Cisco 827 + NAT как сделать DMZ
Модератор: Модераторы
Сообщений: 12
• Страница 1 из 2 • 1, 2
- neos
- Пользователь
- Сообщения: 82
- Зарегистрирован: 16 сен 2004, 15:32
- Откуда: Краснодарский край
neos » 11 апр 2005, 10:46
Есть такая циска, есть реальный IP(62.183.1.х) и внутренние IP(10.10.1.х), и Веб сервер IP(192.168.5.1).Циска подключена к хабу от хаба идут два кабеля на (10.10.1.х) и (192.168.5.1) Как сделать так, что бы при поступлении запроса из вне по 80 порту циска кидала его на 192.168.1.5 и блокировала на 10.10.1.х И вообще возможно ли такое?
ЦЕЛЬ: Нужно поставить Веб сервер и что бы с безопасностью было нормально.
Да и еще: на эту циску можно попасть по средствам http?
ЦЕЛЬ: Нужно поставить Веб сервер и что бы с безопасностью было нормально.
Да и еще: на эту циску можно попасть по средствам http?
Глупость - это не отсутствие ума, а такой ум.
Harry33 » 11 апр 2005, 13:18
Сколько внешних IP у тебя есть?
Тебе надо настроить порт маппинг.
Подробности тут
http://www.cisco.com/en/US/products/sw/ ... html#29211
Тебе надо настроить порт маппинг.
Подробности тут
http://www.cisco.com/en/US/products/sw/ ... html#29211
Знания, которые нельзя применить - бесполезны
- neos
- Пользователь
- Сообщения: 82
- Зарегистрирован: 16 сен 2004, 15:32
- Откуда: Краснодарский край
neos » 11 апр 2005, 17:06
А у тебя случаем нет Fast Step. Если есть скинь плиз sysadm@kuban.imango.ru
Глупость - это не отсутствие ума, а такой ум.
- biruk
- Активный пользователь
- Сообщения: 1134
- Зарегистрирован: 19 июл 2004, 11:30
- Откуда: Москва
biruk » 11 апр 2005, 18:05
| Цитата (neos @ 11.04.2005 - 09:46) | ||||
| Есть такая циска, есть реальный IP(62.183.1.х) и внутренние IP(10.10.1.х), и Веб сервер IP(192.168.5.1).Циска подключена к хабу от хаба идут два кабеля на (10.10.1.х) и (192.168.5.1) Как сделать так, что бы при поступлении запроса из вне по 80 порту циска кидала его на 192.168.1.5 и блокировала на 10.10.1.х И вообще возможно ли такое?
[/quote] возможно, но не кузяво. похоже эта циска не понимает vlan'ы а без них dmz будет кривоватой... т.е. придется ставить еще один межсетевой экран между dmz и inside ........................... +-----+ Outside ---62.183.1.0/x-----| 827 |-------- [192.168.5.0/24 + 10.10.1.0/24]---> Inside ............................+-----+ как видно обе сети dmz и inside полклбчаются к хабу/свичу который находится в локалке. В случае взлома сервера в dmz - локалка ничем не защищается. крайне желательно поставить еще один МЭ/прокси между dmz и inside ........................... +-----+..............................+-----+ Outside ---62.183.1.0/x-----| 827 |-------- [192.168.5.0/24]---> [proxy]-----[10.10.1.0/24]---Inside ............................+-----+..............................+-----+ вот. а как технически настроить циску - это просто: вот так настривается второй ip на субинтерфейсах int fa0.192 ip addr 192.168.5.254 255.255.255.0 int fa0.10 ip addr 10.10.10.254 255.255.255.0 если на циске софт фиревольный, то надо настроить inspect'ы и access-list'ы с учетом этого факта. а по вышеприведенной ссылки как раз про настройки дополнительных портов для протоколов 
т.е по умолчению, ip inspect name FW http проверяет траффик tcp/80 а порт-маппинг расширяет действие фиревало на другие порты, например ip port-map http port 8080 ip port-map http port 3128 будет проверять и траффик идущий через прокси. а статический нат будет выглядеть приблизительно так: ip nat outside source static tcp 62.183.1.1 80 192.168.5.1 80 вот. PS: циски такой нет, проверить не на чем, могу и ошибаться. поправьте если я не прав. Trust me - i know what i’m doing © Sledge Hummer
Всем спасибо. Что касается защищенности (по последнему посту) , то тут согласен. Защищенности никакой. Потому решил поднять нат на Циске.
В прокси воткнуть еще одну сетевку. И сделать примерно так. ........................... +-----+..............................+-----+ Outside ---62.183.1.0/x-----| 827 |---> [proxy]-----[10.10.1.0/24]---Inside \ ------[12.12.1.1/24]--веб сервер ............................+-----+..............................+-----+ Как вы считаете - это практично будет? Глупость - это не отсутствие ума, а такой ум.
|
Короче ------[12.12.1.1/24]--веб сервер - это от прокси