Cisco PIX防火墙配置命令大全
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
一、PIX防火墙的认识
PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。
PIX有很多型号，并发连接数是PIX防火墙的重要参数。PIX25是典型的设备。
PIX防火墙常见接口有：console、Failover、Ethernet、USB。
网络区域：
内部网络：inside
外部网络：outside
中间区域：称DMZ(停火区)。放置对外开放的服务器。
二、防火墙的配置规则
没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。
(内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)
inside可以访问任何outside和dmz区域。
dmz可以访问outside区域。
inside访问dmz需要配合static(静态地址转换)。
outside访问dmz需要配合acl(访问控制列表)。
三、PIX防火墙的配置模式
PIX防火墙的配置模式与路由器类似，有4种管理模式：
PIXfirewall>：用户模式
PIXfirewall#：特权模式
PIXfirewall(config)#：配置模式
monitor>：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式。
四、PIX基本配置命令
常用命令有：nameif、interface、ipaddress、nat、global、route、static等。
1、nameif
设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。
例如要求设置：
ethernet0命名为外部接口outside，安全级别是0。
ethernet1命名为内部接口inside，安全级别是100。
ethernet2命名为中间接口dmz,安装级别为50。
使用命令：
PIX525(config)#nameifethernet0outsidesecurity0
PIX525(config)#nameifethernet1insidesecurity100
PIX525(config)#nameifethernet2dmzsecurity50
2、interface
配置以太口工作状态，常见状态有：auto、100full、shutdown。
auto：设置网卡工作在自适应状态。
100full：设置网卡工作在100Mbit/s，全双工状态。
shutdown：设置网卡接口关闭，否则为激活。
命令：
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#interfaceethernet1100fullshutdown
3、ipaddress
配置网络接口的IP地址，例如：
PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252
PIX525(config)#ipaddressinside192.168.0.1255.255.255.0
内网inside接口使用私有地址192.168.0.1，外网outside接口使用公网地址133.0.0.1。
4、global
指定公网地址范围：定义地址池。
Global命令的配置语法：
global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]
其中：
(if_name)：表示外网接口名称，一般为outside。
nat_id：建立的地址池标识(nat要引用)。
ip_address-ip_address：表示一段ip地址范围。
[netmarkglobal_mask]：表示全局ip地址的网络掩码。
例如：
PIX525(config)#global(outside)1133.0.0.1-133.0.0.15
地址池1对应的IP是：133.0.0.1-133.0.0.15
PIX525(config)#global(outside)1133.0.0.1
地址池1只有一个IP地址133.0.0.1。
PIX525(config)#noglobal(outside)1133.0.0.1
表示删除这个全局表项。
5、nat
地址转换命令，将内网的私有ip转换为外网公网ip。
nat命令配置语法：nat(if_name)nat_idlocal_ip[netmark]
其中：
(if_name)：表示接口名称，一般为inside.
nat_id：表示地址池，由global命令定义。
local_ip：表示内网的ip地址。对于0.0.0.0表示内网所有主机。
[netmark]：表示内网ip地址的子网掩码。
在实际配置中nat命令总是与global命令配合使用。
一个指定外部网络，一个指定内部网络，通过net_id联系在一起。
例如：
PIX525(config)#nat(inside)100
表示内网的所有主机(00)都可以访问由global指定的外网。
PIX525(config)#nat(inside)1172.16.5.0255.255.0.0
表示只有172.16.5.0/16网段的主机可以访问global指定的外网。
6、route
route命令定义静态路由。
语法：
route(if_name)00gateway_ip[metric]
其中：
(if_name)：表示接口名称。
00：表示所有主机
Gateway_ip：表示网关路由器的ip地址或下一跳。
[metric]：路由花费。缺省值是1。
例如：
PIX525(config)#routeoutside00133.0.0.11
设置缺省路由从outside口送出，下一跳是133.0.0.1。
00代表0.0.0.00.0.0.0，表示任意网络。
PIX525(config)#routeinside10.1.0.0255.255.0.010.8.0.11
设置到10.1.0.0网络下一跳是10.8.0.1。最后的“1”是花费。
7、static
配置静态IP地址翻译，使内部地址与外部地址一一对应。
语法：
static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address
其中：
internal_if_name表示内部网络接口，安全级别较高，如inside。
external_if_name表示外部网络接口，安全级别较低，如outside。
outside_ip_address表示外部网络的公有ip地址。
inside_ip_address表示内部网络的本地ip地址。
(括号内序顺是先内后外，外边的顺序是先外后内)
例如：
PIX525(config)#static(inside，outside)133.0.0.1192.168.0.8
表示内部ip地址192.168.0.8，访问外部时被翻译成133.0.0.1全局地址。
PIX525(config)#static(dmz，outside)133.0.0.1172.16.0.2
中间区域ip地址172.16.0.2，访问外部时被翻译成133.0.0.1全局地址。
8、conduit（此命令已经被淘汰，被access-list替代）
管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。
例如允许从outside到DMZ或inside方向的会话(作用同访问控制列表)。
语法：
conduitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]
其中：
global_ip是一台主机时前面加host参数，所有主机时用any表示。
foreign_ip表示外部ip。
[netmask]表示可以是一台主机或一个网络。
例如：
PIX525(config)#static(inside，outside)133.0.0.1192.168.0.3
PIX525(config)#conduitpermittcphost133.0.0.1eqwwwany
这个例子说明static和conduit的关系。192.168.0.3是内网一台web服务器，
现在希望外网的用户能够通过PIX防火墙访问web服务。
所以先做static静态映射：192.168.0.3－>133.0.0.1
然后利用conduit命令允许任何外部主机对全局地址133.0.0.1进行http访问。
9、访问控制列表ACL
访问控制列表的命令与couduit命令类似，
例：
PIX525(config)#access-list100permitipanyhost133.0.0.1eqwww
PIX525(config)#access-list100denyipanyany
PIX525(config)#access-group100ininterfaceoutside
10、侦听命令fixup
作用是启用或禁止一个服务或协议，
通过指定端口设置PIX防火墙要侦听listen服务的端口。
例：
PIX525(config)#fixupprotocolftp21
启用ftp协议，并指定ftp的端口号为21
PIX525(config)#fixupprotocolhttp8080
PIX525(config)#nofixupprotocolhttp80
启用http协议8080端口，禁止80端口。
11、telnet
当从外部接口要telnet到PIX防火墙时，telnet数据流需要用vpn隧道ipsec提供保护或
在PIX上配置SSH，然后用SSHclient从外部到PIX防火墙。
例：
telnetlocal_ip[netmask]
local_ip表示被授权可以通过telnet访问到PIX的ip地址。
如果不设此项，PIX的配置方式只能用console口接超级终端进行。
12、显示命令：
showinterface　；查看端口状态。
showstatic；查看静态地址映射。
showip；查看接口ip地址。
showconfig；查看配置信息。
showrun；显示当前配置信息。
writeterminal；将当前配置信息写到终端。
showcpuusage；显示CPU利用率，排查故障时常用。
showtraffic；查看流量。
showblocks；显示拦截的数据包。
showmem；显示内存
13、DHCP服务
PIX具有DHCP服务功能。
例：
PIX525(config)#ipaddressdhcp
PIX525(config)#dhcpdaddress192.168.1.100-192.168.1.200inside
PIX525(config)#dhcpdns202.96.128.68202.96.144.47
PIX525(config)#dhcpdomainabc.com.cn
五、PIX防火墙举例
设：
ethernet0命名为外部接口outside，安全级别是0。
ethernet1被命名为内部接口inside，安全级别100。
ethernet2被命名为中间接口dmz，安全级别50。
PIX525#conft
PIX525(config)#nameifethernet0outsidesecurity0
PIX525(config)#nameifethernet1insidesecurity100
PIX525(config)#nameifethernet2dmzsecurity50
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#interfaceethernet2100full
PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252;设置接口IP
PIX525(config)#ipaddressinside10.66.1.200255.255.0.0;设置接口IP
PIX525(config)#ipaddressdmz10.65.1.200255.255.0.0;设置接口IP
PIX525(config)#global(outside)1133.1.0.1-133.1.0.14;定义的地址池
PIX525(config)#nat(inside)100;00表示所有
PIX525(config)#routeoutside00133.0.0.2;设置默认路由
PIX525(config)#static(dmz，outside)133.1.0.110.65.1.101;静态NAT
PIX525(config)#static(dmz，outside)133.1.0.210.65.1.102;静态NAT
PIX525(config)#static(inside，dmz)10.66.1.20010.66.1.200;静态NAT
PIX525(config)#access-list101permitipanyhost133.1.0.1eqwww;设置ACL
PIX525(config)#access-list101permitipanyhost133.1.0.2eqftp;设置ACL
PIX525(config)#access-list101denyipanyany;设置ACL
PIX525(config)#access-group101ininterfaceoutside;将ACL应用在outside端口
当内部主机访问外部主机时，通过nat转换成公网IP，访问internet。
当内部主机访问中间区域dmz时，将自己映射成自己访问服务器，否则内部主机将会
映射成地址池的IP，到外部去找。
当外部主机访问中间区域dmz时，对133.0.0.1映射成10.65.1.101，static是双向的。
PIX的所有端口默认是关闭的，进入PIX要经过acl入口过滤。
静态路由指示内部的主机和dmz的数据包从outside口出去。

