Политики безопасности компании при работе в Интернет

static (Management, AdminDMZ) 172.16.6.0 172.16.6.0 netmask 255.255.255.0

static (Management, WebDMZ) 172.16.6.0 172.16.6.0 netmask 255.255.255.0

static (Management, ServiceDMZ) 172.16.6.0 172.16.6.0 netmask 255.255.255.0

static (Management, SecureData) 172.16.6.0 172.16.6.0 netmask 255.255.255.0

static (SecureData, WebDMZ) 172.16.5.0 172.16.5.0 netmask 255.255.255.0

static (Internal, Management) 172.16.16.0 172.16.16.0 netmask 255.255.248.0

static (Internal, ServiceDMZ) 172.16.16.0 172.16.16.0 netmask 255.255.248.0

Конфигурация списков контроля доступа. Для прохождения трафика необходимо сконфигурировать списки контроля доступа для каждого интерфейса.

Межсетевые экраны PIX отличаются от Check Point тем, что требуют создания списков контроля доступа для каждого интерфейса. Используется табл. 4.6.

Таблица 4.6. Списки контроля доступа

Продолжение табл. 4.6

Продолжение табл. 4.6

Окончание табл. 4.6

Turbo ACL. Для ускорения обработки списков контроля доступа используется возможность PIX по компилированию списков контроля доступа. Включается эта возможность следующей командой:

access-list compiled

Группирование объектов. Возможность группирования объектов PIX позволяет улучшить читабельность списков контроля доступа, ускорить создание похожих записей в списках контроля доступа:

...

object-group network WebDMZServers

network-object 172.16.3.16 255.255.255.248

network-object 172.16.3.24 255.255.255.248

network-object 172.16.3.64 255.255.255.248

object-group network AdminDMZNet

network-object 70.70.70.16 255.255.255.252

network-object 172.16.1.8 255.255.255.248

object-group network AdminDMZAll

network-object 172.16.1.4 255.255.255.252

group-object AdminDMZNet

object-group network WindowsTS

group-object WebDMZServers

network-object 172.16.4.112 255.255.255.252

network-object 172.16.5.0 255.255.255.0

network-object 172.16.16.16 255.255.248.0

object-group service FW1-In tcp

port-object eq 256

port-object eq 258

port-object eq 18191

port-object eq 18192

port-object eq 18211

object-group service FW1-Out tcp

port-object eq 256

port-object eq 257

port-object eq 18210

Списки контроля доступа для интерфейса AdminDMZ:

...

access-list AdminDMZ-ACL permit udp object-group AdminDMZNet host 172.16.6.25 eq514

access-list AdminDMZ-ACL permit top 172.16.1.4 255.255.255.252 host 172.16.6.13 object-group FWl-Out

access-list AdminDMZ-ACL permit udp 172.16.1.4 255.255.255.252 host 172.16.6.13 eq 259

access-list AdminDMZ-ACL permit udp object-group AdminDMZAll host 172.16.6.33 eql62

access-list AdminDMZ-ACL permit udp object-group AdminDMZAll host 172.16.6.41 eql23

access-list AdminDMZ-ACL permit top 70.70.70.16 255.255.255.252 host 172.16.6.21 eq 49

access-list AdminDMZ-ACL deny ip any any

Списки контроля доступа для интерфейса WebDMZ:

...