PIX防火牆特點與應用

一、PIX防火牆的認識
  PIX是Cisco的硬件防火牆，硬件防火牆有工作速度快，使用方便等特點。
  PIX有很多型號，併發連接數是PIX防火牆的重要參數。PIX25是典型的設備。
  PIX防火牆常見接口有：console、Failover、Ethernet、USB。
  網絡區域：
  內部網絡：inside
  外部網絡：outside
  中間區域：稱DMZ (停火區)。放置對外開放的服務器。

二、防火牆的配置規則
  沒有連接的狀態(沒有握手或握手不成功或非法的數據包)，任何數據包無法穿過防火牆。
  (內部發起的連接可以回包。通過ACL開放的服務器允許外部發起連接)
  inside可以訪問任何outside和dmz區域。
  dmz可以訪問outside區域。
  inside訪問dmz需要配合static(靜態地址轉換)。
  outside訪問dmz需要配合acl(訪問控制列表)。

三、PIX防火牆的配置模式：
  PIX防火牆的配置模式與路由器類似，有4種管理模式：
  PIXfirewall>：用戶模式
  PIXfirewall#：特權模式
  PIXfirewall(config)#：配置模式
  monitor>：ROM監視模式，開機按住[Esc]鍵或發送一個“Break”字符，進入監視模式。

四、PIX基本配置命令
  常用命令有：nameif、interface、ip address、nat、global、route、static等。
1、nameif
  設置接口名稱，並指定安全級別，安全級別取值範圍爲1～100，數字越大安全級別越高。
  例如要求設置：
  ethernet0命名爲外部接口outside，安全級別是0。
  ethernet1命名爲內部接口inside，安全級別是100。
  ethernet2命名爲中間接口dmz, 安裝級別爲50。
  使用命令：
  PIX525(config)#nameif ethernet0 outside security0
  PIX525(config)#nameif ethernet1 inside security100
  PIX525(config)#nameif ethernet2 dmz security50


2、interface
  配置以太口工作狀態，常見狀態有：auto、100full、shutdown。
  auto：設置網卡工作在自適應狀態。
  100full：設置網卡工作在100Mbit/s，全雙工狀態。
  shutdown：設置網卡接口關閉，否則爲激活。
  命令：
  PIX525(config)#interface ethernet0 auto
  PIX525(config)#interface ethernet1 100full
  PIX525(config)#interface ethernet1 100full shutdown

3、ip address
  配置網絡接口的IP地址，例如：
  PIX525(config)#ip address outside 133.0.0.1 255.255.255.252
  PIX525(config)#ip address inside 192.168.0.1 255.255.255.0
  內網inside接口使用私有地址192.168.0.1，外網outside接口使用公網地址133.0.0.1。

4、global
  指定公網地址範圍：定義地址池。
  Global命令的配置語法：
  global (if_name) nat_id ip_address-ip_address [netmark global_mask]
  其中：
  (if_name)：表示外網接口名稱，一般爲outside。
  nat_id：建立的地址池標識(nat要引用)。
  ip_address-ip_address：表示一段ip地址範圍。
  [netmark global_mask]：表示全局ip地址的網絡掩碼。

  例如：
  PIX525(config)#global (outside) 1 133.0.0.1-133.0.0.15
  地址池1對應的IP是：133.0.0.1-133.0.0.15
  PIX525(config)#global (outside) 1 133.0.0.1
  地址池1只有一個IP地址 133.0.0.1。
  PIX525(config)#no global (outside) 1 133.0.0.1
  表示刪除這個全局表項。

5、nat
  地址轉換命令，將內網的私有ip轉換爲外網公網ip。
  nat命令配置語法：nat (if_name) nat_id local_ip [netmark]
  其中：
  (if_name)：表示接口名稱，一般爲inside.
  nat_id：   表示地址池，由global命令定義。
  local_ip： 表示內網的ip地址。對於0.0.0.0表示內網所有主機。
  [netmark]：表示內網ip地址的子網掩碼。

  在實際配置中nat命令總是與global命令配合使用。
  一個指定外部網絡，一個指定內部網絡，通過net_id聯繫在一起。
  例如：
  PIX525(config)#nat (inside) 1 0 0
  表示內網的所有主機(0 0)都可以訪問由global指定的外網。

  PIX525(config)#nat (inside) 1 172.16.5.0 255.255.0.0
  表示只有172.16.5.0/16網段的主機可以訪問global指定的外網。

6、route
  route命令定義靜態路由。
  語法：
  route (if_name) 0 0 gateway_ip [metric]
  其中：
  (if_name)：表示接口名稱。
  0 0 ：表示所有主機
  Gateway_ip：表示網關路由器的ip地址或下一跳。
  [metric]：路由花費。缺省值是1。

  例如：
  PIX525(config)#route outside 0 0 133.0.0.1 1
  設置缺省路由從outside口送出，下一跳是133.0.0.1。
  0 0 代表 0.0.0.0 0.0.0.0，表示任意網絡。

  PIX525(config)#route inside 10.1.0.0 255.255.0.0 10.8.0.1 1
  設置到10.1.0.0網絡下一跳是10.8.0.1。最後的“1”是花費。

7、static
  配置靜態IP地址翻譯，使內部地址與外部地址一一對應。
  語法：
  static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address
  其中：
  internal_if_name表示內部網絡接口，安全級別較高，如inside。
  external_if_name表示外部網絡接口，安全級別較低，如outside。
  outside_ip_address表示外部網絡的公有ip地址。
  inside_ ip_address表示內部網絡的本地ip地址。
  (括號內序順是先內後外，外邊的順序是先外後內)
  例如：
  PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.8
  表示內部ip地址192.168.0.8，訪問外部時被翻譯成133.0.0.1全局地址。

