Różnice

Różnice między wybraną wersją a wersją aktualną.

--- notatki:cisco_zbf [2025/05/16 16:52] – utworzono administrator
+++ notatki:cisco_zbf [2025/05/16 17:24] (aktualna) – administrator
@@ Linia 1: / Linia 1: @@
-====== Konfiguracja Cisco Zone-Based Firewall (ZBF) ======
+====== Cisco: Konfiguracja Zone-Based Firewall (ZBF) ======
-=== 1. Wprowadzenie ===
+=== Wprowadzenie ===
 Zone-Based Firewall (ZBF) to nowoczesne podejście do filtrowania ruchu w routerach Cisco, zastępujące klasyczne ACL i CBAC. Bazuje na przydzieleniu interfejsów do stref (zones), a następnie definiowaniu polityk między strefami.
-=== 2. Kroki konfiguracji ===
+=== Kroki konfiguracji ===
-== 2.1 Tworzenie stref ==
+==  Tworzenie stref ==
 Zdefiniuj strefy, do których przypiszesz interfejsy: <code>
 zone security ZONA-WEW
 zone security ZONA-INTERNET </code>
-== 2.2 Przypisanie interfejsów do stref == <code>
+== Przypisanie interfejsów do stref ==
+<code>
 interface GigabitEthernet0/0
 zone-member security ZONA-WEW
@@ Linia 18: / Linia 19: @@
 zone-member security ZONA-INTERNET </code>
-== 2.3 Tworzenie klasy ruchu ==
+== Tworzenie klasy ruchu ==
 Określ, jaki typ ruchu będzie rozpoznawany: <code>
 class-map type inspect match-any CMAP-WWW
@@ Linia 24: / Linia 25: @@
 match protocol https </code>
-== 2.4 Tworzenie polityki ruchu == <code>
+== Tworzenie polityki ruchu ==
+<code>
 policy-map type inspect PMAP-WEW-INTERNET
 class type inspect CMAP-WWW
@@ Linia 31: / Linia 33: @@
 drop </code>
-== 2.5 Powiązanie polityki z ruchem między strefami == <code>
+== Powiązanie polityki z ruchem między strefami ==
+<code>
 zone-pair security ZP-WEW-DO-INTERNET source ZONA-WEW destination ZONA-INTERNET
 service-policy type inspect PMAP-WEW-INTERNET </code>
-=== 3. Weryfikacja === <code>
+=== Weryfikacja ===
+<code>
 show zone security
 show zone-pair security
 show policy-map type inspect zone-pair </code>
-=== 4. Uwagi ===
+=== Uwagi ===
-* Jeśli interfejs nie należy do żadnej strefy, to nie może wymieniać ruchu z żadnym innym interfejsem.
+  * Jeśli interfejs nie należy do żadnej strefy, to nie może wymieniać ruchu z żadnym innym interfejsem.
-* Komenda `inspect` oznacza zezwolenie i śledzenie sesji.
+  * Komenda `inspect` oznacza zezwolenie i śledzenie sesji.
-* Komenda `drop` blokuje nieokreślony ruch domyślnie.
+  * Komenda `drop` blokuje nieokreślony ruch domyślnie.
-=== 5. Przykład rozszerzenia ===
+=== Przykład rozszerzenia ===
 Dodanie reguły dla ICMP: <code>
 class-map type inspect match-any CMAP-PING
@@ Linia 58: / Linia 62: @@
 class class-default
 drop </code>
+====== Przykład konfiguracji ======
+{{:notatki:pasted:20250516-171827.png}}
+konfiguracja routera:
+<code>
+*Mar  1 00:20:35.819: %SYS-5-CONFIG_I: Configured from console by console
+R1#show running-config
+Building configuration...
+Current configuration : 1701 bytes
+!
+version 12.4
+service timestamps debug datetime msec
+service timestamps log datetime msec
+no service password-encryption
+!
+hostname R1
+!
+boot-start-marker
+boot-end-marker
+!
+!
+no aaa new-model
+memory-size iomem 5
+no ip icmp rate-limit unreachable
+ip cef
+!
+!
+!
+!
+no ip domain lookup
+!
+multilink bundle-name authenticated
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+archive
+ log config
+  hidekeys
+!
+!
+!
+!
+ip tcp synwait-time 5
+!
+class-map type inspect match-any TELNET-CLASS
+ match protocol telnet
+!
+!
+policy-map type inspect POLICY-INSIDE-TO-OUTSIDE
+ class type inspect TELNET-CLASS
+  inspect
+ class class-default
+  drop
+!
+zone security INSIDE
+zone security OUTSIDE
+zone-pair security ZP-INSIDE-OUTSIDE source INSIDE destination OUTSIDE
+ service-policy type inspect POLICY-INSIDE-TO-OUTSIDE
+!
+!
+!
+!
+interface FastEthernet0/0
+ ip address 1.0.0.1 255.255.255.0
+ zone-member security INSIDE
+ duplex auto
+ speed auto
+!
+interface Serial0/0
+ no ip address
+ shutdown
+ clock rate 2000000
+!
+interface FastEthernet0/1
+ ip address 2.0.0.1 255.255.255.0
+ zone-member security OUTSIDE
+ duplex auto
+ speed auto
+!
+interface Serial0/1
+ no ip address
+ shutdown
+ clock rate 2000000
+!
+interface Serial0/2
+ no ip address
+ shutdown
+ clock rate 2000000
+!
+interface FastEthernet1/0
+ no ip address
+ shutdown
+ duplex auto
+ speed auto
+!
+interface FastEthernet2/0
+ no ip address
+ shutdown
+ duplex auto
+ speed auto
+!
+ip forward-protocol nd
+!
+!
+no ip http server
+no ip http secure-server
+!
+no cdp log mismatch duplex
+!
+!
+!
+!
+!
+!
+control-plane
+!
+!
+!
+!
+!
+!
+!
+!
+!
+!
+line con 0
+ exec-timeout 0 0
+ privilege level 15
+ logging synchronous
+line aux 0
+ exec-timeout 0 0
+ privilege level 15
+ logging synchronous
+line vty 0 4
+ login
+!
+!
+end
+</code>
+Test:
+<code>
+R3# ping 2.0.0.2
+Type escape sequence to abort.
+Sending 5, 100-byte ICMP Echos to 2.0.0.2, timeout is 2 seconds:
+.....
+Success rate is 0 percent (0/5)
+R3#telnet 2.0.0.2
+Trying 2.0.0.2 ... Open
+User Access Verification
+Username: admin
+Password:
+R2>
+</code>

Kacper's Wiki

Narzędzia użytkownika

Narzędzia witryny

Różnice

Narzędzia strony