思科PIX防火墙设置详解
＝＝＝＝＝＝＝＝＝＝＝
思科PIX防火墙的基础
PIX防火墙有内部和外部接口的概念。内部接口是内部的，通常是专用的网络。外部接口是外部的，通常是公共的网络。你要设法保护内部网络不受外部网络的影响。PIX防火墙还使用自适应性安全算法(ASA)。这种算法为接口分配安全等级，并且声称如果没有规则许可，任何通信都不得从低等级接口(如外部接口)流向高等级接口(如内部接口)。这个外部接口的安全等级是“0”，这个内部接口的安全等级是“100”。下面是显示“nameif”命令的输出情况:

pixfirewall# show nameif nameif ethernet0 outside security0 nameif ethernet1 inside security100

请注意，ethernet0(以太网0)接口是外部接口(它的默认名字)，安全等级是0。另一方面，ethernet1(以太网1)接口是内部接口的名字(默认的)，安全等级是100。

指南
在开始设置之前，你的老板已经给了你一些需要遵守的指南。这些指南是:·所有的口令应该设置为“思科”(实际上，除了思科之外，你可设置为任意的口令)。·内部网络是10.0.0.0，拥有一个255.0.0.0的子网掩码。这个PIX防火墙的内部IP地址应该是10.1.1.1。·外部网络是1.1.1.0，拥有一个255.0.0.0的子网掩码。这个PIX防火墙的外部IP地址应该是1.1.1.1。·你要创建一个规则允许所有在10.0.0.0网络上的客户做端口地址解析并且连接到外部网络。他们将全部共享全球IP地址1.1.1.2。·然而，客户只能访问端口80(网络浏览)。·用于外部(互联网)网络的默认路由是1.1.1.254。
设置
你将看到这样一个提示符:pixfirewall>在提示符的后面有一个大于号“>”，你处在PIX用户模式。使用en或者enable命令修改权限模式。在口令提示符下按下“enter”键。下面是一个例子:
pixfirewall> en
Password:
pixfirewall#
你现在拥有管理员模式，可以显示内容，但是，你必须进入通用设置模式来设置这个PIX防火墙。现在让我们学习PIX防火墙的基本设置，我所说的基本设置包括三样事情:
·设置主机名
·设置口令(登录和启动)
·设置接口的IP地址
·启动接口
·设置一个默认的路由

在你做上述任何事情之前，你需要进入通用设置模式。要进入这种模式，你要键入:pixfirewall# config t
要设置主机名，使用主机名命令，像这样:
pixfirewall(config)# hostname PIX1
下一步，把登录口令设置为“cisco”(思科)，像这样:
PIX1(config)# password cisco
这是除了管理员之外获得访问PIX防火墙权限所需要的口令。现在，设置启动模式口令，用于获得管理员模式访问。
PIX1(config)# enable password cisco
现在，我们需要设置接口的IP地址和启动这些接口。同路由器一样，PIX没有接口设置模式的概念。要设置内部接口的IP地址，使用如下命令:
PIX1(config)# ip address inside 10.1.1.1 255.0.0.0
现在，设置外部接口的IP地址:
PIX1(config)# ip address outside 1.1.1.1 255.255.255.0
下一步，启动内部和外部接口。确认每一个接口的以太网电缆线连接到一台交换机。注意，ethernet0接口是外部接口，它在PIX 501防火墙中只是一个10base-T接口。ethernet1接口是内部接口，是一个100Base-T接口。下面是启动这些接口的方法:

PIX1(config)# interface ethernet0 10baset PIX1(config)# interface ethernet1 100full

最后，让我们设置一个默认的路由，这样，发送到PIX防火墙的所有的通讯都会流向下一个上行路由器(我们被分配的IP地址是1.1.1.254)。你可以这样做:
PIX1(config)# route outside 0 0 1.1.1.254
现在，我们接着介绍一些更高级的设置。
网络地址解析
由于我们有IP地址连接，我们需要使用网络地址解析让内部用户连接到外部网络。我们将使用一种称作“PAT”或者“NAT Overload”的网络地址解析。这样，所有内部设备都可以共享一个公共的IP地址(PIX防火墙的外部IP地址)。要做到这一点，请输入这些命令:

PIX1(config)# nat (inside) 1 10.0.0.0 255.0.0.0 PIX1(config)# global (outside) 1 1.1.1.2

使用这些命令之后，全部内部客户机都可以连接到公共网络的设备和共享IP地址1.1.1.2。然而，客户机到目前为止还没有任何规则允许他们这样做。
防火墙规则
这些在内部网络的客户机有一个网络地址解析。但是，这并不意味着允许他们访问。他们现在需要一个允许他们访问外部网络(互连网)的规则。这个规则还将允许返回的通信。要制定一个允许这些客户机访问端口80的规则，你可以输入如下命令:

