《Cisco防火墙.ppt》由会员分享，可在线阅读，更多相关《Cisco防火墙.ppt（16页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、 CISCO 防火墙配置防火墙配置CISCO PIX防火墙防火墙Cisco PIX系列防火墙目前有多种型号系列防火墙目前有多种型号PIX 501506515520525535Cisco PIX硬件防火墙采用高性能的硬件防火墙采用高性能的Intel处理器和嵌入式操作系统，其处理器和嵌入式操作系统，其保护方案基于自适应安全算法保护方案基于自适应安全算法(ASA)，可以确保最高的安全性。可以确保最高的安全性。Cisco PIX防火墙提供全面的防火墙保护，对外部世界完全隐藏了内部网体系防火墙提供全面的防火墙保护，对外部世界完全隐藏了内部网体系结构，加强了内部网、外部网链路和结构，加强了内部网、外部网链
2、路和Internet之间的安全访问。图形化之间的安全访问。图形化的用户界面简化了配置和管理，并且可以通过电子邮件和寻呼机提供报的用户界面简化了配置和管理，并且可以通过电子邮件和寻呼机提供报警和告警通知。警和告警通知。Cisco PIX防火墙采用集成的软件和硬件平台，是一种专用的防火墙产防火墙采用集成的软件和硬件平台，是一种专用的防火墙产品，采用的操作系统不是开放的品，采用的操作系统不是开放的UNIX或或NT的操作系统，而是采用了专的操作系统，而是采用了专有、实时的有、实时的IOS操作系统，在安全性能和数据流的处理性能等方面要高操作系统，在安全性能和数据流的处理性能等方面要高于路由器防火墙或软件
3、防火墙，当然价格也高于路由器防火墙。因此当于路由器防火墙或软件防火墙，当然价格也高于路由器防火墙。因此当用户选择防火墙时，如果更多考虑的是网络的安全性和产品性能时，应用户选择防火墙时，如果更多考虑的是网络的安全性和产品性能时，应采用专用的采用专用的PIX防火墙。当用户对产品价格更为关心时，则可以采用经防火墙。当用户对产品价格更为关心时，则可以采用经济有效的基于济有效的基于Cisco IOS防火墙特性的路由器防火墙产品。防火墙特性的路由器防火墙产品。在配置在配置PIX防火墙之前，先来介绍一下防火墙的物理特性。防防火墙之前，先来介绍一下防火墙的物理特性。防火墙通常具有至少火墙通常具有至少3个接口，
4、但许多早期的防火墙只具有个接口，但许多早期的防火墙只具有2个接口；个接口；当使用具有当使用具有3个接口的防火墙时，就至少产生了个接口的防火墙时，就至少产生了3个网络，描述如个网络，描述如下：下：内部区域（内网）内部区域（内网）:内部区域通常就是指企业内部网络或者是企内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。墙的保护。外部区域（外网）外部区域（外网）:外部区域通常指外部区域通常指Internet或者非企业内部网或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内
5、部络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有限制的访问。区域的主机和服务，通过防火墙，就可以实现有限制的访问。停火区（停火区（DMZ）:停火区是一个隔离的网络，或几个网络。位于停火区是一个隔离的网络，或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置放置Web服务器，服务器，Mail服务器等。停火区对于外部用户通常是可服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却以访问的，这种方式让外部用户可以访问企业的公开信息
6、，但却不允许他们访问企业内部网络。注意：不允许他们访问企业内部网络。注意：2个接口的防火墙是没有停个接口的防火墙是没有停火区的。火区的。配置配置PIX防火墙防火墙PIX防火墙提供防火墙提供4种管理访问模式：种管理访问模式：非特权模式非特权模式:PIX防火墙开机自检后，就是处于这种模式。防火墙开机自检后，就是处于这种模式。系统显示为系统显示为pixfirewall 特权模式特权模式:输入输入enable进入特权模式，可以改变当前配置。进入特权模式，可以改变当前配置。显示为显示为pixfirewall#配置模式配置模式:输入输入configure terminal进入此模式，绝大部分的进入此模式，
