第5章 访问控制与防火墙la推荐.pptVIP

* 管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。例如允许从outside到DMZ或inside方向的会话(作用同访问控制列表)。语法：conduitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]其中：global_ip是一台主机时前面加host参数，所有主机时用any表示。foreign_ip表示外部ip。[netmask]表示可以是一台主机或一个网络。 * 例如：PIX525(config)#static(inside，outside) PIX525(config)#conduit permit tcphost eqwwwany这个例子说明static和conduit的关系。是内网一台web服务器，现在希望外网的用户能够通过PIX防火墙访问web服务。所以先做static静态映射：－然后利用conduit命令允许任何外部主机对全局地址进行http访问。 * 访问控制列表ACL访问控制列表的命令与couduit命令类似，例：PIX525(config)#access-list 100 permit ip anyhost eqwwwPIX525(config)#access-list100 deny ip any anyPIX525(config)#access-group100 in interface outside * 侦听命令fixup作用是启用或禁止一个服务或协议，通过指定端口设置PIX防火墙要侦听listen服务的端口。例：PIX525(config)#fixup protocol ftp 21启用ftp协议，并指定ftp的端口号为21PIX525(config)#fixup protocol http 8080PIX525(config)#nofixup protocol http80启用http协议8080端口，禁止80端口。 * telnet 当从外部接口要telnet到PIX防火墙时，telnet数据流需要用vpn隧道ipsec提供保护或在PIX上配置SSH，然后用SSHclient从外部到PIX防火墙。例：telnetlocal_ip[netmask]local_ip表示被授权可以通过telnet访问到PIX的ip地址。如果不设此项，PIX的配置方式只能用console口接超级终端进行 * 显示命令：showinterface　；查看端口状态。showstatic；查看静态地址映射。showip；查看接口ip地址。showconfig；查看配置信息。showrun；显示当前配置信息。writeterminal；将当前配置信息写到终端。showcpuusage；显示CPU利用率，排查故障时常用。showtraffic；查看流量。showblocks；显示拦截的数据包。showmem；显示内存 * DHCP(动态主机配置协议)服务PIX具有DHCP服务功能。例：PIX525(config)#ipaddress dhcpPIX525(config)#dhcpdaddress 00-00 insidePIX525(config)#dhcp dns 8 7PIX525(config)#dhcp domain  * PIX防火墙举例设：ethernet0命名为外部接口outside，安全级别是0。ethernet1被命名为内部接口inside，安全级别100。ethernet2被命名为中间接口dmz，安全级别50。 * PIX525#conftPIX525(config)#nameif ethernet 0 outside security 0PIX525(config)#nameif ethernet 1 inside security 100PIX525(config)#nameif ethernet 2 dmz security 50PIX525(config)#interface ethernet 0 autoPIX525(config)#interface ethernet 1100 fullPIX525(config)#interface ethernet 2100 full * PIX525(config)#ipaddress outside 52;设置接口IPPIX525(config)#ipaddress inside 00 ;设置接口IPPIX525(config)#ipaddress dmz 00