带两个防火墙的DMZ设置 – 从DMZ到LAN和LAN到DMZ的通信

我正在build立一个需要从互联网上访问的机器的networking。 我打算把这些放在非军事区。 DMZ中的一些机器需要访问专用networking上的机器，专用networking上的机器需要访问DMZ中的机器。

我已经读过，最安全的实现是有两个防火墙的。 我打算使用的两个防火墙都是CISCO ASA 5500。

虽然我对如何使用这些特定设备实现这一点感兴趣，但我也对理论方面感兴趣，因为我正在为我们公司的客户创build文档，以便如何设置这些文档。 具体到我正在使用的设备的说明帮助，但我也想知道如何解决这个一般。

我有三个特定的机器：

• 如何模拟一个源IP来testing哪个iptables规则不被触发？
• 我应该把我们的networking服务器（DMZ /内部networking）还是只是做一对一的NAT？
• 通过HTTP代理连接到ssh服务器通过80？
• iptables – 括号内的范围是什么意思？
• 否认ICMPtypes3代码4stream量 – 好还是坏？

• DMZ_Web
• DMZ_Service
• INT_SRV

正如它们的名字所描述的，DMZ_Web和DMZ_Service在DMZ中，而INT_SRV是内部服务器。

我也有两个防火墙：

• FW1
• FW2

简而言之：

• Ext客户端需要访问端口443上的DMZ_Web
• Ext客户端需要访问端口3030上的DMZ_Service
• DMZ_Web需要在端口2020上访问INT_SRV
• 在客户端需要访问端口3030上的DMZ_Service

联网：

• FW1连接到互联网，DMZ和内部networking
• FW2连接到DMZnetworking（外部接口），内部networking（内部接口）
• 内部networking是192.168.1.0 255.255.0.0
• DMZnetworking是192.169.1.0 255.255.0.0
• DMZ机器有两个NIC，一个连接到FW1，一个连接到FW2。 连接到FW2的NIC具有192.169.1.0范围内的静态IP。 连接到FW1的NIC具有可从互联网公开访问的静态IP。

下面链接是一个图，我希望能回答很多有关拓扑的问题。

我已经收集到，我可能需要设置一些静态NAT规则来从DMZ机器到内部networking的stream量，反之亦然，但我不知道。

有一点我想指出的是内部networking连接到FW1和FW2。 它连接到FW1允许访问互联网。 它连接到FW2，以便它可以访问DMZ中的设备。

我不确定这是否正确。 如果不正确，什么是正确的实施？ 如果不正确，它会起作用吗？

我搜遍了所有，但无法find一个地方，实施我的整个解决scheme。 大多数时候，这是一个地方。 我一直没有能够得到所有的作品一起工作:(