المعالج | Processeur

 الهدف من هاذ ZPF هو نسيباريو لي ريزو على بعضهم عن طريق لي زون.. وعاد من بعد نآبليكيو الكونفيغ لي بغينا عليهم.. عندنا ثلاثة الأنواع ديال لي زون: الزون لي كتكون لوكال يعني LAN والزون لي كتكون خارجية بحال الإنترنت، والزون DMZ لي كيكونو فيها سيرفيرات فاللوكال ديالنا نيت. يقدرو يكونو مثلا سيرفرات ديال السطوكاج ولا شي سيرفر ويب...
غانحاولو نخدمو على هاذ الطوبولوجي لي عندنا فالصورة ونطبقو عليها الكونفيغ الخاصة بهاذ النوع من الفايروول.
أول حاجة كنديروها هي كنحددو لي زون لي باغيين نفرقوهم وكنعطيوهم سمياات باش يكون داكشي باين وواضح.
من بعد كندوزو للخطوة ديال إنشاء هاذ الـ Zones عن طريق الكوموند :

R1(config)# zone security IN-ZONE

R1(config)# zone security OUT-ZONE

R1(config)# zone security DMZ {codeBox}

دبا سالينا الخطوة الثانية غاديين ندوزو للخطوة الثالثة ولي هي نلينكيو هاذ لي زون مع لي زانطيرفاص ديالهم، باش كل آنطيرفاص تآبليكا عليها الزون ديالها وهاكا غايتسيباراو على بعضهم، وماغايبقاوش يهضرو مع بعضهم وخا هما كاملين فراوتر واحد.
الكوموند:

R1(config)#interface f1/0
R1(config-if)# zone-member security IN-ZONE
R1(config)#interface f0/0
R1(config-if)# zone-member security OUT-ZONE
R1(config)#interface f2/0
R1(config-if)# zone-member security DMZ {codeBox}

الآن الخطوة الثالثة كملات اندوزو للرابعة ولي غانحددو فيها الباراميطر لي بغيناهم يتآبليكاو على هاذ الـ Zones
غانستعملو الـ ACL باش نحددو آشنو بغينا، منطقيا غايخصنا نخليو الريزو LAN يقدر يخرج للانترنت ويقدر يآكسيدي للسيرفرات لي غايبغي، يعني خاص الريزو LAN يخرج لأي بلاصة بغاها ولكن المشكل لي كاين هو ماخاصش شي روكيط تجي من شي بلاصة اخرى وتدخل للريزو LAN خاص حنى لي نسمحو للطرافيك لي كنثيقو فيه هو لي يدخل.
حنى فهاذ الشرح غاديين نخليو غا الريزو الداخلي هو لي يخرج عند كولشي ولكن لاخرين مايقدروش يجيو ليه إلا ملي غايبغي الريزو LAN يهضر معاهم عااد يقدرو لاخرين يهضرو معاه. وهذا هو الهدف من هاذشي كامل وهاكا خاص تكون السيكيريطي ديال LAN
الكوموند :

R1(config)#ip access-list extended 101
R1(config-ext-nacl)#permit ip 192.168.1.0 0.0.0.255 any {codeBox}

دبا كريينا ACL من نوع Extended باش نحددو حتى البروتوكول لي بغيناه يتآبليكا. وهنا ختاريت ip باش كولشي يدوز ودرت غا الريزو LAN وخليتو يدوي مع أي حاجة.

دبا اندوزو للخطوة الخامسة ولي هي غانكرييو Class Map نطبقو فيه هاذ الـ ACL باش تخدم لينا مع هاذ لي زون.
الكوموند : 

R1(config)#class-map type inspect match all MAP-ZONE
R1(config-cmap)#match access-group 101 {codeBox}

هنا كرييت الـ class map وعطيتها فالنوع inspect حيت باغي نخليها تبازا على الكونفيغ ديال الـ ACL وقلت لها match all باش نقدر نآبليكي عليها بزاف ديال لي زوبسيون إلى بغيت نقدر نآبليكي عليها شي بروتوكول خاص مثلا بحال http يعني مثلا غا بروتوكول http لي يقدر يريبوندي فقط ولا نقدر ندير شي class map ديجا انا موجدها ولا الخيار لي درت انا ولي هو access-group وعطيت الرقم ديال الـ ACL حيت انا ديجا كنت كرييتيها وآبليكيتها على الـ class map

ندوزو للخطوة السادسة ولي هي الكرياسيون ديال الـ Policy Map باش نآبليكي فيها ديك الـ class map
الكوموند : 

R1(config)# policy-map type inspect MAP-POLICY
R1(config-pmap)#class type inspect MAP-ZONE
R1(config-pmap-c)#inspect {codeBox}

 

دبا كرييت البوليسي ديالي وسميتها MAP-POLICY ومن بعد جبت ديك class map لي كنت سميتها قبل MAP-ZONE و آبليكيتها فهاذ البوليسي.
وآخر حاجة عطيتها لاكوموند inspect لي كتعني خليهم يهضرو معاك غا ملي تبغي نتا.. يعني هاذ الـ DMZ و OUT-ZONE غايهضرو مع IN-ZONE غيــر ملي IN-ZONE هي لي تبغي.

الخطوة السابعة والأخيرة هي نكرييو واحد Zone Pair  لي غادي نحدد فيها آآشمن زون غاتكون هي الـ Source وشكون لي غايكون الـ Destination
وطبعا هنا راه لي غاتكون السورس هي الـ IN-ZONE ولاخرين غايكونو Destinations
الكوموند: 

R1(config)#zone-pair security PAIR-ZONE source IN-ZONE destination DMZ
R1(config)#zone-pair security PAIR-ZONE source IN-ZONE destination OUT-ZONE
R1(config-sec-zone-pair)#service-policy type inspect MAP-POLICY  {codeBox}

هنا راني كرييت Zone Pair سميتها PAIR-ZONE وحددت لاسورس والديستيناسيون، وآخر حاجة درتها آبليكيت تاني ديك Policy-map لي كنت كرييت قبل على هاذ الـ Zone Pair

غاتلاحظ أنه ملي بدينا وحنى كنكريو حاجة وكنعاودو نكرييو موراها حاجة أخرى ونآبليكيو فيها الحاجة لي قبلها.. يعني كوموند كتكمل كوموند بحال شي سلسلة. إلى عقلتي عليها بهاذ الطريقة راك غاتبقى تتفكر هاذ الكونفيغ وماغاتدوخكش..
ملاحظة: بالنسبة للأسماء لي درت تم راك تقدر تبدلها بلي بغيتي. ماعندهاش تأثير على الكونفيغ.. ومن الأفضل أنك تبقى تدير أسماء عندها معنى باش تسهل عليك التذكر وماتخربقكش بزاف.
Enjoy

تعديل المقال