7、绝大部分的系统配置都在这里进行。显示为系统配置都在这里进行。显示为pixfirewall(config)#监视模式监视模式:PIX防火墙在开机或重启过程中，按住防火墙在开机或重启过程中，按住Escape键键或发送一个或发送一个“Break”字符，进入监视模式。这里可以更新操字符，进入监视模式。这里可以更新操作系统映象和口令恢复。显示为作系统映象和口令恢复。显示为monitor配置配置PIX防火墙防火墙配置配置PIX防火墙防火墙配置配置PIX防火墙有防火墙有6个基本命令个基本命令：nameif，interface，ip address，nat，global，route.这些命令在配置这些命令在配
8、置PIX是必须的。以下是配置的基本步骤：是必须的。以下是配置的基本步骤：1.配置防火墙接口的名字，并指定安全级别（配置防火墙接口的名字，并指定安全级别（nameif）。）。Pix525(config)#nameif ethernet0 outside security0 Pix525(config)#nameif ethernet1 inside security100 Pix525(config)#nameif dmz security50 提示：在缺省配置中，以太网提示：在缺省配置中，以太网0被命名为外部接口（被命名为外部接口（outside），），安安全级别是全级别是0；以太网；以太网1
9、被命名为内部接口（被命名为内部接口（inside），），安全级别是安全级别是100.安全级别取值范围为安全级别取值范围为199，数字越大安全级别越高。若添加，数字越大安全级别越高。若添加新的接口，语句可以这样写：新的接口，语句可以这样写：Pix525(config)#nameif pix/intf3 security40（安全级别任取）安全级别任取）配置配置PIX防火墙防火墙2.配置以太口参数（配置以太口参数（interface）Pix525(config)#interface ethernet0 auto （auto选项表明系统自适应网卡类型选项表明系统自适应网卡类型）Pix525(conf
10、ig)#interface ethernet1 100full （100full选项表示选项表示100Mbit/s以太网全双工通信以太网全双工通信）Pix525(config)#interface ethernet1 100full shutdown （shutdown选项表示关闭这个接口，若启用接口去掉选项表示关闭这个接口，若启用接口去掉shutdown）3.配置内外网卡的配置内外网卡的IP地址（地址（ip address）Pix525(config)#ip address outside 61.144.51.42 255.255.255.248 Pix525(config)#ip addr
11、ess inside 192.168.0.1 255.255.255.0 很明显，很明显，Pix525防火墙在外网的防火墙在外网的ip地址是地址是61.144.51.42，内网，内网ip地址地址是是192.168.0.1 配置配置PIX防火墙防火墙4.指定要进行转换的内部地址（指定要进行转换的内部地址（nat）网络地址翻译（网络地址翻译（nat）作用是将内网的私有作用是将内网的私有ip转换为外网的公有转换为外网的公有ip,Nat命令总是与命令总是与global命令一起使用，这是因为命令一起使用，这是因为nat命令可以指定一台主机或一命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利
12、用段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行所指定的地址池进行对外访问。对外访问。nat命令配置语法：命令配置语法：nat(if_name)nat_id local_ip netmark 其中（其中（if_name）表示内网接口名字，例如表示内网接口名字，例如inside.Nat_id 用来标识全局地址池，使它与其相应的用来标识全局地址池，使它与其相应的global命令相匹配，命令相匹配，local_ip表示内网被分配的表示内网被分配的ip地址地址,例如例如0.0.0.0表示内网所有主机可表示内网所有主机可 以对外访问。以对外访问。netmark表示内网表示内网ip
13、地址的子网掩码。地址的子网掩码。例例1Pix525(config)#nat(inside)1 0 0 表示启用表示启用nat,内网的所有主机都可以访问外网，用内网的所有主机都可以访问外网，用0可以代表可以代表0.0.0.0 例例2Pix525(config)#nat(inside)1 172.16.5.0 255.255.0.0 表示只有表示只有172.16.5.0这个网段内的主机可以访问外网。这个网段内的主机可以访问外网。配置配置PIX防火墙防火墙5.指定外部地址范围（指定外部地址范围（global）global命令把内网的命令把内网的ip地址翻译成外网的地址翻译成外网的ip地址或一段地址范
