思科防火墙个人总结

防火墙
硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上讲，简单的说是一种PC式的电脑主机加上闪存和防火墙操作系统。

所有从外部到内部或内部到外部的通信都必须经过它；只有有内部访问策略授权的通信才能被允许通过；系统本身具有很强的高可靠性；
防火墙技术：包过滤技术（访问控制列表）；状态检测
我第一次亲手配置的是防火墙Cisco firewall pix 525.
下面是一般用到的最基本配置
1.建立用户、设置密码
跟Cisco IOS路由器基本一样。

2.激活以太端口、命名端口与安全级别、配置以太网端口IP地址及静态路由，
配置telnet
PIX525(config)#interface ethernet0
PIX525(config-if)#nameif outside
PIX525(config-if)#security-level 0
PIX525(config-if)#ip address 221.12.59.243 255.255.255.128
PIX525(config-if)#no shut
PIX525(config)#ip address outside 221.12.59.243 255.255.255.128
PIX525(config)#route outside 0.0.0.0 0.0.0.0 221.12.59.241 1
PIX525(config)#telnet 172.18.32.0 255.255.224.0 inside
XG-PIX-525# show nameif
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif gb-ethernet0 dmz security20
nameif gb-ethernet1 inside1 security80
XG-PIX-525# show route
outside 0.0.0.0 0.0.0.0 221.12.59.241 1 OTHER static
inside1 172.16.0.0 255.240.0.0 172.18.254.134 1 OTHER static
inside1 172.18.254.132 255.255.255.252 172.18.254.133 1 CONNECT static dmz 192.168.254.0 255.255.255.0 192.168.254.1 1 CONNECT static outside 221.12.59.240 255.255.255.248 221.12.59.243 1 CONNECT static XG-PIX-525# show ip
System IP Addresses:
ip address outside 221.12.59.243 255.255.255.248
no ip address inside
ip address dmz 192.168.254.1 255.255.255.0
ip address inside1 172.18.254.133 255.255.255.252
Current IP Addresses:
ip address outside 221.12.59.243 255.255.255.248
no ip address inside
ip address dmz 192.168.254.1 255.255.255.0
ip address inside1 172.18.254.133 255.255.255.252
XG-PIX-525# show telnet
192.168.254.0 255.255.255.0 dmz
172.18.240.0 255.255.240.0 inside1
172.18.32.0 255.255.224.0 inside1
2.访问列表
此功能与cisco IOS基本上是相似的，有permit和deny两个功能，网络协议一般有IP、TCP、UDP、ICMP、SSH等等，如：
PIX525(config)#access-list 110 permit icmp any any
PIX525(config)#access-list 110 permit tcp any host 221.12.59.244 eq www PIX525(config)#access-list 110 permit tcp any host 221.12.59.243 eq ssh PIX525(config)#access-list 110 permit tcp any host 221.12.59.244 eq ftp PIX525(config)#access-group 100 in interface outside
3.global
指定公网地址范围：定义地址池
Global(if_name) nat_id ip_address-ip-address [netmark global_mask]
(if_name):表示外网接口名称，一般为outside。

Nat_id:建立的地址池标识（nat要引用）。

PIX525(config)#global(outside) 1
PIX525(config)#global(outside) 1 221.12.59.243
PIX525(config)#no global(outside) 1 221.12.59.243
4.地址转换（NAT）与端口转换（PAT）
地址转换命令，将内网的私有IP转换为外网公网IP。

Nat(if_name) nat_id local_ip [netmark]
(if_name):表示内网接口名称，一般为inside。

Nat_id:表示地址池，由global命令定义。

在实际配置中nat命令总是与global命令配合使用。

PIX525(config)#nat(inside) 1 0 0 ——表示内网的所有主机（00）都可以访问由global指定的外网。

PIX525(config)#nat(inside) 1 172.16.5.0 255.255.0.0
4.static
配置静态IP地址翻译，使内部地址与外部地址一一对应。

Static(internal_if_name,external_if_name) nat_id outside_ip inside_ip 括号内序顺是先内后外，外边的顺序是先外后内。

PIX525(config)#static(inside,outside) 1 221.12.59.243 172.18.240.1将内网主机发布在外网
PIX525(config)#static(dmz,outside) 1 221.12.59.243 192.168.1.1 10000
静态端口重定向
允许外部用户通过一个特殊的IP地址/端口通过防火墙。

PIX525(config)# static(inside,outside) tcp 222.20.16.99 ftp 192.168.1.3 ftp netmask 255.255.255.255 0 0
access-list
允许数据从低安全级别的接口流向具有较高安全级别的接口。

PIX525(config)#access-list 100 permit ip any host 221.12.59.243 eq www PIX525(config)#access-list 100 deny ip any any
PIX525(config)#access-group 100 in interface outside
5.侦听命令fixup
作用是启用或禁止一个服务或协议。

PIX525(config)#fixup protocol ftp 21——启用FTP协议，并指定FTP的端口号为21
PIX525(config)#no fixup protocol http 80——禁止80端口。

6．Dhcp服务
PIX具有dhcp服务功能。

PIX525(config)#ip address dhcp
PIX525(config)#dhcpd address 192.168.1.100-192.168.1.200 inside
PIX525(config)#dhcp dns 202.96.128.68 202.96.144.47
PIX525(config)#dhcp domain
Show interface
Show ip
Show route
Show static
Write me
Show cpu usage
Show traffic——查看流量
Show blocks
Show mem
Show conn——查看连接数
Show xlate ——查看地址转换信息。