cisco防火墙配置
    本文由ｃｕｂｓｉｄｅ贡献
    ｄｏｃ１。
    ｃｉｓｃｏ　防火墙配置
    目录　概要　ｃｉｓｃｏ　防火墙介绍　如何开始配置　Ｃｉｓｃｏ　Ｆｉｒｅｗａｌｌ　Ｐｉｘ　基本配置　概要　ｃｉｓｃｏ　防火墙介绍　如何开始配置　Ｃｉｓｃｏ　Ｆｉｒｅｗａｌｌ　Ｐｉｘ　基本配置
    展开
    编辑本段　概要
    本文讲述了作者第一次亲手接触　Ｃｉｓｃｏ　ＰＩＸ　防火墙，总结了防火墙基　本配置十个方面的内容。
    编辑本段　ｃｉｓｃｏ　防火墙介绍
    硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上　讲，简单地说是一种　ＰＣ　式
的电脑主机加上闪存（Ｆｌａｓｈ）和防火墙操作系　统。它的硬件跟工控机差不多，都是属于能适合　２４　小时工作的，外观造型　也是相类似。　闪存基本上跟路由器一样，　都是那种　ＥＥＰＲＯＭ，　操作系统跟　Ｃｉｓｃｏ　ＩＯＳ　相似，都是命令行（Ｃｏｍｍａｎｄ）式，我第一次亲手拿到的防火墙是　Ｃｉｓｃｏ　Ｆｉｒｅｗａｌｌ　Ｐｉｘ５２５，是一种机架式标准（即能安装在标准的机柜里），有　２Ｕ　的高度，正面看跟　Ｃｉｓｃｏ　路由器一样，只有一些指示灯，从背板看，有两　个以太口（ＲＪ－４５　网卡），一个配置口（ｃｏｎｓｏｌｅ），２　个　ＵＳＢ，一个　１５　针的　Ｆａｉｌｏｖｅｒ　口，还有三个　ＰＣＩ　扩展口。
    编辑本段　如何开始配置　Ｃｉｓｃｏ　Ｆｉｒｅｗａｌｌ　Ｐｉｘ
    我想应该是跟　Ｃｉｓｃｏ　路由器使用差不多吧，　于是用配置线从电脑的　ＣＯＭ２　连到　ＰＩＸ　５２５　的　ｃｏｎｓｏｌｅ　口，　进入　ＰＩＸ　操作系统采用　ｗｉｎｄｏｗｓ　系统里的“超　级终端”，通讯参数设置为默然。初始使用有一个初始化过程，主要设置：　Ｄａｔｅ（日期）、ｔｉｍｅ（时间）、ｈｏｓｔｎａｍｅ（主机名称）、ｉｎｓｉｄｅ　ｉｐ　ａｄｄｒｅｓｓ（内　部网卡　ＩＰ　地址）、ｄｏｍａｉｎ（主域）等，如果以上设置正确，就能保存以上设　置，也就建立了一个初始化设置了。　进入　Ｐｉｘ　５２５　采用超级用户（ｅｎａｂｌｅ），默然密码为空，修改密码用　ｐａｓｓｗｄ　命令。一般情况下　Ｆｉｒｅｗａｌｌ　配置，我们需要做些什么呢？当时第一　次接触我也不知道该做些什么，随设备一起来的有《硬件的安装》和《命　令使用手册》
电脑防火墙的作用。我首先看了命令的使用，用于几个小时把几百面的英文书　看完了，对命令的使用的知道了一点了，但是对如何配置　ＰＩＸ　还是不大清　楚该从何入手，我想现在只能去　ｃｉｓｃｏ　了，于是在　ｗｗｗ．ｃｉｓｃｏ．ｃｏｍ　下载了　一些资料，边看边实践了　ＰＩＸ。　防火墙是处网络系统里，因此它跟网络的结构密切相关，一般会涉及　的有　Ｒｏｕｔｅ（路由器）、网络　ＩＰ　地址。还有必须清楚标准的　ＴＣＰ［ＲＦＣ７９３］和　ＵＤＰ［ＲＦＣ７６８］端口的定义。
    编辑本段　基本配置
    建立用户和修改密码　建立用户和修改密码跟　Ｃｉｓｃｏ　ＩＯＳ　路由器基本一样。　激活以太端口　激活以太端口必须用　ｅｎａｂｌｅ　进入，然后进入　ｃｏｎｆｉｇｕｒｅ　模式　ＰＩＸ５２５＞ｅｎａｂｌｅ　Ｐａｓｓｗｏｒｄ：　ＰＩＸ５２５＃ｃｏｎｆｉｇ　ｔ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ０　ａｕｔｏ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ１　ａｕｔｏ　在默然情况下　ｅｔｈｅｒｎｅｔ０　是属外部网卡　ｏｕｔｓｉｄｅ，　ｅｔｈｅｒｎｅｔ１　是属内部　网卡　ｉｎｓｉｄｅ，　ｉｎｓｉｄｅ　在初始化配置成功的情况下已经被激活生效了，但是　ｏｕｔｓｉｄｅ　必须命令配置激活。　命名端口与安全级别　采用命令　ｎａｍｅｉｆ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ０　ｏｕｔｓｉｄｅ　ｓｅｃｕｒｉｔｙ０
    ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ０　ｏｕｔｓｉｄｅ　ｓｅｃｕｒｉｔｙ１００　ｓｅｃｕｒｉｔｙ０　是外部端口　ｏｕｔｓｉｄｅ　的安全级别（１００　安全级别最高）　ｓｅｃｕｒｉｔｙ１００　是内部端口　ｉｎｓｉｄｅ　的安全级别，如果中间还有以太口，　则　ｓｅｃｕｒｉｔｙ１０，ｓｅｃｕｒｉｔｙ２０　等等命名，多个网卡组成多个网络，一般情况下　增加一个以太口作为　ＤＭＺ（Ｄｅｍｉｌｉｔａｒｉｚｅｄ　Ｚｏｎｅｓ　非武装区域）。　配置以太端口　ＩＰ　地址　采用命令为：ｉｐ　ａｄｄｒｅｓｓ　如：内部网络为：１９２．１６８．１．０　２５５．２５５．２５５．０　外部网络为：２２２．２０．１６．０　２５５．２５５．２５５．０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｉｐ　ａｄｄｒｅｓｓ　ｉｎｓｉｄｅ　１９２．１６８．１．１　２５５．２５５．２５５．０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｉｐ　ａｄｄｒｅｓｓ　ｏｕｔｓｉｄｅ　２２２．２０．１６．１　２５５．２５５．２５５．０　配置远程访问［ｔｅｌｎｅｔ］　配置远程访问　在默然情况下，ＰＩＸ　的以太端口是不允许　ｔｅｌｎｅｔ　的，这一点与路由器　有区别。Ｉｎｓｉｄｅ　端口可以做　ｔｅｌｎｅｔ　就能用了，但　ｏｕｔｓｉｄｅ　端口还跟一些安　全配置有关。　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｔｅｌｎｅｔ　１９２．１６８．１．１　２５５．２５５．２５５．０　ｉｎｓｉｄｅ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｔｅｌｎｅｔ　２２２．２０．１６．１　２５５．２５５．２５５．０　ｏｕｔｓｉｄｅ　测试　ｔｅｌｎｅｔ　在［开始］－＞［运行］　ｔｅｌｎｅｔ　１９２．１６８．１．１　ＰＩＸ　ｐ
ａｓｓｗｄ：　输入密码：ｃｉｓｃｏ　访问列表（ａｃｃｅｓｓ－ｌｉｓｔ）　访问列表　此功能与　Ｃｉｓｃｏ　ＩＯＳ　基本上是相似的，也是　Ｆｉｒｅｗａｌｌ　的主要部分，有　ｐｅｒｍｉｔ　和　ｄｅｎｙ　两个功能，网络协议一般有　ＩＰ｜ＴＣＰ｜ＵＤＰ｜ＩＣＭＰ　等等，如：只　允许访问主机：２２２．２０．１６．２５４　的　ｗｗｗ，端口为：８０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ａｃｃｅｓｓ－ｌｉｓｔ　１００　ｐｅｒｍｉｔ　ｉｐ　ａｎｙ　ｈｏｓｔ　２２２．２０．１６．２５４　ｅｑ　ｗｗｗ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ａｃｃｅｓｓ－ｌｉｓｔ　１００　ｄｅｎｙ　ｉｐ　ａｎｙ　ａｎｙ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ａｃｃｅｓｓ－ｇｒｏｕｐ　１００　ｉｎ　ｉｎｔｅｒｆａｃｅ　ｏｕｔｓｉｄｅ　地址转换（　地址转换　（　ＮＡＴ）　和端口转换　）　和端口转换（ＰＡＴ）　ＮＡＴ　跟路由器基本是一样的，　首先必须定义　ＩＰ　Ｐｏｏｌ，提供给内部　ＩＰ　地址转换的地址段，接着定义　内部网段。
    ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　２２２．２０．１６．１００－２２２．２０．１６．２００　ｎｅｔｍａｓｋ　２５５．２５５．２５５．０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｎａｔ　（ｏｕｔｓｉｄｅ）　１　１９２．１６８．０．０　２５５．２５５．２５５．０　如果是内部全部地址都可以转换出去则：　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｎａｔ　（ｏｕｔｓｉｄｅ）　１　０．０．０．０　０．０．０．０　则某些情况下，外部地址是很有限的，有些主机必须单独占用一个　ＩＰ　地址，必须解决的是公用一个外部　ＩＰ（２２２．２０．１６．
２０１），则必须多配置一条　命令，这种称为（ＰＡＴ），这样就能解决更多用户同时共享一个　ＩＰ，有点像　代理服务器一样的功能。配置如下：　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　２２２．２０．１６．１００－２２２．２０．１６．２００　ｎｅｔｍａｓｋ　２５５．２５５．２５５．０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　２２２．２０．１６．２０１　ｎｅｔｍａｓｋ　２５５．２５５．２５５．０　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｎａｔ　（ｏｕｔｓｉｄｅ）　１　０．０．０．０　０．０．０．０　ＤＨＣＰ　Ｓｅｒｖｅｒ　在内部网络，为了维护的集中管理和充分利用有限　ＩＰ　地址，都会启用　动态主机分配　ＩＰ　地址服务器（ＤＨＣＰ　Ｓｅｒｖｅｒ），Ｃｉｓｃｏ　Ｆｉｒｅｗａｌｌ　ＰＩＸ　都具　有这种功能，下面简单配置　ＤＨＣＰ　Ｓｅｒｖｅｒ，地址段为　１９２．