PIX防火墙专题(spoto network bootcamp).ppt

SPOTO NETWORK BOOTCAMP 认识防火墙 什么是防火墙？ 防火墙就是位于计算机与它所连接的网络之间的设备，可以是硬件也可以是软件，该计算机流入流出的所有网络通信流量都要都过此设备。 1、基于硬件的防火墙，是将防火墙的程序写入到芯片，由硬件执行这些功能，能减少CPU的负担，使路由更加稳定。 2、基于软件的防火墙，指能够安装在操作系统和硬件平台上的防火墙软件包。 防火墙类型 一、集成防火墙功能的路由器：2500，2600系列路由器等 二、集成防火墙功能的代理服务器：网关代理服务器等 三、专用的软件防火墙：瑞星、卡巴斯基等 四、专用的软硬件结合的防火墙：Cisco PIX属于这一类型的产品。 专用防火墙－PIX PIX（Private Internet eXchange），它的设计是为了满足高级别的安全需求，以较好的性能价格比提供严密的、强有力的安全防范。除了具备第四类防火墙的共同特性，并囊括了IOS Firewall Feature Set的应有功能。 PIX成为Cisco在网络安全领域的旗舰产品已有一段历史了，它的软硬件结构也经历了较大的发展。现在的PIX有515和520两种型号（520系列容量大于515系列，SPOTO的是PIX 525），从原来的仅支持两个10M以太网接口，到10/100M以太网、令牌环网和FDDI的多介质、多端口（最多4个）应用；其专用操作系统从v5.0开始提供对IPSec这一标准隧道技术的支持，使PIX能与更多的其它设备一起共同构筑起基于标准VPN连接。 PIX零起点配置 PIX零起点配置我们需要掌握以下基本命令（以V7.0以上为例）: 1、接口配置：Interface，Nameif，Security-level 2、地址转换：Nat，Global 3、内网远程登陆：Telnet，Passwd PIX零起点配置－1 接口配置： pix525(config)# interface ethernet 0 pix525(config-if)# ip address 54 pix525(config-if)# nameif outside //为接口命名，该名称可在后面应用接口的时候使用 pix525(config-if)# security-level 0 //指定接口安全等级，0为最低，表示接入的是外部网络，如果给接口命名时使用Outside，则接口安全等级自动设置为0，命名为Inside，则等级为100，为内部网络。设置DMZ时一般使用40 pix525(config)# interface ethernet 1 pix525(config-if)# ip address 54 pix525(config-if)# nameif inside pix525(config-if)# security-level 100 PIX零起点配置－2 地址转换： pix525(config)# global (outside) 1 interface //将内部主机的地址映射到外部的接口 pix525(config)# nat (inside) 1 //指定内部允许进行NAT转换的主机地址，指定的列表“1”要与Outside对应 有的PIX IOS默认时内部主机Ping的回显请求包是不允许通过Outside接口，为了让内网的机器能够PING出去还要加上： pix525(config)# access-list for_icmp permit icmp any any pix525(config)# access-group for_icmp in interface outside //将ACL应用在Outside接口的in方向 PIX零起点配置－3 内网远程登陆： pix525(config)# telnet inside //这里的地址可以指定为某个主机 pix525(config)# passwd [spoto] //设置登陆密码 pix525(config)# enable password [spoto] 配置到这里，我们可以利用Cisco PIX防火墙的功能顺利地实现内部用户的正常上网（NAT），也可以在内网利用远程登陆的功能访问接入防火墙。 但防火墙从外部是不允许随意连接的，并且如何保证内部用户的安全，如何方便地提供移动办公人员的远程接入，在下面的PIX进阶配置中我们将作进一步的阐述。 PIX进阶配置 在PIX进阶配置中，我们要掌握以下PIX的功能： 1、在外网通过SSH线路远程连接PIX 2、使用PIX配置PPPOE拨号 3、在PIX上实现两种IPSEC VPN的接入方式：LAN-TO-LAN和拨入连接 PIX进阶配置－1 在PIX上配