零起点配置PIX防火墙

　　本文以目前最流行的Cisco公司出品的PIX系列防火墙的新版本PIX535为例，从安装PIX，配置PIX的命令介绍到真正实例讲解三大部分为读者详细讲解PIX的使用。

　　PIX综述：

　　什么是PIX呢？PIX是Cisco公司开发的防火墙系列设备，主要起到策略过滤，隔离内，根据用户实际需求设置DMZ。它和一般硬件防火墙一样具有转发数据包速度快，可设定的规则种类多，配置灵活的特点。最新的PIX版本为PIX535。

　　PIX的安装：

　　PIX防火墙从外观上和路由器差不多。（如图1）正面没有任何接口，只显示指示灯。所有的接口都在PIX防火墙的背面。（如图2）

图二

　　大家会发现该设备接口很多，从RJ45到USB接口，从显示器接口到电源接口。我们进一步放大背面各个接口可以看得更加清晰。（如图3）

图三

　　各位读者可以根据图中的指示找到对应的接口，当然默认情况下只有这些接口，如果我们希望添加某个类型的接口还可以卸下相应的面板自行安装新接口。我们用到最多的是console口（控制台）和Slot5,Slot6（RJ45网线接口）。

　　安装PIX和安装普通的路由器和交换机一样，用锣钉将设备固定在机柜上即可，同时注意散热和UPS不间断电源的供应。

一台新的PIX防火墙不经过任何配置是无法投入使用的。我们需要用CONSOLE线连接设备的CONSOLE口并根据实际应用环境进行设置，登录PIX的管理界面很简单，将CONSOLE线连接控制台接口即可。

　　在配置PIX防火墙之前，各位读者要跟随我了解一下防火墙的物理特性。防火墙通常具有至少3个接口，但许多早期的防火墙只具有2个接口；当使用具有3个接口的防火墙时，就至少产生了三个网络，三个网络的基本描述如下：

　　（1）内部区域（内网），内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。

　　（2）外部区域（），外部区域通常指Internet或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有的访问。

　　（3）停火区（DMZ），停火区是一个隔离的网络或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置Web服务器，Mail服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却不允许他们访问企业内部网络。

　　小提示：

　　早期的防火墙功能很有限，只有两个接口，因此这类防火墙是没有停火区的。当然PIX系列防火墙新版本都是有三个接口的。

　　PIX的工作模式

　　了解了PIX的区域划分后我们还需对防火墙的管理访问模式有所区分。实际上PIX防火墙和CISCO以往的路由交换设备一样有四个管理访问模式。依次如下：

　　（1）非特权模式。PIX防火墙开机自检后，就是处于这种模式。系统显示为pixfirewall> 。

　　（2）特权模式。在非特权模式下输入enable进入特权模式，可以改变当前配置。显示为pixfirewall#。

　　（3）配置模式。在特权模式下输入configure terminal进入此模式，绝大部分的系统配置都在这里进行。显示为pixfirewall(config)#。

　　（4）监视模式。PIX防火墙在开机或重启过程中，按住Escape键或发送一个“Break”字符，进入监视模式。这里可以更新操作系统映象和口令恢复。显示为monitor> 。

　　这四个管理访问模式我们最常用的还是特权模式和配置模式，95%以上的操作命令都是在这两个模式下完成的，而监视模式主要用于恢复PIX默认密码等调试工作，非特权模式则只能查看PIX设备运行状况，不能修改任何设置。

　　总结：

　　虽然本篇文章没有涉及任何关于PIX防火墙的配置命令，仅仅对PIX的外观、工作模式、工作区域进行了介绍，但这就好比为PIX配置打地基一样，只有对上面介绍的内容有了清晰的认识才能在下一篇文章中更快的掌握各种配置命令。

　　下面我们来介绍PIX防火墙的一些高级配置。

　　static命令配置语法：static (internal_if_name，external_if_name) outside_ip_address inside_ ip_address，其中internal_if_name表示内部网络接口，安全级别较高。如inside.。external_if_name为外部网络接口，安全级别较低，如outside等。

　　Pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8

　　小提示：

　　管道命令（conduit）：

　　对于向内部接口的连接，static和conduit命令将一起使用，来指定会话的建立。说得通俗一点管道命令（conduit）就相当于以往CISCO设备的访问控制列表（ACL）。

　　conduit命令配置语法：

　　port指的是服务所作用的端口，例如www使用80，smtp使用25等等，我们可以通过服务名称或端口数字来指定端口。protocol指的是连接协议，比如：TCP、UDP、ICMP等。foreign_ip表示可访问global_ip的外部ip。对于任意主机可以用any表示。如果foreign_ip是一台主机，就用host命令参数。示例语句如下：

　　Pix525(config)#conduit permit tcp host 192.168.0.8 eq www any

　　Pix525(config)#conduit deny tcp any eq ftp host 61.144.51.

　　Pix525(config)#conduit permit icmp any any

　　设置允许icmp消息向内部和外部通过。

　　Pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.3 Pix525(config)#conduit permit tcp host 61.144.51.62 eq www any

　　小提示：

　　对于上面的情况不使用conduit语句设置容许访问规则是不可以的，因为默认情况下PIX不容许数据包主动从低安全级别的端口流向高安全级别的端口。

　　配置fixup协议：

　　fixup命令作用是启用，禁止，改变一个服务或协议通过pix防火墙，由fixup命令指定的端口是pix防火墙要侦听的服务。示例例子如下：

　　Pix525(config)#fixup protocol ftp 21

　　启用ftp协议，并指定ftp的端口号为21

　　Pix525(config)#fixup protocol http 80
　　Pix525(config)#fixup protocol http 1080

　　为http协议指定80和1080两个端口。

　　Pix525(config)#no fixup protocol smtp 80

　　禁用smtp协议。

　　设置telnet：

　　在pix5.0之前只能从内部网络上的主机通过telnet访问pix。在pix 5.0及后续版本中，可以在所有的接口上启用telnet到pix的访问。当从外部接口要telnet到pix防火墙时，telnet数据流需要用ipsec提供保护，也就是说用户必须配置pix来建立一条到另外一台pix，路由器或客户端的ipsec隧道。另外就是在PIX上配置SSH，然后用SSH client从外部telnet到PIX防火墙。

　　小提示：

　　由于管理PIX具有一定的危险性，需要的安全级别非常高，所以不建议大家开放提供IP的telnet管理PIX的功能。如果实际情况一定要通过IP管理PIX则使用SSH加密手段来完成。

　　总结：

　　通过六个基本命令和四个高级命令我们就可以合理配置PIX设备，对于其他公司的PIX配置命令我们也可以一句句的看懂了。下一篇我们就为大家呈现一套PIX的配置实例，对于关键地方将为大家加上注释。希望各位读者真正掌握每条语句。

图一