جدار الحماية المستند إلى منطقة IOS من Cisco: موقع CME/CUE/GW واحد أو مكتب فرعي مع خط اتصال SIP إلى CCM في المقر الرئيسي

المقدمة

توفر موجهات الخدمة المتكاملة (ISRs) من Cisco نظاما أساسيا قابلا للتطوير لتلبية متطلبات البيانات والشبكة الصوتية لمجموعة كبيرة من التطبيقات. على الرغم من أن بيئة التهديدات لكل من الشبكات الخاصة والمتصلة بالإنترنت هي بيئة ديناميكية للغاية، فإن جدار حماية Cisco IOS® يوفر إمكانات الفحص والتحكم في التطبيقات (AIC) والفحص حسب الحالة لتحديد وضعية شبكة آمنة وتطبيقها، بينما يعمل على تمكين قدرة الأعمال والاستمرارية.

يصف هذا المستند اعتبارات التصميم والتكوين لجوانب أمان جدار الحماية الخاصة بسيناريوهات البيانات والتطبيقات الصوتية المستندة إلى ISR من Cisco المحددة. يتم توفير تكوينات الخدمات الصوتية وجدار الحماية لكل سيناريو تطبيق. يصف كل سيناريو تكوينات الصوت عبر بروتوكول VoIP والأمان بشكل منفصل، يتبعها تكوين الموجه بالكامل. قد تتطلب شبكتك تهيئة أخرى للخدمات، مثل جودة الخدمة (QoS) والشبكة الخاصة الظاهرية (VPN) للحفاظ على جودة الصوت وسرية المعلومات.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

معلومات أساسية

خلفية جدار حماية IOS

يتم نشر جدار حماية Cisco IOS عادة في سيناريوهات التطبيقات التي تختلف عن نماذج نشر جدران الحماية الخاصة بالجهاز. تتضمن عمليات النشر النموذجية تطبيقات العمل عن بعد، ومواقع المكاتب الصغيرة أو الفرعية، وتطبيقات البيع بالتجزئة، حيث يكون العدد المنخفض للأجهزة ودمج الخدمات المتعددة والعمق الأقل للأداء وقدرات الأمان هو المطلوب.

وفي حين أن تطبيق فحص الجدار الناري، إلى جانب الخدمات المتكاملة الأخرى في منتجات خدمات isr، يمكن أن يبدو جذابا من منظور التكلفة والتشغيل، فإنه يجب تقييم اعتبارات محددة لتحديد ما إذا كان جدار الحماية القائم على الموجه مناسبا. يكلف تطبيق كل ميزة إضافية الذاكرة وتكاليف المعالجة، ومن المحتمل أن يساهم في خفض معدلات إنتاجية إعادة التوجيه وزيادة زمن وصول الحزم وفقد قدرة الميزات خلال فترات ذروة الحمل إذا تم نشر حل مدمج غير مجهز ز ويستند إلى موجه. لاحظ هذه الإرشادات عند تحديد ما بين موجه وجهاز:

• تعد الموجهات التي تحتوي على العديد من الميزات المدمجة التي تم تمكينها مثالية لمواقع المكاتب الفرعية أو مراكز العمل عن بعد حيث توفر عدد أقل من الأجهزة حلا أفضل.

• عادة ما يتم التعامل مع التطبيقات ذات النطاق الترددي العالي والأداء الفائق بشكل أفضل مع الأجهزة؛ ويجب تطبيق Cisco ASA و Cisco Unified Call Manager Server لمعالجة NAT وتطبيق سياسة الأمان ومعالجة المكالمات، بينما تتناول الموجهات تطبيق سياسة جودة الخدمة (QoS) وإنهاء شبكة الاتصال (WAN) ومتطلبات اتصال شبكة VPN من موقع إلى موقع.

قبل إدخال الإصدار 12.4(20)T من برنامج Cisco IOS Software، لم يكن جدار الحماية الكلاسيكي وجدار الحماية القائم على المنطقة (ZFW) قادرا على الدعم الكامل لإمكانات حركة مرور البيانات عبر بروتوكول VoIP والخدمات الصوتية المستندة إلى الموجهات، والتي تطلبت فجوات كبيرة في سياسات جدار الحماية الآمنة خلاف ذلك لاستيعاب حركة مرور البيانات الصوتية، وقدمت دعما محدودا لتطوير إشارات VoIP وبروتوكولات الوسائط.

