PIX防火墙原理与配置.ppt

PIX 防火墙原理与配置 学习目标 了解PIX防火墙的基本概念 掌握防火墙的基本配置命令 理解PIX常见配置案例 了解常用维护方法 课程目录 IP包过滤技术介绍 对防火墙需要转发的数据包，先获取包头信息，然后和设定的规则进行比较，根据比较的结果对数据包进行转发或者丢弃。而实现包过滤的核心技术是访问控制列表。 访问控制列表(ACL) 一个IP数据包如下图所示（图中IP所承载的上层协议为TCP）： NAT基本原理 NAT（Network Address Translation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程 NAT/PAT地址转换 双向NAT 课程目录 PIX防火墙的配置模式 PIX 防火墙的基本命令 PIX 防火墙的基本命令 PIX 防火墙的基本命令 PIX 防火墙的基本命令 PIX 防火墙的基本命令 PIX 防火墙的基本命令 2、interface 配置以太口工作状态，常见状态有：auto、100full、shutdown。 auto：设置网卡工作在自适应状态。 100full：设置网卡工作在100Mbit/s，全双工状态。 shutdown：设置网卡接口关闭，否则为激活。 命令： PIX525(config)#interface ethernet 0 auto PIX525(config)#interface ethernet 1 100 full PIX525(config)#interface ethernet 1 100 full shutdown PIX 防火墙的基本命令 3、ipaddress 配置网络接口的IP地址 例如： 内网inside接口使用私有地址，外网outside接口使用公网地址 PIX525(config)#ipaddress outside 52 PIX525(config)#ipaddress inside 。 PIX 防火墙的基本命令 4、global 指定公网地址范围：定义地址池。 Global命令的配置语法： global(if_name) nat_id ip_address-ip_address[netmarkglobal_mask] 其中： (if_name)：表示外网接口名称，一般为outside。 nat_id：建立的地址池标识(nat要引用)。 ip_address-ip_address： 表示一段ip地址范围。 [netmarkglobal_mask]： 表示全局ip地址的网络掩码。 例如： PIX525(config)#global(outside) 1 -5 地址池1对应的IP是：-5 PIX525(config)#global(outside) 1 地址池1只有一个IP地址。 PIX525(config)#noglobal(outside) 1 表示删除这个全局表项。 PIX 防火墙的基本命令 5、nat 地址转换命令，将内网的私有ip转换为外网公网ip。 nat命令配置语法：nat(if_name) nat_id local_ip[netmark] 其中： (if_name)：表示接口名称，一般为inside. nat_id：表示地址池，由global命令定义。 local_ip：表示内网的ip地址。对于表示内网所有主机。 [netmark]：表示内网ip地址的子网掩码。 在实际配置中nat命令总是与global命令配合使用。 一个指定外部网络，一个指定内部网络，通过net_id联系在一起。 例如： PIX525(config)#nat(inside)100 表示内网的所有主机(00)都可以访问由global指定的外网。 PIX525(config)#nat(inside)1 表示只有/16网段的主机可以访问global指定的外网。 PIX 防火墙的基本命令 6、route route命令定义静态路由。 语法： route(if_name) 0 0 gateway_ip[metric] 其中： (if_name)：表示接口名称。 0 0：表示所有主机 Gateway_ip：表示网关路由器的ip地址或下一跳。 [metric]：路由花费。缺省值是1。 例如： PIX525(config)#route outside 0 0 1 设置缺省路由从outside口送出，下一跳是。 0 0代表 ，表示任意网络。 PIX525(config)#route inside 1 设置到网络下一跳是。最后的“1”是花费。 PIX 防火墙的基本命令 7、static 配置静态IP地址翻译，使内部地址与外部地址一一对应。 语法： static(internal_if_name,external_if_name)