思科防火墙配置命令 思科防火墙基本配置命令

思科ASA5520防火墙如何配置能正常上网？

interface Ethernet0/0

思科防火墙配置命令 思科防火墙基本配置命令

nameif inside

security-level 100

ip address 192.168.1.1 255.255.255.0 （内网防火墙接口IP）

!interface Ethernet0/1

nameif outside

security-level 0

ip address 1.1.1.1 255.255.255.0（外网固定IP） global (outside) 1 interfacenat (inside) 1 192.168.8.0 255.255.255.0

route outside 0.0.0.0 0.0.0.0 1.1.1.2 1（外网网关）

思科防火墙怎样配置WEB界面

web界面，要用ASDM来管理。

先把http服务开了

在超级终端那输入

http server enable

http 0 0 inside/outside

你去访问asa的时候，会提示让你装插件，有java等一些插件，按照提示一步步安就可以了。

还有，有时候需要确定一下asdm-***.bin。

dir可以看到的，如果里边没有，下载一个传上去。

cisco防火墙配置的基本配置

cisco防火墙配置 -基本配置

1、建立用户

建立用户和修改密码跟CiscoIOS路由器基本一样。

2、激活

激活以太端口必须用enable进入，然后进入configure模式

PIX525>enable

Password:

PIX525#configt

PIX525(config)#interfaceethernet0auto

PIX525(config)#interfaceethernet1auto

在默认情况下ethernet0是属外部网卡outside,ethernet1是属内部网卡inside,

inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。

3、命名端口

采用命令nameif

PIX525(config)#nameifethernet0outsidesecurity0

security100

security0是外部端口outside的安全级别（100安全级别最高）

security100是内部端口inside的安全级别,如果中间还有以太口，则security10，security20等等命名，多个网卡组成多个网络，一般情况下增加一个以太口作为DMZ(DemilitarizedZones非武装区域)。

4、配置地址

采用命令为：ipaddress

如：内部网络为：192.168.1.0255.255.255.0

外部网络为：222.20.16.0255.255.255.0

PIX525(config)#ipaddressinside192.168.1.1255.255.255.0

PIX525(config)#ipaddressoutside222.20.16.1255.255.255.0

5、配置远程

在默然情况下，PIX的以太端口是不允许telnet的，这一点与路由器有区别。Inside端口可以做telnet就能用了,但outside端口还跟一些安全配置有关。

PIX525(config)#telnet192.168.1.1255.255.255.0inside

PIX525(config)#telnet222.20.16.1255.255.255.0outside

6、测试telnet

在[开始]->[运行]

telnet192.168.1.1

PIXpasswd:

输入密码：cisco

7、访问列表

此功能与CiscoIOS基本上是相似的，也是Firewall的主要部分，有permit和deny两个功能，网络协议一般有IP|TCP|UDP|ICMP等等，如：只允许访问主机:222.20.16.254的www,端口为：80

PIX525(config)#access-list100permitipanyhost222.20.16.254eqwww

denyipanyany

PIX525(config)#access-group100ininterfaceoutside

8、地址转换

NAT跟路由器基本是一样的，

首先必须定义IPPool，提供给内部IP地址转换的地址段，接着定义内部网段。

PIX525(config)#global(outside)1222.20.16.100-222.20.16.200netmask255.255.255.0

PIX525(config)#nat(outside)1192.168.0.0255.255.255.0

如果是内部全部地址都可以转换出去则：

PIX525(config)#nat(outside)10.0.0.00.0.0.0

则某些情况下，外部地址是很有限的，有些主机必须单独占用一个IP地址，必须解决的是公用一个外部IP(222.20.16.201),则必须多配置一条命令，这种称为（PAT），这样就能解决更多用户同时共享一个IP,有点像代理服务器一样的功能。配置如下：

PIX525(config)#global(outside)1222.20.16.100-222.20.16.200netmask255.255.255.0

PIX525(config)#global(outside)1222.20.16.201netmask

255.255.255.0

PIX525(config)#nat(outside)10.0.0.00.0.0.0

9、DHCP

在内部网络，为了维护的集中管理和充分利用有限IP地址，都会启用动态主机分配IP地址服务器（DHCPServer），CiscoFirewallPIX都具有这种功能，下面简单配置DHCPServer,地址段为192.168.1.100—192.168.1.200

DNS:主202.96.128.68备202.96.144.47

主域名称：

DHCPClient通过PIXFirewall

PIX525(config)#ipaddressdhcp

DHCPServer配置

PIX525(config)#dhcpdaddress192.168.1.100-192.168.1.200

inside

PIX525(config)#dhcpdns202.96.128.68202.96.144.47

PIX525(config)#dhcpdomain

10、静态端口

静态端口重定向(PortRedirectionwithStatics)

