防火墙配置中必备的六个主要命令解析

防火墙配置中必备的六个主要命令解析防火墙的基本功能，是通过六个命令来完成的。

一般情况下，除非有特殊的安全需求，这个六个命令基本上可以搞定防火墙的配置。

下面笔者就结合CISCO的防火墙，来谈谈防火墙的基本配置，希望能够给大家一点参考。

第一个命令：interfaceInterface是防火墙配置中最基本的命令之一，他主要的功能就是开启关闭接口、配置接口的速度、对接口进行命名等等。

在买来防火墙的时候，防火墙的各个端都都是关闭的，所以，防火墙买来后，若不进行任何的配置，防止在企业的网络上，则防火墙根本无法工作，而且，还会导致企业网络不同。

1、配置接口速度在防火墙中，配置接口速度的方法有两种，一种是手工配置，另外一种是自动配置。

手工配置就是需要用户手工的指定防火墙接口的通信速度;而自动配置的话，则是指防火墙接口会自动根据所连接的设备，来决定所需要的通信速度。

如：interface ethernet0 auto --为接口配置“自动设置连接速度”Interface ethernet2 100ful --为接口2手工指定连接速度，100MBIT/S。

这里，参数ethernet0或者etnernet2则表示防火墙的接口，而后面的参数表示具体的速度。

笔者建议在配置接口速度的时候，要注意两个问题。

一是若采用手工指定接口速度的话，则指定的速度必须跟他所连接的设备的速度相同，否则的话，会出现一些意外的错误。

如在防火墙上，若连接了一个交换机的话，则交换机的端口速度必须跟防火墙这里设置的速度相匹配。

二是虽然防火墙提供了自动设置接口速度的功能，不过，在实际工作中，作者还是不建议大家采用这个功能。

因为这个自动配置接口速度，会影响防火墙的性能。

而且，其有时候也会判断失误，给网络造成通信故障。

所以，在一般情况下，无论是笔者，还是思科的官方资料，都建议大家采用手工配置接口速度。

2、关闭与开启接口防火墙上有多个接口，为了安全起见，打开的接口不用的话，则需要及时的进行关闭。

一般可用shutdown命令来关闭防火墙的接口。

但是这里跟思科的IOS 软件有一个不同，就是如果要打开这个接口的话，则不用采用no shutdown命令。

在防火墙的配置命令中，没有这一条。

而应该采用不带参数的shutdown命令，来把一个接口设置为管理模式。

笔者建议在防火墙配置的时候，不要把所有的接口都打开，需要用到几个接口，就打开几个接口。

若把所有的接口都打开的话，会影响防火墙的运行效率，而且，对企业网络的安全也会有影响。

或者说，他会降低防火墙对于企业网络的控制强度。

第二个命令：nameif一般防火墙出厂的时候，思科也会为防火墙配置名字，如ethernet0等等，也就是说，防火墙的物理位置跟接口的名字是相同的。

但是，很明显，这对于我们的管理是不利的，我们不能够从名字直观的看到，这个接口到底是用来做什么的，是连接企业的内部网络接口，还是连接企业的外部网络接口。

所以，网络管理员，希望能够重命令这个接口的名字，利用比较直观的名字来描述接口的用途，如利用outside命令来表示这个接口是用来连接外部网络;而利用inside命令来描述这个接口是用来连接内部网络。

同时，在给端口进行命名的时候，还可以指定这个接口的安全等级。

Nameif命令基本格式如下Nameif hardware-id if-name security-level其中，hardware-id表示防火墙上接口的具体位置，如ethernet0或者ethernet1等等。

这些是思科防火墙在出厂的时候就已经设置好的，不能够进行更改。

若在没有对接口进行重新命名的时候，我们只能够通过这个接口位置名称，来配置对应的接口参数。

而if-name 则是我们为这个接口指定的具体名字。

一般来说，这个名字希望能够反映出这个接口的用途，就好象给这个接口取绰号一样，要能够反映能出这个接口的实际用途。

另外，这个命名的话，我们网络管理员也必须遵守一定的规则。

如这个名字中间不能用空格，不同用数字或者其他特殊字符(这不利于后续的操作)，在长度上也不能够超过48个字符。

security-level表示这个接口的安全等级。

一般情况下，可以把企业内部接口的安全等级可以设置的高一点，而企业外部接口的安全等级则可以设置的低一点。

如此的话，根据防火墙的访问规则，安全级别高的接口可以防卫安全级别低的接口。

也就是说，不需要经过特殊的设置，企业内部网络就可以访问企业外部网络。

而如果外部网络访问内部网络，由于是安全级别低的接口访问安全级别高的接口，则必须要要进行一些特殊的设置，如需要访问控制列表的支持，等等。

笔者建议在给接口配置安全等级的时候，一般不需要设置很复杂的安全等级。

在安全要求一般的企业，只需要把接口的安全登记分为两级(一般只用两个接口，一个连接外部网络，一个连接内部网络)，如此的话，防火墙的安全级别管理，会方便许多。

另外，就是企业内部网络的安全级别要高于外部网络的安全级别。

因为从企业安全方面考虑，我们的基本原则是内部网络访问外部网络可以放开，而外部网络访问内部网络的话，就要有所限制，则主要是出于限制病毒、木马等给企业网络所造成的危害的目的。