نشر جدار حماية السياسة المستند إلى منطقة IOS من Cisco

لا يمكن لجدار الحماية القائم على منطقة IOS من Cisco، المشابه لجدران الحماية الأخرى، توفير جدار حماية آمن إلا إذا تم تحديد متطلبات الأمان للشبكة ووصفها بواسطة سياسة الأمان. هناك نهجان أساسيان للتوصل إلى سياسة أمنية: منظور الثقة، بدلا من المنظور المشبوه.

يفترض منظور الثقة أن جميع حركة المرور جديرة بالثقة، باستثناء تلك التي يمكن تعريفها بشكل خاص على أنها ضارة أو غير مرغوب فيها. يتم تنفيذ سياسة محددة ترفض حركة المرور غير المرغوب فيها فقط. ويتم تحقيق ذلك عادة من خلال إستخدام إدخالات التحكم في الوصول المحددة أو إستخدام أدوات قائمة على التوقيع أو السلوك. ويميل هذا النهج إلى التدخل بدرجة أقل في التطبيقات القائمة، ولكنه يتطلب معرفة شاملة بمشهد التهديد والقابلية للتأثر، ويتطلب يقظة مستمرة للتصدي للتهديدات والمغامرات الجديدة عند ظهورها. وبالإضافة إلى ذلك، يجب أن يقوم مجتمع المستعملين بدور كبير في الحفاظ على الأمن الكافي. وتوفر البيئة التي تسمح بحرية واسعة مع قدر ضئيل من التحكم للشاغلين فرصة كبيرة للمشاكل التي يسببها الأشخاص المتهورون أو الضارون. وثمة مشكلة إضافية في هذا النهج تتمثل في أنه يعتمد بقدر أكبر على أدوات الإدارة الفعالة وضوابط التطبيقات التي توفر قدرا كافيا من المرونة والأداء ليكون قادرا على رصد البيانات المشتبه فيها والتحكم فيها في جميع حركة مرور الشبكة. وفي حين أن التكنولوجيا متاحة حاليا لمواجهة هذا الوضع، فإن العبء التشغيلي يتجاوز في كثير من الأحيان حدود معظم المنظمات.

يفترض المنظور المريب أن جميع حركة مرور الشبكة غير مرغوب فيها، باستثناء حركة المرور الجيدة المحددة تحديدا. إنها سياسة يتم تطبيقها، والتي ترفض جميع حركة مرور التطبيقات، باستثناء تلك المسموح بها بشكل صريح. بالإضافة إلى ذلك، يمكن تنفيذ فحص التطبيقات والتحكم فيها (AIC) للتعرف على حركة المرور الضارة التي تم تصميمها خصيصا لاستغلال التطبيقات الجيدة، بالإضافة إلى حركة المرور غير المرغوب فيها التي تتخفى على أنها حركة مرور جيدة. مرة أخرى، تفرض عناصر التحكم في التطبيقات أعباء تشغيل وأداء على الشبكة، على الرغم من أنه يجب التحكم في حركة المرور غير المرغوب فيها بواسطة عوامل تصفية عديمة الحالة، مثل قوائم التحكم في الوصول (ACL) أو سياسة جدار الحماية الخاص بالسياسات (ZFW) القائمة على المنطقة، وبالتالي فهناك حركة مرور أقل بشكل كبير يجب معالجتها بواسطة AIC أو نظام منع التسلل (IPS) أو عناصر تحكم أخرى قائمة على التوقيع، مثل مطابقة الحزم المرنة (FPM) أو التعرف على التطبيق المستند إلى الشبكة (NBAR). إذا تم السماح فقط بمنافذ التطبيق المطلوبة (وحركة مرور الوسائط الديناميكية الخاصة الناشئة عن إتصالات التحكم أو جلسات العمل المعروفة) بشكل محدد، فإن حركة المرور غير المرغوب فيها الوحيدة الموجودة على الشبكة يجب أن تقع في مجموعة فرعية معينة يسهل التعرف عليها بشكل أكبر، مما يقلل من العبء الهندسي والتشغيلي المفروض للحفاظ على التحكم في حركة المرور غير المرغوب فيها.

