《CCNA教程第9-1章》-精选课件(公开).pptVIP

第9章 配置Cisco PIX防火墙 本章包含下列主题： ASA安全级别 Cisco PIX防火墙配置的6个基本命令 ASA安全级别 安全级别的范围是从0到100(见图4-1)： 安全级别100——对于一个接口来说，这是最高的安全级别。它被用于PIX防火墙的内部接口。这是PIX防火墙的缺省参数，不能被修改。 安全级别0——这是最低的安全级别。这种安全级别被用于PIX防火墙的外部接口。这是PIX防火墙的缺省参数，不能被修改。 安全级别1~99——这些安全级别可以被分配给连接PIX防火墙的边界接口。通常，将这些边界接口中的一个连接到作为停火区（DMZ）的一个网络。DMZ是一台设备或网络，对于来自不被信任环境中的用户来说，DMZ通常是可以被访问的。DMZ是一个隔离的区域，是从内部被信任的环境中隔离出来的。 下面是在PIX防火墙和其他边界设备之间不同接口连接的几个实例，可以通过一些配置来实现。 从一个相对安全（高安全级别）的接口流向一个不太安全（低安全级别）接口的数据。 从一个不太安全（低安全级别）的接口流向一个相对安全（高安全级别）接口的数据。 在两个具有相同安全级别的接口之间流动的数据 配置Cisco PIX防火墙的6个基本命令 有6个基本配置命令被认为是PIX防火墙的基础。nameif、interface和ip address命令对于PIX的运行是必要的。nat、global和route命令虽然不是必需的，但是也经常会被使用。为了让数据流通过PIX防火墙，必须对它进行配置。nat和global命令通常用于提供从一个相对可信的网络（高安全级别接口）的访问。 nameif命令 命令nameif为PIX防火墙上的每个接口分配一个名字，并指定它的安全级别（PIX防火墙的内部接口和外部接口除外，它们的名字是缺省的）。 语法：nameif hardware_id if_name security_level 其中： hardware_id：指定一个边界接口，以及它在PIX防火墙上的物理位置。PIX防火墙可以支持三种类型的接口：以太网、FDDI和令牌环接口。例如,以太网接口可以被标识为ethernet1、ethernet2、ethernet3等； if_name：为物理边界接口指定一个名字。这个名字是由用户指定的，而且必须被用于所有未来的配置中，以提供对边界接口的引用。缺省情况下，借口e1的名字是inside（内部接口），接口e0的名字是outside（外部接口）。 security_level：为边界接口指定安全级别。输入取值范围为1~99的安全级别。 interface命令 interface命令用以确定硬件类型，设置硬件速度，并启用接口。当在PIX防火墙上安装一块附加的以太网接口卡时，PIX防火墙可以自动识别这块附加的卡。 语法：interface hardware_id hardware_speed [shutdown] 例如： interface ethernet0 10baset shutdown interface ethernet1 10baset shutdown interface ethernet0 10baset interface ethernet1 10baset 其中： hardware_id：指定一个接口，以及它在PIX防火墙上的物理位置。用法与nameif命令中相同。 hardware_speed：确定连接速度。输入“auto”，这样PIX防火墙就可以自动感知设备所需的速度。对于网络接口速度，以太网可能有的值是：10baset—10Mbit/s以太网半双工通信；10full—10Mbit/s以太网全双工通信。 shutdown：管理性的关闭这个窗口。 ip address命令 PIX防火墙上的每个接口都必须用一个IP地址进行配置。 语法：ip address if_name ip_address [netmask] 其中， ip_name：描述了这个接口。这个名字是由用户指定的，而且必须被用于所有未来的配置中，以提供对这个接口的引用。 ip_address：为接口分配的IP地址。 netmask：如果没有指定网络掩码，将采用“有类别 （classful）”的网络掩码——A类255.0.0.0 B类255.255.0.0 C类255.255.255.0 nat命令 网络地址翻译（NAT）让用户能够保持内部IP地址对于外部网络是未知的。nat命令需要完成的工作是，在数据包被转发到外部网络之前