一，    基本配置说明.... 1
二，    DHCP配置.... 2
三，    NAT配置.... 3
四，    Outbound与apply的组合使用.... 3
五，    Static与Conduit的组合使用.... 3
六，    Access－list与access－group的组合使用.... 4
七，    附录.... 4


一， 基本配置说明
1，第三方工具
从Cisco公司的WWW或FTP站点上，我们可以获得PIX的{zx1}软件,主要包括如下内容：
pix44n.exe——PIX防火墙的软件映像文件。
pfss44n.exe——PIX Firewall Syslog Server服务器软件,能够提供一个Windows NT服务,用来记录PIX的运行日志。
pfm432b.exe——图形化的PIX管理软件。
rawrite.exe——用于生成PIX的启动软盘。
2，基本配置
interface ethernet0 auto 设定端口0 速率为自动
interface ethernet1 100full 设定端口1 速率为100兆全双工
interface ethernet2 auto 设定端口2 速率为自动
nameif ethernet0 outside security0 设定端口0 名称为 outside 安全级别为0
nameif ethernet1 inside security100 设定端口1 名称为 inside 安全级别为100
nameif ethernet2 dmz security50 设定端口2 名称为 dmz 安全级别为50
enable password Dv0yXUGPM3Xt7xVs encrypted 特权密码
passwd 2KFQnbNIdI.2KYOU encrypted 登陆密码
hostname hhyy 设定防火墙名称
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
no fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
允许用户查看、改变、启用或禁止一个服务或协议通过PIX防火墙，防火墙默认启用了一些常见的端口，但对于ORACLE等专有端口，需要专门启用。
{zh1}，我们定义接口的IP地址和掩码。
ip address inside 10.0.0.250 255.255.255.0       内网口IP地址
ip address outside 202.12.29.205 255.255.255.248 外网口IP地址


二， DHCP配置

配置DHCP服务器特性（Configuring the DHCP Server Feature）
确保在启动DHCP服务器特性前，使用ip address命令来配置IP地址和inside接口的子网掩模。
按照以下步骤来在给定PIX防火墙接口上启动DHCP服务器特性。（步骤1到6为必需）。
步骤1 使用dhcpd address命令指定一个DHCP地址池。PIX防火墙将向客户机分配此池中的地址之一并在给定长度的时间内使用。默认值为inside接口。
例如：dhcp address 10.0.1.101-10.0.1.110 inside

步骤2 （可选）指定客户机将使用的DNS服务器的IP地址。您最多可指定2个DNS服务器。
例如：dhcpd dns 209.165.201.2 209.165.202.129

步骤3 （可选）指定客户机将使用的WINS服务器的IP地址。您最多可指定2个WINS服务器。

例如：dhcpd wins 209.165.201.5

步骤4 指定授予客户机的租用时间长度。这相当于客户机在租用到期前可使用分配给它的IP地址的时间长度（以秒为单位）。默认值为3600秒。

例如：dhcpd lease 3000

步骤5 （可选）配置客户机将使用的域名。

例如：dhcpd domain example.com

步骤6 启动PIX防火墙中的DHCP端口监督程序，以接收启动接口上的DHCP客户机请求。现在您仅可在inside接口（默认值）上启动DHCP服务器特性。例如：dhcpd enable inside


三， NAT配置
nat (inside) 1 0 0  
---- global (outside) 1 202.12.29.206
----其中1为NAT ID，两个语句中的NAT ID应一样。前一句表示允许所有机器对外访问，第二句定义NAT使用的地址池，由于大部分情况下，合法的IP地址并不多，因此在此例中只设置了一个合法IP地址202.12.29.206用来做地址转换。

如果需要将映射的外网IP地址和外网口的IP地址相同，则需要使用
global (outside) 1 interface

四， Outbound与apply的组合使用
使用outbound和apply命令进行组合，可以控制内部网段的机器能否对外进行访问，举例说明如下。
outbound 10 deny 10.0.0.0 255.255.255.0 irc tcp
outbound 10 permit 10.0.0.204 255.255.255.255 irc tcp
apply (inside) 10 outgoing_src 如果不想让内部用户使用CHAT功能，可以采用{dy}条命令，禁止10.0.0.1～10.0.0.255的所有机器使用CHAT功能访问外部站点；第二条命令允许10.0.0.204这台机器通过irc协议访问外部站点;第三条命令将前面的命令应用在inside，也就是内部网段上。
outbound 20 deny 202.102.224.25 255.255.255.255 www tcp
apply (inside) 20 outgoing_dest
通过对以上2条命令的组合使用，我们可以禁止内部网段上的所有机器访问外部网络的WWW服务器202.102.224.25。