PIX1(config)# access-list outbound permit tcp 10.0.0.0 255.0.0.0 any eq 80 PIX1(config)# access-group outbound in interface inside

注意:与路由器访问列表不同，PIX访问列表使用一种正常的子网掩码，而不是一种通配符的子网掩码。使用这个访问列表，你就限制了内部主机访问仅在外部网络的Web服务器(路由器)。
显示和存储设置结果
现在你已经完成了PIX防火墙的设置。你可以使用显示命令显示你的设置。确认你使用写入内存或者“wr m”命令存储你的设置。如果你没有使用这个命令，当关闭PIX防火墙电源的时候，你的设置就会丢失。

完整的pix525配置
＝＝＝＝＝＝＝＝＝＝＝＝＝

PIX Version 6.3(3)
\\配置接口名称，安全级别，主机名，使用的域名

interface ethernet0 100full interface ethernet1 100full interface gb-ethernet0 1000auto interface gb-ethernet1 1000auto nameif ethernet0 cimo security10 nameif ethernet1 intf3 security15 nameif gb-ethernet0 outside security0 nameif gb-ethernet1 inside security100 enable password 52network encrypted passwd 52network encrypted hostname PIX-A domain-name 52network.com

\\ 配置PIX允许的协议类型，要加密保护的数据流量

fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol ils 389 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol splnet 1521 fixup protocoltftp 69 names access-list inside_outbound_nat0_acl permit ip 202.102.54.0 255.255.255.0 10.0.1.0 255.255.255.0 access-list outside_cryptomap_20 permit ip 202.102.54.0 255.255.255.0 10.0.1.0 255.255.255.0

\\设置日志服务器，PIX各接口的IP地址，PIX设备的故障切换功能

pager lines 24 logging timestamp logging standby logging trap informational logging facility 22 logging host inside 202.102.54.5 mtu cimo 1500 mtu intf3 1500 mtu outside 1500 mtu inside 1500 ip address cimo 192.168.0.1 255.255.255.252 ip address intf3 127.0.0.1 255.255.255.255 ip address outside 202.102.53.6 255.255.255.0 ip address inside 202.102.54.1 255.255.255.248 ip audit info action alarm ip audit attack action alarm failover failover timeout 0:00:00 failover poll 15 failover replication http failover ip address shaying 192.168.0.2 failover ip address intf3 127.0.0.2 failover ip address outside 202.102.53.69 failover ip address inside 202.102.54.3 failover link shaying

\\配置能通过WEB界面管理PIX设备的工作站。

pdm location 219.238.213.192 255.255.255.192 outside pdm location 202.102.54.0 255.255.255.0 inside pdm location 202.102.54.28 255.255.255.255 inside pdm location 202.102.54.88 255.255.255.255 inside pdm location 202.102.54.89 255.255.255.255 inside pdm location 202.102.54.90 255.255.255.255 inside pdm location 202.102.54.208 255.255.255.240 inside pdm location 202.102.54.48 255.255.255.240 outside pdm location 202.102.54.48 255.255.255.240 inside pdm location 202.102.54.128 255.255.255.240 inside pdm location 219.238.213.245 255.255.255.255 outside pdm location 10.0.0.0 255.255.255.0 outside pdm location 10.0.1.0 255.255.255.0 outside pdm location 202.102.54.208 255.255.255.240 outside pdm location 172.16.201.0 255.255.255.0 inside pdm location 202.102.54.0 255.255.255.0 outside pdm location 219.239.218.192 255.255.255.192 outside pdm location 219.238.218.248 255.255.255.255 outside pdm location 219.238.218.241 255.255.255.255 outside pdm logging information 100 no pdm history enable arp timeout 14400

\\配置地址转换，静态路由，双向访问列表，用ACL也可做。

nat (inside) 0 access-list inside_outbound_nat0_acl nat (inside)0 202.102.54.0 255.255.255.0 0 0 static (inside,outside) 202.102.54.0 202.102.54.0 netmask 255.255.255.0 0 0 conduit permit tcp 202.102.54.208 255.255.255.240 ep www any conduit permit udp 202.102.54.208 255.255.255.240 ep domain any conduit permit tcp host 202.102.54.33 eq 15000 any conduit permit tcp host 202.102.54.34 eq 15010 any conduit permit tcp host 202.102.54.33 eq 15010 any conduit permit tcp host 202.102.54.34 eq 15020 any conduit permit tcp host 202.102.54.33 eq 15010 any conduit permit tcp host 202.102.54.34 eq 15000 any conduit permit tcp host 202.102.54.212 eq 1433 220.168.249.64 255.255.255.192 conduit permit tcp host 202.102.54.213 eq 1433 220.168.249.64 255.255.255.192 conduit permit tcp host 202.102.54.60 eq 1433 220.168.249.64 255.255.255.192 conduit permit ip host 202.102.54.35 220.168.249.64 255.255.255.192 conduit permit tcp host 202.102.54.214 eq 1433 host 220.168.249.100 conduit permit tcp host 202.102.54.214 eq ftp host 220.168.249.100 conduit permit tcp host 202.102.54.131 eq 1433 220.168.249.64 255.255.255.192 conduit permit tcp host 202.102.54.216 eq ftp host 220.168.249.92 conduit permit tcp host 202.102.54.213 eq 81 host 220.168.249.101 conduit permit ip host 202.102.54.137 host 220.168.249.100 conduit permit tcp host 202.102.54.133 eq www any conduit permit tcp host 202.102.54.132 eq smtp any conduit permit tcp host 202.102.54.132 eq www any conduit permit tcp host 202.102.54.134 eq ftp any conduit permit tcp host 202.102.54.132 eq pop3 any conduit permit tcp host 202.102.54.210 eq ftp any conduit permit tcp host 202.102.54.102 eq www any conduit permit tcp host 202.102.54.216 eq www any conduit permit tcp host 202.102.54.217 eq www any conduit permit tcp host 202.102.54.134 eq www any conduit permit tcp host 202.102.54.84 eq 10100 any conduit permit tcp host 202.102.54.221 eq www any conduit permit tcp host 202.102.54.68 eq 10100 any conduit permit tcp host 202.102.54.213 eq 4662 any conduit permit tcp host 202.102.54.213 eq 4672 any conduit permit tcp host 202.102.54.68 eq 4662 any conduit permit tcp host 202.102.54.68 eq 4672 any conduit permit tcp host 202.102.54.213 eq www any conduit permit tcp host 202.102.54.221 eq ftp any conduit permit tcp 202.102.54.48 255.255.255.240 eq 1000 any conduit permit tcp 202.102.54.64 255.255.255.240 eq 1000 any conduit permit tcp 202.102.54.80 255.255.255.240 eq 1000 any conduit deny ip 202.102.54.0 255.255.255.0 63.0.0.0 255.0.0.0 conduit deny ip 202.102.54.0 255.255.255.0 210.92.0.0 255.255.0.0 conduit permit tcp 202.102.54.0 255.255.255.0 eq ftp host 219.239.218.250 conduit permit tcp 202.102.54.0 255.255.255.0 eq 37631 host 219.239.218.250 conduit permit udp 202.102.54.0 255.255.255.0 eq 37632 host 219.239.218.250 conduit permit tcp 202.102.54.0 255.255.255.0 eq 1433 host 219.239.218.250 conduit permit tcp 202.102.54.0 255.255.255.0 eq ssh host 219.238.218.250 conduit permit tcp 202.102.54.0 255.255.255.0 eq 11050 host 219.238.218.250 conduit permit tcp host 202.102.54.131 eq 8294 host 219.239.218.250 conduit permit tcp host 202.102.54.131 eq 3389 host 219.238.218.250 conduit permit tcp 202.102.54.0 255.255.255.0 eq 8080 hsot 219.238.218.250 conduit permit tcp host 202.102.54.134 range 1500 1600 any conduit permit udp host 202.102.54.134 range 1500 1600 any conduit permit udp host 202.102.54.134 range 4000 6000 any conduit permit tcp host 202.202.54.134 range 4000 6000 any conduit permit ip 202.102.54.0 255.255.255.o host 219.238.218.246 conduit permit ip 202.102.54.0 255.255.255.o host 219.238.218.248 conduit permit ip 202.102.54.0 255.255.255.o host 219.238.218.249 conduit permit ip 202.102.54.0 255.255.255.o host 219.238.218.250 conduit permit ip any host 219.234.81.66 conduit permit tcp host 202.102.54.75 range 8881 9999 any route outside 0.0.0.0 0.0.0.0 202.102.53.65 1 route inside 202.102.54.0 255.255.255.0 202.102.54.2 1

