unit6-防火墙.pptVIP

3. 动态PAT配置 fw(config)# nat (inside) 1 0 fw(config)# global (outside) 1 INFO: Global will be Port Address Translated fw(config)# global (outside) 1 INFO: Global will be Port Address Translated fw(config)#exit fw# show xlate 11 in use, 11 most used Global 53 Local 53 PAT Global (10) Local ICMP id 6594 PAT Global (9) Local ICMP id 6593 PAT Global (8) Local ICMP id 6592 PAT Global (7) Local ICMP id 6591 PAT Global (6) Local ICMP id 6590 PAT Global (15) Local ICMP id 8676 PAT Global (14) Local ICMP id 8675 PAT Global (13) Local ICMP id 8674 PAT Global (12) Local ICMP id 8673 PAT Global (11) Local ICMP id 8672 4. 端口重定向配置 在CISCO PIX防火墙上配置端口重定向地址转换的操作为在全局配置模式下输入： static (接口名a, 接口名b ) { tcp | udp } {全局地址或映射地址 | interface} 全局端口或映射端口 { 原IP地址 [ netmask 子网掩码 ] | access-list ACL名 } 原端口或被转换的端口 6.3.4 无状态访问控制配置 序号 操作 相关命令 是否必要 步骤1 定义ACL access-list icmp permit|deny 是 根据工程实际需要配置 步骤2 应用ACL access-group 是 步骤3 检查ACL配置 show access-list 可选 （1）定义ACL 在CISCO PIX防火墙上配置无状态标准ACL的操作为，在全局配置模式下输入： access-list ACL名 standard { permit | deny } {目的主机名 | 目的网络地址 子网掩码 | any | host 目的主机地址 } Page * （1）定义ACL 在CISCO PIX防火墙上配置无状态扩展ACL的操作为，在全局配置模式下输入： access-list ACL名 [ line 条目序号 ] extended { permit | deny } 协议号或协议名 {目的主机名 | 目的网络地址 子网掩码 | any | host 目的主机地址 } {源主机名 | 源网络地址 子网掩码 | any | host 源主机地址 } Page * （1）定义ACL 对于TCP、UDP协议，配置无状态扩展ACL时，其命令语法为： access-list ACL名 [ line 条目序号 ] extended { permit | deny } tcp|udp {目的主机名 | 目的网络地址 子网掩码 | any | host 目的主机地址 | interface 接口名 } {运算符 端口 } {源主机名 | 源网络地址 子网掩码 | any | host 源主机地址 | interface 接口名 } {运算符 端口 } Page * （2）应用ACL CISCO PIX防火墙上在全局配置模式下配置应用ACL。应用ACL的命令语法如下： access-group ACL名 { in | out } interface 接口名 Page * （3）防火墙对ICMP流量的访问控制 让网络上主机无法通过ping发现防火墙，则可以使用“ICMP”命令禁止对近端接口的ICMP访问。在全局配置模式下输入： icmp deny { 主机名 | 网络地址 子网掩码 | any | host 主机地址 } [ ICMP报文类型或序号 ] 接口名 Page * 6.4 VPN配置 6.4.1 站到站VPN配置 6.4.2 远程访问VPN配置 6.4.1 站到站VPN配置 序号 操作 相关命令 必要 步骤1 定义ISAKMP策略