Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Configuration

Diagramme du réseau

Configuration

Vérification

Dépannage

Informations connexes

Introduction

Cet exemple de configuration fonctionne pour un très petit bureau qui se connecte directement à Internet, en supposant que le service DNS (Domain Name Service), le protocole SMTP (Simple Mail Transfer Protocol) et les services Web sont fournis par un système distant exécuté par le fournisseur d'accès Internet (FAI). Il n’existe aucun service sur le réseau interne et seulement deux interfaces. Il n'existe pas non plus de journalisation, car aucun hôte n'est disponible pour fournir des services de journalisation.

Puisque cette configuration utilise uniquement des listes d’accès d’entrée, elle effectue à la fois un anti-usurpation et un filtrage du trafic avec la même liste d’accès. Cette configuration ne fonctionne que pour un routeur à deux ports. Ethernet 0 est le réseau interne. Serial 0 est une liaison Frame Relay vers le FAI.

Référez-vous à Configuration de pare-feu Cisco IOS pour deux interfaces avec NAT afin de configurer un routeur à deux interfaces avec NAT à l'aide d'un pare-feu Cisco IOS®.

Référez-vous à Routeur à trois interfaces sans configuration de pare-feu Cisco IOS NAT afin de configurer un routeur à trois interfaces sans NAT à l'aide d'un pare-feu Cisco IOS.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations de ce document s'appliquent aux versions logicielles et matérielles suivantes :

- Logiciel Cisco IOS® Version 12.2(15)T13, pris en charge par le logiciel Cisco IOS Version 11.3.3.T

- Routeur Cisco 2611

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Configuration

Ce document utilise la configuration suivante :

Routeur 2514

version 12.2

!

service password-encryption

no service udp-small-servers

no service tcp-small-servers

no cdp run

!

hostname cbac-cisco

!

no ip source-route

!

enable secret 5 $1$FrMn$wBu0Xgv/Igy5Y.DarCmrm/

!

username cisco privilege 15 password 7 0822455D0A16

no ip source-route

ip domain-name cisco.com

ip name-server 172.16.150.5

!

!--- Set up inspection list "myfw". !--- Inspect for the protocols that actually get used.

!

ip inspect name myfw cuseeme timeout 3600

ip inspect name myfw ftp timeout 3600

ip inspect name myfw http timeout 3600

ip inspect name myfw rcmd timeout 3600

ip inspect name myfw realaudio timeout 3600

ip inspect name myfw smtp timeout 3600

ip inspect name myfw tftp timeout 30

ip inspect name myfw udp timeout 15

ip inspect name myfw tcp timeout 3600

!

interface Ethernet0/0

description Cisco Ethernet RTP

ip address 10.20.20.20 255.255.255.0

no ip directed-broadcast

!

!--- Apply the access list in order to allow all legitimate traffic !--- from the inside network but prevent spoofing.

!

ip access-group 101 in

!

no ip proxy-arp

!

!--- Apply inspection list "myfw" to Ethernet 0 inbound. !--- When conversations are initiated from the internal network !--- to the outside, this inspection list causes temporary additions !--- to the traffic allowed in by serial interface 0 acl 111 when !--- traffic returns in response to the initiation.

!

ip inspect myfw in

no ip route-cache

!

no cdp enable

!

interface Serial0/0

description Cisco FR

ip address 172.16.150.1 255.255.255.0

encapsulation frame-relay IETF

no ip route-cache

no arp frame-relay

bandwidth 56

service-module 56 clock source line

service-module 56k network-type dds

frame-relay lmi-type ansi

!

!--- Access list 111 allows some ICMP traffic and administrative Telnet, !--- and does anti-spoofing. There is no inspection on Serial 0. !--- However, the inspection on the Ethernet interface adds temporary entries !--- to this list when hosts on the internal network make connections !--- out through the Frame Relay.

!

ip access-group 111 in

no ip directed-broadcast

no ip route-cache

bandwidth 56

no cdp enable

frame-relay interface-dlci 16

!

ip classless

ip route 0.0.0.0 0.0.0.0 Serial0

!

!--- Access list 20 is used to control which network management stations !--- can access through SNMP.

!

access-list 20 permit 172.16.150.8

!

!--- The access list allows all legitimate traffic from the inside network !--- but prevents spoofing.

!

access-list 101 permit tcp 172.16.150.0 0.0.0.255 any

access-list 101 permit udp 172.16.150.0 0.0.0.255 any

access-list 101 permit icmp 172.16.150.0 0.0.0.255 any

!--- This deny is the default.

access-list 101 deny ip any any

!

!--- Access list 111 controls what can come from the outside world !--- and it is anti-spoofing.

!

access-list 111 deny ip 127.0.0.0 0.255.255.255 any

access-list 111 deny ip 172.16.150.0 0.0.0.255 any

!

!--- Perform an ICMP stuff first. There is some danger in these lists. !--- They are control packets, and allowing *any* packet opens !--- you up to some possible attacks. For example, teardrop-style !--- fragmentation attacks can come through this list.

!

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 administratively-prohibited

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 echo

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 echo-reply

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 packet-too-big

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 time-exceeded

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 traceroute

access-list 111 permit icmp any 172.16.150.0 0.0.0.255 unreachable

!

!--- Allow Telnet access from 10.11.11.0 corporate network administration people.

!

access-list 111 permit tcp 10.11.11.0 0.0.0.255 host 172.16.150.1 eq telnet

!

!--- This deny is the default.

!

access-list 111 deny ip any any

!

!--- Apply access list 20 for SNMP process.

!

snmp-server community secret RO 20

!

line con 0

exec-timeout 5 0

password 7 14191D1815023F2036

login local

line vty 0 4

exec-timeout 5 0

password 7 14191D1815023F2036

login local

length 35

end

Vérification

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Après avoir configuré le routeur de pare-feu IOS, si les connexions ne fonctionnent pas, assurez-vous que vous avez activé l'inspection avec la commande ip inspect (nom défini) dans ou out sur l'interface. Dans cette configuration, ip inspect myfw in est appliquée à l'interface Ethernet0/0.

Pour ces commandes, ainsi que d'autres informations de dépannage, référez-vous à Dépannage du proxy d'authentification.

Note : Reportez-vous à Informations importantes sur les commandes de débogage avant d'émettre des commandes de débogage.

Informations connexes

- Page de support pour le pare-feu d'IOS

- Support et documentation techniques - Cisco Systems