يصف هذا المستند تكوينات أمان VoIP المستندة إلى المنظور المريب، لذلك لا يسمح إلا بحركة المرور المسموح بها في مقاطع الشبكة الصوتية. تميل سياسات البيانات إلى أن تكون أكثر تساهلا كما هو موضح بواسطة الملاحظات في تكوين كل سيناريو تطبيق.

يجب أن تتبع جميع عمليات نشر سياسات الأمان دورة ملاحظات ذات تكرار حلقي مغلق؛ حيث تؤثر عمليات نشر الأمان عادة على قدرة ووظائف التطبيقات الموجودة ويجب تعديلها لتقليل هذا التأثير أو حله.

إذا كنت بحاجة إلى خلفية إضافية لتكوين جدار حماية السياسات المستند إلى المنطقة، راجع دليل تصميم جدار حماية المنطقة وتطبيقه.

اعتبارات ل ZFW في بيئات VoIP

يوفر دليل تصميم جدار حماية المنطقة وتطبيقه مناقشة موجزة حول أمان الموجه باستخدام سياسات الأمان من وإلى المنطقة الذاتية للموجه، بالإضافة إلى القدرات البديلة التي يتم توفيرها من خلال ميزات مختلفة لحماية أساس الشبكة (NFP). تتم إستضافة قدرات الصوت عبر بروتوكول VoIP المستندة إلى الموجه داخل المنطقة الذاتية للموجه، لذلك يجب أن تكون سياسات الأمان التي تحمي الموجه على دراية بمتطلبات حركة المرور الصوتية من أجل إستيعاب الإشارات الصوتية والوسائط التي تم إنشاؤها والمحددة بواسطة Cisco Unified CallManager Express، و Survivable Remote-Site Telephony، وموارد عبارة الصوت. قبل الإصدار 12.4(20)T من برنامج Cisco IOS Software، لم يكن جدار الحماية الكلاسيكي وجدار حماية السياسات المستند إلى المنطقة قادرين على إستيعاب متطلبات حركة مرور البيانات عبر بروتوكول VoIP بالكامل، وبالتالي لم يتم تحسين سياسات جدار الحماية لحماية الموارد بشكل كامل. تعتمد سياسات الأمان في المنطقة الذاتية التي تحمي موارد الصوت عبر بروتوكول الإنترنت (VoIP) القائمة على الموجه بشكل كبير على القدرات التي تم تقديمها في الإصدار 12.4(20)T.

ميزات الصوت لجدار حماية IOS

قام برنامج Cisco IOS الإصدار 12.4(20)T بإدخال العديد من التحسينات لتمكين جدار الحماية في المنطقة المشاركة في الإقامة وقدرات الصوت. تنطبق ثلاث ميزات رئيسية مباشرة على تطبيقات الصوت الآمنة:

• تحسينات SIP: بوابة طبقة التطبيقات وفحص التطبيقات والتحكم فيها

  • تحديث دعم إصدار SIP للإصدار الثاني من بروتوكول معلومات التوجيه (SIP)، كما هو موضح بواسطة RFC 3261

  • توسيع دعم إرسال إشارات SIP للتعرف على مجموعة متنوعة أوسع من تدفقات المكالمات

  • يقدم فحص تطبيق SIP والتحكم فيه (AIC) لتطبيق عناصر تحكم تستجيب للتعديل لمعالجة أوجه الضعف والاستكشافات المحددة على مستوى التطبيق

  • يوسع فحص المنطقة الذاتية ليتمكن من التعرف على الإشارات الثانوية وقنوات الوسائط التي تنتج من حركة مرور SIP الموجهة محليا/ المنشئة

• دعم لحركة المرور المحلية النحيفة و CME

  • تحديث دعم SCCP للإصدار 16 (الإصدار 9 المدعوم سابقا)

  • يقدم فحص تطبيق SCCP والتحكم فيه (AIC) لتطبيق عناصر تحكم متعددة المستويات لمعالجة أوجه الضعف والاستكشافات المحددة على مستوى التطبيق

  • يوسع فحص المنطقة الذاتية ليكون قادرا على التعرف على الإشارات الثانوية وقنوات الوسائط التي تنتج من حركة مرور SCCP الموجهة محليا/ المنشئة