\\配置IPSEC，在PIX上设置加密算法，加密的接口

timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05)00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server RADIUS protocol raduis aaa-sever LOCAL protocol local http server enable http 220.168.249.102 255.255.255.255 outside http 219.238.218.192 255.255.255.192 outside no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable sysopt connection permit-ipsec crypto ipsec transform-set ESP-3DES-MD5 esp -3des esp -md5-hmac crypto map outside_map 20 ipsec-isakmp crypto map outside_map 20 match address outside_cryptomap_20 crypto map outside_map 20 set peer 219.239.218.247 crypto map outside_map 20 set transform-set ESP-3DES-MD5 crypto map outside_map interface outside

\\配置IKE，指定认证的方式为PRE-SHARE。

isakmp enable outside isakmp  key 52network address 219.239.218.247 netmask 255.255.255.255 no-xauth no-config-mode isakmp identity address isakmp policy 20 authentication pre-share isakmp policy 20 encryption 3des isakmp policy 20 hash md5 isakmp policy 20 group 2 isakmp policy 20 lifetime 28800

其他：

telnet timeout 15 ssh 220.168.249.105 255.255.255.255 outside ssh 219.238.218.192 255.255.255.192 outside ssh 202.102.54.0 255.255.255.0 inside ssh timeout 15 console timeout 0 terminal width 80 banner exec welcome banner login XXXX Login cryptochecksum:********************** :end

 

PIX防火墙命令集
＝＝＝＝＝＝＝＝＝＝＝＝＝＝
Aaa 允许、禁止或查看以前使用“aaa-server”命令为服务器指定的TACACS+或RADIUS用户认证、授权和帐户
Aaa-server指定一个AAA服务器
Access-group 将访问列表名绑定到接口名以允许或拒绝IP信息包进入接口
Access-list创建一个访问列表
Alias管理双向NAT中的重叠地址
Arp改变或查看ARP缓存，设置超时值
Auth-prompt改变AAA的提示文本
Ca配置PIX防火墙和CA的交互
Clock设置PIX防火墙时钟以供PIX防火墙系统日志服务器和PKI协议使用
Conduit为向内连接添加、删除或显示通过防火墙的管道
Configure清除或融合当前配置与软盘或闪存中的配置。进入配置模式或查看当前配置
Crypto dynamic-map创建、查看或删除一个动态加密映射项。
Crypto ipsec创建、查看或删除与加密相关的全局值
Crypto map 创建、查看或删除一个动态加密映射项，也用来删除一个加密映射集
Debug通过PIX防火墙调试信息包或ICMP轨迹。
Disable退出特权模式并返回到非特权模式
Domain_name改变IPSec域名
Enable启动特权模式
Enable password设置特权模式的口令
Exit退出访问模式
Failover改变或查看到可选failover特性的访问
Filter允许或禁止向外的URL或HTML对像过滤
Fixup protocol改变、允许、禁止或列出一个PIX防火墙应用的特性
Flashfs清除闪存或显示闪存扇区大小
Floodguard允许或禁止洪泛（FLOOD）保护以防止洪泛攻击
Help显示帮助信息
Global从一个全局地址池中创建或删除项
Hostname改变PIX防火墙命令行提示中的主机名
Interface标示网络接口的速度和双工属性
Ip为本地池和网络接口标示地址
Ipsec配置IPSEC策略
Isakmp协商IPSEC策略联系并允许IPSEC安全通信
Kill终止一个TELNET会话
Logging允许或禁止系统日志和SNMP记录
Mtu为一个接口指定MTU（最大流量单元）
Name/names关联一个名称和一个IP地址
Nameif命名接口并分配安全等级
Nat联系一个网络和一个全局IP地址池
Outbound/apply创建一个访问列表用于控制因特网
Pager使能或禁止屏幕分页
Passwd为TELNET和PIX管理者访问防火墙控制台配置口令
Perfmon浏览性能信息
Ping决定在PIX防火墙上其他的IP地址是否可见
Quit退出配置或特权模式
Reload重新启动或重新加载配置
Rip改变RIP设置
Route为指定的接口输入一条静态或缺省的路由
Service复位向内连接
Session访问一个嵌入式的ACCESSPRO路由器控制台
Show查看命令信息
Show blocks/clear blocks显示系统缓冲区利用情况
Show checksum显示配置校验和
Show conn列出所有的活跃连接
Show history显示前面输入的行
Show interface显示接口配置
Show memory显示系统内存的使用情况
Show processes显示进程
Show tech-support查看帮助技术支持分析员诊断问题的信息
Show traffic显示接口的发送和接收活动
Show uauth未知（我没搞过，嘿嘿）
Show version浏览PIX防火墙操作信息
Show xlate查看地址转换信息
Snmp-server提供SNMP事件信息
Static将局部地址映射为全局地址
Sysopt改变PIX防火墙系统项
Terminal改变控制台终端设置
Timeout设置空闲时间的最大值
Uauth(clear and show)将一个用户的所有授权高速缓存删除
url-cache缓存响应URL过滤对WebSENSE服务器的请求
url-server为使用folter命令指派一个运行WebSENSE的服务器
virtual访问PIX防火墙虚拟服务器
who显示PIX防火墙上的活跃的TELNET管理会话
write存储、查看或删除当前的配置
xlate(clear and show)查看或清除转换槽信息