１６８．１．１００—１９２．１６８．１６８．１．２００　ＤＮＳ：　主　２０２．９６．１２８．６８　备　２０２．９６．１４４．４７　主域名称：ａｂｃ．ｃｏｍ．ｃｎ　ＤＨＣＰ　Ｃｌｉｅｎｔ　通过　ＰＩＸ　Ｆｉｒｅｗａｌｌ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｉｐ　ａｄｄｒｅｓｓ　ｄｈｃｐ　ＤＨＣＰ　Ｓｅｒｖｅｒ　配置　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｄｈｃｐｄ　ａｄｄｒｅｓｓ　１９２．１６８．１．１００－１９２．１６８．１．２００　ｉｎｓｉｄｅ　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｄｈｃｐ　ｄｎｓ　２０２．９６．１２８．６８　２０２．９６．１４４．４７　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｄｈｃｐ　ｄｏｍａｉｎ　ａｂｃ．ｃｏｍ．ｃｎ　静态端口重定向　静态端口重定向（Ｐｏｒｔ　Ｒｅｄｉｒｅｃｔｉｏｎ　ｗｉｔｈ　Ｓｔａｔｉｃｓ）　在　ＰＩＸ　版本　
６．０　以上，增加了端口重定向的功能，允许外部用户通过　一个特殊的　ＩＰ　地址／端口通过　Ｆｉｒｅｗａｌｌ　ＰＩＸ　传输到内部指定的内部服务器。这种功能也就是可以发布内部　ＷＷＷ、　ＦＴＰ、Ｍａｉｌ　等服务器了，这种方式并不是直接连接，而是通过端口重定向，　使得内部服务器很安全。　命令格式：　ｓｔａｔｉｃ
    ［（ｉｎｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ，ｅｘｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ）］｛ｇｌｏｂａｌ＿ｉｐ｜ｉｎｔｅｒｆａｃｅ｝　ｌｏｃａｌ＿ｉｐ　［ｎｅｔｍａｓｋ　ｍａｓｋ］［ｍａｘ＿ｃｏｎｓ［ｍａｘ＿ｃｏｎｓ［ｅｍｂ＿ｌｉｍｉｔ［ｎｏｒａｎｄｏｍｓｅｑ］］］　ｓｔａｔｉｃ　［（ｉｎｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ，ｅｘｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ）］｛ｔｃｐ｜ｕｄｐ｝｛ｇｌｏｂａｌ＿ｉｐ｜ｉｎｔｅｒｆａ　ｃｅ｝　ｌｏｃａｌ＿ｉｐ　［ｎｅｔｍａｓｋ　ｍａｓｋ］［ｍａｘ＿ｃｏｎｓ［ｍａｘ＿ｃｏｎｓ［ｅｍｂ＿ｌｉｍｉｔ［ｎｏｒａｎｄｏｍｓｅｑ］］］　！外部用户直接访问地址　２２２．２０．１６．９９　ｔｅｌｎｅｔ　端口，通过　ＰＩＸ　重定向到内部主机　１９２．１６８．１．９９　的　ｔｅｌｎｅｔ　端　口（２３）。　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ）　ｔｃｐ　２２２．２０．１６．９９　ｔｅｌｎｅｔ　１９２．１６８．１．９９　ｔｅｌｎｅｔ　ｎｅｔｍａｓｋ　２５５．２５５．２５５．２５５　０　０　！外部用户直接访问地址　２２２．２０．１６．９９　ＦＴＰ，通过　ＰＩＸ　重定向到内部　１９２．１６８．１．３　的　ＦＴＰ　Ｓｅｒｖｅｒ。　ＰＩＸ
５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ）　ｔｃｐ　２２２．２０．１６．９９　ｆｔｐ　１９２．１６８．１．３　ｆｔｐ　ｎｅｔｍａｓｋ　２５５．２５５．２５５．２５５　０　０　！外部用户直接访问地址　２２２．２０．１６．２０８　ｗｗｗ（即　８０　端口），　通过　ＰＩＸ　重定向到内部　１９２．１６８．１２３　的主机的　ｗｗｗ（即　８０　端口）。　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ）　ｔｃｐ　２２２．２０．１６．２０８　ｗｗｗ　１９２．１６８．１．２　ｗｗｗ　ｎｅｔｍａｓｋ　２５５．２５５．２５５．２５５　０　０　！外部用户直接访问地址　２２２．２０．１６．２０１　ＨＴＴＰ（８０８０　端口），　通过　ＰＩＸ　重定向到内部　１９２．１６８．１．４　的主机的　ｗｗｗ（即　８０　端口）。　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ）　ｔｃｐ　２２２．２０．１６．２０８　８０８０　１９２．１６８．１．４　ｗｗｗ　ｎｅｔｍａｓｋ　２５５．２５５．２５５．２５５　０　０　！外部用户直接访问地址　２２２．２０．１６．５　ｓｍｔｐ（２５　端口），通过　ＰＩＸ　重定向到内部　１９２．１６８．１．５　的邮件主机的　ｓｍｔｐ（即　２５　端口）　ＰＩＸ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ）　ｔｃｐ　２２２．２０．１６．２０８　ｓｍｔｐ　１９２．１６８．１．４　ｓｍｔｐ　ｎｅｔｍａｓｋ　２５５．２５５．２５５．２５５　０　０　显示与保存结果　采用命令　ｓｈｏｗ　ｃｏｎｆｉｇ　保存采用　ｗｒｉｔｅ　ｍｅｍｏｒｙ