• دعم H.323 للإصدارين 3 و 4

  • تحديث دعم H.323 للإصدارين 3 و 4 (الإصدارات 1 و 2 المدعومة سابقا)

  • يقدم فحص تطبيق H.323 والتحكم فيه (AIC) لتطبيق عناصر تحكم متعددة المستويات لمعالجة أوجه الضعف والاستكشافات المحددة على مستوى التطبيق

تتضمن تكوينات أمان الموجه الموضحة في هذا المستند القدرات التي تقدمها هذه التحسينات مع توضيحات لوصف الإجراء المطبق بواسطة السياسات. تتاح الروابط التشعبية لمستندات الميزات الفردية في قسم المعلومات ذات الصلة في هذا المستند إذا كنت ترغب في مراجعة التفاصيل الكاملة لميزات الفحص الصوتي.

كافيتس

من أجل تعزيز النقاط المذكورة أعلاه، يجب أن يطبق تطبيق جدار حماية Cisco IOS مع القدرات الصوتية المستندة إلى الموجهات جدار حماية السياسة المستندة إلى المنطقة. لا يتضمن جدار حماية IOS التقليدي القدرة المطلوبة للدعم الكامل لتعقيدات إرسال الإشارات أو سلوك حركة مرور الصوت.

ترجمة عنوان الشبكة (NAT)

غالبا ما يتم تكوين ترجمة عنوان الشبكة (NAT) عبر نظام Cisco IOS بتزامن مع جدار حماية Cisco IOS، وخاصة في الحالات التي يجب فيها على الشبكات الخاصة التفاعل مع الإنترنت، أو إذا كان يجب على الشبكات الخاصة المتباينة الاتصال، وخاصة إذا تداخلت مساحة عنوان IP. يتضمن برنامج Cisco IOS بوابات طبقة تطبيق NAT (ALG) ل SIP و Skinny و H.323. مثاليا، يمكن إستيعاب اتصال الشبكة لصوت IP دون تطبيق NAT بما أن NAT يقدم تعقيدات إضافية على أستكشاف الأخطاء وإصلاحها وتطبيقات سياسة الأمان، وخاصة في الحالات التي يتم فيها إستخدام الحمل الزائد ل NAT. لا يمكن تطبيق NAT إلا كحل حالة أخيرة لمعالجة شواغل اتصال الشبكة.

العميل Cisco Unified Presence Client (CUPC)

لا يصف هذا المستند التكوين الذي يدعم إستخدام عميل Cisco Unified Presence (CUPC) مع جدار حماية IOS نظرا لأن جدار حماية CUPC غير مدعوم بعد من قبل Zone (المنطقة) أو جدار الحماية التقليدي، كما هو الحال مع برنامج Cisco IOS الإصدار 12.4(20)T1. سيتم دعم CUPC في إصدار مستقبلي من برنامج Cisco IOS Software.

موقع CME/CUE/GW واحد أو مكتب فرع مع خط اتصال SIP إلى CCM في HQ أو مزود الصوت

يقدم هذا السيناريو حلا وسطا بين النموذج أحادي الموقع/الموزع لمعالجة المكالمات/شبكة PSTN المتصلة والموضح سابقا في هذا المستند (الموقع الواحد أو المكتب الفرعي CME/CUE/GW المتصل بشبكة PSTN)، وبين معالجة المكالمات متعددة المواقع/المركزية/شبكة الصوت والبيانات المجمعة المحددة في السيناريو الثالث الموضح في هذا المستند. لا يزال هذا السيناريو يستخدم برنامج Cisco Unified CallManager Express المحلي، ولكن يتم إستيعاب الطلب لمسافات طويلة والخدمة الهاتفية لمقر/موقع بعيد في المقام الأول من خلال خطوط SIP من موقع إلى موقع، مع الاتصال بالطلب المحلي وطلب الطوارئ من خلال اتصال PSTN محلي. حتى في الحالات التي تتم فيها إزالة معظم اتصال PSTN القديم، يوصى بتوفير مستوى أساسي من سعة PSTN لاستيعاب فشل الاتصال الالتفافي برسوم المكالمات المستندة إلى شبكة WAN، بالإضافة إلى الاتصال بالمنطقة المحلية كما هو موضح في خطة الطلب. وبالإضافة إلى ذلك، تتطلب القوانين المحلية عادة توفير نوع من اتصال PSTN المحلي لاستيعاب طلب الطوارئ (911). يستخدم هذا السيناريو معالجة المكالمات الموزعة، والتي توفر ميزات وتحفظ أفضل الممارسات كما هو موضح في Cisco Unified CallManager Express SRND.