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

防火墙在互联网中起着非常重要的作用，它通过检查和过滤进出网络的每一个数据包，保护企业内部网免受外来攻击。防火墙产品一般分为硬件和软件2种，硬件防火墙采用专用的硬件设备，然后集成生产厂商的专用防火墙软件; 软件防火墙一般基于某个操作系统平台开发，直接在计算机上进行软件的安装和配置。相对于软件防火墙而言，硬件防火墙往往能提供更优越的网络速度和性能，Cisco公司的PIX防火墙就是一种典型的企业级硬件防火墙产品。

一、Cisco PIX的特点

作为一种硬件防火墙，Cisco PIX的优势有两点：第一，网络性能相当不错，Cisco PIX可以提供2～6个100Mbps快速以太网接口，能够满足大部分的应用需求。与软件防火墙相比，它的包处理速度和转发速度要快得多。第二，Cisco PIX中包含了丰富的基于IPsec的VPN服务软件，VPN能够提供站点到站点之间和远程客户端到站点之间的安全访问，不过需要另外的一台认证服务器。

Cisco PIX的不足之处是管理完全基于命令行方式，如果用户需要图形化的管理界面，就必须到Cisco网站上下载一个管理软件；另外，Cisco PIX的监视和日志功能有限，为了记录日志，还必须下载一个基于Windows NT的PIX Firewall Syslog Server才行。Cisco PIX无法根据用户名或工作组来进行安全策略管理，而只能通过IP地址进行管理，而且实施安全策略管理还需要购买另一个软件包CSPM（Cisco Security Policy Manager）。

二、Cisco PIX的管理和配置

现在，我们通过一个相对简单的示例说明如何使用Cisco PIX对企业内部网络进行管理。网络拓扑图如附图所示。Cisco PIX安装2个网络接口，一个连接外部网段，另一个连接内部网段，在外部网段上运行的主要是DNS服务器，在内部网段上运行的有WWW服务器和电子邮件服务器，通过Cisco PIX，我们希望达到的效果是：对内部网络的所有机器进行保护，WWW服务器对外只开放80端口，电子邮件服务器对外只开放25端口。具体操作步骤如下。

1.      连接一台控制终端
通常使用PIX上的CONSOLE端口对防火墙进行管理和配置。当防火墙配置好以后，也可以通过telnet方式管理防火墙，但出于安全性的考虑，还是尽量不要开放telnet功能。使用CONSOLE端口的具体方法如下。

使用串行电缆将PIX与PC机的串口进行连接，在Windows中打开“超级终端”，进入“新建连接”，并为新连接命名，比如“PIX”；选择“使用COM1”，且在COM1属性框中定义速度为9600bps，数据位为8，校验为None，停止位为1，Flow control为Hardware；然后单击“OK”，接着打开PIX防火墙电源，在终端窗口中应当看到启动信息。如果看不到启动信息,说明电缆连接有问题。

2.      获得最新PIX软件
从Cisco公司的WWW或FTP站点上，我们可以获得PIX的最新软件,主要包括如下内容。

pix44n.exe——PIX防火墙的软件映像文件。
pfss44n.exe——PIX Firewall Syslog Server服务器软件,能够提供一个Windows NT服务,用来记录PIX的运行日志。
pfm432b.exe——图形化的PIX管理软件。
rawrite.exe——用于生成PIX的启动软盘。

3.      配置网络路由
在使用防火墙的内部网段上，需要将每台计算机的缺省网关指向防火墙，比如防火墙内部IP地址为10.0.0.250，则内部网段上的每台计算机的缺省网关都要设置为10.0.0.250。具体设置在“控制面板”*“网络”*“TCP/IP协议”中进行。

4.      配置PIX
在配置PIX之前，应该对网络进行详细的规划和设计，搜集需要的网络配置信息。要获得的信息如下。

1.      每个PIX网络接口的IP地址。

2.      如果要进行NAT,则要提供一个IP地址池供NAT使用。NAT是网络地址转换技术，它可以将使用保留地址的内部网段上的机器映射到一个合法的IP地址上以便进行Internet访问。

3.      外部网段的路由器地址。

进入PIX配置界面的方法是：连接好超级终端，打开电源，在出现启动信息和出现提示符 pixfirewall>后输入“enable”，并输入密码，进入特权模式；当提示符变为 pixfirewall#>后，输入“configure terminal”，再进入配置界面。

在配置过程中，我们可以使用write terminal命令查看当前配置，使用write memory保存配置信息到Flash Memory。

5.      配置网络接口
PIX使用nameif和ip address命令进行网络接口配置。
首先使用下面的语句定义内部网段和外部网段的网络接口。
nameif ethernet0 outside security0
nameif ethernet1 inside security100
PIX防火墙使用Intel的10/100Mbps网卡，使用下面的命令定义接口配置为自适应。
interface ethernet0 auto
interface ethernet1 auto
最后，我们定义接口的IP地址和掩码。
ip address inside 10.0.0.250 255.255.255.0
ip address outside 202.12.29.205 255.255.255.248

6.      允许内部用户访问外部网段
在前面，我们定义了内部网段安全值为100，外部网段安全值为0。用户在安全值高的区域访问安全值低的区域，需要使用nat和global命令；相反地，如果允许安全值低的区域的用户访问安全值高的区域的用户，则需要使用static和conduit命令。
nat (inside) 1 0 0
global (outside) 1 202.12.29.206 netmask 255.255.255.248
其中1为NAT ID，两个语句中的NAT ID应一样。前一句表示允许所有机器对外访问，第二句定义NAT使用的地址池，由于大部分情况下，合法的IP地址并不多，因此在此例中只设置了一个合法IP地址202.12.29.206用来做地址转换。

7.      定义外部路由
对于外部网段，还需要定义外部路由，它是防火墙外部网段的缺省路由：route outside 0 0 202.12.29.202 1。其中0 0表示外部网段的缺省路由，1表示从防火墙到路由器只有一个hop。

8.      允许使用ping命令
conduit permit icmp any any 此命令允许在内部网段和外部网段使用ping命令进行网络测试。因为ping命令使用的是ICMP协议，在设置和调试期间，一般开放此功能，当防火墙工作正常后，也可以关闭此项功能。

9.      保存设置和重新启动
使用write memory命令将配置信息写入flash memory。使用reload命令重新启动防火墙。

10.  增加telnet访问控制
在PIX中，我们可以定义只允许某些机器通过telnet访问防火墙。需要注意的是，这里进行telnet访问的机器必须在内部网段上，以增强安全性。

telnet 10.0.0.204 255.255.255.255// 即允许10.0.0.204这台机器使用telnet访问防火墙。

telnet timeout 15 // 即将空闲时间设置为15分钟，当访问防火墙的机器15分钟内没有任何操作时，将自动断开连接。

telnet访问的缺省口令是cisco，可以通过passwd命令来修改口令。

测试telnet时，我们可以使用命令debug icmp trace来获得更多的信息。

11.  增加服务器访问控制
缺省情况下，PIX拒绝所有来自外部网段的访问请求。当WWW服务器等设备放在防火墙的内部网段上时，为了使外部网络上的用户可以访问到，必须使用static和conduit命令来进行配置。