    防火墙命令
    防火墙　３　个接口　１．　内部区域（内网）　内部区域通常就是指企业内部网络或者是企业内　。　部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保　护。
　２．　外部区域（外网）　外部区域通常指　Ｉｎｔｅｒｎｅｔ　或者非企业内部网络。　。　它是互连网络中不被信任的区域，　当外部区域想要访问内部区域的主　机和服务，通过防火墙，就可以实现有限制的访问。　３．　停火区（ＤＭＺ）　停火区是一个隔离的网络，或几个网络。位于停火　。　区中的主机或服务器被称为堡垒主机。　一般在停火区内可以放置　Ｗｅｂ　服务器，Ｍａｉｌ　服务器等。停火区对于外部用户通常是可以访问的，这　种方式让外部用户可以访问企业的公开信息，　但却不允许他们访问企　业内部网络。注意：２　个接口的防火墙是没有停火区的。　ＰＩＸ　防火墙提供　４　种管理访问模式：　种管理访问模式：　１．非特权模式。　ＰＩＸ　开机自检后，就是处于这种模式。系统显示为　ｐｉｘｆｉｒｅｗａｌｌ＞　２．　特　权模式。　输入　ｅｎａｂｌｅ　进入，可以　改变当前配置。　显示为　ｐｉｘｆｉｒｅｗａｌｌ＃　３．　配置模式。　输入　ｃｏｎｆｉｇｕｒｅ　ｔｅｒｍｉｎａｌ　进入，绝大部分的系统配置都　在这里进行。显示为　ｐｉｘｆｉｒｅｗａｌｌ（ｃｏｎｆｉｇ）＃　４．监视模式。　ＰＩＸ　防火墙在开机或重启过程中，按住　Ｅｓｃａｐｅ　键或发　送一个“Ｂｒｅａｋ”字符，进入。这里可以更新操作系统映象和口令恢复。
    显示为　ｍｏｎｉｔｏｒ＞　ＰＩＸ　６　个基本命令：ｎａｍｅｉｆ，ｉｎｔｅｒｆａｃｅ，ｉｐ　ａｄｄｒｅｓｓ，ｎａｔ，ｇｌｏｂａｌ，　个基本命令　ｒｏｕｔｅ．　这些命令在配置　ＰＩＸ　
是必须的。以下是配置的基本步骤：　１．　配置防火墙接口的名字，并指定安全级别（ｎａｍｅｉｆ）　配置防火墙接口的名字，并指定安全级别（　）　。　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ０　ｏｕｔｓｉｄｅ　ｓｅｃｕｒｉｔｙ０　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ１　ｉｎｓｉｄｅ　ｓｅｃｕｒｉｔｙ１００　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｄｍｚ　ｓｅｃｕｒｉｔｙ５０　提示：在缺省配置中，以太网　０　被命名为外部接口（ｏｕｔｓｉｄｅ）　，安全　级别是　０；以太网　１　被命名为内部接口（ｉｎｓｉｄｅ）　，安全级别是　１００．　安全级别取值范围为　１～９９，数字越大安全级别越高。若添加新的接　口，语句可以这样写：　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｍｅｉｆ　ｐｉｘ／ｉｎｔｆ３　ｓｅｃｕｒｉｔｙ４０　（安全级别任取）　２．　配置以太口参数（ｉｎｔｅｒｆａｃｅ）　配置以太口参数（　）　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ０　ａｕｔｏ（ａｕｔｏ　自适应网卡类型　）　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ１　１００ｆｕｌｌ（１００ｆｕｌｌ　表示　１００Ｍｂｉｔ／ｓ　以太网全双工通信　）　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ１　１００ｆｕｌｌ　ｓｈｕｔｄｏｗｎ　（ｓｈｕｔｄｏｗｎ　表　示关闭这个接口，若启用接口去掉　ｓｈｕｔｄｏｗｎ　）　３．　配置内外网卡的　ＩＰ　地址（ｉｐ　ａｄｄｒｅｓｓ）　地址（　）　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｉｐ　ａｄｄｒｅｓｓ　ｏｕｔｓｉｄｅ　６１．１４４．５１．４２　２５５．２５５．２５５．２４８　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｉｐ　ａｄｄｒｅｓｓ　ｉｎｓｉｄｅ　１９２．１６８．０．１　２５５．２５５．２５５．０
