防火墻的透明模式
特性介紹:從PIX 7.0和FWSM 2.2開始防火墻可以支持透明的防火墻模式,接口不需要配置地址信息,工作在二層。只支持兩個接口inside和outside,當然可以配置一個管理接口,但是管理接口不能用于處理用戶流量,在多context模式下不能復(fù)用物理端口。
由于連接的是同一地址段的網(wǎng)絡(luò),所以不支持NAT,雖然沒有IP地址但是同樣可以配置ACL來檢查流量。進入交換機防火墻配置 Firewall(config)# firewall transparent(show firewall 來驗證當前的工作模式,由于路由模式和透明模式工作方式不同,所以互相切換的時候會清除當前配置文件)。
交換機防火墻配置接口 Firewall(config)# interface hardware-id
Firewall(config-if)# speed {auto | 10 | 100 |nonegotiate}
Firewall(config-if)# duplex {auto | full | half}
Firewall(config-if)# [no] shutdown
Firewall(config-if)# nameif if_name
Firewall(config-if)# security-level level
交換機防火墻配置注:不用配置IP地址信息,但是其它的屬性還是要配置的,接口的安全等級一般要不一樣,
same-security-traffic permit inter-interface命令可以免除此限制。
配置管理地址 Firewall(config)# ip address ip_address subnet_mask
Firewall(config)# route if_name foreign_network foreign_mask gateway [metric]
MAC地址表的配置 Firewall# show mac-address-table 顯示MAC地址表
Firewall(config)# mac-address-table aging-time minutes 設(shè)置MAC地址表過期時間
Firewall(config)# mac-address-table static if_name mac_address 設(shè)置靜態(tài)MAC條目
Firewall(config)# mac-learn if_name disable 禁止特定接口地址學習(show mac-learn驗證)
ARP檢查 Firewall(config)# arp if_name ip_address mac_address 靜態(tài)ARP條目
Firewall(config)# arp-inspection if_name enable [flood | no-flood]
交換機防火墻配置端口啟用ARP檢查為非IP協(xié)議配置轉(zhuǎn)發(fā)策略 Firewall(config)# access-list acl_id ethertype {permit | deny} {any | bpdu | ipx | mpls-unicast | mpls-multicast | ethertype}
Firewall(config)# access-group acl_id {in | out} interface if_name。
相關(guān)推薦:軟考網(wǎng)管:局域網(wǎng)交換機概述及維護說明北京 | 天津 | 上海 | 江蘇 | 山東 |
安徽 | 浙江 | 江西 | 福建 | 深圳 |
廣東 | 河北 | 湖南 | 廣西 | 河南 |
海南 | 湖北 | 四川 | 重慶 | 云南 |
貴州 | 西藏 | 新疆 | 陜西 | 山西 |
寧夏 | 甘肅 | 青海 | 遼寧 | 吉林 |
黑龍江 | 內(nèi)蒙古 |