14、围。地址或一段地址范围。Global命令的配置语法：命令的配置语法：global(if_name)nat_id ip_address-ip_address netmark global_mask 其中（其中（if_name）表示外网接口名字，例如表示外网接口名字，例如outside Nat_id用来标识全局地址池，使它与其相应的用来标识全局地址池，使它与其相应的nat命令相匹配命令相匹配 ip_address-ip_address表示翻译后的单个表示翻译后的单个ip地址或一段地址或一段ip地址范围地址范围 netmark global_mask表示全局表示全局ip地址的网络掩码地址的网络掩码
15、例例1 Pix525(config)#global(outside)1 61.144.51.42-61.144.51.48 表示内网的主机通过表示内网的主机通过pix防火墙要访问外网时，防火墙要访问外网时，pix防火墙将使用防火墙将使用61.144.51.42-61.144.51.48这段这段ip地址池为要访问外网的主机分配一个全局地址池为要访问外网的主机分配一个全局ip地址。地址。例例2 Pix525(config)#global(outside)1 61.144.51.42 表示内网要访问外网时，表示内网要访问外网时，pix防火墙将为访问外网的所有主机统一使用防火墙将为访问外网的所有主机统
16、一使用61.144.51.42这个单一这个单一ip地址。地址。例例3.Pix525(config)#no global(outside)1 61.144.51.42 表示删除这个全局表项。表示删除这个全局表项。配置配置PIX防火墙防火墙6.设置指向内网和外网的静态路由（设置指向内网和外网的静态路由（route）定义一条静态路由。定义一条静态路由。route命令配置语法：命令配置语法：route(if_name)0 0 gateway_ip metric 其中（其中（if_name）表示接口名字，例如表示接口名字，例如inside，outside。Gateway_ip表示网关路由器的表示网关路由
17、器的ip地址。地址。metric表示到表示到gateway_ip的跳数。通常缺省的跳数。通常缺省是是1。例例1:Pix525(config)#route outside 0 0 61.144.51.168 1 表示一条指向边界路由器（表示一条指向边界路由器（ip地址地址61.144.51.168）的缺省路由。）的缺省路由。例例2:Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1 Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1 如果内部网络只有
18、一个网段，按照例如果内部网络只有一个网段，按照例1那样设置一条缺省路由即可；如那样设置一条缺省路由即可；如果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示创建了一条到网络创建了一条到网络10.1.1.0的静态路由，静态路由的下一跳路由器的静态路由，静态路由的下一跳路由器ip地址是地址是172.16.0.1pix防火墙的一些高级配置防火墙的一些高级配置A.配置静态配置静态IP地址翻译（地址翻译（static）如果从外网发起一个会话，会话的目的地址是一个内网的如果从外网发起一个会话，会话的目的地址是一个内网的ip地址，
19、地址，static就把就把内部地址翻译成一个指定的全局地址，允许这个会话建立。内部地址翻译成一个指定的全局地址，允许这个会话建立。static命令配置语法：命令配置语法：static(internal_if_name，external_if_name)outside_ip_address inside_ ip_address 其中其中internal_if_name表示内部网络接口，安全级别较高。如表示内部网络接口，安全级别较高。如inside.external_if_name为外部网络接口，安全级别较低。如为外部网络接口，安全级别较低。如outside等。等。outside_ip_addre
20、ss为正在访问的较低安全级别的接口上的为正在访问的较低安全级别的接口上的ip地址。地址。inside_ ip_address为内部网络的本地为内部网络的本地ip地址。地址。例例1 Pix525(config)#static(inside,outside)61.144.51.62 192.168.0.8 表示表示ip地址为地址为192.168.0.8的主机，对于通过的主机，对于通过pix防火墙建立的每个会话，都被防火墙建立的每个会话，都被翻译成翻译成61.144.51.62这个全局地址，也可以理解成这个全局地址，也可以理解成static命令创建了内部命令创建了内部ip地址地址192.168.0.
