正確對Cisco PIX防火墻進行配置步驟

作者：佚名 2010-09-14 10:30:55

我們今天主要向大家描述的是正確配置Cisco PIX防火墻的實際操作流程，以下就是對配置Cisco PIX防火墻的實際操作流程的詳細解析。

以下的文章主要向大家講述的是正確配置Cisco PIX防火墻的實際操作流程，在眾多的企業(yè)級主流防火墻中，我個人認為Cisco PIX防火墻可以說是所有同類產品性能最好的一種。以下就是文章的主要內容講述。

如何配置Cisco PIX防火墻

在眾多的企業(yè)級主流防火墻中，Cisco PIX防火墻是所有同類產品性能最好的一種。Cisco PIX系列防火墻目前有5種型號PIX506，515，520，525，535。其中PIX535是PIX 500系列中最新，功能也是最強大的一款。它可以提供運營商級別的處理能力，適用于大型的ISP等服務提供商。但是PIX特有的OS操作系統(tǒng)，使得大多數(shù)管理是通過命令行來實現(xiàn)的，不象其他同類的防火墻通過Web管理界面來進行網(wǎng)絡管理，這樣會給初學者帶來不便。本文將通過實例介紹如何配置Cisco PIX防火墻。

在配置PIX防火墻之前，先來介紹一下防火墻的物理特性。防火墻通常具有至少3個接口，但許多早期的防火墻只具有2個接口;當使用具有3個接口的防火墻時，就至少產生了3個網(wǎng)絡，描述如下：

內部區(qū)域(內網(wǎng)) 內部區(qū)域通常就是指企業(yè)內部網(wǎng)絡或者是企業(yè)內部網(wǎng)絡的一部分。它是互連網(wǎng)絡的信任區(qū)域，即受到了防火墻的保護。

外部區(qū)域(外網(wǎng)) 外部區(qū)域通常指Internet或者非企業(yè)內部網(wǎng)絡。它是互連網(wǎng)絡中不被信任的區(qū)域，當外部區(qū)域想要訪問內部區(qū)域的主機和服務，通過防火墻，就可以實現(xiàn)有限制的訪問。

?；饏^(qū)(DMZ)?；饏^(qū)是一個隔離的網(wǎng)絡，或幾個網(wǎng)絡。位于?；饏^(qū)中的主機或服務器被稱為堡壘主機。一般在?；饏^(qū)內可以放置Web服務器，Mail服務器等。?；饏^(qū)對于外部用戶通常是可以訪問的，這種方式讓外部用戶可以訪問企業(yè)的公開信息，但卻不允許他們訪問企業(yè)內部網(wǎng)絡。注意：2個接口的Cisco PIX防火墻是沒有?；饏^(qū)的。

由于PIX535在企業(yè)級別不具有普遍性，因此下面主要說明PIX525在企業(yè)網(wǎng)絡中的應用。

PIX防火墻提供4種管理訪問模式：

非特權模式。 PIX防火墻開機自檢后，就是處于這種模式。系統(tǒng)顯示為pixfirewall>

特權模式。輸入enable進入特權模式，可以改變當前配置。顯示為pixfirewall#

配置模式。輸入configure terminal進入此模式，絕大部分的系統(tǒng)配置都在這里進行。顯示為pixfirewall(config)#

監(jiān)視模式。 PIX防火墻在開機或重啟過程中，按住Escape鍵或發(fā)送一個“Break”字符，進入監(jiān)視模式。這里可以更新操作系統(tǒng)映象和口令恢復。顯示為monitor>

配置PIX防火墻有6個基本命令：nameif，interface，ip address，nat，global，route.

這些命令在配置PIX是必須的。以下是配置的基本步驟：

1. 配置防火墻接口的名字，并指定安全級別(nameif)。 Pix525(config)#nameif ethernet0 outside security0 Pix525(config)#nameif ethernet1 inside security100 Pix525(config)#nameif dmz security50

提示：在缺省配置中，以太網(wǎng)0被命名為外部接口(outside)，安全級別是0;以太網(wǎng)1被命名為內部接口(inside)，安全級別是100.安全級別取值范圍為1～99，數(shù)字越大安全級別越高。若添加新的接口，語句可以這樣寫：

Pix525(config)#nameif pix/intf3 security40 (安全級別任取)

2. 配置以太口參數(shù)(interface) Pix525(config)#interface ethernet0 auto(auto選項表明系統(tǒng)自適應網(wǎng)卡類型 ) Pix525(config)#interface ethernet1 100full(100full選項表示100Mbit/s以太網(wǎng)全雙工通信 ) Pix525(config)#interface ethernet1 100full shutdown (shutdown選項表示關閉這個接口，若啟用接口去掉shutdown )

3. 配置內外網(wǎng)卡的IP地址(ip address) Pix525(config)#ip address outside 61.144.51.42 255.255.255.248 Pix525(config)#ip address inside 192.168.0.1 255.255.255.0

很明顯，Pix525防火墻在外網(wǎng)的ip地址是61.144.51.42，內網(wǎng)ip地址是192.168.0.1

4. 指定要進行轉換的內部地址(nat)

網(wǎng)絡地址翻譯(nat)作用是將內網(wǎng)的私有ip轉換為外網(wǎng)的公有ip.Nat命令總是與global命令一起使用，這是因為nat命令可以指定一臺主機或一段范圍的主機訪問外網(wǎng)，訪問外網(wǎng)時需要利用global 所指定的地址池進行對外訪問。nat命令配置語法：nat (if_name) nat_id local_ip