五， Static与Conduit的组合使用
缺省情况下，PIX拒绝所有来自外部网段的访问请求。当WWW服务器等设备放在防火墙的内部网段上时，为了使外部网络上的用户可以访问到，必须使用static和conduit命令来进行配置。
下面，我们给出允许外部网络访问内部网络上的WWW服务器的命令。
static (inside,outside) 202.12.29.204 10.0.0.204 netmask 255.255.255.255
conduit permit tcp host 202.12.29.204 eq www any
其中，{dy}个命令将在内部网段的WWW服务器10.0.0.204映射一个外部合法地址202.12.29.204；第二个命令允许所有外部主机通过tcp port 80访问202.12.29.204这台服务器。
接着，我们再给出一个允许外部网络访问内部网络上的邮件服务器10.0.0.203的命令。
static (inside,outside) 202.12.29.203 10.0.0.203 netmask 255.255.255.255
conduit permit tcp host 202.12.29.203 eq smtp any

六， Access－list与access－group的组合使用

七， 附录
Aaa 允许、禁止或查看以前使用“aaa-server”命令为服务器指定的TACACS+或RADIUS用户认证、授权和帐户
Aaa-server指定一个AAA服务器
Access-group 将访问列表名绑定到接口名以允许或拒绝IP信息包进入接口
Access-list创建一个访问列表
Alias管理双向NAT中的重叠地址
Arp改变或查看ARP缓存，设置超时值
Auth-prompt改变AAA的提示文本
Ca配置PIX防火墙和CA的交互
Clock设置PIX防火墙时钟以供PIX防火墙系统日志服务器和PKI协议使用
Conduit为向内连接添加、删除或显示通过防火墙的管道
Configurexx或融合当前配置与软盘或闪存中的配置。进入配置模式或查看当前配置
Crypto dynamic-map创建、查看或删除一个动态加密映射项。
Crypto ipsec创建、查看或删除与加密相关的全局值
Crypto map 创建、查看或删除一个动态加密映射项，也用来删除一个加密映射集
Debug通过PIX防火墙调试信息包或ICMP轨迹。
Disable退出特权模式并返回到非特权模式
Domain_name改变IPSec域名
Enable启动特权模式
Enable password设置特权模式的口令
Exit退出访问模式
Failover改变或查看到可选failover特性的访问
Filter允许或禁止向外的URL或HTML对像过滤
Fixup protocol改变、允许、禁止或列出一个PIX防火墙应用的特性
Flashfsxx闪存或显示闪存扇区大小
Floodguard允许或禁止洪泛（FLOOD）保护以防止洪泛攻击
Help显示帮助信息
Global从一个全局地址池中创建或删除项
Hostname改变PIX防火墙命令行提示中的主机名
Interface标示网络接口的速度和双工属性
Ip为本地池和网络接口标示地址
Ipsec配置IPSEC策略
Isakmp协商IPSEC策略联系并允许IPSEC安全通信
Kill终止一个TELNET会话
Logging允许或禁止系统日志和SNMP记录
Mtu为一个接口指定MTU（{zd0}流量单元）
Name/names关联一个名称和一个IP地址
Nameif命名接口并分配安全等级
Nat联系一个网络和一个全局IP地址池
Outbound/apply创建一个访问列表用于控制因特网
Pager使能或禁止屏幕分页
Passwd为TELNET和PIX管理者访问防火墙控制台配置口令
Perfmon浏览性能信息
Ping决定在PIX防火墙上其他的IP地址是否可见
Quit退出配置或特权模式
Reload重新启动或重新加载配置
Rip改变RIP设置
Route为指定的接口输入一条静态或缺省的路由
Service复位向内连接
Session访问一个嵌入式的ACCESSPRO路由器控制台
Show查看命令信息
Show blocks/clear blocks显示系统缓冲区利用情况
Show checksum显示配置校验和
Show conn列出所有的活跃连接
Show history显示前面输入的行
Show interface显示接口配置
Show memory显示系统内存的使用情况
Show processes显示进程
Show tech-support查看帮助技术支持分析员诊断问题的信息
Show traffic显示接口的发送和接收活动
Show uauth未知（我没搞过，嘿嘿）
Show version浏览PIX防火墙操作信息
Show xlate查看地址转换信息
Snmp-server提供SNMP事件信息
Static将局部地址映射为全局地址
Sysopt改变PIX防火墙系统项
Terminal改变控制台终端设置
Timeout设置空闲时间的{zd0}值
Uauth(clear and show)将一个用户的所有授权高速缓存删除
url-cache缓存响应URL过滤对WebSENSE服务器的请求
url-server为使用folter命令指派一个运行WebSENSE的服务器
virtual访问PIX防火墙虚拟服务器
who显示PIX防火墙上的活跃的TELNET管理会话
write存储、查看或删除当前的配置
xlate(clear and show)查看或xx转换槽信息

本文来自CSDN博客，转载请标明出处：