21、8和外部和外部ip地址地址61.144.51.62之间的静态映射。之间的静态映射。例例2 Pix525(config)#static(inside,outside)192.168.0.2 10.0.1.3 例例3 Pix525(config)#static(dmz,outside)211.48.16.2 172.16.10.8 注释同例注释同例1。通过以上几个例子说明使用。通过以上几个例子说明使用static命令可以让我们为一个特定的内命令可以让我们为一个特定的内部部ip地址设置一个永久的全局地址设置一个永久的全局ip地址。这样就能够为具有较低安全级别的指定接口地址。这样就能够为具有较低安全级
22、别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口。pix防火墙的一些高级配置防火墙的一些高级配置B.管道命令（管道命令（conduit）conduit命令用来允许数据流从具有较低安全级别的接口流向具有较命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到高安全级别的接口，例如允许从外部到DMZ或内部接口的入方向的会话。或内部接口的入方向的会话。对于向内部接口的连接，对于向内部接口的连接，static和和conduit命令将一起使用，来指定会话命令将一起使用，来指定会话的建立的建立。co
23、nduit命令配置语法：命令配置语法：conduit permit|deny global_ip port-port protocol foreign_ip netmask permit|deny 允许允许|拒绝访问拒绝访问 global_ip 指的是先前由指的是先前由global或或static命令定义的全局命令定义的全局ip地址，如果地址，如果global_ip为为0，就用，就用any代替代替0；如果；如果global_ip是一台主机，就用是一台主机，就用host命命令参数。令参数。port 指的是服务所作用的端口，例如指的是服务所作用的端口，例如www使用使用80，smtp使用使用25等
24、等，等等，我们可以通过服务名称或端口数字来指定端口。我们可以通过服务名称或端口数字来指定端口。protocol 指的是连接协议，比如：指的是连接协议，比如：TCP、UDP、ICMP等。等。foreign_ip 表示可访问表示可访问global_ip的外部的外部ip。对于任意主机，可以用对于任意主机，可以用any表示。如果表示。如果foreign_ip是一台主机，就用是一台主机，就用host命令参数。命令参数。pix防火墙的一些高级配置防火墙的一些高级配置B.管道命令（管道命令（conduit）-续续例例1.Pix525(config)#conduit permit tcp host 192.1
25、68.0.8 eq www any 这个例子表示允许任何外部主机对全局地址这个例子表示允许任何外部主机对全局地址192.168.0.8的这台主机进的这台主机进行行http访问。其中使用访问。其中使用eq和一个端口来允许或拒绝对这个端口的访问。和一个端口来允许或拒绝对这个端口的访问。Eq ftp 就是指允许或拒绝只对就是指允许或拒绝只对ftp的访问。的访问。例例2.Pix525(config)#conduit deny tcp any eq ftp host 61.144.51.89 表示不允许外部主机表示不允许外部主机61.144.51.89对任何全局地址进行对任何全局地址进行ftp访问。访问
26、。例例3.Pix525(config)#conduit permit icmp any any 表示允许表示允许icmp消息向内部和外部通过。消息向内部和外部通过。例例4.Pix525(config)#static(inside,outside)61.144.51.62 192.168.0.3 Pix525(config)#conduit permit tcp host 61.144.51.62 eq www any 这个例子说明这个例子说明static和和conduit的关系。的关系。192.168.0.3在内网是一台在内网是一台web服务器，现在希望外网的用户能够通过服务器，现在希望外网的
27、用户能够通过pix防火墙得到防火墙得到web服务。所以服务。所以先做先做static静态映射静态映射:192.168.0.361.144.51.62（全局），然后利用（全局），然后利用conduit命令允许任何外部主机对全局地址命令允许任何外部主机对全局地址61.144.51.62进行进行http访问。访问。C.配置配置fixup协议协议 fixup命令作用是启用，禁止，改变一个服务或协议通过命令作用是启用，禁止，改变一个服务或协议通过pix防火墙，由防火墙，由fixup命命令指定的端口是令指定的端口是pix防火墙要侦听的服务。见下面例子：防火墙要侦听的服务。见下面例子：例例1:Pix525(
28、config)#fixup protocol ftp 21 启用启用ftp协议，并指定协议，并指定ftp的端口号为的端口号为21 例例2:Pix525(config)#fixup protocol http 80 Pix525(config)#fixup protocol http 1080 为为http协议指定协议指定80和和1080两个端口。两个端口。例例3;Pix525(config)#no fixup protocol smtp 80 禁用禁用smtp协议。协议。D.设置设置telnet telnet有一个版本的变化。在有一个版本的变化。在pix OS 5.0（pix操作系统的版本号）
