PIX配置专题PIX零起点配置.docVIP

PIX配置专题PIX零起点配置PIX零起点配置我们需要掌握以下基本命令（以V7.0以上为例）:?1、接口配置：Interface，Nameif，Security-level?2、地址转换：Nat，Global?3、内网远程登陆：Telnet，PasswdPIX零起点配置－1接口配置：?pix525(config)# interface ethernet 0?pix525(config-if)# ip address 10.1.1.254 255.255.255.0?pix525(config-if)# nameif outside???//为接口命名，该名称可在后面应用接口的时候使用?pix525(config-if)# security-level 0//指定接口安全等级，0为最低，表示接入的是外部网络，如果给接口命名时使用Outside，则接口安全等级自动设置为0，命名为Inside，则等级为100，为内部网络。设置DMZ时一般使用40?pix525(config)# interface ethernet 1?pix525(config-if)# ip address 192.168.10.254 255.255.255.0?pix525(config-if)# nameif inside?pix525(config-if)# security-level 100?PIX零起点配置－2地址转换：?pix525(config)# global (outside) 1 interface//将内部主机的地址映射到外部的接口?pix525(config)# nat (inside) 1 192.168.10.0 255.255.255.0//指定内部允许进行NAT转换的主机地址，指定的列表“1”要与Outside对应有的PIX IOS默认时内部主机Ping的回显请求包是不允许通过Outside接口，为了让内网的机器能够PING出去还要加上：?pix525(config)# access-list for_icmp permit icmp any any?pix525(config)# access-group for_icmp in interface outside//将ACL应用在Outside接口的in方向PIX零起点配置－3内网远程登陆：?pix525(config)# telnet 0.0.0.0 0.0.0.0 inside//这里的地址可以指定为某个主机?pix525(config)# passwd [passwd]//设置登陆密码?pix525(config)# enable password [passwd]配置到这里，我们可以利用Cisco PIX防火墙的功能顺利地实现内部用户的正常上网（NAT），也可以在内网利用远程登陆的功能访问接入防火墙。但防火墙从外部是不允许随意连接的，并且如何保证内部用户的安全，如何方便地提供移动办公人员的远程接入，在下面的PIX进阶配置中我们将作进一步的阐述。 PIX进阶配置－1在PIX上配置SSH：什么是SSH？安全外壳（Secure SHell ）是专用的，提供基于Internet的数据安全技术和解决方案，尤其是加密和身份验证产品。通过使用SSH，可以把所有传输的数据进行加密。?pix525(config)# ca zeroize?pix525(config)# ca generate?pix525(config)# ca save//以上配置用来清除、创建并保存CA证书，产生密钥，因使用SSH认证需要在Server端与Client端之间交换密钥?pix525(config)# ssh 0.0.0.0 0.0.0.0 outside//配置外部网络使用SSH线路的授权IP?pix525(config)# username [admin] password [admin]//创建认证时的用户名和密码?pix525(config)# aaa authentication ssh console LOCAL//在本地进行认证，为可选项，也可以Tacacs+或Radius上进行，注意这里的“LOCAL”为大写PIX进阶配置－2在PIX上配置PPPoE拨号连接（由于实验室环境无法模拟真实的PPPoE环境，因此大家只需要将有用的配置记录下来即可）：V6.4：?ip address outside pppoe setroute?vpdn group pppoex request dialout pppoe?vpdn group pppoex localnameXXXXXXXX@fz