其中(if_name)表示內網(wǎng)接口名字，例如inside. Nat_id用來標識全局地址池，使它與其相應的global命令相匹配，local_ip表示內網(wǎng)被分配的ip地址。例如0.0.0.0表示內網(wǎng)所有主機可以對外訪問。表示內網(wǎng)ip地址的子網(wǎng)掩碼。

例1.Pix525(config)#nat (inside) 1 0 0

表示啟用nat,內網(wǎng)的所有主機都可以訪問外網(wǎng)，用0可以代表0.0.0.0

例2.Pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0

表示只有172.16.5.0這個網(wǎng)段內的主機可以訪問外網(wǎng)。

5. 指定外部地址范圍(global)

global命令把內網(wǎng)的ip地址翻譯成外網(wǎng)的ip地址或一段地址范圍。Global命令的配置語法：global (if_name) nat_id ip_address-ip_address

其中(if_name)表示外網(wǎng)接口名字，例如outside.。Nat_id用來標識全局地址池，使它與其相應的nat命令相匹配，ip_address-ip_address表示翻譯后的單個ip地址或一段ip地址范圍。表示全局ip地址的網(wǎng)絡掩碼。

例1. Pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48

表示內網(wǎng)的主機通過pix防火墻要訪問外網(wǎng)時，pix防火墻將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網(wǎng)的主機分配一個全局ip地址。

例2. Pix525(config)#global (outside) 1 61.144.51.42

表示內網(wǎng)要訪問外網(wǎng)時，Cisco PIX防火墻將為訪問外網(wǎng)的所有主機統(tǒng)一使用61.144.51.42這個單一ip地址。

例3. Pix525(config)#no global (outside) 1 61.144.51.42

表示刪除這個全局表項。

6. 設置指向內網(wǎng)和外網(wǎng)的靜態(tài)路由(route)

定義一條靜態(tài)路由。route命令配置語法：route (if_name) 0 0 gateway_ip

其中(if_name)表示接口名字，例如inside，outside。Gateway_ip表示網(wǎng)關路由器的ip地址。表示到gateway_ip的跳數(shù)。通常缺省是1。

例1. Pix525(config)#route outside 0 0 61.144.51.168 1

表示一條指向邊界路由器(ip地址61.144.51.168)的缺省路由。

例2. Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1

Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1

如果內部網(wǎng)絡只有一個網(wǎng)段，按照例1那樣設置一條缺省路由即可;如果內部存在多個網(wǎng)絡，需要配置一條以上的靜態(tài)路由。上面那條命令表示創(chuàng)建了一條到網(wǎng)絡10.1.1.0的靜態(tài)路由，靜態(tài)路由的下一條路由器ip地址是172.16.0.1

這6個基本命令若理解了，就可以進入到pix防火墻的一些高級配置了。

A. 配置靜態(tài)IP地址翻譯(static)

如果從外網(wǎng)發(fā)起一個會話，會話的目的地址是一個內網(wǎng)的 ip地址，static就把內部地址翻譯成一個指定的全局地址，允許這個會話建立。static命令配置語法：static (internal_if_name，external_if_name) outside_ip_address inside_ ip_address 其中internal_if_name表示內部網(wǎng)絡接口，安全級別較高。如inside.

external_if_name為外部網(wǎng)絡接口，安全級別較低。如outside等。outside_ip_address為正在訪問的較低安全級別的接口上的ip地址。inside_ ip_address為內部網(wǎng)絡的本地ip地址。

例1. Pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8#p#

表示ip地址為192.168.0.8的主機，對于通過pix防火墻建立的每個會話，都被翻譯成61.144.51.62這個全局地址，也可以理解成static命令創(chuàng)建了內部ip地址192.168.0.8和外部ip地址61.144.51.62之間的靜態(tài)映射。

例2. Pix525(config)#static (inside, outside) 192.168.0.2 10.0.1.3

例3. Pix525(config)#static (dmz, outside) 211.48.16.2 172.16.10.8

注釋同例1。通過以上幾個例子說明使用static命令可以讓我們?yōu)橐粋€特定的內部ip地址設置一個永久的全局ip地址。這樣就能夠為具有較低安全級別的指定接口創(chuàng)建一個入口，使它們可以進入到具有較高安全級別的指定接口。

B. 管道命令(conduit)

前面講過使用static命令可以在一個本地ip地址和一個全局 ip地址之間創(chuàng)建了一個靜態(tài)映射，但從外部到內部接口的連接仍然會被Cisco PIX防火墻的自適應安全算法(ASA)阻擋，conduit命令用來允許數(shù)據(jù)流從具有較低安全級別的接口流向具有較高安全級別的接口，例如允許從外部到DMZ或內部接口的入方向的會話。對于向內部接口的連接，static和 conduit命令將一起使用，來指定會話的建立。

conduit命令配置語法：

conduit permit | deny global_ip port<-port> protocol foreign_ip

permit | deny 允許 | 拒絕訪問

global_ip 指的是先前由global或static命令定義的全局ip地址，如果global_ip為0，就用any代替0;如果global_ip是一臺主機，就用host命令參數(shù)。

port 指的是服務所作用的端口，例如www使用80，smtp使用25等等，我們可以通過服務名稱或端口數(shù)字來指定端口。