一、PIX防火墻的認識
PIX是Cisco的硬件防火墻，硬件防火墻有工作速度快，使用方便等特點。
PIX有很多型號，并發(fā)連接數(shù)是PIX防火墻的重要參數(shù)。PIX25是典型的設備。
PIX防火墻常見接口有：console、Failover、Ethernet、USB。
網絡區(qū)域：
內部網絡：inside
外部網絡：outside
中間區(qū)域：稱DMZ(停火區(qū))。放置對外開放的服務器。
二、防火墻的配置規(guī)則
沒有連接的狀態(tài)(沒有握手或握手不成功或非法的數(shù)據(jù)包)，任何數(shù)據(jù)包無法穿過防火墻。
(內部發(fā)起的連接可以回包。通過ACL開放的服務器允許外部發(fā)起連接)
inside可以訪問任何outside和dmz區(qū)域。
dmz可以訪問outside區(qū)域。
inside訪問dmz需要配合static(靜態(tài)地址轉換)。
outside訪問dmz需要配合acl(訪問控制列表)。
三、PIX防火墻的配置模式
PIX防火墻的配置模式與路由器類似，有4種管理模式：
PIXfirewall>：用戶模式
PIXfirewall#：特權模式
PIXfirewall(config)#：配置模式
monitor>：ROM監(jiān)視模式，開機按住[Esc]鍵或發(fā)送一個“Break”字符，進入監(jiān)視模式。
四、PIX基本配置命令
常用命令有：nameif、interface、ipaddress、nat、global、route、static等。
1、nameif
設置接口名稱，并指定安全級別，安全級別取值范圍為1～100，數(shù)字越大安全級別越高。
例如要求設置：
ethernet0命名為外部接口outside，安全級別是0。
ethernet1命名為內部接口inside，安全級別是100。
ethernet2命名為中間接口dmz,安裝級別為50。
使用命令：
PIX525(config)#nameifethernet0outsidesecurity0
PIX525(config)#nameifethernet1insidesecurity100
PIX525(config)#nameifethernet2dmzsecurity50
2、interface
配置以太口工作狀態(tài)，常見狀態(tài)有：auto、100full、shutdown。
auto：設置網卡工作在自適應狀態(tài)。
100full：設置網卡工作在100Mbit/s，全雙工狀態(tài)。
shutdown：設置網卡接口關閉，否則為激活。
命令：
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#interfaceethernet1100fullshutdown
3、ipaddress
配置網絡接口的IP地址，例如：
PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252
PIX525(config)#ipaddressinside192.168.0.1255.255.255.0
內網inside接口使用私有地址192.168.0.1，外網outside接口使用公網地址133.0.0.1。
4、global
指定公網地址范圍：定義地址池。
Global命令的配置語法：
global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]
其中：
(if_name)：表示外網接口名稱，一般為outside。
nat_id：建立的地址池標識(nat要引用)。
ip_address-ip_address：表示一段ip地址范圍。
[netmarkglobal_mask]：表示全局ip地址的網絡掩碼。
例如：
PIX525(config)#global(outside)1133.0.0.1-133.0.0.15
地址池1對應的IP是：133.0.0.1-133.0.0.15
PIX525(config)#global(outside)1133.0.0.1
地址池1只有一個IP地址133.0.0.1。
PIX525(config)#noglobal(outside)1133.0.0.1
表示刪除這個全局表項。
5、nat
地址轉換命令，將內網的私有ip轉換為外網公網ip。
nat命令配置語法：nat(if_name)nat_idlocal_ip[netmark]
其中：
(if_name)：表示接口名稱，一般為inside.
nat_id：表示地址池，由global命令定義。
local_ip：表示內網的ip地址。對于0.0.0.0表示內網所有主機。
[netmark]：表示內網ip地址的子網掩碼。
在實際配置中nat命令總是與global命令配合使用。
一個指定外部網絡，一個指定內部網絡，通過net_id聯(lián)系在一起。
例如：
PIX525(config)#nat(inside)100
表示內網的所有主機(00)都可以訪問由global指定的外網。
PIX525(config)#nat(inside)1172.16.5.0255.255.0.0
表示只有172.16.5.0/16網段的主機可以訪問global指定的外網。
6、route
route命令定義靜態(tài)路由。
語法：
route(if_name)00gateway_ip[metric]
其中：
(if_name)：表示接口名稱。
00：表示所有主機
Gateway_ip：表示網關路由器的ip地址或下一跳。
[metric]：路由花費。缺省值是1。
例如：
PIX525(config)#routeoutside00133.0.0.11
設置缺省路由從outside口送出，下一跳是133.0.0.1。
00代表0.0.0.00.0.0.0，表示任意網絡。
PIX525(config)#routeinside10.1.0.0255.255.0.010.8.0.11
設置到10.1.0.0網絡下一跳是10.8.0.1。最后的“1”是花費。
7、static
配置靜態(tài)IP地址翻譯，使內部地址與外部地址一一對應。
語法：
static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address
其中：
internal_if_name表示內部網絡接口，安全級別較高，如inside。
external_if_name表示外部網絡接口，安全級別較低，如outside。
outside_ip_address表示外部網絡的公有ip地址。
inside_ip_address表示內部網絡的本地ip地址。
(括號內序順是先內后外，外邊的順序是先外后內)
例如：
PIX525(config)#static(inside，outside)133.0.0.1192.168.0.8
表示內部ip地址192.168.0.8，訪問外部時被翻譯成133.0.0.1全局地址。