    Ｐｉｘ５２５　在外网的　ｉｐ　地址是　６１．１４４．５１．４２，　内网　ｉｐ　地址是　１９２．１６８．０．１　４．　指定要进行转换的内部地址（ｎａｔ）　指定要进行转换的内部地址（　）　网络地址翻译（ｎａｔ）作用是将内网的私有　ｉｐ　转换为外网的公有　ｉｐ．　与　ｇｌｏｂａｌ　命令一起使用，　这是因为　ｎａｔ　命令可以指定一台主机或一段　范围的主机访问外网，访问外网时需要利用　ｇｌｏｂａｌ　所指定的地址池　进　行　对　外　访　问　。　ｎａｔ　命　令　配　置　语　法　：    ｎａｔ　（ｉｆ＿ｎａｍｅ）　ｎａｔ＿ｉｄ　ｌｏｃａｌ＿ｉｐ　［ｎｅｔｍａｒｋ］　（ｉｆ＿ｎａｍｅ）　表示内网接口名字，　例如　ｉｎｓｉｄｅ．　Ｎａｔ＿ｉｄ　标识全局地址池，　使它与　ｇｌｏｂａｌ　命令相匹配，　ｌｏｃａｌ＿ｉｐ　表示内网被分配的　ｉｐ　地址。　例如　０．０．０．０　表示内网所有主机可对外访问。［ｎｅｔｍａｒｋ］表示内网　ｉｐ　地址的　子网掩码。　例　１．Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｔ　（ｉｎｓｉｄｅ）　１　０　０　表示启用　ｎａｔ，内网的所有主机都可以访问外网，　０　可以代表　０．０．０．０　用　例　２．Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎａｔ　（ｉｎｓｉｄｅ）　１　１７２．１６．５．０　２５５．２５５．０．０　表示只有　１７２．１６．５．０　这个网段内的主机可以访问外网。　５．　指定外部地址范围（ｇｌｏｂａｌ）　指定外部地址范围（　）　ｇｌｏｂａｌ　命令把内网的　ｉｐ　地址翻译成外网的　ｉｐ　地址或一段地址范围。　语　法　：    ｇｌｏｂａｌ　（ｉｆ＿ｎａｍｅ）　ｎａｔ＿ｉｄ　ｉｐ＿ａｄｄｒｅｓｓ－ｉｐ＿ａｄｄｒｅｓｓ　［ｎｅｔｍａｒｋ　ｇｌｏｂａｌ＿ｍａ　ｓｋ］　（ｉｆ＿ｎａｍｅ）表示外网接口名字，例如　ｏｕｔｓｉｄｅ．。　Ｎａｔ＿ｉｄ　用来标识全局地址池，使它与其相应的　ｎａｔ　命令相匹配，
    ｉｐ＿ａｄｄｒｅｓｓ－ｉｐ＿ａｄｄｒｅｓｓ　表示翻译后的单个　ｉｐ　地址或一段　ｉｐ　地址范　围。［ｎｅｔｍａｒｋ　ｇｌｏｂａｌ＿ｍａｓｋ］表示全局　ｉｐ　地址的网络掩码。　例　１．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　６１．１４４．５１．４２－６１．１４４．５１．４８　表示内网的主机通过　ｐｉｘ　防火墙要访问外网时，ｐｉｘ　防火墙将使用　６１．１４４．５１．４２－６１．１４４．５１．４８　这段　ｉｐ　地址池为要访问外网的主机分配　一个全局　ｉｐ　地址。　例　２．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１
　６１．１４４．５１．４２　表示内网要访问外网时，ｐｉｘ　防火墙将为访问外网的所有主机统一使　用　６１．１４４．５１．４２　这个单一　ｉｐ　地址。　例　３．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎｏ　ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　６１．１４４．５１．４２　表示删除这个全局表项。　６．　设置指向内网和外网的静态路由（ｒｏｕｔｅ）　定义一条静态路由。　设置指向内网和外网的静态路由（　）　定义一条静态路由　ｒｏｕｔｅ　命令配置语法：ｒｏｕｔｅ　（ｉｆ＿ｎａｍｅ）　０　０　ｇａｔｅｗａｙ＿ｉｐ　［ｍｅｔｒｉｃ］　（ｉｆ＿ｎａｍｅ）表示接口名字，例如　ｉｎｓｉｄｅ，ｏｕｔｓｉｄｅ。Ｇａｔｅｗａｙ＿ｉｐ　表示　网关路由器的　ｉｐ　地址。　［ｍｅｔｒｉｃ］表示到　ｇａｔｅｗａｙ＿ｉｐ　的跳数。　通常缺省　是　１。　例　１．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｒｏｕｔｅ　ｏｕｔｓｉｄｅ　０　０　６１．１４４．５１．１６
８　１　表示一条指向边界路由器（ｉｐ　地址　６１．１４４．５１．１６８）的缺省路由。　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｒｏｕｔｅ　ｉｎｓｉｄｅ　１０．１．１．０　２５５．２５５．２５５．０　１７２．１６．０．１　１　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｒｏｕｔｅ　ｉｎｓｉｄｅ　１０．２．０．０　２５５．２５５．０．０　１７２．１６．０．１　１　如果内部网络只有一个网段，按照例　１　那样设置一条缺省路由即可；　如果内部存在多个网络，需要配置一条以上的静态路由。上面命令表
