Cisco Pix防火墙实验.doc

Cisco PIX 防火墙实验 试验一. PIX的基本操作 PIX防火墙的认识PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。PIX有很多型号，并发连接数是PIX防火墙的重要参数。PIX25是典型的设备。PIX防火墙常见接口有：console、Failover、Ethernet、USB。网络区域：内部网络：inside外部网络：outside中间区域：称DMZ(停火区)，放置对外开放的服务器。 二、防火墙的配置规则没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。(内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)inside可以访问任何outside和dmz区域。dmz可以访问outside区域。inside访问dmz需要配合static(静态地址转换)。outside访问dmz需要配合acl(访问控制列表)。 三、PIX防火墙的配置模式PIX防火墙的配置模式与路由器类似，有4种管理模式：PIXfirewall：用户模式PIXfirewall#：特权模式PIXfirewall(config)#：配置模式monitor：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式 四、PIX基本配置命令常用命令有：nameif、interface、ipaddress、nat、global、route、static等。 基本命令解析与举例： 1、nameif设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。例如要求设置：ethernet0命名为外部接口outside，安全级别是0。ethernet1命名为内部接口inside，安全级别是100。ethernet2命名为中间接口dmz, 安装级别为50。使用命令：PIX525(config)# interface ethernet 0 PIX525(config-if)# nameif outside PIX525(config-if)# security-level 0 PIX525(config)# interface ethernet 1 PIX525(config-if)# nameif inside PIX525(config-if)# security-level 100 PIX525(config)# interface ethernet 2 PIX525(config-if)# nameif dmz PIX525(config-if)# security-level 50 2、interface配置以太口工作状态，常见状态有：auto、100full、shutdown。auto：设置网卡工作在自适应状态。100full：设置网卡工作在100Mbit/s，全双工状态。shutdown：设置网卡接口关闭，否则为激活。命令：PIX525(config)#interface ethernet0 PIX525 (config-if)# speed auto PIX525(config)#interface ethernet1 PIX525 (config-if)# speed 100 3、ip address配置网络接口的IP地址，例如：PIX525(config)#ip address 52PIX525(config)#ip address 内网inside接口使用私有地址，外网outside接口使用公网地址。 4、nat地址转换命令，将内网的私有ip转换为外网公网ip。nat命令配置语法：nat(if_name)nat_idlocal_ip[netmark]其中：(if_name)：表示接口名称，一般为inside.nat_id：表示地址池，由global命令定义。local_ip：表示内网的ip地址。对于表示内网所有主机。[netmark]：表示内网ip地址的子网掩码。在实际配置中nat命令总是与global命令配合使用。一个指定外部网络，一个指定内部网络，通过net_id联系在一起。例如：PIX525(config)#nat (inside) 1 表示内网的所有主机都可以访问由global指定的外网。PIX525(config)#nat (outside) 1 表示只有/16网段的主机可以访问global指定的外网。 5、global指定公网地址范围：定义地址池。Global命令的配置语法：global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]其