在PIX版本6.0以上，增加了端口重定向的功能，允许外部用户通过一个特殊的IP地址/端口通过FirewallPIX

传输到内部指定的内部服务器。这种功能也就是可以发布内部WWW、FTP、Mail等服务器了，这种方式并不是直接连接，而是通过端口重定向，使得内部服务器很安全。

命令格式：

static

[(internal_if_name,external_if_name)]{global_ip|interface}

local_ip

[netmask

mask][max_cons[max_cons[emb_limit[norandomseq]]]

static

[(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface}

local_ip

[netmask

mask][max_cons[max_cons[emb_limit[norandomseq]]]

!----外部用户直接访问地址222.20.16.99

telnet端口，通过PIX重定向到内部主机192.168.1.99的telnet端口（23）。

PIX525(config)#static(inside,outside)tcp222.20.16.99

telnet192.168.1.99telnetnetmask255.255.255.25500

!----外部用户直接访问地址222.20.16.99

FTP，通过PIX重定向到内部192.168.1.3的FTPServer。

PIX525(config)#static(inside,outside)tcp222.20.16.99

ftp192.168.1.3ftpnetmask255.255.255.25500

!----外部用户直接访问地址222.20.16.208

www(即80端口)，通过PIX重定向到内部192.168.123的主机的www(即80端口)。

!----外部用户直接访问地址222.20.16.201

HTTP(8080端口)，通过PIX重定向到内部192.168.1.4的主机的www(即80端口)。

8080192.168.1.4wwwnetmask255.255.255.25500

!----外部用户直接访问地址222.20.16.5

smtp(25端口)，通过PIX重定向到内部192.168.1.5的邮件主机的smtp(即25端口)

smtp192.168.1.4smtpnetmask255.255.255.25500

11、显示保存

显示命令showconfig

保存命令writememory

1、nameif

设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。

使用命令：

PIX525(config)#nameifethernet0outsidesecurity0

PIX525(config)#nameifethernet1insidesecurity100

PIX525(config)#nameifethernet2dmzsecurity50

2、interface

配置以太口工作状态，常见状态有：auto、100full、shutdown。

auto：设置网卡工作在自适应状态。

100full：设置网卡工作在100Mbit/s，全双工状态。

shutdown：设置网卡接口关闭，否则为激活。

命令：

PIX525(config)#interfaceethernet0auto

PIX525(config)#interfaceethernet1100full

PIX525(config)#interfaceethernet1100fullshutdown

3、ipaddress

配置网络接口的IP地址

4、global

指定公网地址范围：定义地址池。

Global命令的配置语法：

global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]

其中：

(if_name)：表示外网接口名称，一般为outside。

nat_id：建立的地址池标识(nat要引用)。

ip_address-ip_address：表示一段ip地址范围。

[netmarkglobal_mask]：表示全局ip地址的网络掩码。

5、nat

地址转换命令，将内网的私有ip转换为外网公网ip。

6、route

route命令定义静态路由。

语法：

route(if_name)00gateway_ip[metric]

7、static

配置静态IP地址翻译，使内部地址与外部地址一一对应。

语法：

static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address

8、conduit

管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。

语法：

conduitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]

9、访问控制列表ACL

访问控制列表的命令与couduit命令类似

10、侦听命令fixup

作用是启用或禁止一个服务或协议，

通过指定端口设置PIX防火墙要侦听listen服务的端口。

11、telnet

当从外部接口要telnet到PIX防火墙时，telnet数据流需要用vpn隧道ipsec提供保护或

在PIX上配置SSH，然后用SSHclient从外部到PIX防火墙。

12、显示命令：

showinterface；查看端口状态。

showstatic；查看静态地址映射。

showip；查看接口ip地址。

showconfig；查看配置信息。

showrun；显示当前配置信息。

writeterminal；将当前配置信息写到终端。

showcpuusage；显示CPU利用率，排查故障时常用。

showtraffic；查看流量。

showblocks；显示拦截的数据包。

showmem；显示内存

13、DHCP服务

PIX具有DHCP服务功能。

设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。

使用命令：

PIX525(config)#nameifethernet0outsidesecurity0

PIX525(config)#nameifethernet1insidesecurity100

PIX525(config)#nameifethernet2dmzsecurity50

配置网络接口的IP地址

指定公网地址范围：定义地址池。

Global命令的配置语法：

global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]

Cisco PIX防火墙配置命令

Cisco PIX防火墙配置命令如下：

PIX基本配置命令：

常用命令有：nameif、interface、ipaddress、nat、global、route、static等。

防火墙的配置规则：

没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。

(内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)

inside可以访问任何outside和dmz区域。

dmz可以访问outside区域。

inside访问dmz需要配合static(静态地址转换)。

outside访问dmz需要配合acl(访问控制列表)。

PIX防火墙的配置模式：

PIX防火墙的配置模式与路由器类似，有4种管理模式：

PIXfirewall>：用户模式

PIXfirewall#：特权模式

PIXfirewall(config)#：配置模式

monitor>：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式。