cisco pix防火墙命令使用
任何企業(yè)安全策略的一個主要部分都是實現(xiàn)和維護防火墻,因此防火墻在網(wǎng)絡(luò)安全的實現(xiàn)當中扮演著重要的角色。防火墻通常位于企業(yè)網(wǎng)絡(luò)的邊緣,這使得內(nèi)部網(wǎng)絡(luò)與internet之間或者與其他外部網(wǎng)絡(luò)互相隔離,并限制網(wǎng)絡(luò)互訪從而保護企業(yè)內(nèi)部網(wǎng)絡(luò)。設(shè)置防火墻目的都是為了在內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)立唯一的通道,簡化網(wǎng)絡(luò)的安全管理。
在眾多的企業(yè)級主流防火墻中,cisco pix防火墻是所有同類產(chǎn)品性能最好的一種。cisco pix系列防火墻目前有5種型號pix506,515,520,525,535。其中pix535是pix 500系列中最新,功能也是最強大的一款。它可以提供運營商級別的處理能力,適用于大型的isp等服務(wù)提供商。但是pix特有的os操作系統(tǒng),使得大多數(shù)管理是通過命令行來實現(xiàn)的,不象其他同類的防火墻通過web管理界面來進行網(wǎng)絡(luò)管理,這樣會給初學(xué)者帶來不便。本文將通過實例介紹如何配置cisco pix防火墻。
在配置pix防火墻之前,先來介紹一下防火墻的物理特性。防火墻通常具有至少3個接口,但許多早期的防火墻只具有2個接口;當使用具有3個接口的防火墻時,就至少產(chǎn)生了3個網(wǎng)絡(luò),描述如下:
? 內(nèi)部區(qū)域(內(nèi)網(wǎng))。 內(nèi)部區(qū)域通常就是指企業(yè)內(nèi)部網(wǎng)絡(luò)或者是企業(yè)內(nèi)部網(wǎng)絡(luò)的一部分。它是互連網(wǎng)絡(luò)的信任區(qū)域,即受到了防火墻的保護。
? 外部區(qū)域(外網(wǎng))。 外部區(qū)域通常指internet或者非企業(yè)內(nèi)部網(wǎng)絡(luò)。它是互連網(wǎng)絡(luò)中不被信任的區(qū)域,當外部區(qū)域想要訪問內(nèi)部區(qū)域的主機和服務(wù),通過防火墻,就可以實現(xiàn)有限制的訪問。
? 停火區(qū)(dmz)。 停火區(qū)是一個隔離的網(wǎng)絡(luò),或幾個網(wǎng)絡(luò)。位于停火區(qū)中的主機或服務(wù)器被稱為堡壘主機。一般在停火區(qū)內(nèi)可以放置web服務(wù)器,mail服務(wù)器等。停火區(qū)對于外部用戶通常是可以訪問的,這種方式讓外部用戶可以訪問企業(yè)的公開信息,但卻不允許他們訪問企業(yè)內(nèi)部網(wǎng)絡(luò)。注意:2個接口的防火墻是沒有停火區(qū)的。
由于pix535在企業(yè)級別不具有普遍性,因此下面主要說明pix525在企業(yè)網(wǎng)絡(luò)中的應(yīng)用。
pix防火墻提供4種管理訪問模式:
非特權(quán)模式。 pix防火墻開機自檢后,就是處于這種模式。系統(tǒng)顯示為pixfirewall>
特權(quán)模式。 輸入enable進入特權(quán)模式,可以改變當前配置。顯示為pixfirewall#
配置模式。 輸入configure terminal進入此模式,絕大部分的系統(tǒng)配置都在這里進行。顯示為pixfirewall(config)#
監(jiān)視模式。 pix防火墻在開機或重啟過程中,按住escape鍵或發(fā)送一個“break”字符,進入監(jiān)視模式。這里可以更新操作系統(tǒng)映象和口令恢復(fù)。顯示為monitor>
配置pix防火墻有6個基本命令:nameif,interface,ip address,nat,global,route.
