CISCO IOS防火墙配置问题

Posted 2023-04-01

请问下列几条命令分别表示什么意思
deny ip host 255.255.255.255 any
deny ip 127.0.0.0 0.255.255.255 any
deny ip host 0.0.0.0 any
deny ip any any log

另一个严重的问题,如何根据那些ACL来判定是为信任接口还是非信任接口配置的呢?
10.1.2.0 |
内部 10.1.3.0 | 外部
64.1.1.4 |
access-list 102 remark auto generated by SDM firewall configuration
access-list 102 remark SDM_ACL Category=1
access-list 102 deny ip 10.1.3.0 0.0.0.255 any
access-list 102 deny ip 10.1.2.0 0.0.0.255 any
access-list 102 deny ip 64.1.1.4 0.0.0.3 any
access-list 102 deny ip host 255.255.255.255 any
access-list 102 deny ip 127.0.0.0 0.255.255.255 any
access-list 102 permit ip any any

access-list 103 remark auto generated by SDM firewall configuration
access-list 103 remark SDM_ACL Category=1
access-list 103 deny ip 10.1.3.0 0.0.0.255 any
access-list 103 deny ip 10.1.2.0 0.0.0.255 any
access-list 103 deny ip 10.1.4.0 0.0.0.255 any
access-list 103 permit icmp any host 64.1.1.5 echo-reply
access-list 103 permit icmp any host 64.1.1.5 time-exceeded
access-list 103 permit icmp any host 64.1.1.5 unreachable
access-list 103 permit ospf any any
access-list 103 deny ip 10.0.0.0 0.255.255.255 any
access-list 103 deny ip 172.16.0.0 0.15.255.255 any
access-list 103 deny ip 192.168.0.0 0.0.255.255 any
access-list 103 deny ip 127.0.0.0 0.255.255.255 any
access-list 103 deny ip host 255.255.255.255 any
access-list 103 deny ip host 0.0.0.0 any
access-list 103 deny ip any any log<这里,前面都是deny,为什么这里还有deny any any 呢,用这一句不是包含前面所有的了吗>

这是一个关于ios安全的配置，他保护的是一个身后的接口不接受到如下的包括RFC1918的地址，一般放在inbound方向也就是外部接口的in方向或内部接口的out方向：
deny ip host 255.255.255.255 any 广播流量
deny ip 127.0.0.0 0.255.255.255 any换回地址
deny ip host 0.0.0.0 any dhcp第一个包，也是不应该的
deny ip any any log这句的意思是deny掉所有流量还要发log信息。
你最后的deny any是比较讲究的配法，没有错误。
上面的人说的话真是。。。 参考技术A access-list 103 deny ip any any log<这里,前面都是deny,为什么这里还有deny any any 呢,用这一句不是包含前面所有的了吗>

数据包和访问列表向比较时遵循的重要规则：
1． 通常是按顺序比较访问列表的每一行。
2． 比较访问列表的各行直到比较到匹配的一行。
3． 在每个访问列表的最后是一行隐含“deny”语句-意味着如果数据包与访问列表中的所有行都不匹配，将被丢弃。

也就是说，access-list 103 deny ip any any log 这条规则是最后才被读取匹配的，当一个数据包进来时，在以上规则中都不符合，才执行这条deny any

cisco防火墙的备份与恢复问题

大家好，公司用的Cisco防火墙。
请问如何对防火墙进行备份与恢复？通过图形界面ASDM的方法已知道。
但是怎么通过telnet进行备份与恢复呢？
公司要求txt备份
即在特权模式下show run命令查看 将结果存在txt文本中。
请问这种文本如何恢复？
上面说，这种txt直接粘贴进去就可以了
有高人给我仔细说说吗？
在那种模式下粘贴，粘贴哪些部分？

1、下载一个 cisco tftp server 用来备份/恢复 配置 IOS的
2、安装运行 cisco tftp server
3、确保你的电脑到你要备份配置的设备之间网络是通的
4、在需要备份的设备上输入以下命令
enable（进入特权模式）
copy startup-config tftp （复制配置文件到TFTP服务器）
Address or name of remote host []?在这里输入你电脑的IP
Destination filename [4506-a-confg]? 直接按回车
这样你这个设备的配置文件就被复制到你的电脑上了 直接用记事本或Word都能打开
需要恢复的话 基本都一样 不过 要 copy tftp startup-config 参考技术A 在#show run 将所有显示的copy到txt文本中，就是备份文件。

还原就是
#conf ter
(config） 这样的模式，将配置文件在粘贴回去就行。全粘就可以。
如果你想省略点，请发配置文件内容，我将默认配置帮你去掉。 ASA 和pix 的命令差异很大，也不知道你配置了什么，没法告诉你那块有用没用。 参考技术B #show run 将所有显示的copy下来，还原的时候进#conf t
#(config） 这个模式，将配置文件在粘贴回去就行。全粘就可以。
ASA和PIX一样的本回答被提问者采纳 参考技术C 当然是配置文件的部分
例如交换机或者路由器 在配置的时候提前打在记事本里
en
configure terminal
interface fastethernet 1/0
ip address 114.110.11.1 255.255.255.0
exit
interface fastethernet 2/0
ip address 114.110.10.1 255.255.255.0
exit 参考技术D 用CRT软件 copy tftp running-config 命令 备份
用 copy running-config tftp还原