29、之前，只能操作系统的版本号）之前，只能从内部网络上的主机通过从内部网络上的主机通过telnet访问访问pix。在。在pix OS 5.0及后续版本中，可以在所有及后续版本中，可以在所有的接口上启用的接口上启用telnet到到pix的访问。当从外部接口要的访问。当从外部接口要telnet到到pix防火墙时，防火墙时，telnet数数据流需要用据流需要用ipsec提供保护，也就是说用户必须配置提供保护，也就是说用户必须配置pix来建立一条到另外一台来建立一条到另外一台pix，路由器或路由器或vpn客户端的客户端的ipsec隧道。另外就是在隧道。另外就是在PIX上配置上配置SSH，然后用然后用SSH
30、 client从外部从外部telnet到到PIX防火墙，防火墙，PIX支持支持SSH1和和SSH2，不过不过SSH1是免费软件，是免费软件，SSH2是商业软件。是商业软件。telnet配置语法：配置语法：telnet local_ip netmask local_ip 表示被授权通过表示被授权通过telnet访问到访问到pix的的ip地址。如果不设此项，地址。如果不设此项，pix的配置的配置方式只能由方式只能由console进行。进行。pix防火墙的一些高级配置防火墙的一些高级配置Cisco PIX防火墙的安装流程防火墙的安装流程 1)将将PIX安放至机架，经检测电源系统后接上电源，并加电主机
31、。安放至机架，经检测电源系统后接上电源，并加电主机。2)将将CONSOLE口连接到口连接到PC的串口上，运行的串口上，运行HyperTerminal程序从程序从CONSOLE口进入口进入PIX系统；此时系统提示系统；此时系统提示pixfirewall3)输入命令：输入命令：enable,进入特权模式，此时系统提示为进入特权模式，此时系统提示为pixfirewall#。4)输入命令：输入命令：configure terminal,对系统进行初始化设置。对系统进行初始化设置。5)配置以太口参数：配置以太口参数：interface ethernet0 auto（auto选项表明系统自适应网卡类型选项
32、表明系统自适应网卡类型）interface ethernet1 auto6)配置防火墙接口的名字，并指定安全级别（配置防火墙接口的名字，并指定安全级别（nameif）。）。nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif dmz security 50 提示：在缺省配置中，以太网提示：在缺省配置中，以太网0被命名为外部接口（被命名为外部接口（outside），），安全级别安全级别是是0；以太网；以太网1被命名为内部接口（被命名为内部接口（inside），），安全级别是安全级别是100.安全
33、级别取安全级别取值范围为值范围为199，数字越大安全级别越高。若添加新的接口，语句可以这，数字越大安全级别越高。若添加新的接口，语句可以这样写：样写：Pix525(config)#nameif pix/intf3 security40（安全级别任取）安全级别任取）Cisco PIX防火墙的安装流程防火墙的安装流程7)配置内外网卡的配置内外网卡的IP地址：地址：ip address inside ip_address netmaskip address outside ip_address netmask8)指定外部地址范围：指定外部地址范围：global 1 ip_address-ip_add
34、ress9)指定要进行要转换的内部地址：指定要进行要转换的内部地址：nat 1 ip_address netmask10)设置指向内部网和外部网的缺省路由设置指向内部网和外部网的缺省路由route inside 0 0 inside_default_router_ip_addressroute outside 0 0 outside_default_router_ip_address11)配置静态配置静态IP地址对映：地址对映：static outside ip_address inside ip_addressCisco PIX防火墙的安装流程防火墙的安装流程 12)设置某些控制选项：设置某
35、些控制选项：conduit permit|deny global_ip port-port protocol foreign_ip netmask global_ip 指的是要控制的地址指的是要控制的地址 port 指的是所作用的端口，其中指的是所作用的端口，其中0代表所有端口代表所有端口 protocol 指的是连接协议，比如：指的是连接协议，比如：TCP、UDP等等 foreign_ip 表示可访问表示可访问global_ip的外部的外部ip,用用any表示任意主机表示任意主机13)设置设置telnet选项：选项：telnet local_ip netmask local_ip 表示被允许通过表示被允许通过telnet访问到访问到pix的的ip地址地址 （如果不设此项，（如果不设此项，PIX的配置只能由的配置只能由consle方式进行）。方式进行）。14)配置保存：配置保存：wr mem 几个常用的网络测试命令：几个常用的网络测试命令：#show interface 查看端口状态查看端口状态#show static 查看静态地址映射查看静态地址映射