يمكن للمؤسسات تنفيذ هذا النوع من سيناريوهات التطبيقات في هذه الظروف:

• يتم إستخدام بيئات بروتوكول VoIP المتباينة بين المواقع، ولكن لا يزال VoIP مطلوبا بدلا من PSTN للمسافات الطويلة.

• يلزم توفر إستقلالية الموقع لكل موقع لإدارة خطة الطلب.

• يلزم توفر إمكانية معالجة المكالمات بالكامل بغض النظر عن توفر شبكة الاتصال واسعة النطاق (WAN).

خلفية السيناريو

يتضمن سيناريو التطبيق الهواتف السلكية (شبكة VLAN الصوتية)، وأجهزة الكمبيوتر السلكية (شبكة VLAN للبيانات)، والأجهزة اللاسلكية (التي تتضمن أجهزة بروتوكول VoIP، مثل أداة اتصال IP).

يوفر تكوين الأمان ما يلي:

1. فحص إرسال الإشارات الذي بدأه الموجه بين CME والهواتف المحلية (SCCP و SIP) و CME ومجموعة CUCM البعيدة (SIP).

2. ثقوب في الوسائط الصوتية للتواصل بين هذه:

   1. الأجزاء السلكية واللاسلكية المحلية

   2. CME والهواتف المحلية لوزارة الصحة

   3. CUE والهواتف المحلية للبريد الصوتي

   4. الهواتف ووحدات الاتصال عن بعد

3. فحص التطبيقات والتحكم فيها (AIC)، والذي يمكن تطبيقه لتحقيق ما يلي:

   1. رسائل دعوة حد المعدل

   2. ضمان توافق البروتوكول على جميع حركة مرور SIP

المزايا/السلبيات

يقدم هذا التطبيق فائدة تقليل التكاليف لأنه يحمل حركة مرور صوتية من موقع إلى موقع على روابط بيانات شبكة WAN.

من عيوب هذا السيناريو أنه يلزم وجود خطط أكثر تفصيلا لاتصال WAN. يمكن أن تتأثر جودة المكالمات من موقع إلى موقع بالعديد من العوامل على شبكة WAN، مثل حركة المرور غير الشرعية/غير المرغوب فيها (الفيروسات المتنقلة والفيروسات ومشاركة الملفات من نظير إلى نظير) أو صعوبة تحديد مشاكل زمن الوصول التي يمكن أن تنشأ نتيجة لهندسة حركة المرور على شبكات النقل. يجب حجم إتصالات WAN بشكل مناسب لتوفير نطاق ترددي كاف لكل من حركة مرور البيانات والصوت؛ يمكن تصنيف حركة مرور البيانات الأقل حساسية لزمن الوصول، على سبيل المثال، البريد الإلكتروني وحركة مرور ملفات SMB/CIFS، على أنها حركة مرور ذات أولوية أقل لجودة الخدمة للحفاظ على جودة الصوت.

وهناك مشكلة أخرى تتعلق بهذا السيناريو وهي عدم وجود معالجة مركزية للمكالمات والصعوبات التي يمكن أن تنشأ في أستكشاف أخطاء معالجة المكالمات وإصلاحها. وعلى هذا النحو، فإن هذا السيناريو يعمل بشكل أفضل بالنسبة للمؤسسات الأكبر حجما كخطوة وسيطة في الانتقال إلى معالجة المكالمات المركزية. يمكن تحويل وحدات CMEs المحلية من Cisco إلى العمل بشكل إحتياطي SRST كامل الميزات عند اكتمال الترحيل إلى Cisco CallManager.

