保护PIX防火墙和HTTP/FTP服务器以及防卫欺骗攻击(见存取列表):
enable secret xxxxxxxxxxx
interface Ethernet 0
ipaddress 131.1.23.1255.255.255.0
interface Serial 0
ip unnumbered ethernet 0
ipaccess-group 110 in
禁止任何显示为来源于路由器RTRA和PIX防火墙之间的信息包，这可以防止欺骗攻击:
access-list 110 deny ip 131.1.23.00.0.0.255 anylog
防止对PIX防火墙外部接口的直接攻击并记录到系统日志服务器任何企图连接PIX防火墙外部接口的事件:
access-list 110 deny ip anyhost 131.1.23.2log
允许已经建立的TCP会话的信息包通过:
access-list 110 permit tcp any 131.1.23.00.0.0.255 established
允许和FTP/HTTP服务器的FTP连接:
access-list 110 permit tcp anyhost 131.1.23.3 eqftp
允许和FTP/HTTP服务器的FTP数据连接:
access-list 110 permit tcp anyhost 131.1.23.2 eqftp-data
允许和FTP/HTTP服务器的HTTP连接:
access-list 110 permit tcp anyhost 131.1.23.2 eqwww
禁止和FTP/HTTP服务器的别的连接并记录到系统日志服务器任何企图连接FTP/HTTP的事件:
access-list 110 deny ip anyhost 131.1.23.2log
允许其他预定在PIX防火墙和路由器RTRA之间的流量:
access-list 110 permit ip any 131.1.23.00.0.0.255
限制可以远程登录到此路由器的IP地址:
line vty 04
login
password xxxxxxxxxx
access-class 10 in
只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改:
access-list 10 permit ip 131.1.23.11
路由器RTRB
----RTRB是内部网防护路由器，它是你的防火墙的最后一道防线，是进入内部网的入口。
记录此路由器上的所有活动到网管工作站上的日志服务器，包括配置的修改:
logging trap debugging
logging 10.14.8.50
允许通向网管工作站的系统日志信息:
interface Ethernet 0
ipaddress 10.10.254.2 255.255.255.0
no ip proxy-arp
ip access-group 110 in
access-list 110 permit udp host 10.10.254.0 0.0.0.255
禁止所有别的从PIX防火墙发来的信息包:
access-list 110 deny ip anyhost 10.10.254.2 log
access-list permit tcp host 10.10.254.31 0.0.0.0 0.255.255.255 eq smtp
禁止别的来源与邮件服务器的流量:
access-list deny ip host10.10.254.31 0.0.0.0 0.255.255.255
防止内部网络的信任地址欺骗:
access-list deny ip any 10.10.254.0 0.0.0.255
允许所有别的来源于PIX防火墙和路由器RTRB之间的流量:
access-list permit ip 10.10.254.0 0.0.0.255 10.0.0.0 0.255.255.255
限制可以远程登录到此路由器上的IP地址:
line vty 04
login
password xxxxxxxxxx
access-class 10 in
只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改:
access-list 10 permit ip 10.14.8.50
----按以上设置配置好PIX防火墙和路由器后，PIX防火墙外部的攻击者将无法在外部连接上找到可以连接的开放端口，也不可能判断出内部任何一台主机的IP地址，即使告诉了内部主机的IP地址，要想直接对它们进行Ping和连接也是不可能的。这样就可以对整个内部网进行有效的保护。
更多内容请看Cisco IOS技术手册 Cisco防火墙安装配置 CISCO防火墙产品专题，或进入讨论组讨论。
·路由安全配置专题 (11376篇文章)
·电子邮件安全 (8020篇文章)
·SSH安全技术 (7862篇文章)
·数据库安全技术专题 (12706篇文章)
·Linux防火墙 (9230篇文章)
·FreeBSD系统安全管理 (8439篇文章)
·局域网安全管理 (9145篇文章)
·Windows操作系统安全集 (17896篇文章)
·数据库安装与卸载 (10330篇文章)
·李进良：WiMAX成为3G标准将影响中国TD发展 (20次浏览)
·3G将是中国互联网最强劲的增长点 (19次浏览)
·中国不支持WiMAX成3G标准 (18次浏览)
·中国3G终端瓶颈被突破 巨头谋划抢滩市场 (16次浏览)
·联通未获香港3G牌照或考虑与电盈合作 (13次浏览)
·中国移动计划内地上市 称已做好建3G网络准备 (12次浏览)
·希捷关注机顶盒 将参加IPTV全球论坛亚洲年会 (12次浏览)
·WiMax成第四大3G标准 TD将受冲击 (11次浏览)
·上海贝尔阿尔卡特9110E GSM微蜂窝基站 (10次浏览)
·中兴3G核心网及其演进策略 12-08
·Rotani 推出WiFi IPTV技术 12-08
·专家指出IPv4到IPv6宜平稳过渡 12-08
·产业链协作力推3G低价手机掀浪潮 12-08
·爱立信CEO：中国3G牌照要到明年发放 12-08
·中兴获中移动巴基斯坦GSM扩容最大定单 12-08
·广东手机上网资费再降 运营商3G前夕加紧圈地 12-08
·中国电子报：室内覆盖从2G向3G跨越 12-08
·3G先锋融资3300万美元 12-08