下面，我们给出允许外部网络访问内部网络上的WWW服务器的命令。
static (inside,outside) 202.12.29.204 10.0.0.204 netmask 255.255.255.255
conduit permit tcp host 202.12.29.204 eq www any

其中，第一个命令将在内部网段的WWW服务器10.0.0.204映射一个外部合法地址202.12.29.204；第二个命令允许所有外部主机通过tcp port 80访问202.12.29.204这台服务器。

接着，我们再给出一个允许外部网络访问内部网络上的邮件服务器10.0.0.203的命令。
static (inside,outside) 202.12.29.203 10.0.0.203 netmask 255.255.255.255
conduit permit tcp host 202.12.29.203 eq smtp any

12.  控制内部网段对外的访问
使用outbound和apply命令进行组合，可以控制内部网段的机器能否对外进行访问，举例说明如下。
outbound 10 deny 10.0.0.0 255.255.255.0 irc tcp
outbound 10 permit 10.0.0.204 255.255.255.255 irc tcp

apply (inside) 10 outgoing_src 如果不想让内部用户使用CHAT功能，可以采用第一条命令，禁止10.0.0.1～10.0.0.255的所有机器使用CHAT功能访问外部站点；第二条命令允许10.0.0.204这台机器通过irc协议访问外部站点;第三条命令将前面的命令应用在inside，也就是内部网段上。
outbound 20 deny 202.102.224.25 255.255.255.255 www tcp
apply (inside) 20 outgoing_dest

通过对以上2条命令的组合使用，我们可以禁止内部网段上的所有机器访问外部网络的WWW服务器202.102.224.25。

到此为止，我们已经介绍了在网络管理中通常会使用到的一些设置命令，其实还有一些其他相关的设置命令，大家可以查阅PIX的文档或者访问Cisco公司的网站以获取最新的资料。

总的来说，如果用户希望得到一台网络性能较高但不需要广泛的监视功能或应用程序过滤功能的企业级防火墙，Cisco PIX将会是一个不错的选择。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

本篇要为大家介绍一些实用的知识，那就是如何配置防火中的安全策略。但要注意的是，防火墙的具体配置方法也不是千篇一律的，不要说不同品牌，就是同一品牌的不同型号也不完全一样，所以在此也只能对一些通用防火墙配置方法作一基本介绍。同时，具体的防火墙策略配置会因具体的应用环境不同而有较大区别。首先介绍一些基本的配置原则。

一. 防火墙的基本配置原则

默认情况下，所有的防火墙都是按以下两种情况配置的：

●拒绝所有的流量，这需要在你的网络中特殊指定能够进入和出去的流量的一些类型。
●允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。可论证地，大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的员工们能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP的进程。

在防火墙的配置中，我们首先要遵循的原则就是安全实用，从这个角度考虑，在防火墙的配置过程中需坚持以下三个基本原则：

（1）. 简单实用：对防火墙环境设计来讲，首要的就是越简单越好。其实这也是任何事物的基本原则。越简单的实现方式，越容易理解和使用。而且是设计越简单，越不容易出错，防火墙的安全功能越容易得到保证，管理也越可靠和简便。

每种产品在开发前都会有其主要功能定位，比如防火墙产品的初衷就是实现网络之间的安全控制，入侵检测产品主要针对网络非法行为进行监控。但是随着技术的成熟和发展，这些产品在原来的主要功能之外或多或少地增加了一些增值功能，比如在防火墙上增加了查杀病毒、入侵检测等功能，在入侵检测上增加了病毒查杀功能。但是这些增值功能并不是所有应用环境都需要，在配置时我们也可针对具体应用环境进行配置，不必要对每一功能都详细配置，这样一则会大大增强配置难度，同时还可能因各方面配置不协调，引起新的安全漏洞，得不偿失。

（2）. 全面深入：单一的防御措施是难以保障系统的安全的，只有采用全面的、多层次的深层防御战略体系才能实现系统的真正安全。在防火墙配置中，我们不要停留在几个表面的防火墙语句上，而应系统地看等整个网络的安全防护体系，尽量使各方面的配置相互加强，从深层次上防护整个系统。这方面可以体现在两个方面：一方面体现在防火墙系统的部署上，多层次的防火墙部署体系，即采用集互联网边界防火墙、部门边界防火墙和主机防火墙于一体的层次防御；另一方面将入侵检测、网络加密、病毒查杀等多种安全措施结合在一起的多层安全体系。

（3）. 内外兼顾：防火墙的一个特点是防外不防内，其实在现实的网络环境中，80%以上的威胁都来自内部，所以我们要树立防内的观念，从根本上改变过去那种防外不防内的传统观念。对内部威胁可以采取其它安全措施，比如入侵检测、主机防护、漏洞扫描、病毒查杀。这方面体现在防火墙配置方面就是要引入全面防护的观念，最好能部署与上述内部防护手段一起联动的机制。目前来说，要做到这一点比较困难。
 

二、防火墙的初始配置

像路由器一样，在使用之前，防火墙也需要经过基本的初始配置。但因各种防火墙的初始配置基本类似，所以在此仅以Cisco PIX防火墙为例进行介绍。

防火墙的初始配置也是通过控制端口（Console）与PC机（通常是便于移动的笔记本电脑）的串口连接，再通过Windows系统自带的超级终端（HyperTerminal）程序进行选项配置。防火墙的初始配置物理连接与前面介绍的交换机初始配置连接方法一样，参见图1所示。

图1

防火墙除了以上所说的通过控制端口（Console）进行初始配置外，也可以通过telnet和Tffp配置方式进行高级配置，但Telnet配置方式都是在命令方式中配置，难度较大，而Tffp方式需要专用的Tffp服务器软件，但配置界面比较友好。

防火墙与路由器一样也有四种用户配置模式，即：普通模式（Unprivileged mode）、特权模式（Privileged Mode）、配置模式（Configuration Mode）和端口模式（Interface Mode），进入这四种用户模式的命令也与路由器一样：

普通用户模式无需特别命令，启动后即进入；

进入特权用户模式的命令为"enable"；进入配置模式的命令为"config terminal"；而进入端口模式的命令为"interface ethernet（）"。不过因为防火墙的端口没有路由器那么复杂，所以通常把端口模式归为配置模式，统称为"全局配置模式"。
 

防火墙的具体配置步骤如下：

1. 将防火墙的Console端口用一条防火墙自带的串行电缆连接到笔记本电脑的一个空余串口上，参见图1。

2. 打开PIX防火电源，让系统加电初始化，然后开启与防火墙连接的主机。  

3. 运行笔记本电脑Windows系统中的超级终端（HyperTerminal）程序（通常在"附件"程序组中）。对超级终端的配置与交换机或路由器的配置一样，参见本教程前面有关介绍。

