Cisco PIX防火墙配置指南

作者: 出处:Cisco.com　 ( ) 砖 ( ) 好评论 ( ) 条　进入论坛

更新时间：2006-07-03 14:11
关键词：Cisco配置实例
阅读提示：总结了防火墙基本配置十个方面的内容。

硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上讲，简单地说是一种pc式的电脑主机加上闪存（flash）和防火墙操作系统。它的硬件跟共控机差不多，都是属于能适合24小时工作的，外观造型也是相类似。闪存基本上跟路由器一样，都是那中 eeprom，操作系统跟cisco ios相似,都是命令行（command）式。
防火墙是cisco firewall pix 515e，是一种机架式标准（即能安装在标准的机柜里），有1u的高度，正面看跟cisco 路由器一样，只有一些指示灯，从背板看，有三个以太口（rj-45网卡）,一个配置口（console）,2个usb,一个15针的failover口，还有pci扩展口。
如何开始cisco firewall pix呢？应该是跟cisco 路由器使用差不多吧，于是用配置线从电脑的com2连到pix 515e的console口，进入pix操作系统采用windows系统里的“超级终端”，通讯参数设置为默然。初始使用有一个初始化过程，主要设置： date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡ip地址)、domain(主域)等，如果以上设置正确，就能保存以上设置，也就建立了一个初始化设置了。
进入pix 515e采用超级用户(enable),默然密码为空，修改密码用passwd 命令。一般情况下firewall配置
下面讲一下一般用到的最基本配置
1、建立用户和修改密码
跟cisco ios路由器基本一样。
2、激活以太端口
必须用enable进入，然后进入configure模式

pix515e>enable 
password: 
pix515e#config t 
pix515e(config)#interface ethernet0 auto 
pix515e(config)#interface ethernet1 auto

在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。
3、命名端口与安全级别
采用命令nameif

pix515e(config)#nameif ethernet0 outside security0 
pix515e(config)#nameif ethernet0 outside security100

security0是外部端口outside的安全级别（0安全级别最高）
security100是内部端口inside的安全级别,如果中间还有以太口，则security10，security20等等命名，多个网卡组成多个网络，一般情况下增加一个以太口作为dmz(demilitarized zones非武装区域)。
4、配置以太端口ip 地址
采用命令为：ip address

如：内部网络为：192.168.1.0 255.255.255.0 
外部网络为：222.20.16.0 255.255.255.0 
pix515e(config)#ip address inside 192.168.1.1 255.255.255.0 
pix515e(config)#ip address outside 222.20.16.1 255.255.255.0

5、配置远程访问[telnet]
在默然情况下，pix的以太端口是不允许telnet的，这一点与路由器有区别。inside端口可以做telnet就能用了,但outside端口还跟一些安全配置有关。

pix515e(config)#telnet 192.168.1.1 255.255.255.0 inside 
pix515e(config)#telnet 222.20.16.1 255.255.255.0 outside 
测试telnet 
在[开始]->[运行] 
telnet 192.168.1.1 
pix passwd: 
输入密码：cisco

6、访问列表(access-list)
此功能与cisco ios基本上是相似的，也是firewall的主要部分，有permit和deny两个功能，网络协议一般有ip|tcp|udp|icmp等等，如：只允许访问主机:222.20.16.254的www,端口为：80

pix515e(config)#access-list 100 permit ip any host 222.20.16.254 eq www 
pix515e(config)#access-list 100 deny ip any any 
pix515e(config)#access-group 100 in interface outside

7、地址转换（nat）和端口转换(pat)
nat跟路由器基本是一样的，
首先必须定义ip pool，提供给内部ip地址转换的地址段，接着定义内部网段。

pix515e(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0 
pix515e(config)#nat (outside) 1 192.168.0.0 255.255.255.0

如果是内部全部地址都可以转换出去则：

pix515e(config)#nat (outside) 1 0.0.0.0 0.0.0.0

则某些情况下，外部地址是很有限的，有些主机必须单独占用一个ip地址，必须解决的是公用一个外部ip(222.20.16.201),则必须多配置一条命令，这种称为（pat），这样就能解决更多用户同时共享一个ip,有点像代理服务器一样的功能。配置如下：

pix515e(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0 
pix515e(config)#global (outside) 1 222.20.16.201 netmask 255.255.255.0 
pix515e(config)#nat (outside) 1 0.0.0.0 0.0.0.0

