DMZ - Demilitarized Zone - демилитаризованная зона

Тема: DMZ - Demilitarized Zone - демилитаризованная зона.
DMZ – это область

Серверы, находящиеся в DMZ имеют, как правило, публичные белые ip-адреса.
Для полноценной

Как правило в любой уважающей себя сети выделяют минимум три сегмента:

Соберём небольшую сеть, подобную той, что создавали на прошлом занятии, состоящую

Проведём предварительные настройки межсетевого
экрана Cisco ASA.
Посмотреть эти настройки можно

Чтобы ещё раз провести предварительные настройки на Cisco ASA приведём список

Далее:
«class-map inspection_default»,
«match default-inspection-traffic»,
«exit»,
«policy-map global_policy»,
«class inspection_default»,
«inspect icmp»,

И ещё:
«object network FOR-NAT»,
«subnet 192.168.1.0 255.255.255.0»,
«nat (inside,outside) dynamic interface»,

После этого на
маршрутизаторе
провайдера надо прописать
маршрут к нашему серверу:

Настроим ASA:.
Хотим определить
сервер во VLAN 3:
«conf t»,
«int eth0/2»
«switchport access vlan

Запрещаем трафик
в нашу сеть:
«no forward interface vlan 1».
Даём интерфейсу

Проверяем связь ASA с сервером:
«ping 210.210.3.2».
Связь уже есть!

Проверяем связь сервера
провайдера с нашим сервером:
«ping 210.210.3.2».
Связи нет, т.к. на входе

Создадим Access List с именем
FROM-OUTSIDE расширенный
(extended), разрешим (permit)
протокол (icmp)

Добавим протокол (tcp) всем (any) на наш хост (host 210.210.3.2)
через

Создадим Access Group
с именем FROM-OUTSIDE
на внешний интерфейс
(in interface outside):
«access-group

Проверяем теперь связь
сервера провайдера
с нашим сервером:
«ping 210.210.3.2».
Связь есть!!!

Проверяем доступность
Web-сервера:
«ping 210.210.3.2».
Связь есть!!!

Проверяем теперь связь
Локального компьютера
с нашим сервером:
«ping 210.210.3.2».
Связи нет!

Снова зайдём в настройки
межсетевого экрана,
наберём:
«show run».
Связи нет из-за строки
«no

Попробуем реализовать ту же задачу, заменив ASA на маршрутизатор 2811.
У данного

Перетаскиваем модуль на маршрутизатор.
Снова включаем маршрутизатор.
Переходим в CLI.
Подключим кабели к маршрутизатору.

Настроим маршрутизатор.
Назовём каждый интерфейс и дадим им те же ip-адреса.
Сразу будем

Для DMZ всё повторяем,
кроме NAT т.к сервер имеет
белый ip-адрес:
«int

Повторяем для последнего
интерфейса:
«int fa0/1»,
«description inside»,
«ip address 192.168.1.1 255.255.255.0»,
«no shutdown»,
«ip nat

Создадим разрешающий
Access List
с именем FOR-NAT:
«ip access-list standard FOR-NAT»,
«permit 192.168.1.0 0.0.0.255»,
«exit».

Завершающая команда для
NAT:
«ip nat inside source list FOR-NAT interface fa0/0 overload»,
«end»,
«wr

Настроим статический ip-адрес компьютера PC0.

Настроим статический ip-адрес компьютера PC1.

Проверим связь
маршрутизатора со
всеми узлами:
«ping 210.210.0.1».
Связь есть!
«ping 210.210.3.2»
Связь есть!
«ping

Пропишем на маршрутизаторе маршрут по умолчанию:
«conf t», «ip route 0.0.0.0 0.0.0.0

Проверим связь компьютера с
Интернет-сервером:
«ping 210.210.1.2».
Связь есть!

Проверим связь компьютера с
DMZ-сервером:
«ping 210.210.3.2».
Связь есть!

Проверим связь DMZ-сервера
c компьютером:
«ping 192.168.1.2».
Связь тоже есть, а мы

Создадим Access List,
разрешающий трафик
icmp и tcp от любого хоста

Проверим связь Интернет-сервера с DMZ-сервером:
«ping 210.210.3.2».
Связь есть!

Проверим Web-доступ.
Тоже есть!

Но при этом пропал доступ в
Интернет:
«ping 210.210.1.2».
Связи нет.
Это связано с

Будем инспектировать
трафик http, icmp, tcp под
именем Inside-Outside с
внутреннего

Укажем направление,
в котором трафик нужно
инспектировать:
«int fa0/0»,
«ip inspect Inside-Outside

Ещё раз проверим доступ в
Интернет:
«ping 210.210.1.2».
Связь есть!!!

Проверим Web-доступ.
Тоже есть!

Сделаем аналогичные
действия для DMZ, то есть
запретим

Ещё раз проверим связь Интернет-сервера с DMZ-сервером:
«ping 210.210.3.2».
Связь по прежнему

Проверим связь DMZ-сервера
c компьютером:
«ping 192.168.1.2».
Связи

Проверим связь Интернет-сервера
c компьютером:
«ping 192.168.1.2».
Связи

Проверим связь компьютеров с
DMZ-сервером:
«ping 210.210.3.2».
Связь по

Проверим связь компьютеров с
Интернет-сервером:
«ping 210.210.1.2».
Связь по

Компьютерные сети. Н.В. Максимов, И.И. Попов, 4-е издание, переработанное и дополненное,

http://blog.netskills.ru/2014/03/firewall-vs-router.html
https://drive.google.com/file/d/0B-5kZl7ixcSKS0ZlUHZ5WnhWeVk/view

Список ссылок: