(精品)Cisco防火墙

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,CISCO,防火墙配置,CISCO PIX,防火墙,Cisco PIX,系列防火墙目前有多种型号,PIX 501506515520525535,Cisco PIX,硬件防火墙采用高性能的,Intel,处理器和嵌入式操作系统，其保护方案基于自适应安全算法,(ASA),，,可以确保最高的安全性。,Cisco PIX,防火墙提供全面的防火墙保护，对外部世界完全隐藏了内部网体系结构，加强了内部网、外部网链路和,Internet,之间的安全访问。图形化的用户界面简化了配置和管理，并且可以通过电子邮件和寻呼机提供报警和告警通知。,Cisco PIX,防火墙采用集成的软件和硬件平台，是一种专用的防火墙产品，采用的操作系统不是开放的,UNIX,或,NT,的操作系统，而是采用了专有、实时的,IOS,操作系统，在安全性能和数据流的处理性能等方面要高于路由器防火墙或软件防火墙，当然价格也高于路由器防火墙。因此当用户选择防火墙时，如果更多考虑的是网络的安全性和产品性能时，应采用专用的,PIX,防火墙。当用户对产品价格更为关心时，则可以采用经济有效的基于,Cisco IOS,防火墙特性的路由器防火墙产品。,在配置,PIX,防火墙之前，先来介绍一下防火墙的物理特性。防火墙通常具有至少,3,个接口，但许多早期的防火墙只具有,2,个接口；当使用具有,3,个接口的防火墙时，就至少产生了,3,个网络，描述如下：内部区域（内网）,:,内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。,外部区域（外网）,:,外部区域通常指,Internet,或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有限制的访问。,停火区（,DMZ,）,:,停火区是一个隔离的网络，或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置,Web,服务器，,Mail,服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却不允许他们访问企业内部网络。注意：,2,个接口的防火墙是没有停火区的。,配置,PIX,防火墙,PIX,防火墙提供,4,种管理访问模式：,非特权模式,:,PIX,防火墙开机自检后，就是处于这种模式。系统显示为,pixfirewall,特权模式,:,输入,enable,进入特权模式，可以改变当前配置。显示为,pixfirewall,#,配置模式,:,输入,configure terminal,进入此模式，绝大部分的系统配置都在这里进行。显示为,pixfirewall(config,)#,监视模式,:,PIX,防火墙在开机或重启过程中，按住,Escape,键或发送一个“,Break”,字符，进入监视模式。这里可以更新操作系统映象和口令恢复。显示为,monitor,配置,PIX,防火墙,配置,PIX,防火墙,配置,PIX,防火墙有,6,个基本命令,：,nameif,，,interface,，,ip,address,，,nat,，,global,，,route.,这些命令在配置,PIX,是必须的。以下是配置的基本步骤：,1.,配置防火墙接口的名字，并指定安全级别（,nameif,）。,Pix525(config)#nameif ethernet0 outside security0 Pix525(config)#nameif ethernet1 inside security100 Pix525(config)#nameif,dmz,security50,提示：在缺省配置中，以太网,0,被命名为外部接口（,outside,），,安全级别是,0,；以太网,1,被命名为内部接口（,inside,），,安全级别是,100.,安全级别取值范围为,1,99,，数字越大安全级别越高。若添加新的接口，语句可以这样写：,Pix525(config)#nameif pix/intf3 security40,（,安全级别任取）,配置,PIX,防火墙,2.,配置以太口参数（,interface,）,Pix525(config)#interface ethernet0 auto,（,auto,选项表明系统自适应网卡类型）,Pix525(config)#interface ethernet1 100full,（,100full,选项表示,100Mbit/s,以太网全双工通信）,Pix525(config)#interface ethernet1 100full shutdown,（,shutdown,选项表示关闭这个接口，若启用接口去掉,shutdown,）,3.,配置内外网卡的,IP,地址（,ip,address,）,Pix525(config)#ip address outside 61.144.51.42 255.255.255.248 Pix525(config)#ip address inside 192.168.0.1 255.255.255.0,很明显，,Pix525,防火墙在外网的,ip,地址是,61.144.51.42,，内网,ip,地址是,192.168.0.1,配置,PIX,防火墙,4.,指定要进行转换的内部地址（,nat,）,网络地址翻译（,nat,）,作用是将内网的私有,ip,转换为外网的公有,ip,Nat,命令总是与,global,命令一起使用，这是因为,nat,命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利用,global,所指定的地址池进行对外访问。,nat,命令配置语法：,nat,(if_name),nat_id,local_ip,netmark,其中（,if_name,）,表示内网接口名字，例如,inside.Nat_id,用来标识全局地址池，使它与其相应的,global,命令相匹配，,local_ip,表示内网被分配的,ip,地址,例如,0.0.0.0,表示内网所有主机可 以对外访问。,netmark,表示内网,ip,地址的子网掩码。例,1,Pix525(config)#nat(inside)1 0 0,表示启用,nat,内网的所有主机都可以访问外网，用,0,可以代表,0.0.0.0,例,2,Pix525(config)#nat(inside)1 172.16.5.0 255.255.0.0,表示只有,172.16.5.0,这个网段内的主机可以访问外网。,配置,PIX,防火墙,5.,指定外部地址范围（,global,）,global,命令把内网的,ip,地址翻译成外网的,ip,地址或一段地址范围。,Global,命令的配置语法：,global(if_name),nat_id,ip_address-ip_address,netmark,global_mask,其中（,if_name,）,表示外网接口名字，例如,outside Nat_id,用来标识全局地址池，使它与其相应的,nat,命令相匹配,ip_address-ip_address,表示翻译后的单个,ip,地址或一段,ip,地址范围,netmark,global_mask,表示全局,ip,地址的网络掩码,例,1,Pix525(config)#global(outside)1 61.144.51.42-61.144.51.48,表示内网的主机通过,pix,防火墙要访问外网时，,pix,防火墙将使用,61.144.51.42-61.144.51.48,这段,ip,地址池为要访问外网的主机分配一个全局,ip,地址。,例,2,Pix525(config)#global(outside)1 61.144.51.42,表示内网要访问外网时，,pix,防火墙将为访问外网的所有主机统一使用,61.144.51.42,这个单一,ip,地址。,例,3.Pix525(config)#no global(outside)1 61.144.51.42,表示删除这个全局表项。,配置,PIX,防火墙,6.,设置指向内网和外网的静态路由（,route,）,定义一条静态路由。,route,命令配置语法：,route(if_name)0 0,gateway_ip,metric,其中（,if_name,）,表示接口名字，例如,inside,，,outside,。,Gateway_ip,表示网关路由器的,ip,地址。,metric,表示到,gateway_ip,的跳数。通常缺省是,1,。例,1:Pix525(config)#route outside 0 0 61.144.51.168 1,表示一条指向边界路由器（,ip,地址,61.144.51.168,）的缺省路由。例,2:Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1 Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1,如果内部网络只有一个网段，按照例,1,那样设置一条缺省路由即可；如果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示创建了一条到网络,10.1.1.0,的静态路由，静态路由的下一跳路由器,ip,地址是,172.16.0.1,pix,防火墙的一些高级配置,A.,配置静态,IP,地址翻译（,static,）,如果从外网发起一个会话，会话的目的地址是一个内网的,ip,地址，,static,就把内部地址翻译成一个指定的全局地址，允许这个会话建立。,static,命令配置语法：,static(internal_if_name,，,external_if_name),outside_ip_address,inside_,ip_address,其中,internal_if_name,表示内部网络接口，安全级别较高。如,inside.external_if_name,为外部网络接口，安全级别较低。如,outside,等。,outside_ip_address,为正在访问的较低安全级别的接口上的,ip,地址。,inside_,ip_address,为内部网络的本地,ip,地址。,例,1,Pix525(config)#static(inside,outside)61.144.51.62 192.168.0.8,表示,ip,地址为,192.168.0.8,的主机，对于通过,pix,防火墙建立的每个会话，都被翻译成,61.144.51.62,这个全局地址，也可以理解成,static,命令创建了内部,ip,地址,192.168.0.8,和外部,ip,地址,61.144.51.62,之间的静态映射。例,2,Pix525(config)#static(inside,outside)192.168.0.2 10.0.1.3,例,3,Pix525(config)#static(,dmz,outside)211.48.16.2 172.16.10.8,注释同例,1,。通过以上几个例子说明使用,static,命令可以让我们为一个特定的内部,ip,地址设置一个永久的全局,ip,地址。这样就能够为具有较低安全级别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口,。,pix,防火墙的一些高级配置,B.,管道命令（,conduit,）,conduit,命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到,DMZ,或内部接口的入方向的会话。对于向内部接口的连接，,static,和,conduit,命令将一起使用，来指定会话的建立,。,conduit,命令配置语法：,conduit permit|deny,global_ip,port-port protocol,foreign_ip,netmask,permit|deny,允许,|,拒