PIX525(config)#static(dmz，outside)133.0.0.1172.16.0.2
中間區(qū)域ip地址172.16.0.2，訪問外部時被翻譯成133.0.0.1全局地址。
8、conduit
管道conduit命令用來設置允許數(shù)據(jù)從低安全級別的接口流向具有較高安全級別的接口。
例如允許從outside到DMZ或inside方向的會話(作用同訪問控制列表)。
語法：
conduitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]
其中：
global_ip是一臺主機時前面加host參數(shù)，所有主機時用any表示。
foreign_ip表示外部ip。
[netmask]表示可以是一臺主機或一個網絡。
例如：
PIX525(config)#static(inside，outside)133.0.0.1192.168.0.3
PIX525(config)#conduitpermittcphost133.0.0.1eqwwwany
這個例子說明static和conduit的關系。192.168.0.3是內網一臺web服務器，
現(xiàn)在希望外網的用戶能夠通過PIX防火墻訪問web服務。
所以先做static靜態(tài)映射：192.168.0.3－>133.0.0.1
然后利用conduit命令允許任何外部主機對全局地址133.0.0.1進行http訪問。
9、訪問控制列表ACL
訪問控制列表的命令與couduit命令類似，
例：
PIX525(config)#access-list100permitipanyhost133.0.0.1eqwww
PIX525(config)#access-list100denyipanyany
PIX525(config)#access-group100ininterfaceoutside
10、偵聽命令fixup
作用是啟用或禁止一個服務或協(xié)議，
通過指定端口設置PIX防火墻要偵聽listen服務的端口。
例：
PIX525(config)#fixupprotocolftp21
啟用ftp協(xié)議，并指定ftp的端口號為21
PIX525(config)#fixupprotocolhttp8080
PIX525(config)#nofixupprotocolhttp80
啟用http協(xié)議8080端口，禁止80端口。
11、telnet
當從外部接口要telnet到PIX防火墻時，telnet數(shù)據(jù)流需要用vpn隧道ipsec提供保護或
在PIX上配置SSH，然后用SSHclient從外部到PIX防火墻。
例：
telnetlocal_ip[netmask]
local_ip表示被授權可以通過telnet訪問到PIX的ip地址。
如果不設此項，PIX的配置方式只能用console口接超級終端進行。
12、顯示命令：
showinterface　；查看端口狀態(tài)。
showstatic；查看靜態(tài)地址映射。
showip；查看接口ip地址。
showconfig；查看配置信息。
showrun；顯示當前配置信息。
writeterminal；將當前配置信息寫到終端。
showcpuusage；顯示CPU利用率，排查故障時常用。
showtraffic；查看流量。
showblocks；顯示攔截的數(shù)據(jù)包。
showmem；顯示內存
13、DHCP服務
PIX具有DHCP服務功能。
例：
PIX525(config)#ipaddressdhcp
PIX525(config)#dhcpdaddress192.168.1.100-192.168.1.200inside
PIX525(config)#dhcpdns202.96.128.68202.96.144.47
PIX525(config)#dhcpdomainabc.com.cn
五、PIX防火墻舉例
設：
ethernet0命名為外部接口outside，安全級別是0。
ethernet1被命名為內部接口inside，安全級別100。
ethernet2被命名為中間接口dmz，安全級別50。
PIX525#conft
PIX525(config)#nameifethernet0outsidesecurity0
PIX525(config)#nameifethernet1insidesecurity100
PIX525(config)#nameifethernet2dmzsecurity50
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#interfaceethernet2100full
PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252;設置接口IP
PIX525(config)#ipaddressinside10.66.1.200255.255.0.0;設置接口IP
PIX525(config)#ipaddressdmz10.65.1.200255.255.0.0;設置接口IP
PIX525(config)#global(outside)1133.1.0.1-133.1.0.14;定義的地址池
PIX525(config)#nat(inside)100;00表示所有
PIX525(config)#routeoutside00133.0.0.2;設置默認路由
PIX525(config)#static(dmz，outside)133.1.0.110.65.1.101;靜態(tài)NAT
PIX525(config)#static(dmz，outside)133.1.0.210.65.1.102;靜態(tài)NAT
PIX525(config)#static(inside，dmz)10.66.1.20010.66.1.200;靜態(tài)NAT
PIX525(config)#access-list101permitipanyhost133.1.0.1eqwww;設置ACL
PIX525(config)#access-list101permitipanyhost133.1.0.2eqftp;設置ACL
PIX525(config)#access-list101denyipanyany;設置ACL
PIX525(config)#access-group101ininterfaceoutside;將ACL應用在outside端口
當內部主機訪問外部主機時，通過nat轉換成公網IP，訪問internet。
當內部主機訪問中間區(qū)域dmz時，將自己映射成自己訪問服務器，否則內部主機將會
映射成地址池的IP，到外部去找。
當外部主機訪問中間區(qū)域dmz時，對133.0.0.1映射成10.65.1.101，static是雙向的。
PIX的所有端口默認是關閉的，進入PIX要經過acl入口過濾。
靜態(tài)路由指示內部的主機和dmz的數(shù)據(jù)包從outside口出去。