Routed Mode
Transparent Mode
Байду номын сангаас
• 防火墙可以运行两种模式： 防火墙可以运行两种模式： – 路由模式：基于IP 路由模式：基于 – 透明模式：基于 基于MAC地址 地址
北京八维网络工程学院
透明防火墙定义 • 在网络中容易维护: –不需要IP地址 –不需要NAT –不需要路由协议
北京八维网络工程学院
第十三课 防火墙透明模式 的应用原理
北京八维网络工程学院
© 2005 Cisco Systems, Inc. All rights reserved. SNPA v4.0—14-1
学习目标
• 介绍透明模式的含义及在PIX上应用的意义，在实际应 用中路由模式和透明模式工作区别和对网络架构的影响。
北京八维网络工程学院
透明防火墙不支持的特性
– – – – – – – NAT Dynamic routing protocols IPv6 DHCP relay QoS Multicast VPN termination for through traffic
VLAN 100 10.0.1.0
VLAN 200 10.0.1.0
fw1(config)# access-list ACLIN permit icmp 10.0.1.0 255.255.255.0 10.0.1.0 255.255.255.0 fw1(config)# access-group ACLIN in interface inside fw1(config)# access-group ACLIN in interface outside
课程内容
• • • • 1、理解透明防火墙 2、透明模式下不支持的特性 3、透明模式下VLAN的划分 4、配置透明防火墙
北京八维网络工程学院
透明模式对路由模式
10.0.1.0 VLAN 100 VLAN 100 10.0.1.0
10.0.2.0 VLAN 100
VLAN 200 10.0.1.0
开启透明防火墙模式
10.0.1.0 VLAN 100 VLAN 100 10.0.1.0
10.0.2.0 VLAN 100
VLAN 200 10.0.1.0 Transparent Mode
Routed Mode
firewall(config)#
firewall transparent
使用 no firewall transparent 可以返回路由模式
Transparent Mode
北京八维网络工程学院
查看防火墙当前模式
10.0.1.0 VLAN 100 VLAN 100 10.0.1.0
10.0.2.0 VLAN 100 Routed Mode
?
VLAN 200 10.0.1.0 Transparent Mode
firewall#
show firewall fw1# show firewall Firewall mode: Transparent 北京八维网络工程学院
fw1(config)# firewall transparent Switched to transparent mode 北京八维网络工程学院
指定管理IP地址 指定管理 地址
firewall#
ip address ip_address [mask] [standby ip_address]
– 在路由模式下，IP地址是在接口模式下 – 在透明模式下，IP地址是在全局模式下
10.0.1.10
VLAN 100 10.0.1.0 Transparent Mode Management IP Address 10.0.1.1 VLAN 200 10.0.1.0
IP–10.0.1.4 IP–10.0.1.3 北京八维网络工程学院 Gateway – 10.0.1.10 Gateway – 10.0.1.10
VLAN 100 10.0.1.0 Layer 2 Device
VLAN 200 10.0.1.0
Transparent Mode
北京八维网络工程学院
透明模式概述
Internet
– 三层流量必需明确指定 是允许还是拒绝 – 每个方向的连接必须在 同一网段 – 如果你需要telnet到这 台设备上，那么还需要 配置一个管理地址 – 管理IP地址必须在同一 子网 – 每个接口必须在不同的 VLAN
Configure ACLS
VLAN 100 10.0.1.0
10.0.1.11
VLAN 200 10.0.1.0
Internet
10.0.1.2
firewall(config)#
– 定义哪些流量可以穿越防火墙. – 默认情况下，不管接口有没有安全级别，流量都是不可以穿越 防火墙的，所有我们要明确放行inside和outside的流量。
fw1# ip address 10.0.1.1 255.255.255.0 fw1# show ip address Management System IP Address: ip address 10.0.1.1 255.255.255.0 Management Current IP Address: ip address 10.0.1.1 255.255.255.0 北京八维网络工程学院