不过，若企业内部对外部访问也有限制的话，如不允许访问FTP服务器，等等，则可以借助访问控制列表或者其他技术手段来实现。

在对接口进行命名的时候，要能够反映这个接口的用途，否则的话，对其进行命名也就没有什么意思了。

一般的话，如可以利用inside或者 outside来表示连接内网与外网的接口。

如此的话在，网络管理员在一看到这个接口名字，就知道这个接口的用途。

这几可以提高我们防火墙维护的效率。

对于我们按照这个名字来对接口进行配置的时候，就比较容易实现，而不需要再去想我需要配置的接口名字是什么。

若我们真的忘记了接口名字的话，则可以利用 show nameif 命令来检验接口名字的配置。

第三个命令：IP address在防火墙管理中，要为每个启用的防火墙接口配置IP地址。

一般来说，防火墙的IP地址支持两种取得方式，一是通过自动获得，如可以通过企业内网的DHCP服务器取得IP地址;二是用户通过手工指定IP地址。

这个命令的具体格式为Ip adress if-name IP [NETMASK]若我们用上面的IF-NAME命令，给防火墙的接口配置好别名之后，则在后续的其他命令中，如这个配置IP地址的命令，则就不需要采用接口的位置名，而直接可以利用这个别名为具体的接口设置相关的参数。

若我们通过手工指定IP地址的时候，需要注意几个问题。

一是若企业中还有DHCP服务器的话，则要注意这个网络地址冲突的问题。

这个防火墙上的接口IP地址，在企业的整个网络中，也必须保持唯一，否则的话，就会造成IP地址冲突的错误。

所以，若企业中还有DHCP服务器的话，则在DHCP服务器配置的时候，需要注意，这个防火墙接口所用的IP地址不应该在DHCP服务器的自动分配IP的地址池中，否则的话，很容易造成IP地址的冲突。

另外，在给他手工配置IP地址的时候，为了管理上的方便，最好能够指定连续的IP地址。

也就是说，防火墙各个接口的IP地址为连续的。

笔者在企业的IP地址规划中，特意为防火墙的接口预留了4个IP地址。

即使，现在没有使用到这个接口，为了避免以后用到时，IP地址不连续，所以，在整个网络的 IP地址规划中，还是为其预留了足够多的IP地址。

这里的网络掩码不是必须的。

若网络管理员在配置防火墙的时候，没有配置这个网络掩码的话，则防火墙会自动根据企业内部网络的结构，则防火墙会自动给其设置一个网络掩码。

所以，在一般的情况下，这个网络掩码可以不用设置，免得填写错误的话，还造成不必要的损失。

笔者建议若是采用DHCP方式取得接口的IP地址的，则在DHCP服务器配置的时候，最好能够给防火墙的各个接口配置连续的IP地址。

如此的话，可以方便我们对防火墙的接口进行管理。

若企业的网络规模比较大，安全级别比较高的话，则一般建议不要采用DHCP的方式，而需要给防火墙的各个接口手工指定IP 地址。

第四个命令：NAT 与GLOBAL、STATIC命令使用NAT(网络地址转换)命令，网络管理员可以将内部的一组IP地址转换成为外部的公网地址;而global命令则用于定义用网络地址转换命令NAT转换成的地址或者地址的范围。

简单的说，利用NAT命令与GLOBAL命令，能够实现IP 地址之间的转换，还可以实现IP地址到端口的映射。

这个网络地址转换命令在实际工作中非常的有用。

我们都知道，现在公网IP地址非常的缺乏，基本上，一家企业只有一到两个公网地址。

而对于企业来说，他们的文件服务器、OA系统、邮件服务器等等可能都需要外部访问，而如果没有NAT技术的话，则在公网中要进行访问的话，必须具有公网的IP地址。

这就大大限制了企业内部信息化系统的外部访问，家庭办公、出差时访问企业内部网络等等，变的无法实现。

而现在网络地址转换技术，就是为解决这个问题而产生的。

在网络地址转换技术的帮助下，可以把企业内部的IP地址跟端口唯一的映射到外部公网的IP地址。

如此的话，内网的IP地址就有了一个合法的公网IP地址，则在公司外面的员工就可以通过互联网访问企业内部的信息化系统。

在实际工作中，用的最多的就是将本地地址转换为一个担搁的全局地址，而不是一个地址范围。

如公司内部的ERP服务器IP地址为 192.168.0.6，此时，若我们希望，外部的员工，如在其他城市的一个销售办事处，他们能够利用202.96.96.240这个公网地址访问这台服务器。

若要实现这个需求，该如何配置呢?Static (inside,outside) 192.168.0.6 202.96.96.236此时，外部用户就可以利用这个202.96.96.236公网IP地址，来访问企业内部的ERP系统。

其实，配置了这条命令之后，在防火墙服务器中，就有了这个一一对应的关系。

当外部网络通过访问202.96.96.236这个IP地址时，在防火墙服务器中，就会把这个IP地址转换为192.268.0.6，如此就实现了外部网络访问企业的内部信息化系统。

不过，此时若不止这么一个信息化系统，现在OA系统(192.168.0.5)与ERP 系统(192.168.0.6)，在家办公的人或者出差在外的人都需要能够访问这两个服务器，此时，该如何处理呢?如企业有两个公网IP地址，那也好办，只需要把OA系统与ERP系统分别对应到一个公网IP地址即可。

但是，现在的问题是，企业只有一个IP地址，此时，该如何处理呢?为此，我们可以利用static命令，实现端口的重定向。

简单的说，端口重定向，允许外部的用户连接一个内部特定的IP地址与端口，并且让防火墙将这个数据流量重定向到合适的内部地址中去。