防火墙的配置

 

防火墙的初始配置工作跟路由器的初始准备工作差不多： 这里以Cisco PIX 525 防火墙为例。
1、用反转线（防火墙自带的串行电缆）将防火墙的console串口与PC机（或者笔记本电脑）的串口连接在一起。
2、打开PIX防火电源，让系统加电初始化，然后开启与防火墙连接的主机。
3、开启Windows系统自带的超级终端（HyperTerminal）,配置初始化完成之后,就可以在超级终端上对防火墙就行配置（就跟配置路由器一样）。
4、PIX防火墙进入系统后即显示" Pixfirewall>"的提示符,这说明防火墙已启动成功,当前处于防火墙用户模式。

知识点：        防火墙和路由器一样，也分为用户模式、特权模式、全局配置模式以及端口模式四种模式。且进入这四种模式的命令也和路由器一样。

您可以参考下面的命令代码：
Pixfirewall>enable  //用户特权模式，默然密码为空，可以用enable password设置密码
Pixfirewall#conf t    //全局配置模式
Pixfirewall(config)#hostname pix525  //将防火墙的名字改为pix525
pix525(config)#interface ethernet0 auto  //配置防火墙的网卡参数
pix525(config)#interface ethernet0 auto

知识点：         在默然情况下ethernet0是属外部网卡outside；ethernet1是属内部网卡inside。inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。"auto"选项为系统自适应网卡类型。

（1）采用命令nameif 命名端口，并且为其设置安全级别
pix525(config)#nameif ethernet0 outside security0
pix525(config)#nameif ethernet0 outside security100

补充说明：security0是外部端口outside的安全级别（0安全级别最高）;security100是内部端口inside的安全级别,如果中间还有以太口，则security10，security20等等命名，多个网卡组成多个网络，一般情况下增加一个以太口作为DMZ(Demilitarized Zones非武装区域)。

（2）配置防火墙内、外部网卡的IP地址
例：内部网络为:10.0.0.0 255.0.0.0 ；外部网络为:117.25130.0 255.255.255.0, 配置如下：
pix525(config)#ip address inside 10.1.1.1 255.0.0.0
pix525(config)#ip address outside 117.25.130.115 255.255.255.0

补充说明：在特权模式下你可以用show interface命令显示防火墙所有接口配置情况。

（3）配置时钟
这主要是为了保证日志记录时间和日期，进而对防火墙的日志记录进行正确分析，有两种形式

①clock set hh:mm:ss month day month year ②clock set hh:mm:ss day month year

前者为：小时：分钟：秒 月 日 年；而后者为：小时：分钟：秒 日 月 年。在时间上如果为0，可以为一位，如：24:12:0。

（4）配置访问控制列表，并将访问控制列表绑定到特定的接口上
pix525(config)#access-list 101 permit ip any host 117.25.130.254 eq www
        //允许所有的主机通过浏览器访问主机:117.25.130.254  
pix525(config)#access-list 101 deny ip any any
pix525(config)#access-group 101 in interface outside
        //将访问控制列表101绑定到外部接口outside

（5）地址转换（NAT）
        防火墙的NAT配置与路由器的NAT配置基本一样，首先也必须定义供NAT转换的内部IP地址组，接着定义内部网段。

定义的格式： (a) 用nat命令定义供NAT转换的内部地址组的命令：         nat [(if_name)] [nat_id] [local_ip] [netmask [max_conns] (b)  用global命令定义内部地址转换后可用的外部地址池：         global  [(if_name)] nat_id global_ip [netmask [max_conns]

其中if_name为接口名；nat_id参数代表内部地址组号；而local_ip为本地网络地址；netmask为子网掩码；max_conns为此接口上所允许的最大TCP连接数，默认为"0"，表示不限制连接；em_limit为允许从此端口发出的连接数，默认也为"0"，即不限制。

例子：
pix525(config)#nat (inside) 1 10.1.1.0 255.255.255.0
//把所有网络地址为10.1.1.0，子网掩码为255.255.255.0的主机地址定义为1号NAT地址组。

pix525(config)#global (outside) 1 117.25.130.130-175.30.130.250 netmask 255.255.255.0
//将上述nat命令所定的内部IP地址组转换成117.25.130.130~175.30.130.250的外部地址池中的外部IP地址，其子网掩码为255.255.255.0。

（6）静态端口重定向(Port Redirection with Statics)
        在PIX 版本6.0以上，增加了端口重定向的功能，允许外部用户通过一个特殊的IP地址/端口通过Firewall PIX 传输到内部指定的内部服务器。这种功能也就是可以发布内部WWW、FTP、Mail等服务器了，这种方式并不是直接连接，而是通过端口重定向，使得内部服务器很安全。

命令的格式（两种）：
(a) static[(internal_if_name, external_if_name)]{global_ip|interface}local_ip[netmask mask] max_conns [emb_limit[norandomseq]]]
//分别适用于TCP/UDP通信

(b) static [(internal_if_name, external_if_name)] {tcp|udp}{global_ip|interface} global_port local_ip local_port [netmask mask] [max_conns [emb_limit [norandomseq]]]
//适用于非TCP/UDP通信

其中：internal_if_name：内部接口名称；external_if_name：外部接口名称；{tcp|udp}：选择通信协议类型；{global_ip|interface}：重定向后的外部IP地址或共享端口；local_ip：本地IP地址；[netmask mask]：本地子网掩码；max_conns：允许的最大TCP连接数，默认为"0"，即不限制；emb_limit：允许从此端口发起的连接数，默认也为"0"，即不限制；norandomseq：不对数据包排序，此参数通常不用选。

例子：
pix525(config)#static (inside,outside) tcp 117.25.130.45 telnet 10.1.1.10 telnet netmask 255.255.255.255 0 0
//外部用户向IP地址为117.25.130.45的主机发出Telnet请求时，重定向到10.1.1.10

（7）显示与保存结果
采用命令 show config    显示结果
保存采用 write memory  保存结果