這些命令在配置pix是必須的。以下是配置的基本步驟:
1. 配置防火墻接口的名字,并指定安全級別(nameif)。
pix525(config)#nameif ethernet0 outside security0
pix525(config)#nameif ethernet1 inside security100
pix525(config)#nameif dmz security50
提示:在缺省配置中,以太網(wǎng)0被命名為外部接口(outside),安全級別是0;以太網(wǎng)1被命名為內(nèi)部接口(inside),安全級別是100.安全級別取值范圍為1~99,數(shù)字越大安全級別越高。若添加新的接口,語句可以這樣寫:
pix525(config)#nameif pix/intf3 security40 (安全級別任取)
2. 配置以太口參數(shù)(interface)
pix525(config)#interface ethernet0 auto(auto選項表明系統(tǒng)自適應(yīng)網(wǎng)卡類型 )
pix525(config)#interface ethernet1 100full(100full選項表示100mbit/s以太網(wǎng)全雙工通信 )
pix525(config)#interface ethernet1 100full shutdown (shutdown選項表示關(guān)閉這個接口,若啟用接口去掉shutdown )
3. 配置內(nèi)外網(wǎng)卡的ip地址(ip address)
pix525(config)#ip address outside 61.144.51.42 255.255.255.248
pix525(config)#ip address inside 192.168.0.1 255.255.255.0
很明顯,pix525防火墻在外網(wǎng)的ip地址是61.144.51.42,內(nèi)網(wǎng)ip地址是192.168.0.1
4. 指定要進行轉(zhuǎn)換的內(nèi)部地址(nat)
網(wǎng)絡(luò)地址翻譯(nat)作用是將內(nèi)網(wǎng)的私有ip轉(zhuǎn)換為外網(wǎng)的公有ip.nat命令總是與global命令一起使用,這是因為nat命令可以指定一臺主機或一段范圍的主機訪問外網(wǎng),訪問外網(wǎng)時需要利用global所指定的地址池進行對外訪問。nat命令配置語法:nat (if_name) nat_id local_ip [netmark]
其中(if_name)表示內(nèi)網(wǎng)接口名字,例如inside. nat_id用來標識全局地址池,使它與其相應(yīng)的global命令相匹配,local_ip表示內(nèi)網(wǎng)被分配的ip地址。例如0.0.0.0表示內(nèi)網(wǎng)所有主機可以對外訪問。[netmark]表示內(nèi)網(wǎng)ip地址的子網(wǎng)掩碼。
例1.pix525(config)#nat (inside) 1 0 0
表示啟用nat,內(nèi)網(wǎng)的所有主機都可以訪問外網(wǎng),用0可以代表0.0.0.0
例2.pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0
表示只有172.16.5.0這個網(wǎng)段內(nèi)的主機可以訪問外網(wǎng)。
5. 指定外部地址范圍(global)
global命令把內(nèi)網(wǎng)的ip地址翻譯成外網(wǎng)的ip地址或一段地址范圍。global命令的配置語法:global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中(if_name)表示外網(wǎng)接口名字,例如outside.。nat_id用來標識全局地址池,使它與其相應(yīng)的nat命令相匹配,ip_address-ip_address表示翻譯后的單個ip地址或一段ip地址范圍。[netmark global_mask]表示全局ip地址的網(wǎng)絡(luò)掩碼。
例1. pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48
表示內(nèi)網(wǎng)的主機通過pix防火墻要訪問外網(wǎng)時,pix防火墻將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網(wǎng)的主機分配一個全局ip地址。
例2. pix525(config)#global (outside) 1 61.144.51.42
表示內(nèi)網(wǎng)要訪問外網(wǎng)時,pix防火墻將為訪問外網(wǎng)的所有主機統(tǒng)一使用61.144.51.42這個單一ip地址。
例3. pix525(config)#no global (outside) 1 61.144.51.42
表示刪除這個全局表項。
6. 設(shè)置指向內(nèi)網(wǎng)和外網(wǎng)的靜態(tài)路由(route)
定義一條靜態(tài)路由。route命令配置語法:route (if_name) 0 0 gateway_ip [metric]
其中(if_name)表示接口名字,例如inside,outside。gateway_ip表示網(wǎng)關(guān)路由器的ip地址。[metric]表示到gateway_ip的跳數(shù)。通常缺省是1。
例1. pix525(config)#route outside 0 0 61.144.51.168 1
表示一條指向邊界路由器(ip地址61.144.51.168)的缺省路由。