    示创建了一条到网络　１０．１．１．０　的静态路由，　静态路由的下一条路由器　ｉｐ　地址是　１７２．１６．０．１　ｐｉｘ　防火墙高级配置　Ａ．　配置静态　ＩＰ　地址翻译（ｓｔａｔｉｃ）　地址翻译（　）　如果从外网发起一个会话，会话的目的地址是一个内网的　ｉｐ　地址，　ｓｔａｔｉｃ　就把内部地址翻译成一个指定的全局地址，　允许这个会话建立。　ｓｔａｔｉｃ　命　令　配　置　语　法　：
    ｓｔａｔｉｃ　（ｉｎｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅｅｘｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ）　ｏｕｔｓｉｄｅ＿ｉｐ＿ａｄｄｒｅｓｓ　ｉｎｓｉｄ　ｅ＿　ｉｐ＿ａｄｄｒｅｓｓ　其中　ｉｎｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ　表示内部网络接口，安全级别　较高。如　ｉｎｓｉｄｅ．　ｅｘｔｅｒｎａｌ＿ｉｆ＿ｎａｍｅ　为外部网络接口，安全级别较低。　如　ｏｕｔｓｉｄｅ　等。ｏｕｔｓｉｄｅ＿ｉｐ＿ａｄｄｒｅｓｓ　为正在访问的较低安全级别的接　口上的　ｉｐ　地址。ｉｎｓｉｄｅ＿　
ｉｐ＿ａｄｄｒｅｓｓ　为内部网络的本地　ｉｐ　地址。　１．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，　ｏｕｔｓｉｄｅ）　６１．１４４．５１．６２　１９２．１６８．０．８　表示　ｉｐ　地址为　１９２．１６８．０．８　的主机，对于通过　ｐｉｘ　防火墙建立的每个　会话，都被翻译成　６１．１４４．５１．６２　这个全局地址，也可以理解成　ｓｔａｔｉｃ　命令创建了内部　ｉｐ　地址　１９２．１６８．０．８　和外部　ｉｐ　地址　６１．１４４．５１．６２　之　间的静态映射。　例　２．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，　ｏｕｔｓｉｄｅ）　１９２．１６８．０．２　１０．０．１．３　例　３．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｄｍｚ，　ｏｕｔｓｉｄｅ）　２１１．４８．１６．２　１７２．１６．１０．８　注释同例　１。通过以上几个例子说明使用　ｓｔａｔｉｃ　命令可以让我们为一　个特定的内部　ｉｐ　地址设置一个永久的全局　ｉｐ　地址。这样就能够为具　有较低安全级别的指定接口创建一个入口，　使它们可以进入到具有较
    高安全级别的指定接口。　Ｂ．　管道命令（ｃｏｎｄｕｉｔ）　管道命令（　）　ｓｔａｔｉｃ　命令可以在一个本地　ｉｐ　地址和一个全局　ｉｐ　地址之间创建了一个　静态映射，但从外部到内部接口的连接仍然会被　ｐｉｘ　防火墙的自适应　安全算法（ＡＳＡ）阻挡，　ｃｏｎｄｕｉｔ　命令用来允许数据流从具有较低安全级　别的接口流向具有较高安全级别的接口，例如允许从外部到　ＤＭＺ　或　内部接口的入方向的会话。对于向内部接口的连接，ｓｔａｔｉｃ　和　ｃｏｎｄｕｉｔ　
命令将一起使用，来指定会话的建立。　ｃｏｎｄｕｉｔ　命令配置语法　命令配置语法：　ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　｜　ｄｅｎｙ　ｇｌｏｂａｌ＿ｉｐ　ｐｏｒｔ［－ｐｏｒｔ］　ｐｒｏｔｏｃｏｌ　ｆｏｒｅｉｇｎ＿ｉｐ　［ｎｅｔｍ　ａｓｋ］　ｐｅｒｍｉｔ　｜　ｄｅｎｙ　允许　｜　拒绝访问　ｇｌｏｂａｌ＿ｉｐ　指的是先前由　ｇｌｏｂａｌ　或　ｓｔａｔｉｃ　命令定义的全局　ｉｐ　地址，如　果　ｇｌｏｂａｌ＿ｉｐ　为　０，用　ａｎｙ　代替　０；ｇｌｏｂａｌ＿ｉｐ　是一台主机，用　ｈｏｓｔ　命　令参数。　ｐｏｒｔ　指的是服务所作用的端口，例如　ｗｗｗ　使用　８０，ｓｍｔｐ　使用　２５　等　等，我们可以通过服务名称或端口数字来指定端口。　ｐｒｏｔｏｃｏｌ　指的是连接协议，比如：ＴＣＰ、ＵＤＰ、ＩＣＭＰ　等。　ｆｏｒｅｉｇｎ＿ｉｐ　表示可访问　ｇｌｏｂａｌ＿ｉｐ　的外部　ｉｐ。对于任意主机，可以用　ａｎｙ　表示。如果　ｆｏｒｅｉｇｎ＿ｉｐ　是一台主机，就用　ｈｏｓｔ　命令参数。　１．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｔｃｐ　ｈｏｓｔ　１９２．１６８．０．８　ｅｑ　ｗｗｗ　ａｎｙ