8、 dhcp server
在内部网络，为了维护的集中管理和充分利用有限ip地址，都会启用动态主机分配ip地址服务器（dhcp server），cisco firewall pix都具有这种功能，下面简单配置dhcp server,地址段为192.168.1.100—192.168.168.1.200

dns: 主202.96.128.68 备202.96.144.47 
主域名称：abc.com.cn 
dhcp client 通过pix firewall 
pix515e(config)#ip address dhcp 
dhcp server配置 
pix515e(config)#dhcpd address 192.168.1.100-192.168.1.200 inside 
pix515e(config)#dhcp dns 202.96.128.68 202.96.144.47 
pix515e(config)#dhcp domain abc.com.cn

9、静态端口重定向(port redirection with statics)
在pix 版本6.0以上，增加了端口重定向的功能，允许外部用户通过一个特殊的ip地址/端口通过firewall pix 传输到内部指定的内部服务器。这种功能也就是可以发布内部www、ftp、mail等服务器了，这种方式并不是直接连接，而是通过端口重定向，使得内部服务器很安全。
命令格式：

static [(internal_if_name,external_if_name)]{global_ip|interface} local_ip 
[netmask mask][max_cons[max_cons[emb_limit[norandomseq]]] 
static [(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface} local_ip 
[netmask mask][max_cons[max_cons[emb_limit[norandomseq]]] 
!----外部用户直接访问地址222.20.16.99 telnet端口，通过pix重定向到内部主机192.168.1.99的telnet端口（23）。 
pix515e(config)#static (inside,outside) tcp 222.20.16.99 telnet 192.168.1.99 telnet netmask 255.255.255.255 0 0 
!----外部用户直接访问地址222.20.16.99 ftp，通过pix重定向到内部192.168.1.3的ftp server。 
pix515e(config)#static (inside,outside) tcp 222.20.16.99 ftp 192.168.1.3 ftp netmask 255.255.255.255 0 0 
!----外部用户直接访问地址222.20.16.208 www(即80端口)，通过pix重定向到内部192.168.123的主机的www(即80端口)。 
pix515e(config)#static (inside,outside) tcp 222.20.16.208 www 192.168.1.2 www netmask 255.255.255.255 0 0 
!----外部用户直接访问地址222.20.16.201 http(8080端口)，通过pix重定向到内部192.168.1.4的主机的www(即80端口)。 
pix515e(config)#static (inside,outside) tcp 222.20.16.208 8080 192.168.1.4 www netmask 255.255.255.255 0 0 
!----外部用户直接访问地址222.20.16.5 smtp(25端口)，通过pix重定向到内部192.168.1.5的邮件主机的smtp(即25端口) 
pix515e(config)#static (inside,outside) tcp 222.20.16.208 smtp 192.168.1.4 smtp netmask 255.255.255.255 0 0

10、显示与保存结果

采用命令show config 
保存采用write memory

（责任编辑：城尘 68476636-8003）

滚动新闻　术语词典　问题悬赏

发表

共条查看

评价

叫个好

拍一砖

我也说两句

中国领先的 IT 技术网站 ·
技术成就梦想

·教你使用Anti ARP Sniffer查找ARP..
·网络嗅探教程：使用Sniffer Pro监..

· 教你使用Anti ARP Snif..
· 网络嗅探教程：使用Sni..
· 时代亿信企业级信息安..
· ISA Server、虚拟机、..
· Windows年底再现图片漏..
· MBSA本地审核策略建议

· 企业局域网安全访问控..
· 常见病毒手工清除方法..
· 网络技术经典基础教程
· CISCO配置实例学习
· 如何破解加密的压缩文件
· 东方标准－病毒防护技..