4. 当PIX防火墙进入系统后即显示"pixfirewall>"的提示符，这就证明防火墙已启动成功，所进入的是防火墙用户模式。可以进行进一步的配置了。 

5. 输入命令：enable,进入特权用户模式，此时系统提示为：pixfirewall#。  

6. 输入命令： configure terminal,进入全局配置模式，对系统进行初始化设置。  

（1）. 首先配置防火墙的网卡参数（以只有1个LAN和1个WAN接口的防火墙配置为例） 

Interface ethernet0 auto   # 0号网卡系统自动分配为WAN网卡，"auto"选项为系统自适应网卡类型
Interface ethernet1 auto 

（2）. 配置防火墙内、外部网卡的IP地址 

IP address inside ip_address netmask  # Inside代表内部网卡
IP address outside ip_address netmask  # outside代表外部网卡

（3）. 指定外部网卡的IP地址范围： 

global 1 ip_address-ip_address 

（4）. 指定要进行转换的内部地址 

nat 1 ip_address netmask 

（5）. 配置某些控制选项： 

conduit global_ip port[-port] protocol foreign_ip [netmask]   

其中，global_ip：指的是要控制的地址；port：指的是所作用的端口，0代表所有端口；protocol：指的是连接协议，比如：TCP、UDP等；foreign_ip：表示可访问的global_ip外部IP地址；netmask：为可选项，代表要控制的子网掩码。 

7. 配置保存：wr mem 

8. 退出当前模式

此命令为exit，可以任何用户模式下执行，执行的方法也相当简单，只输入命令本身即可。它与Quit命令一样。下面三条语句表示了用户从配置模式退到特权模式，再退到普通模式下的操作步骤。

pixfirewall(config)# exit
pixfirewall# exit
pixfirewall>

9. 查看当前用户模式下的所有可用命令：show，在相应用户模式下键入这个命令后，即显示出当前所有可用的命令及简单功能描述。

10. 查看端口状态：show interface，这个命令需在特权用户模式下执行，执行后即显示出防火墙所有接口配置情况。 

11. 查看静态地址映射:show static，这个命令也须在特权用户模式下执行，执行后显示防火墙的当前静态地址映射情况。     

三、Cisco PIX防火墙的基本配置

1. 同样是用一条串行电缆从电脑的COM口连到Cisco PIX 525防火墙的console口；

2. 开启所连电脑和防火墙的电源，进入Windows系统自带的"超级终端"，通讯参数可按系统默然。进入防火墙初始化配置，在其中主要设置有：Date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡IP地址)、domain(主域)等，完成后也就建立了一个初始化设置了。此时的提示符为：pix255>。

3. 输入enable命令，进入Pix 525特权用户模式,默然密码为空。

如果要修改此特权用户模式密码，则可用enable password命令，命令格式为：enable password password [encrypted]，这个密码必须大于16位。Encrypted选项是确定所加密码是否需要加密。

4、 定义以太端口：先必须用enable命令进入特权用户模式，然后输入configure terminal（可简称为config t）,进入全局配置模式模式。具体配置

pix525>enable
Password:
pix525#config t
pix525 (config)#interface ethernet0 auto
pix525 (config)#interface ethernet1 auto

在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。

5. clock

配置时钟，这也非常重要，这主要是为防火墙的日志记录而资金积累的，如果日志记录时间和日期都不准确，也就无法正确分析记录中的信息。这须在全局配置模式下进行。

时钟设置命令格式有两种，主要是日期格式不同，分别为：

clock set hh:mm:ss month day month year和clock set hh:mm:ss day month year

前一种格式为：小时：分钟：秒 月 日 年；而后一种格式为：小时：分钟：秒 日 月 年，主要在日、月份的前后顺序不同。在时间上如果为0，可以为一位，如：21:0:0。

6. 指定接口的安全级别

指定接口安全级别的命令为nameif，分别为内、外部网络接口指定一个适当的安全级别。在此要注意，防火墙是用来保护内部网络的，外部网络是通过外部接口对内部网络构成威胁的，所以要从根本上保障内部网络的安全，需要对外部网络接口指定较高的安全级别，而内部网络接口的安全级别稍低，这主要是因为内部网络通信频繁、可信度高。在Cisco PIX系列防火墙中，安全级别的定义是由security（）这个参数决定的，数字越小安全级别越高，所以security0是最高的，随后通常是以10的倍数递增，安全级别也相应降低。如下例：

pix525(config)#nameif ethernet0 outside security0   # outside是指外部接口
pix525(config)#nameif ethernet1 inside security100 # inside是指内部接口

7. 配置以太网接口IP地址

所用命令为：ip address，如要配置防火墙上的内部网接口IP地址为：192.168.1.0 255.255.255.0；外部网接口IP地址为：220.154.20.0 255.255.255.0。
配置方法如下：
pix525(config)#ip address inside 192.168.1.0 255.255.255.0
pix525(config)#ip address outside 220.154.20.0 255.255.255.0

8. access-group

这个命令是把访问控制列表绑定在特定的接口上。须在配置模式下进行配置。命令格式为：access-group acl_ID in interface interface_name，其中的"acl_ID"是指访问控制列表名称，interface_name为网络接口名称。如：

access-group acl_out in interface outside，在外部网络接口上绑定名称为"acl_out"的访问控制列表。
clear access-group：清除所有绑定的访问控制绑定设置。
no access-group acl_ID in interface interface_name：清除指定的访问控制绑定设置。
show access-group acl_ID in interface interface_name：显示指定的访问控制绑定设置。

9．配置访问列表

所用配置命令为：access-list，合格格式比较复杂，如下：

标准规则的创建命令：access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ]
扩展规则的创建命令：access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ]

它是防火墙的主要配置部分，上述格式中带"[]"部分是可选项，listnumber参数是规则号，标准规则号（listnumber1）是1~99之间的整数，而扩展规则号（listnumber2）是100~199之间的整数。它主要是通过访问权限"permit"和"deny"来指定的，网络协议一般有IP|TCP|UDP|ICMP等等。如只允许访问通过防火墙对主机:220.154.20.254进行www访问，则可按以下配置：

pix525(config)#access-list 100 permit 220.154.20.254 eq www

其中的100表示访问规则号，根据当前已配置的规则条数来确定，不能与原来规则的重复，也必须是正整数。关于这个命令还将在下面的高级配置命令中详细介绍。

图2

以上各项重定向要求对应的配置语句如下：

static (inside,outside) tcp 172.18.124.99 telnet 10.1.1.6 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.99 ftp 10.1.1.3 ftp netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.208 telnet 10.1.1.4 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp interface telnet 10.1.1.5 telnet netmask 255.255.255.255 0 0
static (inside,outside) tcp interface www 10.1.1.5  www netmask 255.255.255.255 0 0
static (inside,outside) tcp 172.18.124.208 8080 10.1.1.7 www netmask 255.255.255.255 0 0