    这个例子表示允许任何外部主机对全局地址　１９２．１６８．０．８　的这台主机　进行　ｈｔｔｐ　访问。其中使用　ｅｑ　和一个端口来允许或拒绝对这个端口的　访问。Ｅｑ　ｆｔｐ　就是指允许或拒绝只对　ｆｔｐ　的访问。　例　２．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｃｏｎｄｕｉｔ　ｄｅｎｙ　ｔｃｐ　ａｎｙ　ｅｑ　ｆｔｐ　ｈｏｓｔ　６１．１４４．５１．８９　表示不允许外部主
机　６１．１４４．５１．８９　对任何全局地址进行　ｆｔｐ　访问。　例　３．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｉｃｍｐ　ａｎｙ　ａｎｙ　表示允许　ｉｃｍｐ　消息向内部和外部通过。　４．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，　ｏｕｔｓｉｄｅ）　６１．１４４．５１．６２　１９２．１６８．０．３　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｔｃｐ　ｈｏｓｔ　６１．１４４．５１．６２　ｅｑ　ｗｗｗ　
ａｎｙ　这个例子说明　ｓｔａｔｉｃ　和　ｃｏｎｄｕｉｔ　的关系。１９２．１６８．０．３　在内网是一台　ｗｅｂ　服务器，现在希望外网的用户能够通过　ｐｉｘ　防火墙得到　ｗｅｂ　服　务。　所以先做　ｓｔａｔｉｃ　静态映射：　１９２．１６８．０．３－＞６１．１４４．５１．６２　（全局）　，　然后利用　ｃｏｎｄｕｉｔ　命令允许任何外部主机对全局地址　６１．１４４．５１．６２　进　行　ｈｔｔｐ　访问。　Ｃ．　配置　ｆｉｘｕｐ　协议　ｆｉｘｕｐ　命令作用是启用，禁止，改变一个服务或协议通过　ｐｉｘ　防火墙，　由　ｆｉｘｕｐ　命令指定的端口是　ｐｉｘ　防火墙要侦听的服务。见下面例子：　例　１．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｆｔｐ　２１　启用　ｆｔｐ　协议，并指定　ｆｔｐ　的端口号为　２１　例　２．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｈｔｔｐ　８０　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｈｔｔｐ　１０８０    为　ｈｔｔｐ　协议
指定　８０　和　１０８０　两个端口。　例　３．　Ｐｉｘ５２５（ｃｏｎｆｉｇ）＃ｎｏ　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｓｍｔｐ　８０　禁用　ｓｍｔｐ　协议。　Ｄ．　设置　ｔｅｌｎｅｔ　ｔｅｌｎｅｔ　有一个版本的变化。在　ｐｉｘ　ＯＳ　５．０（ｐｉｘ　操作系统的版本号）之　前，只能从内部网络上的主机通过　ｔｅｌｎｅｔ　访问　ｐｉｘ。在　ｐｉｘ　ＯＳ　５．０　及　后续版本中，可以在所有的接口上启用　ｔｅｌｎｅｔ　到　ｐｉｘ　的访问。当从外　部接口要　ｔｅｌｎｅｔ　到　ｐｉｘ　防火墙时，ｔｅｌｎｅｔ　数据流需要用　ｉｐｓｅｃ　提供保　护，也就是说用户必须配置　ｐｉｘ　来建立一条到另外一台　ｐｉｘ，路由器　或　ｖｐｎ　客户端的　ｉｐｓｅｃ　隧道。另外就是在　ＰＩＸ　上配置　ＳＳＨ，然后用　ＳＳＨ　ｃｌｉｅｎｔ　从外部　ｔｅｌｎｅｔ　到　ＰＩＸ　防火墙，ＰＩＸ　支持　ＳＳＨ１　和　ＳＳＨ２，　不过　ＳＳＨ１　是免费软件，ＳＳＨ２　是商业软件。相比之下　ｃｉｓｃｏ　路由器　的　ｔｅｌｎｅｔ　就作的不怎么样了。　ｔｅｌｎｅｔ　配置语法：ｔｅｌｎｅｔ　ｌｏｃａｌ＿ｉｐ　［ｎｅｔｍａｓｋ］　ｌｏｃａｌ＿ｉｐ　表示被授权通过　ｔｅｌｎｅｔ　访问到　ｐｉｘ　的　ｉｐ　地址。　如果不设此项，　ｐｉｘ　的配置方式只能由　ｃｏｎｓｏｌｅ　进行。　配置实例　Ｗｅｌｃｏｍｅ　ｔｏ　ｔｈｅ　ＰＩＸ　ｆｉｒｅｗａｌｌ　Ｔｙｐｅ　ｈｅｌｐ　ｏｒ　＇？＇　ｆｏｒ　ａ　ｌｉｓｔ　ｏｆ　ａｖａｉｌａｂｌｅ　ｃｏｍｍａｎｄｓ．　ＰＩＸ５２５＞　ｅｎ　Ｐａｓｓｗｏｒｄ：　ＰＩＸ５２５＃ｓｈ　ｃｏｎｆｉｇ　：　Ｓａｖｅｄ