من المنظور الأمني، التعقيد المتزايد لهذه البيئة يجعل التنفيذ الفعال للأمن واستكشاف الأخطاء وإصلاحها أكثر صعوبة لأن الاتصال عبر شبكة WAN، أو عبر شبكة VPN على الإنترنت العامة، يزيد بشكل كبير من بيئة التهديد، لا سيما في الحالات التي تتطلب فيها السياسة الأمنية منظور الثقة، حيث تفرض قيود قليلة على حركة المرور عبر شبكة WAN. بوضع هذا الأمر في الاعتبار، تقوم أمثلة التكوين المقدمة من هذا المستند بتنفيذ سياسة أكثر تشككا تسمح بحركة مرور معينة ذات أهمية تجارية، والتي يتم فحصها بعد ذلك بواسطة عمليات التحقق من توافق البروتوكول. علاوة على ذلك، تقتصر إجراءات الصوت عبر بروتوكول الإنترنت (VoIP) المحددة، أي دعوة SIP، على تقليل احتمال حدوث أعطال برمجية ضارة أو غير مقصودة تؤثر سلبا على موارد بروتوكول الصوت فوق الإنترنت (VoIP) وإمكانية إستخدامه.

التكوين

تكوينات لسياسات البيانات وجدار الحماية القائم على المناطق وأمان الصوت و CCME

في هذا القسم، تُقدّم لك معلومات تكوين الميزات الموضحة في هذا المستند.

الرسم التخطيطي للشبكة

يستخدم هذا المستند إعداد الشبكة التالي:

التكوينات

يوضح التكوين الموضح هنا موجه الخدمات المدمجة Cisco 2851 Integrated Services Router.

يستخدم هذا المستند التكوينات التالية:

• تكوين الخدمة الصوتية لاتصال CME و CUE

• تكوين جدار الحماية القائم على المنطقة

• تكوين الأمان

هذا هو تكوين الخدمة الصوتية لاتصال CME و CUE:

!
telephony-service
 load 7960-7940 P00308000400
 max-ephones 24
 max-dn 24
 ip source-address 192.168.112.1 port 2000
 system message CME2
 max-conferences 12 gain -6
 transfer-system full-consult
 create cnf-files version-stamp 7960 Jun 10 2008 15:47:13

!

هذا هو تكوين جدار الحماية المستند إلى المنطقة، والذي يتكون من مناطق أمان لأجزاء الشبكة المحلية (LAN) السلكية واللاسلكية، وشبكة LAN الخاصة (مكونة من مقاطع سلكية ولاسلكية)، وقطعة WAN حيث يتم الوصول إلى الاتصال بشبكة WAN الموثوق بها، والمنطقة الذاتية التي توجد فيها موارد الصوت للموجه:

هذا هو تكوين الأمان:

class-map type inspect match-all acl-cmap
 match access-group 171
class-map type inspect match-any most-traffic-cmap
 match protocol tcp
 match protocol udp
 match protocol icmp
 match protocol ftp
!
!
policy-map type inspect most-traffic-pmap
 class type inspect most-traffic-cmap
  inspect
 class class-default
  drop
policy-map type inspect acl-pass-pmap
 class type inspect acl-cmap
  pass

!
zone security private
zone security public
zone security wired
zone security wireless
!
zone-pair security priv-pub source private destination public
 service-policy type inspect most-traffic-pmap
zone-pair security priv-vpn source private destination vpn
 service-policy type inspect most-traffic-pmap
zone-pair security acctg-pub source acctg destination public
 service-policy type inspect most-traffic-pmap
zone-pair security eng-pub source eng destination public
 service-policy type inspect most-traffic-pmap
!
!
!
interface GigabitEthernet0/0
 ip virtual-reassembly
 zone-member security eng

Entire router configuration:

version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname 2851-cme2
!
!
logging message-counter syslog
logging buffered 51200 warnings
!
no aaa new-model
clock timezone mst -7
clock summer-time mdt recurring

!
dot11 syslog
ip source-route

!
!
ip cef
no ip dhcp use vrf connected

!
ip dhcp pool pub-112-net
   network 172.17.112.0 255.255.255.0
   default-router 172.17.112.1
   dns-server 172.16.1.22
   option 150 ip 172.16.1.43
   domain-name bldrtme.com

!

ip dhcp pool priv-112-net
   network 192.168.112.0 255.255.255.0
   default-router 192.168.112.1
   dns-server 172.16.1.22
   domain-name bldrtme.com
   option 150 ip 192.168.112.1

!
!