例2. pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1
pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1
如果內(nèi)部網(wǎng)絡(luò)只有一個網(wǎng)段,按照例1那樣設(shè)置一條缺省路由即可;如果內(nèi)部存在多個網(wǎng)絡(luò),需要配置一條以上的靜態(tài)路由。上面那條命令表示創(chuàng)建了一條到網(wǎng)絡(luò)10.1.1.0的靜態(tài)路由,靜態(tài)路由的下一條路由器ip地址是172.16.0.1
這6個基本命令若理解了,就可以進入到pix防火墻的一些高級配置了。
a. 配置靜態(tài)ip地址翻譯(static)
如果從外網(wǎng)發(fā)起一個會話,會話的目的地址是一個內(nèi)網(wǎng)的ip地址,static就把內(nèi)部地址翻譯成一個指定的全局地址,允許這個會話建立。static命令配置語法:static (internal_if_name,external_if_name) outside_ip_address inside_ ip_address 其中internal_if_name表示內(nèi)部網(wǎng)絡(luò)接口,安全級別較高。如inside. external_if_name為外部網(wǎng)絡(luò)接口,安全級別較低。如outside等。outside_ip_address為正在訪問的較低安全級別的接口上的ip地址。inside_ ip_address為內(nèi)部網(wǎng)絡(luò)的本地ip地址。
例1. pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8
表示ip地址為192.168.0.8的主機,對于通過pix防火墻建立的每個會話,都被翻譯成61.144.51.62這個全局地址,也可以理解成static命令創(chuàng)建了內(nèi)部ip地址192.168.0.8和外部ip地址61.144.51.62之間的靜態(tài)映射。
例2. pix525(config)#static (inside, outside) 192.168.0.2 10.0.1.3
例3. pix525(config)#static (dmz, outside) 211.48.16.2 172.16.10.8
注釋同例1。通過以上幾個例子說明使用static命令可以讓我們?yōu)橐粋€特定的內(nèi)部ip地址設(shè)置一個永久的全局ip地址。這樣就能夠為具有較低安全級別的指定接口創(chuàng)建一個入口,使它們可以進入到具有較高安全級別的指定接口。
b. 管道命令(conduit)
前面講過使用static命令可以在一個本地ip地址和一個全局ip地址之間創(chuàng)建了一個靜態(tài)映射,但從外部到內(nèi)部接口的連接仍然會被pix防火墻的自適應(yīng)安全算法(asa)阻擋,conduit命令用來允許數(shù)據(jù)流從具有較低安全級別的接口流向具有較高安全級別的接口,例如允許從外部到dmz或內(nèi)部接口的入方向的會話。對于向內(nèi)部接口的連接,static和conduit命令將一起使用,來指定會話的建立。
conduit命令配置語法:
conduit permit | deny global_ip port[-port] protocol foreign_ip [netmask]
permit | deny 允許 | 拒絕訪問
global_ip 指的是先前由global或static命令定義的全局ip地址,如果global_ip為0,就用any代替0;如果global_ip是一臺主機,就用host命令參數(shù)。
port 指的是服務(wù)所作用的端口,例如www使用80,smtp使用25等等,我們可以通過服務(wù)名稱或端口數(shù)字來指定端口。
protocol 指的是連接協(xié)議,比如:tcp、udp、icmp等。
foreign_ip 表示可訪問global_ip的外部ip。對于任意主機,可以用any表示。如果foreign_ip是一臺主機,就用host命令參數(shù)。
例1. pix525(config)#conduit permit tcp host 192.168.0.8 eq www any
這個例子表示允許任何外部主機對全局地址192.168.0.8的這臺主機進行http訪問。其中使用eq和一個端口來允許或拒絕對這個端口的訪問。eq ftp 就是指允許或拒絕只對ftp的訪問。
例2. pix525(config)#conduit deny tcp any eq ftp host 61.144.51.89
表示不允許外部主機61.144.51.89對任何全局地址進行ftp訪問。
例3. pix525(config)#conduit permit icmp any any
表示允許icmp消息向內(nèi)部和外部通過。
例4. pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.3
pix525(config)#conduit permit tcp host 61.144.51.62 eq www any
這個例子說明static和conduit的關(guān)系。192.168.0.3在內(nèi)網(wǎng)是一臺web服務(wù)器,現(xiàn)在希望外網(wǎng)的用戶能夠通過pix防火墻得到web服務(wù)。所以先做static靜態(tài)映射:192.168.0.3->61.144.51.62(全局),然后利用conduit命令允許任何外部主機對全局地址61.144.51.62進行http訪問。
c. 配置fixup協(xié)議
