セキュリティ : Cisco IOS ファイアウォール

Auth-proxy 認証受信(Cisco IOS ファイアウォール-ルータ/スイッチおよび NAT)設定例

2015 年 10 月 17 日 - 機械翻訳について
その他のバージョン: PDFpdf | ライター翻訳版 (2006 年 8 月 15 日) | 英語版 (2015 年 8 月 22 日) | フィードバック


目次


概要

このサンプル コンフィギュレーションはブラウザ認証が認証委任状を使用して行われるまで外部ホストから内部ネットワークのすべてのデバイスにトラフィックをはじめのうちはブロックします。 許可の後、サーバ(割り当て TCP から渡されるアクセス・リスト|IP|icmp はあらゆるアクセス・リスト 116 に)一時的に外部 PC から内部ネットワークへのアクセスを許可する動的エントリを加えます。

注: この文書で使用される AAA 設定は Cisco IOS を実行する Catalyst スイッチにまた適当ですか。 ソフトウェア。

前提条件

要件

この文書のための特定の要件がありません。

使用するコンポーネント

この文書に記載されている情報はこれらのにソフトウェアおよびハードウェア バージョン基づいています:

  • Cisco IOS ソフトウェア リリース 12.2.23

  • Cisco 3640 ルータ

この文書に記載されている情報は特定のラボ環境のデバイスから作成されました。 この文書で使用された削除された(デフォルト)設定でデバイスすべては起動しています。 あなたのネットワークがライブである場合、あらゆるコマンドの潜在的影響を理解することを確かめて下さい。

表記法

文書規定に関する詳細については Cisco テクニカル・ティップ規定を参照して下さい。

設定例

このセクションではこの文書に説明がある機能を、設定するための情報を記載します。

注: このセクションで使用されるコマンドに関する詳細を得るのにコマンド ルックアップ ツール登録されていた顧客だけ)を使用して下さい。

ネットワーク図

この文書はこのネットワークを設定するのに使用します:

/image/gif/paws/13890/auth6.gif

設定

この文書はこの設定を使用します:

  • Cisco 3640 ルータ

Cisco 3640 ルータ
Current configuration:
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname sec-3640
!

aaa new-model
aaa group server tacacs+ RTP
 server 171.68.120.214
!

aaa authentication login default group RTP none
aaa authorization exec default group RTP none
aaa authorization auth-proxy default group RTP
enable secret 5 $1$pqRI$3TDNFT9FdYT8Sd/q3S0VU1
enable password ww
!         
ip subnet-zero
!
ip inspect name myfw cuseeme timeout 3600
ip inspect name myfw ftp timeout 3600
ip inspect name myfw http timeout 3600
ip inspect name myfw rcmd timeout 3600
ip inspect name myfw realaudio timeout 3600
ip inspect name myfw smtp timeout 3600
ip inspect name myfw sqlnet timeout 3600
ip inspect name myfw streamworks timeout 3600
ip inspect name myfw tftp timeout 30
ip inspect name myfw udp timeout 15
ip inspect name myfw tcp timeout 3600
ip inspect name myfw vdolive

ip auth-proxy auth-proxy-banner
ip auth-proxy auth-cache-time 10
ip auth-proxy name list_a http
ip audit notify log
ip audit po max-events 100
!
interface Ethernet0/0
 ip address 40.31.1.144 255.255.255.0
 
ip access-group 116 in
 ip nat outside
 
ip auth-proxy list_a
 no ip route-cache
 no ip mroute-cache
 speed auto
 half-duplex
 no mop enabled
!
interface Ethernet1/0
 ip address 10.14.14.14 255.255.255.0
 ip nat inside
 ip inspect myfw in
 speed auto
 half-duplex
!


!--- Interfaces deleted.

!
nat pool outsidepool 40.31.1.50 40.31.1.60 netmask 255.255.255.0
ip nat inside source list 1 pool outsidepool
ip nat inside source static 10.14.14.15 40.31.1.77
ip classless
ip route 0.0.0.0 0.0.0.0 40.31.1.1
ip route 171.68.118.0 255.255.255.0 40.31.1.1
ip route 171.68.120.0 255.255.255.0 40.31.1.1
no ip http server
!

access-list 116 permit tcp host 171.68.118.143 host 40.31.1.144 eq www
access-list 116 deny   tcp host 171.68.118.143 any
access-list 116 deny   udp host 171.68.118.143 any
access-list 116 deny   icmp host 171.68.118.143 any
access-list 116 permit icmp any any
access-list 116 permit tcp any any
access-list 116 permit udp any any
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
tacacs-server host 171.68.120.214
tacacs-server key cisco
!         
line con 0
 transport input none
line aux 0
line vty 0 4
 password ww
!
end

確認事項

デバッグ・コマンドを発行する前にデバッグ・コマンドの重要な情報を参照して下さい。

コマンドおよびトラブルシューティングに関する情報に関しては認証委任状のトラブルシューティングを参照して下さい。

トラブルシューティング

現在特定のこの設定用の入手可能な情報が解決することありません。

関連するシスコ サポート コミュニティ ディスカッション

シスコ サポート コミュニティは、どなたでも投稿や回答ができる情報交換スペースです。


関連情報


Document ID: 13890