PIX防火墻配置命令

常用命令有:nameif、interface、ip address、nat、global、route、static等。

nameif

設置接口名稱，并指定安全級別，安全級別取值范圍為1~100，數(shù)字越大安全級別越高。

例如要求設置:

ethernet0命名為外部接口outside，安全級別是0。

ethernet1命名為內部接口inside，安全級別是100。

ethernet2命名為中間接口dmz, 安裝級別為50。

使用命令:

PIX525(config)#nameif ethernet0 outside security0

PIX525(config)#nameif ethernet1 inside security100

PIX525(config)#nameif ethernet2 dmz security50

interface

配置以太口工作狀態(tài)，常見狀態(tài)有:auto、100full、shutdown。

auto:設置網(wǎng)卡工作在自適應狀態(tài)。

100full:設置網(wǎng)卡工作在100Mbit/s，全雙工狀態(tài)。

shutdown:設置網(wǎng)卡接口關閉，否則為激活。

命令:

PIX525(config)#interface ethernet0 auto

PIX525(config)#interface ethernet1 100full

PIX525(config)#interface ethernet1 100full shutdown

ip address

配置網(wǎng)絡接口的IP地址，例如:

PIX525(config)#ip address outside 133.0.0.1 255.255.255.252

PIX525(config)#ip address inside 192.168.0.1 255.255.255.0

內網(wǎng)inside接口使用私有地址192.168.0.1，外網(wǎng)outside接口使用公網(wǎng)地址133.0.0.1。

global

指定公網(wǎng)地址范圍:定義地址池。

Global命令的配置語法:

global (if_name) nat_id ip_address-ip_address [netmark global_mask]

其中:

(if_name):表示外網(wǎng)接口名稱，一般為outside。

nat_id:建立的地址池標識(nat要引用)。

ip_address-ip_address:表示一段ip地址范圍。

[netmark global_mask]:表示全局ip地址的網(wǎng)絡掩碼。

例如:

PIX525(config)#global (outside) 1 133.0.0.1-133.0.0.15

地址池1對應的IP是:133.0.0.1-133.0.0.15

PIX525(config)#global (outside) 1 133.0.0.1

地址池1只有一個IP地址 133.0.0.1。

PIX525(config)#no global (outside) 1 133.0.0.1

表示刪除這個全局表項。

nat

地址轉換命令，將內網(wǎng)的私有ip轉換為外網(wǎng)公網(wǎng)ip。

nat命令配置語法:nat (if_name) nat_id local_ip或acl_id [netmark]

其中:

(if_name):表示接口名稱，一般為inside.

nat_id: 表示地址池，由global命令定義。

local_ip: 表示內網(wǎng)的ip地址。對于0.0.0.0表示內網(wǎng)所有主機。

[netmark]:表示內網(wǎng)ip地址的子網(wǎng)掩碼。

在實際配置中nat命令總是與global命令配合使用。

一個指定外部網(wǎng)絡，一個指定內部網(wǎng)絡，通過net_id聯(lián)系在一起。

例如:

PIX525(config)#nat (inside) 1 0 0

表示內網(wǎng)的所有主機(0 0)都可以訪問由global指定的外網(wǎng)。

PIX525(config)#nat (inside) 1 172.16.5.0 255.255.0.0

表示只有172.16.5.0/16網(wǎng)段的主機可以訪問global指定的外網(wǎng)。

route

route命令定義靜態(tài)路由。

語法:

route (if_name) 0 0 gateway_ip [metric]

其中:

(if_name):表示接口名稱。

0 0 :表示所有主機,

Gateway_ip:表示網(wǎng)關路由器的ip地址或下一跳。

[metric]:路由花費。缺省值是1。

例如:

PIX525(config)#route outside 0 0 133.0.0.1 1

設置缺省路由從outside口送出，下一跳是133.0.0.1。

0 0 代表 0.0.0.0 0.0.0.0，表示任意網(wǎng)絡。

PIX525(config)#route inside 10.1.0.0 255.255.0.0 10.8.0.1 1

設置到10.1.0.0網(wǎng)絡下一跳是10.8.0.1。最后的"1"是花費。

static

配置靜態(tài)IP地址翻譯，使內部地址與外部地址一一對應。

語法:

static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address

其中:

internal_if_name表示內部網(wǎng)絡接口，安全級別較高，如inside。

external_if_name表示外部網(wǎng)絡接口，安全級別較低，如outside。

outside_ip_address表示外部網(wǎng)絡的公有ip地址。

inside_ ip_address表示內部網(wǎng)絡的本地ip地址。

(括號內序順是先內后外，外邊的順序是先外后內)