排行榜

·ARP攻击防范与解决方案 (查看73331次)
·ARP病毒攻击技术分析与防御 (查看30317次)
·远程控制软件VNC教程和对内网机.. (查看27782次)
·江民“熊猫烧香”专杀工具 (查看27405次)
·ARP病毒解决办法 (查看23334次)

·ARP攻击防范与解决方案 (529个砖)
·51CTO安全专访：信息安全的基石—安全操作系统 (443个砖)
·51CTO调查：七成技术人员不相信“可杀未知病毒” (431个砖)
·病毒查杀专题 (168个砖)
·51CTO专访：优秀杀毒产品应该具备的特征 (163个砖)

·清除流氓软件——51CTO特别专题 (701个好)
·ARP攻击防范与解决方案 (498个好)
·51CTO调查：七成技术人员不相信“可杀未知病毒” (483个好)
·51CTO安全专访：信息安全的基石—安全操作系统 (460个好)
·深入了解PGP加密技术 (182个好)

·网络技术经典基础教程 (09月)
·CISSP认证成长之路 (09月)
·国内安全厂商新排名出炉谁是你心中的第一 (08月)
·垃圾邮件新对策：远程定制托管服务 (08月)
·冷眼旁观2007年半年安全报告 (07月)

·国庆充电之IT培训认证
·51CTO主编推荐经典专题

· 51CTO“十·一”特别专..
· 对应需求如何选择最合..
· SPEC：AMD四核浮点性能..
· FB-DIMM、RDDR3谁是服..
· Avaya股东批准私募基金..
· 未来游戏设计将要面临..
· 微软发布全新FTP7.0
· 网络嗅探教程：用Sniff..

· 能够改变IT格局的五大..
· 微软统一沟通系列视频..
· 专家教你理解ARP欺骗攻..
· 微软屈从用户PC厂商压..
· 企业如何对付DDoS攻击 ..
· 思科称三年后网真系统..
· 北京歌华出现网络故障 ..
· 苹果与黑客大斗法破解..

订阅技术快讯

电子杂志下载

名称：网络安全精品应用黄皮书
简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。

名称：Vista精品应用黄皮书
简介：《Vista精品应用黄皮书》囊括了Vista的各方面内容。此次的精简版，是将里面的内容做了提取，便于用户下载和使用。内容包含了各种Vista的安装与实施、技巧与解析以及各种Vista相关学习文档和相关软件的安全下载。该电子书是了解和应用Vista人员必备的工具手册，并且也是第一本

名称：2006中国IT论坛精品集合
简介：本书由“51CTO论坛推广联盟”制作完成。书中所有内容均来自各联盟成员的论坛（网站）。制作本书的目的是为了集中大家的优势资源，将更多更精彩的内容带给广大技术爱好者。本书是联盟成立以来制作的第一本书。

专题

最多好

最多砖

DB2 9技术资源中.. 推荐阅读
·DB2 Viper快速入门 ·DB2 9数据库的镜像分割与..	·将XML应用程序从DB2 8.x.. ·DB2 9中的pureXML：如何..
51CTO.com编辑部.. 推荐阅读
·服务器中的“傻瓜机”在.. ·盖茨也喜欢登录Youtube看..	· ·

张振伦的博客
·拯救系统管理员 ·美国选民：我为什么选布什	·VMware公司中文命名挑战赛 ·我们真缺乏创新吗?
梁林的博客
·J0ker的CISSP之路：复习-.. ·J0ker的CISSP之路:复习-I..	·9月第3周安全回顾内网安.. ·教你几招识别和防御Web网..

组网建网	安全频道
· NGN:下一代网络 · 网络访问中断大排查 · FTTx光纤接入	· 教你使用Anti ARP Sniff.. · 网络嗅探教程：使用Snif.. · 常见病毒手工清除方法大..
编程频道	前沿技术
· C++是垃圾语言？！ · 2007年IT界七大抄袭事件 · Java实用开发全集	· 解析Ajax开发框架走进A.. · 基于Google Maps与Ajax.. · 基于Google Maps与Ajax..
操作系统	服务器
· 热门 IT 培训认证官方资.. · Ubuntu 中文开源频道 · Solaris基础知识入门	· 费力不讨好数据中心主.. · AMD Phenom三核处理器解.. · 51CTO主编推荐经典专题
数据库	存储频道
· 甲骨文Oracle 11g正式发.. · Oracle数据库开发之PL/S.. · Oracle数据库开发基础教..	· 存储2006，一个并购的大.. · IDC宣布浪潮蝉联存储市.. · 双机热备技术