Cisco PIX防火墙配置手册

Cisco PIX防火墙配置手册 您的查询字词都已标明如下：pix防火墙配置手册 (点击查询词，可以跳到它在文中首次出现的位置) 如果打开速度慢，您可以尝试打开无图片的快照； 如果您想保存该页面，可以添加到搜藏 (百度和网页http://www.chinajinyu.net/Ciscotech/ShowArticle.asp?ArticleID=261的作者无关，不对其内容负责。百度快照谨为网络故障时之索引，不代表被搜索网站的即时页面。) 最新公告： 没有公告 您现在的位置： 思科华为技术综合站点 >> CISCO配置 >> Cisco 配置手册 >> CISCO技术正文 Cisco PIX防火墙配置手册 作者：佚名 文章来源：本站原创 点击数：294 更新时间：2007-5-31 10:43:35 一、 PIX防火墙的认识 PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。 PIX有很多型号，并发连接数是PIX防火墙的重要参数。PIX25是典型的设备。 PIX防火墙常见接口有：console、Failover、Ethernet、USB。 网络区域： 内部网络：inside 外部网络：outside 中间区域：称DMZ(停火区)。放置对外开放的服务器。 二、防火墙的配置规则 没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。 (内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接) inside可以访问任何outside和dmz区域。 dmz可以访问outside区域。 inside访问dmz需要配合static(静态地址转换)。 outside访问dmz需要配合acl(访问控制列表)。 三、PIX防火墙的配置模式 PIX防火墙的配置模式与路由器类似，有4种管理模式： PIXfirewall>：用户模式 PIXfirewall#：特权模式 PIXfirewall(config)#：配置模式 monitor>：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式。 四、PIX基本配置命令 常用命令有：nameif、interface、ipaddress、nat、global、route、static等。 1、nameif 设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。 例如要求设置： ethernet0命名为外部接口outside，安全级别是0。 ethernet1命名为内部接口inside，安全级别是100。 ethernet2命名为中间接口dmz,安装级别为50。 使用命令： PIX525(config)#nameifethernet0outsidesecurity0 PIX525(config)#nameifethernet1insidesecurity100 PIX525(config)#nameifethernet2dmzsecurity50 2、interface 配置以太口工作状态，常见状态有：auto、100full、shutdown。 auto：设置网卡工作在自适应状态。 100full：设置网卡工作在100Mbit/s，全双工状态。 shutdown：设置网卡接口关闭，否则为激活。 命令： PIX525(config)#interfaceethernet0auto PIX525(config)#interfaceethernet1100full PIX525(config)#interfaceethernet1100fullshutdown 3、ipaddress 配置网络接口的IP地址，例如： PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252 PIX525(config)#ipaddressinside192.168.0.1255.255.255.0 内网inside接口使用私有地址192.168.0.1，外网outside接口使用公网地址133.0.0.1。 4、global 指定公网地址范围：定义地址池。 Global命令的配置语法： global(if_name)nat_idip_address-ip_address[netmarkglobal_mask] 其中： (if_name)：表示外网接口名称，一般为outside。 nat_id：建立的地址池标识(nat要引用)。 ip_address-ip_address：表示一段ip地址范围。 [netmarkglobal_mask]：表示全局ip地址的网络掩码。 例如： PIX525(config)#global(outside)1133.0.0.1-133.0.0.15 地址池1对应的IP是：133.0.0.1-133.0.0.15 PIX525(config)#global(outside)1133.0.0.1 地址池1只有一个IP地址133.0.0.1。 PIX525(config)#noglobal(outside)1133.0.0.1 表示删除这个全局表项。 5、nat 地址转换命令，将内网的私有ip转换为外网公网ip。 nat命令配置语法：nat(if_name)nat_idlocal_ip[netmark] 其中： (if_name)：表示接口名称，一般为inside. nat_id：表示地址池，由global命令定义。 local_ip：表示内网的ip地址。对于0.0.0.0表示内网所有主机。 [netmark]：表示内网ip地址的子网掩码。 在实际配置中nat命令总是与global命令配合使用。 一个指定外部网络，一个指定内部网络，通过net_id联系在一起。 例如： PIX525(config)#nat(inside)100 表示内网的所有主机(00)都可以访问由global指定的外网。 PIX525(config)#nat(inside)1172.16.5.0255.255.0.0 表示只有172.16.5.0/16网段的主机可以访问global指定的外网。 6、route route命令定义静态路由。 语法： route(if_name)00gateway_ip[metric] 其中： (if_name)：表示接口名称。 00：表示所有主机 Gateway_ip：表示网关路由器的ip地址或下一跳。 [metric]：路由花费。缺省值是1。 例如： PIX525(config)#routeoutside00133.0.0.11 设置缺省路由从outside口送出，下一跳是133.0.0.1。 00代表0.0.0.00.0.0.0，表示任意网络。 PIX525(config)#routeinside10.1.0.0255.255.0.010.8.0.11 设置到10.1.0.0网络下一跳是10.8.0.1。最后的“1”是花费。 7、static 配置静态IP地址翻译，使内部地址与外部地址一一对应。 语法： static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address 其中： internal_if_name表示内部网络接口，安全级别较高，如inside。 external_if_name表示外部网络接口，安全级别较低，如outside。 outside_ip_address表示外部网络的公有ip地址。 inside_ip_address表示内部网络的本地ip地址。 (括号内序顺是先内后外，外边的顺序是先外后内) 例如： PIX525(config)#static(inside，outside)133.0.0.1192.168.0.8 表示内部ip地址192.168.0.8，访问外部时被翻译成133.0.0.1全局地址。 PIX525(config)#static(dmz，outside)133.0.0.1172.16.0.2 中间区域ip地址172.16.0.2，访问外部时被翻译成133.0.0.1全局地址。 8、conduit 管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。 例如允许从outside到DMZ或inside方向的会话(作用同访问控制列表)。 语法： conduitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask] 其中： global_ip是一台主机时前面加host参数，所有主机时用any表示。 foreign_ip表示外部ip。 [netmask]表示可以是一台主机或一个网络。 例如： PIX525(config)#static(inside，outside)133.0.0.1192.168.0.3 PIX525(config)#conduitpermittcphost133.0.0.1eqwwwany 这个例子说明static和conduit的关系。192.168.0.3是内网一台web服务器， 现在希望外网的用户能够通过PIX防火墙访问web服务。