例如:

PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.8

表示內部ip地址192.168.0.8，訪問外部時被翻譯成133.0.0.1全局地址。

PIX525(config)#static (dmz，outside) 133.0.0.1 172.16.0.2

中間區(qū)域ip地址172.16.0.2，訪問外部時被翻譯成133.0.0.1全局地址。

conduit

管道conduit命令用來設置允許數(shù)據(jù)從低安全級別的接口流向具有較高安全級別的接口。

例如允許從outside到DMZ或inside方向的會話(作用同訪問控制列表)。

語法:

conduitpermit|deny protocol global_ip port[-port] foreign_ip [netmask]

其中:

global_ip是一臺主機時前面加host參數(shù)，所有主機時用any表示。

foreign_ip 表示外部ip。

[netmask] 表示可以是一臺主機或一個網(wǎng)絡。

例如:

PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.3

PIX525(config)#conduitpermit tcp host 133.0.0.1 eq www any

這個例子說明static和conduit的關系。192.168.0.3是內網(wǎng)一臺web服務器，

現(xiàn)在希望外網(wǎng)的用戶能夠通過PIX防火墻訪問web服務。

所以先做static靜態(tài)映射:192.168.0.3->133.0.0.1

然后利用conduit命令允許任何外部主機對全局地址133.0.0.1進行http訪問。

訪問控制列表ACL

訪問控制列表的命令與conduit命令類似，

例:

PIX525(config)#access-list 100 permit ip any host 133.0.0.1 eq www

PIX525(config)#access-list 100 deny ip any any

PIX525(config)#access-group 100 in interface outside

10、偵聽命令fixup

作用是啟用或禁止一個服務或協(xié)議，

通過指定端口設置PIX防火墻要偵聽listen服務的端口。

例:

PIX525(config)#fixup protocol ftp 21

啟用ftp協(xié)議，并指定ftp的端口號為21

PIX525(config)#fixup protocol http 8080

PIX525(config)#no fixup protocol http 80

啟用http協(xié)議8080端口，禁止80端口。

telnet

當從外部接口要telnet到PIX防火墻時，telnet數(shù)據(jù)流需要用vpn隧道ipsec提供保護或

在PIX上配置SSH，然后用SSH client從外部到PIX防火墻。

例:

telnet local_ip [netmask]

local_ip 表示被授權可以通過telnet訪問到PIX的ip地址。

如果不設此項，PIX的配置方式只能用console口接超級終端進行。

沒有連接的狀態(tài)(沒有握手或握手不成功或非法的數(shù)據(jù)包)，任何數(shù)據(jù)包無法穿過防火墻。

(內部發(fā)起的連接可以回包。通過ACL開放的服務器允許外部發(fā)起連接)

inside可以訪問任何outside和dmz區(qū)域。

dmz可以訪問outside區(qū)域。

outside訪問dmz需要配合static(靜態(tài)地址轉換)。

inside訪問dmz需要配合acl(訪問控制列表)。

放置對外開放的服務器。

PIX防火墻的配置模式與路由器類似，有4種管理模式:

PIXfirewall>:用戶模式

PIXfirewall#:特權模式

PIXfirewall(config)#:配置模式

monitor>:ROM監(jiān)視模式，開機按住[Esc]鍵或發(fā)送一個"Break"字符，進入監(jiān)視模式。

設:

ethernet0命名為外部接口outside，安全級別是0。

ethernet1被命名為內部接口inside，安全級別100。

ethernet2被命名為中間接口dmz，安全級別50。

參考配置:

