基础使用ciscopix防火墙.docVIP

　　基础使用cisco pix 防火墙～教育资源库 　　1.interface mand 　　在配置用户接口的时候我们经常听到关于接口的专有名词 　　harde指outside,inside,dmz 　　hardeif mand 　　nameif 主要用于命令一个接口，并且给它分配一个从1到99的安全值，因为外部接口和内部接口都是默认的，分别是0和100,同时默认情况下e0是外部接口，e1是指内部接口. 　　nameif harde security_level 　　nameif e0 outside 0 　　nameif e1 inside 100 　　nameif e2 dmz 50 　　使用shoeif来查看配置情况 　　关于security_level值得区别，请都看看我前面写的.从高安全段的流量到低安全段的流量怎么走，放过又怎么走，需要什么条件才能流进流出. 　　3.ip address mand 　　cisco pix接口的ip 地址可以从两个地方来获得，分别是 manual 和dhcp 　　ip address用于手动配置一个接口上的ip address,通过将一个逻辑地址添加到一个硬件ID上. 　　ip address if_name ip_address [mask] 　　ip address inside 192.168.6.0 255.255.255.0 　　Remove the currently configured ip address pix(config)#clear ip address　(全部清除ip address) 　　pix(config)#no ip address inside 192.168.6.0 255.255.255.0(清除这个接口的ip address) 　　4.Nat mand 　　用于一组ip 地址转换成另外一组ip 地址,昨天我看到6.2版本支持nat outside ip address,不知道这个究竟在什么环境才用到，呵呵 　　在用nat命令的时候，有个特别的注意点:nat 0有特殊含义，其次nat 总是和global一起使用. 　　nat (if_name) nat_id local_ip [mas] 　　nat (inside) 1 192.168.6.0 255.255.255.0 　　5.Global mand 　　global命令用于定义用nat命令转换成的地址或者地址范围，注意global命令中的nat_id需要和你配置的nat命令中的nat_id相同. 　　global (if_name) nat_id global_ipglobal_ip-global_ip [mask] 　　global (outside) 1 10.0.0.1 255.0.0.0　 (PAT转换，当你用这个命令，CLI会给你一个警告信息指出pix要PAT的所有地址) 　　global (outside) 1 10.0.0.1~10.0.0.254 255.0.0.0 　　这里有这样一个命令可以在pix检测转换表中查看你是否有这个特定ip的入口.shoeout xlate hh:ss来更改这个设置. 　　这里你也同样需要了解PAT是怎么工作的，同样你要知道PAT也有局限，不能支持H.323和高速缓存使用的名称服务器，老实说我也不知道这两个是什么东东:( 　　 6.route mand,very important!!! 　　route告诉我们要在那个特定的接口转发，并指定那个特定的网络地址.使用route命令向pix增加一个静态路由. 　　route if_name ip_address mask gateetric] 　　说明一下if_name指你数据要离开处的那个端口 　　ip_address被路由的ip address 　　mask被路由的ip address的网络掩码 　　gateetric到下一个设备的跳数 　　在pix上用的最多的是配置一个默认路由 　　route outside 0 0 192.168.1.3 1 其中0 0 表示网段内所有的ip address从outside ip address是192.168.1.3出去 　　如果你想要测试新的路由配置，在这之前用clear arp清除pix fireand 　　不讲，不想了解，也不知道，没有见过那个人在配置PIX用过RIP协议的 　　需要了解的人查书吧，如果你有这方面的经验，可以写出来大家share一下:) 　　8.测试你的配置，一般有几种，首先查看一下你的配置命令是否正确，shoeif,shop permit any any outside，因为默认情况下pix是拒