Пример конфигурации брандмауэра Cisco Systems

[DRON-ANARCHY]

Может это, конечно и оффтоп...не знаю. Но может кому-нибудь пригодиться:)


! Определение правила myfw
! При этом Java-апплеты разрешены в соответствии
! со списком доступа 51
!
ip inspect name myfw cuseeme timeout 3600
ip inspect name myfw ftp timeout 3600
ip inspect name myfw http java-list 51 timeout 3600
ip inspect name myfw rcmd timeout 3600
ip inspect name myfw realaudio timeout 3600
ip inspect name myfw smtp timeout 3600
ip inspect name myfw tftp timeout 30
ip inspect name myfw udp timeout 15
ip inspect name myfw tcp timeout 3600
ip inspect name myfw rpc program-number 100003
ip inspect name myfw rpc program-number 100005
ip inspect name myfw rpc program-number 100021
!
! Применение правила myfw к трафику, входящему на Ethernet0
! Также добавлен 101 список. Весь трафик, пропущенный
! данным списком будет анализироваться CBAC
!
interface Ethernet0
ip address 172.19.139.253 255.255.255.0
ip broadcast-address 172.19.139.255
no ip directed-broadcast
no ip proxy-arp
ip inspect myfw in
ip access-group 101 in
no ip route-cache
no cdp enable
!
! Конфигурация Serial0 включает 111 список доступа для входящего трафика
! При проверке CBAC трафика исходящего из сети будут создаваться
! временные разрешения, добавляемые к этому списку
!
interface Serial0
ip unnumbered Ethernet0
ip access-group 111 in
no ip route-cache
bandwidth 56
no cdp enable
!
ip classless
ip route 0.0.0.0 0.0.0.0 Serial0
!
! Список 51 определяет "дружественные" and "hostile" сайты для Java-апплетов
!
access-list 51 deny 172.19.1.203
access-list 51 deny 172.19.2.147
access-list 51 permit 172.19.140.0 0.0.0.255
access-list 51 permit 192.168.1.0 0.0.0.255
access-list 51 deny any
!
! Список 101 применен выше к интерфейсу Ethernet0.
! Он разрешает трафик, анализируемый CBAC а также
! обеспечивает anti-spoofing.
!
access-list 101 permit tcp 172.19.139.0 0.0.0.255 any
access-list 101 permit udp 172.19.139.0 0.0.0.255 any
access-list 101 permit icmp 172.19.139.0 0.0.0.255 any
access-list 101 deny ip any any
!
! Список 111 применен к интерфейсу Serial0 и фильтрует трафик,
! приходящий снаружи.
! При функционировании CBAC временные разрешения могут
! добавляться к началу данного списка, чтобы пропустить
! обратный трафик извне.
! Этот список ограничивает трафик, анализируемый CBAC
!
! Нижеперечисленные статические правила демонстрируют хороший стиль защиты
!
! Anti-spoofing.
access-list 111 deny ip 172.19.139.0 0.0.0.255 any
! Порт 22 для SSH... зашифрован, поэтому разрешить вход
access-list 111 permit tcp 172.19.140.1 host 172.19.139.2 eq 22
! Динамическая маршрутизация EIGRP разрешена
access-list 111 permit igrp any any
! Разрешить administratively-prohibited для ICMP
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 administratively-prohibited
! Разрешить ping сети удаленным администраторам
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 echo
! Разрешить возврат echo-reply для исходящего ping
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 echo-reply
! ICMP может получить сообщение типа packet too-big
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 packet-too-big
! Исходящая трассировка требует возврата сообщений типа time-exceeded
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 time-exceeded
! Разрешена трассировка
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 traceroute
! Разрешены ответы по ICPM типа unreachables
access-list 111 permit icmp any 172.19.139.0 0.0.0.255 unreachable
! Разрешен доступ по Telnet для избранных
access-list 111 permit tcp 172.19.140.32 0.0.0.31 host 172.19.139.1 eq telnet
! Запретить все остальное
access-list 111 deny ip any any
!
no cdp run
snmp-server community <elided> RO
!
line con 0
exec-timeout 0 0
password <elided>
login local

* * * *
!
scheduler interval 500
end