Cisco IOS classic 防火墙

Cisco IOS Classicc Firewall

又名CBAC，是Cisco两大IOS防火墙技术之一。

工作示意图：

配置步骤如下流程：

配置IP ACL

配置全局参数：

拓扑图及需求如下所示：

1. 监控outbound所有http/smtp/ftp/telnet/icmp协议
2. 限制穿越FW的tcp三次握手必须在15秒内完成
3. 对穿越FW的半开连接进行限制（high：1000/low：800）
4. 防火墙需要按照RFC1918进行地址欺骗防护
5. 放行源至于互联网访问内部服务器的http流量
   
   在FW上配置最大半开连接为1000，最低为800，
   配置三次握手等待时间为15秒，超时后防火墙丢弃会话信息
   配置监控特殊应用层协议http、smtp、ftp、icmp、telnet的监控
   
   定义acl匹配RFC1918私有地址流量，
   只允许任意主机访问10.1.1.100的web服务，
   同时拒绝inbound方向的任意ip流量通过，
   调用在FW的外部接口的in方向。
   将监控的特殊应用协议监控调用在FW的出方向。
   
   测试在外部设备无法访问服务器的telnet服务，
   
   而服务器可以访问外部设备的telnet服务，以上都由于防火墙对内部发起的连接进行了监控，后续的回包经过会话表的匹配成功，而非内部主动对外部发起的连接都拒绝了！
   
   成功是由于防火墙acl放行了外部设备主动对内部web服务器访问的进来的流量！