ip domain name yourdomain.com

!

no ipv6 cef
multilink bundle-name authenticated

!
!
!
!

voice translation-rule 1
 rule 1 // /1001/

!
!

voice translation-profile default
 translate called 1

!
!

voice-card 0
 no dspfarm

!
!
!
!
!

interface GigabitEthernet0/0
 description $ETH-LAN$$ETH-SW-LAUNCH$$INTF-INFO-GE 0/0$
 ip address 172.16.112.10 255.255.255.0
 ip nat outside
 ip virtual-reassembly
 duplex auto
 speed auto

!
interface GigabitEthernet0/1
 no ip address
 duplex auto
 speed auto

!
interface GigabitEthernet0/1.132
 encapsulation dot1Q 132
 ip address 172.17.112.1 255.255.255.0

!


interface GigabitEthernet0/1.152
 encapsulation dot1Q 152
 ip address 192.168.112.1 255.255.255.0
 ip nat inside
 ip virtual-reassembly

!

interface FastEthernet0/2/0

!

interface FastEthernet0/2/1

!

interface FastEthernet0/2/2

!

interface FastEthernet0/2/3

!

interface Vlan1
 ip address 198.41.9.15 255.255.255.0

!

router eigrp 1
 network 172.16.112.0 0.0.0.255
 network 172.17.112.0 0.0.0.255
 no auto-summary
!

ip forward-protocol nd
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip http path flash:/gui


!!

ip nat inside source list 111 interface
   GigabitEthernet0/0 overload

!

access-list 23 permit 10.10.10.0 0.0.0.7
access-list 111 deny 
   ip 192.168.112.0 0.0.0.255 192.168.0.0 0.0.255.255
access-list 111 permit ip 192.168.112.0 0.0.0.255 any

!
!
!
!
!
!tftp-server flash:/phone/7940-7960/
   P00308000400.bin alias P00308000400.bin
tftp-server flash:/phone/7940-7960/
   P00308000400.loads alias P00308000400.loads
tftp-server flash:/phone/7940-7960/
   P00308000400.sb2 alias P00308000400.sb2
tftp-server flash:/phone/7940-7960/
   P00308000400.sbn alias P00308000400.sbn

!

control-plane

!
!
!

voice-port 0/0/0
 connection plar 3035452366
 description 303-545-2366
 caller-id enable

!

voice-port 0/0/1
 description FXO

!

voice-port 0/1/0
 description FXS

!

voice-port 0/1/1
 description FXS


!
!
!
!
!
dial-peer voice 804 voip
 destination-pattern 5251...
 session target ipv4:172.16.111.10
!
dial-peer voice 50 pots
 destination-pattern A0
 port 0/0/0
 no sip-register

!
!
!
!

telephony-service
 load 7960-7940 P00308000400
 max-ephones 24
 max-dn 24
 ip source-address 192.168.112.1 port 2000
 system message CME2
 max-conferences 12 gain -6
 transfer-system full-consult
 create cnf-files version-stamp
   7960 Jun 10 2008 15:47:13


!!

ephone-dn  1
 number 1001
 trunk A0

!
!

ephone-dn  2
 number 1002

!
!
ephone-dn  3
 number 3035452366
 label 2366
 trunk A0

!
!


ephone  1
 device-security-mode none
 mac-address 0003.6BC9.7737
 type 7960
 button  1:1 2:2 3:3

!
!
!


ephone  2
 device-security-mode none
 mac-address 0003.6BC9.80CE
 type 7960
 button  1:2 2:1 3:3

!
!
!


ephone  5
 device-security-mode none

!
!
!

line con 0
 exec-timeout 0 0
 login local
line aux 0
line vty 0 4
 access-class 23 in
 privilege level 15
 login local
 transport input telnet ssh

line vty 5 15
 access-class 23 in
 privilege level 15
 login local
 transport input telnet ssh

!
exception data-corruption buffer truncate
scheduler allocate 20000 1000
ntp server 172.16.1.1
end

التوفير والإدارة والمراقبة

يتم بشكل عام إستيعاب توفير موارد مهاتفة IP المستندة إلى الموجهات وجدار حماية السياسات المستند إلى المناطق وتكوينها مع محترف تكوين Cisco بشكل أفضل. لا يدعم Cisco Secure Manager جدار حماية السياسة المستند إلى المنطقة أو خدمة IP الهاتفية المستندة إلى الموجه.

