VLAN1 接口和 VLAN2 接口通过网桥虚拟接口 (BVI1) 与其他网络通信。 此接口被指定给专用区域。(请参阅图 2。)
图2:区域拓扑细节
针对上面定义的网络区域应用了以下策略:
Internet 区域主机可以访问一台 DMZ 服务器上的 DNS、SMTP 和SSH 服务。另一台服务器将提供 SMTP、HTTP 和HTTPS 服务。防火墙策略将限制对每台主机上的特定服务的访问。
DMZ 主机不能连接到位于任何其他区域中的主机。
客户端区域主机可以连接到服务器区域主机的所有 TCP、UDP 和ICMP 服务。
服务器区域主机不能连接到客户端区域主机,但基于 UNIX 的应用程序服务器可以在客户端区域的桌面 PC 上通过 6900 到6910 端口打开 X Windows 服务器到 X Windows 客户端的会话。
位于专用区域中的所有主机(客户端和服务器)都可以使用 SSH、FTP、POP、IMAP、ESMTP 和HTTP 服务访问 DMZ 中的主机,并且可以使用 HTTP、HTTPS 和DNS 服务和 ICMP 访问 Internet 区域中的主机。此外,应用检测将应用于从专用区域到互联网区域的HTTP连接,以确保支持的即时消息和P2P应用不会在端口80上传输。(请参阅图3。)
图3:要在配置示例中应用的区域对服务权限
按照复杂性顺序配置了以下防火墙策略:
客户端-服务器 TCP/UDP/ICMP 检查
专用-DMZ SSH/FTP/POP/IMAP/ESMTP/HTTP 检查
通过主机地址限制的 Internet-DMZ SMTP/HTTP/DNS 检查
利用端口-应用程序映射 (PAM) 指定的服务执行的服务器-客户端 X Windows 检查
专用-Internet HTTP/HTTPS/DNS/ICMP 使用的 HTTP 应用程序检查
由于您将在不同时间对不同网段应用各个配置部分,因此请务必记住当您将网段放入区域中时,该网段将丢失与其他网段的连接。例如,在配置专用区域后,如果不定义相应的策略,专用区域中的主机将丢失与 DMZ 区域和 Internet 区域的连接。
状态检查路由防火墙
配置专用 Internet 策略
图4介绍了专用 Int