  PIX525(config)#static (dmz，outside) 133.0.0.1 172.16.0.2
  中間區域ip地址172.16.0.2，訪問外部時被翻譯成133.0.0.1全局地址。

8、conduit
  管道conduit命令用來設置允許數據從低安全級別的接口流向具有較高安全級別的接口。
  例如允許從outside到DMZ或inside方向的會話(作用同訪問控制列表)。
  語法：
  conduit permit|deny protocol global_ip port[-port] foreign_ip [netmask]
  其中：
  global_ip是一臺主機時前面加host參數，所有主機時用any表示。
  foreign_ip 表示外部ip。
  [netmask] 表示可以是一臺主機或一個網絡。
  例如：
  PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.3
  PIX525(config)#conduit permit tcp host 133.0.0.1 eq www any

  這個例子說明static和conduit的關係。192.168.0.3是內網一臺web服務器，
  現在希望外網的用戶能夠通過PIX防火牆訪問web服務。
  所以先做static靜態映射：192.168.0.3－>133.0.0.1
  然後利用conduit命令允許任何外部主機對全局地址133.0.0.1進行http訪問。

9、訪問控制列表ACL
  訪問控制列表的命令與couduit命令類似，
  例：
  PIX525(config)#access-list 100 permit ip any host 133.0.0.1 eq www
  PIX525(config)#access-list 100 deny ip any any
  PIX525(config)#access-group 100 in interface outside

10、偵聽命令fixup
  作用是啓用或禁止一個服務或協議，
  通過指定端口設置PIX防火牆要偵聽listen服務的端口。
  例：
  PIX525(config)#fixup protocol ftp 21
  啓用ftp協議，並指定ftp的端口號爲21

  PIX525(config)#fixup protocol http 8080
  PIX525(config)#no fixup protocol http 80
  啓用http協議8080端口，禁止80端口。

11、telnet
  當從外部接口要telnet到PIX防火牆時，telnet數據流需要用vpn隧道ipsec提供保護或
  在PIX上配置SSH，然後用SSH client從外部到PIX防火牆。
  例：
  telnet local_ip [netmask]
  local_ip 表示被授權可以通過telnet訪問到PIX的ip地址。
  如果不設此項，PIX的配置方式只能用console口接超級終端進行。

12、顯示命令：
  show interface　       ；查看端口狀態。
  show static　　       ；查看靜態地址映射。
  show ip　　　　       ；查看接口ip地址。
  show config　　       ；查看配置信息。
  show run           ；顯示當前配置信息。
  write terminal　   　 ；將當前配置信息寫到終端。
  show cpu usage       ；顯示CPU利用率，排查故障時常用。
  show traffic         ；查看流量。
  show blocks         ；顯示攔截的數據包。
  show mem           ；顯示內存

13、DHCP 服務
  PIX具有DHCP服務功能。
  例：
  PIX525(config)#ip address dhcp
  PIX525(config)#dhcpd address 192.168.1.100-192.168.1.200 inside
  PIX525(config)#dhcp dns 202.96.128.68 202.96.144.47
  PIX525(config)#dhcp domain abc.com.cn

五、PIX防火牆舉例
  設：
  ethernet0命名爲外部接口outside，安全級別是0。
  ethernet1被命名爲內部接口inside，安全級別100。
  ethernet2被命名爲中間接口dmz，安全級別50。

PIX525#conf t
PIX525(config)#nameif ethernet0 outside security0
PIX525(config)#nameif ethernet1 inside security100
PIX525(config)#nameif ethernet2 dmz security50
PIX525(config)#interface ethernet0 auto
PIX525(config)#interface ethernet1 100full
PIX525(config)#interface ethernet2 100full
PIX525(config)#ip address outside 133.0.0.1 255.255.255.252     ;設置接口IP
PIX525(config)#ip address inside 10.66.1.200 255.255.0.0       ;設置接口IP
PIX525(config)#ip address dmz 10.65.1.200 255.255.0.0         ;設置接口IP
PIX525(config)#global (outside) 1 133.1.0.1-133.1.0.14         ;定義的地址池
PIX525(config)#nat (inside) 1 0 0                       ;0 0表示所有

PIX525(config)#route outside 0 0 133.0.0.2                 ;設置默認路由
PIX525(config)#static (dmz，outside) 133.1.0.1 10.65.1.101     ;靜態NAT
PIX525(config)#static (dmz，outside) 133.1.0.2 10.65.1.102     ;靜態NAT
PIX525(config)#static (inside，dmz) 10.66.1.200 10.66.1.200     ;靜態NAT
PIX525(config)#access-list 101 permit ip any host 133.1.0.1 eq www;設置ACL
PIX525(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;設置ACL
PIX525(config)#access-list 101 deny ip any any             ;設置ACL
PIX525(config)#access-group 101 in interface outside   ;將ACL應用在outside端口

  當內部主機訪問外部主機時，通過nat轉換成公網IP，訪問internet。
  當內部主機訪問中間區域dmz時，將自己映射成自己訪問服務器，否則內部主機將會
映射成地址池的IP，到外部去找。
  當外部主機訪問中間區域dmz時，對133.0.0.1映射成10.65.1.101，static是雙向的。
  PIX的所有端口默認是關閉的，進入PIX要經過acl入口過濾。
  靜態路由指示內部的主機和dmz的數據包從outside口出去。