巧设防火墙封杀特定网址

2007-09-19 作者:bitsCN整理来源:中国网管联盟点评 投稿 收藏

　　作为一名网管，经常会接收用户反映某个网址有恶意程序，希望我们过滤一下，我们单位上网是通过 PIX520防火墙作NAT的，因此也就涉及到如何在PIX520防火墙上限制对于某些IP地址访问的问题，为此，就结合自己的实际工作经验写了这篇文章。（网络拓扑如图1所示）

网管u家u.bitsCN.com

中国网管论坛bbs.bitsCN.com

图1 网管联盟bitsCN@com

　　一、得到某网址与IP地址的对应关系 网管联盟bitsCN_com

　　比如要封，有两种方法可以得到该网址对应的IP地址，第一是ping该网址，如下所示：网管论坛bbs_bitsCN_com

C:\>ping www.ttsou.cn
Pinging www.ttsou.cn [58.61.155.44] with 32 bytes of data:
Reply from 58.61.155.44: bytes=32 time=80ms TTL=116
Reply from 58.61.155.44: bytes=32 time=78ms TTL=116
Reply from 58.61.155.44: bytes=32 time=92ms TTL=116
Reply from 58.61.155.44: bytes=32 time=85ms TTL=116
Ping statistics for 58.61.155.44:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 78ms, Maximum = 92ms, Average = 83ms 网管u家u.bitscn@com

中国网管联盟bitsCN.com

　　从中我们可以得到对应的IP地址为58.61.155.44.但是这种方法存在一个缺陷，即如果该网址对应有多个IP地址的话，用ping的方法不可能得到所有对应的IP地址，我们可以用nslookup来解决，如下所示：中国网管联盟bitsCN.com

C:\>nslookup
Default Server:  ns.jncatv.net
Address:  222.175.169.91
> www.ttsou.cn
Server:  ns.jncatv.net
Address:  222.175.169.91
Non-authoritative answer:
Name:    www.ttsou.cn
Address:  58.61.155.44
> www.sina.com.cn
Server:  ns.jncatv.net
Address:  222.175.169.91
Non-authoritative answer:
Name:    hydra.sina.com.cn
Addresses:  218.30.108.58, 218.30.108.59, 218.30.108.61, 218.30.108.62
          218.30.108.64, 218.30.108.65, 218.30.108.66, 218.30.108.67, 218.30.108.68
          218.30.108.69, 218.30.108.72, 218.30.108.73, 218.30.108.74, 218.30.108.55
          218.30.108.56, 218.30.108.57
Aliases:  www.sina.com.cn, jupiter.sina.com.cn 网管论坛bbs_bitsCN_com

网管论坛bbs_bitsCN_com

　　从以上的结果我们可以看出，确实是只对应了一个IP地址，但是象这样的网址就对应了大量的IP地址。

网管u家u.bitscn@com

中国网管联盟bitsCN.com

顶一下

TAGs：

上一篇：配置Cisco PIX 防火墙实现双出口下一篇：Cisco防火墙pix515配置实例

巧设防火墙 封杀特定网址

2007-09-19 作者:bitsCN整理 来源:中国网管联盟 点评 投稿 收藏

巧设防火墙封杀特定网址

2007-09-19 作者:bitsCN整理来源:中国网管联盟点评投稿收藏