关于cisco防火墙的学习.docVIP

关于cisco防火墙的学习 pix525 外观: * vac? vpn硬件加速卡? * PIX上没有CDP功能 * pixfirewall(config)#clear config all??????? ===清空所有配置(不需要重启) asa5520的相关参数： ? PIX(config)# nat-control????? ===使用此命令后,高安全级别要telnet到低安全级别,必须要有转换项.nat-control命令不对相同安全级别的接口互访起作用. ? 在允许相同级别相互时,默认不允许访问别的安全级别(不论高低):PIX(config)# same-security-traffic permit inter-interface??? ====不同接口,相同安全级别的设备通信PIX(config)# same-security-traffic permit intra-interface????? ====相同接口,不同的设备之间通信 ? 使用以下命令,允许在访问相同级别的同时,又允许访问安全级别低的接口:PIX(config)# static (inside,outside) 00 ? 使用访问列表,允许低安全级别访问高安全级别,必需要有转换项:??????PIX(config)# no nat-controlPIX(config)# access-list OU permit ip any anyPIX(config)# access-group OU in interface outside????? OU 为关键字 ? 使用NAT命令,允许低安全级别访问高安全级别,必需要有访问列表:??????PIX(config)# nat (outside) 1 outsidePIX(config)# global (inside) 1 interface 放行PING流量:??? 第1种:? 写访问列表??? 第2种:? pixfirewall(config-if)# policy-map global_policy??????????? pixfirewall(config-pmap)# class inspection_default??????????? pixfirewall(config-pmap-c)#inspect icmp global (outside) 1 interfacenat (inside1) 1 ?这样就是使用PAT功能了? ? 针对asa和pix的7.x透明模式只支持两个接口，透明模式也可以用multi-context注意透明模式没有nat,没有路由 1. 3层流量要明确放行（ospf，eigrp），要想跨防火墙建邻居，两边都要permit2. 直连的outside和inside网络必须属于相同子网3. 必须要配置一个网管ip地址,必须~~~4? 网管ip和内外网ip在同一段.5. 管理ip不能做内网网关6. 可以配置网关,但是只做网管用，远程访问防火墙用7. 每个接口必须在不同vlan,（这个是看的资料上写的，暂时不是很理解）8. 所有流量都可由ip acl和ethernet acl控制是否放行，eth acl只能管二层流量，但是如果deny any了，则 2，3层都不过9. arp不需要放行就可以过去,除arp外，所有二层流量默认都不通10. 透明模式不支持,nat, dynamic routing protocol,ipv6, dhcp relay,qos, multicast, 不能终结vpn ? * 关于硬件cisco的防火墙印象中没有用过；因此对它非常陌生，借此学习一番。。。 Kin Pan的BLOG /b1n1122