PIX525#conf t ;進入配置模式

PIX525(config)#nameif ethernet0 outside security0 ;設置定全級0

PIX525(config)#nameif ethernet1 inside security100 ;設置定全級100

PIX525(config)#nameif ethernet2 dmz security50 ;設置定全級50

PIX525(config)#interface ethernet0 auto ;設置自動方式

PIX525(config)#interface ethernet1 100full ;設置全雙工方式

PIX525(config)#interface ethernet2 100full ;設置全雙工方式

PIX525(config)#ip address outside 133.0.0.1 255.255.255.252 ;設置接口IP

PIX525(config)#ip address inside 10.66.1.200 255.255.0.0 ;設置接口IP

PIX525(config)#ip address dmz 10.65.1.200 255.255.0.0 ;設置接口IP

PIX525(config)#global (outside) 1 133.1.0.1-133.1.0.14 ;定義的地址池

PIX525(config)#nat (inside) 1 0 0 ;0 0表示所有

PIX525(config)#route outside 0 0 133.0.0.2 ;設置默認路由

PIX525(config)#static (dmz，outside) 133.1.0.1 10.65.1.101 ;靜態(tài)NAT

PIX525(config)#static (dmz，outside) 133.1.0.2 10.65.1.102 ;靜態(tài)NAT

PIX525(config)#static (inside，dmz) 10.65.1.200 10.66.1.200 ;靜態(tài)NAT

PIX525(config)#access-list 101 permit ip any host 133.1.0.1 eq www;設置ACL

PIX525(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;設置ACL

PIX525(config)#access-list 101 deny ip any any ;設置ACL

PIX525(config)#access-group 101 in interface outside ;將ACL應用在outside端口

當內部主機訪問外部主機時，通過nat轉換成公網(wǎng)IP，訪問internet。

當內部主機訪問中間區(qū)域dmz時，將自己映射成自己訪問服務器，否則內部主機將會

映射成地址池的IP，到外部去找。

當外部主機訪問中間區(qū)域dmz時，對133.0.0.1映射成10.65.1.101， static是雙向的。

PIX的所有端口默認是關閉的，進入PIX要經(jīng)過acl入口過濾。

靜態(tài)路由指示內部的主機和dmz的數(shù)據(jù)包從outside口出去。

show interface ;查看端口狀態(tài)。

show static ;查看靜態(tài)地址映射。

show ip ;查看接口ip地址。

show config ;查看配置信息。

show run ;顯示當前配置信息。

write terminal ;將當前配置信息寫到終端。

show cpu usage ;顯示CPU利用率，排查故障時常用。

show traffic ;查看流量。

show connect count ;查看連接數(shù)。

show blocks ;顯示攔截的數(shù)據(jù)包。

show mem ;顯示內存

13、DHCP 服務

PIX具有DHCP服務功能。

例:

PIX525(config)#ip address dhcp

PIX525(config)#dhcpd address 192.168.1.100-192.168.1.200 inside

PIX525(config)#dhcp dns 202.96.128.68 202.96.144.47

PIX525(config)#dhcp domain

防火墻具有很好的保護作用。入侵者必須首先穿越防火墻的安全防線，才能接觸目標計算機。你可以將防火墻配置成許多不同保護級別。高級別的保護可能會禁止一些服務，如視頻流等，但至少這是你自己的保護選擇。

在具體應用防火墻技術時，還要考慮到兩個方面:

一是防火墻是不能防病毒的，盡管有不少的防火墻產(chǎn)品聲稱其具有這個功能。 二是防火墻技術的另外一個弱點在于數(shù)據(jù)在防火墻之間的更新是一個難題，如果延遲太大將無法支持實時服務請求。并且，防火墻采用濾波技術，濾波通常使網(wǎng)絡的性能降低50%以上，如果為了改善網(wǎng)絡性能而購置高速路由器，又會大大提高經(jīng)濟預算。

總之，防火墻是企業(yè)網(wǎng)安全問題的流行方案，即把公共數(shù)據(jù)和服務置于防火墻外，使其對防火墻內部資源的訪問受到限制。作為一種網(wǎng)絡安全技術，防火墻具有簡單實用的特點，并且透明度高，可以在不修改原有網(wǎng)絡應用系統(tǒng)的情況下達到一定的安全要求。

