Cách cấu hình CBAC để inspect traffic từ internet vào

[duongdbdh]

Hiện giờ tôi đang có 1 con router Cisco và muốn sử dụng chức năng statefull firewall để kiểm tra traffic từ các chi nhánh vào các server đặt phía sau router, mô hình như sau:

Router R1 không NAT dịch vụ web ra bên ngoài mà chỉ chạy route giữa 2 interface.
Tôi muốn khi PC truy cập vào web server thì R1 sẽ dùng chức năng statefull firewall để kiểm tra luồng traffic này.
Tôi phải đặt access list và inspect rule theo chiều nào và ở interface nào mới hợp lý?
Trong tất cả các tài liệu tôi đã đọc đều giải thích chức năng và hướng dẫn cấu hình statefull firewall theo mô hình: 1 PC bên trong truy cập 1 web server bên ngoài.

Mong mọi người chia sẻ kinh nghiệm. Cám ơn nhiều!

[nguyenquocle]

Giải pháp tốt nhất là bạn sẽ stateful cả 2 interface của R1 như traffic từ PC đến SERVER được bảo vệ và traffic từ Server đi cũng được bảo vệ.

hình 1:

Bước 1: tạo access-list chọn traffic được phép vào server
Bước 2: tạo inspect rule như: tcp,udp,icmp,www.....
Bước 3: áp dụng chính sách:

áp dụng access-list vào chiều "OUT" của interface kết nối WEB SERVER.

áp dụng inspect rule vào chiều "IN" hoặc chiều "OUT" của interface kết nối WEB SERVER

hình 2:

Bước 1: tạo inspect rule như : tcp,udp,icmp,http.....
Bước 2: áp dụng inspect rule vào chiều "IN" của interface kết nối Server hoặc chiều "OUT" của interface kết nối router