12. 显示与保存结果

显示结果所用命令为：show config；保存结果所用命令为：write memory。 

四、包过滤型防火墙的访问控制表（ACL）配置

除了以上介绍的基本配置外，在防火墙的安全策略中最重要还是对访问控制列表（ACL）进行配有关置。下面介绍一些用于此方面配置的基本命令。

1. access-list：用于创建访问规则

这一访问规则配置命令要在防火墙的全局配置模式中进行。同一个序号的规则可以看作一类规则，同一个序号之间的规则按照一定的原则进行排列和选择，这个顺序可以通过 show access-list 命令看到。在这个命令中，又有几种命令格式，分别执行不同的命令。

（1）创建标准访问列表

命令格式：access-list [ normal | special ] listnumber1 { permit | deny } source-addr [ source-mask ]

（2）创建扩展访问列表

命令格式：access-list [ normal | special ] listnumber2 { permit | deny } protocol source-addr source-mask [ operator port1 [ port2 ] ] dest-addr dest-mask [ operator port1 [ port2 ] | icmp-type [ icmp-code ] ] [ log ]

（3）删除访问列表

命令格式：no access-list { normal | special } { all | listnumber [ subitem ] }

上述命令参数说明如下：

●normal：指定规则加入普通时间段。
●special：指定规则加入特殊时间段。
●listnumber1：是1到99之间的一个数值，表示规则是标准访问列表规则。
●listnumber2：是100到199之间的一个数值，表示规则是扩展访问列表规则。
●permit：表明允许满足条件的报文通过。
●deny：表明禁止满足条件的报文通过。
●protocol：为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念；为IP时有特殊含义，代表所有的IP协议。
●source-addr：为源IP地址。
●source-mask：为源IP地址的子网掩码，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。
●dest-addr：为目的IP地址。
●dest-mask：为目的地址的子网掩码。
●operator：端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有：等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）；如果操作符为range，则后面需要跟两个端口。
port1 在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。port2 在协议类型为TCP或UDP且操作类型为range时出现；可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。
●icmp-type：在协议为ICMP时出现，代表ICMP报文类型；可以是关键字所设定的预设值（如echo-reply）或者是0~255之间的一个数值。
●icmp-code：在协议为ICMP，且没有选择所设定的预设值时出现；代表ICMP码，是0~255之间的一个数值。
●log：表示如果报文符合条件，需要做日志。
●listnumber：为删除的规则序号，是1~199之间的一个数值。
●subitem：指定删除序号为listnumber的访问列表中规则的序号。

例如，现要在华为的一款防火墙上配置一个"允许源地址为10.20.10.0 网络、目的地址为10.20.30.0网络的WWW访问，但不允许使用FTP"的访问规则。相应配置语句只需两行即可，如下：
Quidway (config)#access-list 100 permit tcp 10.20.10.0  255.0.0.0  10.20.30.0  255.0.0.0  eq www
Quidway (config)#access-list 100 deny tcp 10.20.10.0  255.0.0.0  10.20.30.0  255.0.0.0  eq ftp

2. clear access-list counters：清除访问列表规则的统计信息

命令格式：clear access-list counters [ listnumber ]

这一命令必须在特权用户模式下进行配置。listnumber 参数是用指定要清除统计信息的规则号，如不指定，则清除所有的规则的统计信息。

如要在华为的一款包过滤路由器上清除当前所使用的规则号为100的访问规则统计信息。访问配置语句为：

clear access-list counters 100
如有清除当前所使用的所有规则的统计信息，则以上语句需改为：Quidway#clear access-list counters

3. ip access-group

使用此命令将访问规则应用到相应接口上。使用此命令的no形式来删除相应的设置，对应格式为：

ip access-group listnumber { in | out }

此命令须在端口用户模式下配置，进入端口用户模式的命令为：interface ethernet（），括号中为相应的端口号，通常0为外部接口，而1为内部接口。进入后再用ip access-group 命令来配置访问规则。listnumber参数为访问规则号，是1~199之间的一个数值（包括标准访问规则和扩展访问规则两类）；in 表示规则应用于过滤从接口接收到的报文；而out表示规则用于过滤从接口转发出去的报文。一个接口的一个方向上最多可以应用20类不同的规则；这些规则之间按照规则序号的大小进行排列，序号大的排在前面，也就是优先级高。对报文进行过滤时，将采用发现符合的规则即得出过滤结果的方法来加快过滤速度。所以，建议在配置规则时，尽量将对同一个网络配置的规则放在同一个序号的访问列表中；在同一个序号的访问列表中，规则之间的排列和选择顺序可以用show access-list命令来查看。
例如将规则100应用于过滤从外部网络接口上接收到的报文，配置语句为（同样为在倾为包过滤路由器上）：

ip access-group 100 in

如果要删除某个访问控制表列绑定设置，则可用no ip access-group listnumber { in | out } 命令。

4. show access-list

此配置命令用于显示包过滤规则在接口上的应用情况。命令格式为：show access-list [ all | listnumber | interface interface-name ]

这一命令须在特权用户模式下进行配置，其中all参数表示显示所有规则的应用情况，包括普通时间段内及特殊时间段内的规则；如果选择listnumber参数，则仅需显示指定规则号的过滤规则；interface 表示要显示在指定接口上应用的所有规则序号；interface-name参数为接口的名称。

使用此命令来显示所指定的规则，同时查看规则过滤报文的情况。每个规则都有一个相应的计数器，如果用此规则过滤了一个报文，则计数器加1；通过对计数器的观察可以看出所配置的规则中，哪些规则是比较有效，而哪些基本无效。例如，现在要显示当前所使用序号为100的规则的使用情况，可执行Quidway#show access-list 100语句即可，随即系统即显示这条规则的使用情况，格式如下：

Using normal packet-filtering access rules now.
100 deny icmp 10.1.0.0 0.0.255.255 any host-redirect (3 matches,252 bytes -- rule 1)
100 permit icmp 10.1.0.0 0.0.255.255 any echo (no matches -- rule 2)
100 deny udp any any eq rip (no matches -- rule 3)

5. show firewall

此命令须在特权用户模式下执行，它显示当前防火墙状态。命令格式非常简单，也为：show firewall。这里所说的防火墙状态，包括防火墙是否被启用，启用防火墙时是否采用了时间段包过滤及防火墙的一些统计信息。

6. Telnet

这是用于定义能过防火配置控制端口进行远程登录的有关参数选项，也须在全局配置用户模式下进行配置。

命令格式为：telnet ip_address [netmask] [if_name]

其中的ip_address参数是用来指定用于Telnet登录的IP地址，netmask为子网掩码，if_name用于指定用于Telnet登录的接口，通常不用指定，则表示此IP地址适用于所有端口。如：

telnet 192.168.1.1

如果要清除防火墙上某个端口的Telnet参数配置，则须用clear telnet命令，其格式为：clear telnet [ip_address [netmask] [if_name]]，其中各选项说明同上。它与另一个命令no telnet功能基本一样，不过它是用来删除某接口上的Telnet配置，命令格式为：no telnet [ip_address [netmask] [if_name]]。

如果要显示当前所有的Telnet配置，则可用show telnet命令。

PIX入门教程
＝＝＝＝＝＝＝＝＝＝＝＝＝＝
一、CLI