标题: 浅谈谈traceroute时经过cisco防火墙的过程 [打印本页]
作者: datamarket 时间: 2008-9-23 21:37 标题: 浅谈谈traceroute时经过cisco防火墙的过程
预备知识：
1.traceroute原理，UDP和ICMP
2.cisco防火墙基础NAT相关知识
正文：
防火墙做为一种安全设备，是不希望自己的接口地址被别人探测到的，所以在做traceroute时，不管是从内到外，还是从外到内，pix接口地址都是隐藏的，不在这其中的。
这是这次实验的网络拓扑
1)pix 不做转换
pix config:
no nat-control
access-list in permit ip any any
access-list out permit ip any any
access-group in in interface inside
access-group out in interface outside
winxp trace R2
R5 trace R2
R2 trace winxp
R2 trace R6的172.16.1.1的时候，出现如下情况：
这个时候即使到了172.16.1.1，但是icmp port-unreachable还是出向接口发出的，在这里是10.10.10.2
总结：如果在没有nat转换的时候，只要访问控制列表放行相应的流量，就可以进行正常的traceroute
2) pix static nat
static (in,out) 209.165.200.242 172.16.1.2
winxp trace R2
在返回的time exceeded数据包中，有原有包的ip和icmp头部信息，这里的头部信息显示是的源是172.16.1.2，这个时候在到达209.165.200.241的时候应该是转换后的地址209.165.200.242。所以在经过防火墙的时候被fixup了
在R3的icmp debug
从R2到winxp
R6上面的debug
winxp抓包
可以看出，数据包是正常的到达了目的ip 172.16.1.2的，但是每次在pix转换的时候，都把源地址转换成nat地址209.165.200.242,而且有两次，分别是R6和winxp回的包。
3）nat 0
如果只是普通的nat 0（产生xlate转换项），和静态的方式无异。返回的还是转换过后的地址。
但是如果nat 0 （不产生xlate转换项）的时候，那返回的都是真实的ip地址。
pix config:
nat (inside) 0 access-list nonat
access-list nonat permit ip 172.16.1.0 255.255.255.0 any
4)
关于inspect icmp和inspect icmp-error
如果是inspect icmp那就把icmp流量也看成有状态话的，不需要显式的放行。
inspect icmp-error是返回的icmp-error流量，修改一些参数，使符合转换前的地址和校验值等。如上面的trace的时候，就修改了icmp-error中的地址。
作者: fef5645 时间: 2008-10-7 01:48 标题: 顶你
现在的百度优化厉害哦,97色色这些也出现了,什么97色色只类的97ai等等97ai也有,请问版主注意到么?
作者: abcd576 时间: 2008-10-8 05:09 标题: 球磨机间歇式球磨机技 术 参 数 湿式球磨机价格
球磨机 湿式球磨机价格一次性投料间歇式球磨机是我厂球磨机产品之一。主要用于物料的混合、研磨，产品的细度均匀、节省动力。既可干磨、也可湿磨。该机可以采用钢衬板或硅石衬板，满足不同需要。电动机自耦减压启动，降低起动电流，其结构分为整体式和独立式。本产品具有投资少，较同类产品节能省电，结构新颖、操作简便、使用安全、性能稳定可靠等特点，适合于普通和特殊材料的混合及研磨作业。
间歇式球磨机技 术 参 数
作者: klmn857 时间: 2008-10-8 08:20 标题: nszyxbx
深圳吊车出租
深圳搬家公司
深圳搬厂公司
深圳吊装公司
深圳公司搬家
作者: wh6688ex 时间: 2008-10-30 13:27
作者: m4颖 时间: 2008-11-8 00:13 标题: 数千人在线，波洛洛卡de仙境世界
快乐游戏，快乐生活，尽在波洛洛卡de仙境世界
高峰千人在线，团战激烈，不能错过，游戏首选
11月入住送大礼，到11月31日截止，稀有道具限量发行
快快加入波洛洛卡http://www.poruruka.cn/
QQ群：69357433
作者: lcttdkjv 时间: 2008-11-16 03:49
һ
作者: tuvw221 时间: 2009-3-14 09:43 标题: 原来不是勇敢！
曹洪：“丞相你看！那个敌将又杀回来了！”
夏侯惇：“今天已经是第七次了吧，他不累呀？”
曹：“可恶啊……一定要把我的人马全部杀光才肯罢手么！？”
在乱军中奋战的赵云：“张飞这个XXXX的！让我垫后又不给我地图~~~长坂桥到底在哪里呀~~~~~”
北京到曼彻斯特机票 北京到伦敦机票 北京到格拉斯哥机票
| 欢迎光临 IT步行街 (http://www.footstreet.net/) |
Powered by Discuz! 6.0.0 |