec VPN 中使用区域策略防火墙 Cisco 策略语言 (CPL) 配置 配置区域策略防火墙的类映射 配置区域策略防火墙的策略映射 配置区域策略防火墙的参数映射 对区域策略防火墙策略应用日志 编辑区域策略防火墙的类映射和策略映射 配置示例 状态检查路由防火墙 状态检查透明防火墙 区域策略防火墙的速度策略 URL 过滤 控制对于路由器的访问 区域防火墙和广域应用程序服务 使用 show 和 debug 命令监控区域策略防火墙 调整区域策略防火墙的拒绝服务保护 附录 附录 A：基本配置 附录 B：最终（完整）配置 附录 C：两个区域的基本区域策略防火墙配置 相关信息 简介 Cisco IOS 软件版本 12.4(6)T 引入了基于区域的策略防火墙 (ZFW)，这是针对 Cisco IOS 防火墙功 能集的一种新配置模型。这种新型配置模型为多接口路由器提供了直观的策略，提高了防火墙策略 应用的精细度，同时提供了一种默认的“全部拒绝”策略，这种策略将禁止防火墙安全区域之间往来 的数据流，除非显式应用策略以允许所需数据流通过。 新的区域策略检查接口支持几乎所有在早于 Cisco IOS 软件版本 12.4(6)T 中实现的传统 Cisco IOS 防火墙功能： 状态数据包检查 VRF 感知 Cisco IOS 防火墙 URL 过滤 拒绝服务 (DoS) 缓解 Cisco IOS 软件版本 12.4(9)T 增加了各类会话/连接以及吞吐量限制的 ZFW 支持，以及应用程序检 查和控制： HTTP 邮局协议 (POP3)、Internet 邮件访问协议 (IMAP)、简单邮件传输协议/增强型简单邮件传输协 议 (SMTP/ESMTP) Sun 远程过程调用 (RPC) 即时消息 (IM) 应用程序：Microsoft MessengerYahoo! MessengerAOL Instant Messenger 点对点 (P2P) 文件共享：BittorrentKazaaGnutellaeDonkey Cisco IOS 软件版本 12.4(11)T 增加了针对早期 DoS 保护调整的统计数据。 在 Cisco IOS 软件版本 12.4(15)T 的 ZFW 中不支持的一些 Cisco IOS 传统防火墙特性和功能有： 身份验证代理 状态防火墙故障切换 统一防火墙 MIB IPv6 状态检查 TCP 无序支持 ZFW 从总体上改进了大多数 Cisco IOS 防火墙检查活动的性能。 Cisco IOS ZFW 和传统防火墙均不提供多播数据流的状态检查支持。 先决条件 要求 本文档没有任何特定的要求。 使用的组件 本文档不限于特定的软件和硬件版本。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 区域策略概述 Cisco IOS 传统防火墙状态检查（以前称为基于上下文的访问控制，简称 CBAC）使用了一种基于 接口的配置模型，在这种模型中将对接口应用状态检查策略。所有通过此接口的数据流都将获得相 同的检查策略。这种配置模型限制了防火墙策略的精细度，并导致了防火墙策略应用的混乱，尤其 当必须在多个接口间应用防火墙策略时。 区域策略防火墙（也称为区域-策略防火墙，简称 ZFW）弃用了传统的基于接口的防火墙配置模型 ，而改用更加灵活并且易于理解的区域模型。这种模型首先将接口指定给区域，然后对区域之间往 来的数据流应用检查策略。区域间策略提供了极大的灵活性和精细度，因此您可以对连接到相同路 由器接口的多个主机组应用不同的检查策略。 防火墙策略使用 Cisco® 策略语言 (CPL) 配置，这种语言使用分层结构来定义要应用于网络协议的 检查策略以及要应用此检查策略的主机组。 区域策略配置模型 相对 Cisco IOS 传统防火墙而言，ZFW 完全改变了 Cisco IOS 防火墙检查的配置方式。 这种防火墙配置的第一个重大变化是引入了基于区域的配置。Cisco IOS 防火墙是首个实现区域配 置模型的 Cisco IOS 软件威胁防御功能。随着时间推移，将来其他功能也可能采用这种区域模型。 使用 ip inspect 命令集的 Cisco IOS 传统防火墙状态检查（或 CB