    ：　ＰＩＸ　Ｖｅｒｓｉｏｎ　６．０（１）　ＰＩＸ　当前的操作系统版本为　６．０　Ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ０　ｏｕｔｓｉｄｅ　ｓｅｃｕｒｉｔｙ０　Ｎａｍｅｉｆ　ｅｔｈｅｒｎｅｔ１　ｉｎｓｉｄｅ　ｓｅｃｕｒｉｔｙ１００　显示目前　ｐｉｘ　只有　２　个接　口　Ｅｎａｂｌｅ　ｐａｓｓｗｏｒｄ　７Ｙ０５１ＨｈＣｃｏｉＲＴＳＱＺ　ｅｎｃｒｙｐｔｅｄ　Ｐａｓｓｅｄ　７Ｙ０５１ＨｈＣｃｏｉＲＴＳＱＺ　ｅｎｃｒｙｐｔｅｄ　ｐｉｘ　防火墙密码在默　认状态下已被加密，在配置文件中不会以明文显示，ｔｅｌｎｅｔ　密码缺省　为　ｃｉｓｃｏ　Ｈｏｓｔｎａｍｅ　ＰＩＸ５２５　主机名称为　ＰＩＸ５２５　Ｄｏｍａｉｎ－ｎａｍｅ　１２３．ｃｏｍ　本地的一个域名服务器　１２３．ｃｏｍ，　通常　用作为外部访问　Ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｆｔｐ　２１　Ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｈｔｔｐ　８０　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｈ３２３　１７２０　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｒｓｈ　５１４　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｓｍｔｐ　２５　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｓｑｌｎｅｔ　１５２１　ｆｉｘｕｐ　ｐｒｏｔｏｃｏｌ　ｓｉｐ　５０６０　当前启用的一些服务或协议，注意　ｒｓｈ　服务是不能改变端口号　ｎａｍｅｓ　解析本地主机名到　ｉｐ　地址，在配置中可以用名字代替　ｉｐ　地址，当前没有设置，所以列表为空　ｐａｇｅｒ　ｌｉｎｅｓ　２４　每　２４　行一分页
    ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ０　ａｕｔｏ　ｉｎｔｅｒｆａｃｅ　ｅｔｈｅｒｎｅｔ１　ａｕｔｏ　设置两个网卡的类型为自适应　ｍｔｕ　ｏｕｔｓｉｄｅ　１５００　ｍｔｕ　ｉｎｓｉｄ
ｅ　１５００　以太网标准的　ＭＴＵ　长度为　１５００　字节　ｉｐ　ａｄｄｒｅｓｓ　ｏｕｔｓｉｄｅ　６１．１４４．５１．４２　２５５．２５５．２５５．２４８　ｉｐ　ａｄｄｒｅｓｓ　ｉｎｓｉｄｅ　１９２．１６８．０．１　２５５．２５５．２５５．０　ｐｉｘ　外网的　ｉｐ　地　址　６１．１４４．５１．４２，内网的　ｉｐ　地址　１９２．１６８．０．１　ｉｐ　ａｕｄｉｔ　ｉｎｆｏ　ａｃｔｉｏｎ　ａｌａｒｍ　ｉｐ　ａｕｄｉｔ　ａｔｔａｃｋ　ａｃｔｉｏｎ　ａｌａｒｍ　ｐｉｘ　入侵检测的　２　个命令。　当有数据　包具有攻击或报告型特征码时，ｐｉｘ　将采取报警动作（缺省动作）　，向　指定的日志记录主机产生系统日志消息；　此外还可以作出丢弃数据包　和发出　ｔｃｐ　连接复位信号等动作，需另外配置。　ｐｄｍ　ｈｉｓｔｏｒｙ　ｅｎａｂｌｅ　ＰＩＸ　设备管理器可以图形化的监视　ＰＩＸ　ａｒｐ　ｔｉｍｅｏｕｔ　１４４００　ａｒｐ　表的超时时间　ｇｌｏｂａｌ　（ｏｕｔｓｉｄｅ）　１　６１．１４４．５１．４６　如果你访问外部论坛或用　ＱＱ　聊天等等，上面显示的　ｉｐ　就是这个　ｎａｔ　（ｉｎｓｉｄｅ）　１　０．０．０．０　０．０．０．０　０　０　ｓｔａｔｉｃ　（ｉｎｓｉｄｅ，　ｏｕｔｓｉｄｅ）　６１．１４４．５１．４３　１９２．１６８．０．８　ｎｅｔｍａｓｋ　２５５．２５５．　２５５．２５５　０　０　ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｉｃｍｐ　ａｎｙ　ａｎｙ　ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｔｃｐ　ｈｏｓｔ　６１．１４４．５１．４３　ｅｑ　ｗｗｗ　ａｎｙ　ｃｏｎｄｕｉｔ　ｐｅｒｍｉｔ　ｕｄｐ　ｈｏｓｔ　６１．１４４．５１．４３　ｅｑ　ｄｏｍａｉｎ　ａｎｙ
    用　６１．１４４．５１．４３　这个　ｉｐ　地址提供　ｄｏｍａｉｎ－ｎａｍｅ　服务，而且只　允许外部用户访问　ｄｏｍａｉｎ　的　ｕｄｐ　端口　ｒｏｕｔｅ　ｏｕｔｓｉｄｅ　０．０．０．０　０．０．０．０　６１．１４４．５１．６１　１　６１．１４４．５１．６１　ｔｉｍｅｏｕｔ　ｘｌａｔｅ　３：００：００　某个内部设备向外部发出的　ｉｐ　包经过翻　译（ｇｌｏｂａｌ）后，在缺省　３　个小时之后此数据包若没有活动，此前创建　的表项将从翻译表中删除，释放该设备占用的全局地址　ｔｉｍｅｏｕｔ　ｃｏｎｎ　１：００：００　ｈａｌｆ－ｃｌｏｓｅｄ　０：１０：００　ｕｄｐ　

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。