(1)設置網(wǎng)卡IP地址為192.168.1.234，子網(wǎng)掩碼為255.255.255.0，網(wǎng)關為192.168.1.1。

(2)設置DNS為61.177.7.1。

(3)Linux防火墻設置，禁用SELinux，啟用防火墻，信任WWW、FTP、SSH、SMTP端口。

(4)設置防火墻，使能信任TCP協(xié)議的POP3端口。

一個個人防火墻, 通常軟件應用過濾信息進入或留下。一臺電腦和一個傳統(tǒng)防火墻通常跑在一臺專用的網(wǎng)絡設備或電腦被安置在兩個或更多網(wǎng)絡或DMZs (解除軍事管制區(qū)域) 界限。 這樣防火墻過濾所有信息進入或留下被連接的網(wǎng)絡。 后者定義對應于"防火墻" 的常規(guī)意思在網(wǎng)絡, 和下面會談談這類型防火墻。

以下是兩個主要類型防火墻: 網(wǎng)絡層防火墻和 應用層防火墻。 這兩類型防火墻也許重疊; 的確, 單一系統(tǒng)會兩個一起實施。

網(wǎng)絡層防火墻

網(wǎng)絡層防火墻可視為一種 IP 封包過濾器，運作在底層的 TCP/IP 協(xié)議堆棧上。我們可以以枚舉的方式，只允許符合特定規(guī)則的封包通過，其余的一概禁止穿越防火墻。這些規(guī)則通?？梢越?jīng)由管理員定義或修改，不過某些防火墻設備可能只能套用內置的規(guī)則。

我們也能以另一種較寬松的角度來制定防火墻規(guī)則，只要封包不符合任何一項"否定規(guī)則"就予以放行。現(xiàn)在的操作系統(tǒng)及網(wǎng)絡設備大多已內置防火墻功能。

較新的防火墻能利用封包的多樣屬性來進行過濾，例如:來源 IP 地址、來源端口號、目的 IP 地址或端口號、服務類型(如 WWW 或是 FTP)。也能經(jīng)由通信協(xié)議、TTL 值、來源的網(wǎng)域名稱或網(wǎng)段...等屬性來進行過濾。

應用層防火墻

應用層防火墻是在 TCP/IP 堆棧的"應用層"上運作，您使用瀏覽器時所產(chǎn)生的數(shù)據(jù)流或是使用 FTP 時的數(shù)據(jù)流都是屬于這一層。應用層防火墻可以攔截進出某應用程序的所有封包，并且封鎖其他的封包(通常是直接將封包丟棄)。理論上，這一類的防火墻可以完全阻絕外部的數(shù)據(jù)流進到受保護的機器里。

防火墻借由監(jiān)測所有的封包并找出不符規(guī)則的內容，可以防范電腦蠕蟲或是木馬程序的快速蔓延。不過就實現(xiàn)而言，這個方法既煩且雜(軟件有千千百百種啊)，所以大部分的防火墻都不會考慮以這種方法設計。

XML 防火墻是一種新型態(tài)的應用層防火墻。

代理服務

代理服務設備(可能是一臺專屬的硬件，或只是普通機器上的一套軟件)也能像應用程序一樣回應輸入封包(例如連接要求)，同時封鎖其他的封包，達到類似于防火墻的效果。

代理由外在網(wǎng)絡使竄改一個內部系統(tǒng)更加困難, 并且一個內部系統(tǒng)誤用不一定會導致一個安全漏洞可開采從防火墻外面(只要應用代理剩下的原封和適當?shù)乇慌渲? 。 相反地, 入侵者也許劫持一個公開可及的系統(tǒng)和使用它作為代理人為他們自己的目的; 代理人然后偽裝作為那個系統(tǒng)對其它內部機器。 當對內部地址空間的用途加強安全, 破壞狂也許仍然使用方法譬如IP 欺騙試圖通過小包對目標網(wǎng)絡。

防火墻經(jīng)常有網(wǎng)絡地址轉換(NAT) 的功能, 并且主機被保護在防火墻之后共同地使用所謂的"私人地址空間", 依照被定義在[RFC 1918] 。 管理員經(jīng)常設置了這樣情節(jié)在努力(無定論的有效率) 假裝內部地址或網(wǎng)絡。

防火墻的適當?shù)呐渲靡蠹记珊椭悄堋?它要求管理員對網(wǎng)絡協(xié)議和電腦安全有深入的了解。 因小差錯可使防火墻不能作為安全工具.