يدعم جدار الحماية التقليدي من Cisco IOS مراقبة SNMP باستخدام قاعدة معلومات الإدارة (MIB) لجدار الحماية الموحد من Cisco، ولكن جدار حماية السياسات المستند إلى المناطق غير مدعوم بعد في قاعدة معلومات الإدارة (MIB) لجدار الحماية الموحد. على هذا النحو، يجب معالجة مراقبة جدار الحماية من خلال إحصائيات على واجهة سطر الأوامر للموجه، أو باستخدام أدوات واجهة المستخدم الرسومية (GUI)، مثل محترف تكوين Cisco.

يوفر نظام Cisco Secure Monitoring and Reporting System (CS-MARS) الدعم الأساسي لجدار الحماية القائم على المناطق، على الرغم من أن تغييرات التسجيل التي حسنت إرتباط رسائل السجل بحركة المرور، والتي تم تنفيذها في 12.4(15)T4/T5 و 12.4(20)T، لم يتم دعمها بالكامل في CS-MARS.

خطط السعة

نتائج إختبار أداء فحص مكالمات الجدار الناري من الهند هي TBD.

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

يوفر جدار حماية منطقة Cisco IOS أوامر show وdebug لعرض نشاط جدار الحماية ومراقبته واستكشاف أخطائه وإصلاحها. يصف هذا القسم إستخدام أوامر show لمراقبة نشاط جدار الحماية الأساسي، وتقديم إلى أوامر تصحيح الأخطاء لجدار حماية المنطقة لاستكشاف أخطاء التكوين وإصلاحها أو إذا كانت المناقشة مع الدعم الفني تتطلب معلومات أكثر تفصيلا.

أوامر استكشاف الأخطاء وإصلاحها

يوفر جدار حماية Cisco IOS العديد من أوامر show لعرض تكوين نهج الأمان ونشاطه. يمكن إستبدال العديد من هذه الأوامر بأمر أقصر من خلال تطبيق الأمر alias.

ملاحظة: ارجع إلى معلومات مهمة حول أوامر التصحيح قبل إستخدام أوامر debug.

قد تكون أوامر تصحيح الأخطاء مفيدة في الحدث الذي تستخدم فيه تكوين غير نموذجي أو غير مدعوم، وتحتاج إلى العمل مع Cisco TAC أو خدمات الدعم التقني لمنتجات أخرى لحل مشاكل قابلية التشغيل البيني.

ملاحظة: يمكن أن يؤدي تطبيق أوامر تصحيح الأخطاء على إمكانيات أو حركة مرور معينة إلى إرسال عدد كبير جدا من رسائل وحدة التحكم، مما يتسبب في عدم إستجابة وحدة تحكم الموجه. في الحالة التي تحتاج فيها إلى تصحيح الأخطاء، يمكنك توفير وصول بديل لواجهة سطر الأوامر، مثل نافذة Telnet التي لا تراقب مربع الحوار الطرفي. قم فقط بتمكين أجهزة تصحيح الأخطاء الموجودة خارج الخط (بيئة المختبر) أو داخل نافذة صيانة مخططة نظرا لأن تصحيح الأخطاء يمكن أن يؤثر بشكل كبير على أداء الموجه.

معلومات ذات صلة

• دليل تصميم شبكة مرجع الحلول Cisco Unified CallManager Express
• أفضل ممارسات الأمان السريع ل Cisco CallManager (CME SRND)
• دمج Cisco Unity Connection مع Cisco Unified CME-AS-SRST
• مرجع القيادة السريعة لمدير الاتصالات الموحدة من Cisco
• مثال على تكوين Cisco CallManager Express/Cisco Unity Express
• دعم قاعدة معلومات الإدارة ل Cisco CallManager Express 3.4 SNMP
• دليل تصميم وتطبيق جدار الحماية القائم على المناطق
• جدار حماية Cisco IOS: تحسينات SIP: ALG و AIC
• دعم جدار حماية Cisco IOS H.323
• دعم جدار حماية Cisco IOS لحركة المرور المحلية قليلة السمك و CME
• الدعم التقني والمستندات - Cisco Systems