fixup命令作用是啟用,禁止,改變一個服務(wù)或協(xié)議通過pix防火墻,由fixup命令指定的端口是pix防火墻要偵聽的服務(wù)。見下面例子:
例1. pix525(config)#fixup protocol ftp 21
啟用ftp協(xié)議,并指定ftp的端口號為21
例2. pix525(config)#fixup protocol http 80
pix525(config)#fixup protocol http 1080
為http協(xié)議指定80和1080兩個端口。
例3. pix525(config)#no fixup protocol smtp 80
禁用smtp協(xié)議。
d. 設(shè)置telnet
telnet有一個版本的變化。在pix os 5.0(pix操作系統(tǒng)的版本號)之前,只能從內(nèi)部網(wǎng)絡(luò)上的主機通過telnet訪問pix。在pix os 5.0及后續(xù)版本中,可以在所有的接口上啟用telnet到pix的訪問。當從外部接口要telnet到pix防火墻時,telnet數(shù)據(jù)流需要用ipsec提供保護,也就是說用戶必須配置pix來建立一條到另外一臺pix,路由器或***客戶端的ipsec隧道。另外就是在pix上配置ssh,然后用ssh client從外部telnet到pix防火墻,pix支持ssh1和ssh2,不過ssh1是免費軟件,ssh2是商業(yè)軟件。相比之下cisco路由器的telnet就作的不怎么樣了。
telnet配置語法:telnet local_ip [netmask]
local_ip 表示被授權(quán)通過telnet訪問到pix的ip地址。如果不設(shè)此項,pix的配置方式只能由console進行。
說了這么多,下面給出一個配置實例供大家參考。
welcome to the pix firewall
type help or ’?’ for a list of available commands.
pix525> en
password:
pix525#sh config
: saved
:
pix version 6.0(1) ------ pix當前的操作系統(tǒng)版本為6.0
nameif ethernet0 outside security0
nameif ethernet1 inside security100 ------ 顯示目前pix只有2個接口
enable password 7y051hhccoirtsqz encrypted
passed 7y051hhccoirtsqz encrypted ------ pix防火墻密碼在默認狀態(tài)下已被加密,在配置文件中不會以明文顯示,telnet 密碼缺省為cisco
hostname pix525 ------ 主機名稱為pix525
domain-name 123.com ------ 本地的一個域名服務(wù)器123.com,通常用作為外部訪問
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060 ------ 當前啟用的一些服務(wù)或協(xié)議,注意rsh服務(wù)是不能改變端口號
names ------ 解析本地主機名到ip地址,在配置中可以用名字代替ip地址,當前沒有設(shè)置,所以列表為空
pager lines 24 ------ 每24行一分頁
interface ethernet0 auto
interface ethernet1 auto ------ 設(shè)置兩個網(wǎng)卡的類型為自適應(yīng)
mtu outside 1500
mtu inside 1500 ------ 以太網(wǎng)標準的mtu長度為1500字節(jié)
ip address outside 61.144.51.42 255.255.255.248
ip address inside 192.168.0.1 255.255.255.0 ------ pix外網(wǎng)的ip地址61.144.51.42,內(nèi)網(wǎng)的ip地址192.168.0.1
ip audit info action alarm
ip audit attack action alarm ------ pix***檢測的2個命令。當有數(shù)據(jù)包具有***或報告型特征碼時,pix將采取報警動作(缺省動作),向指定的日志記錄主機產(chǎn)生系統(tǒng)日志消息;此外還可以作出丟棄數(shù)據(jù)包和發(fā)出tcp連接復(fù)位信號等動作,需另外配置。
pdm history enable ------ pix設(shè)備管理器可以圖形化的監(jiān)視pix
arp timeout 14400 ------ arp表的超時時間
global (outside) 1 61.144.51.46 ------ 如果你訪問外部論壇或用qq聊天等等,上面顯示的ip就是這個
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside, outside) 61.144.51.43 192.168.0.8 netmask 255.255.255.255 0 0
conduit permit icmp any any
conduit permit tcp host 61.144.51.43 eq www any
conduit permit udp host 61.144.51.43 eq domain any
------ 用61.144.51.43這個ip地址提供domain-name服務(wù),而且只允許外部用戶訪問domain的udp端口
route outside 0.0.0.0 0.0.0.0 61.144.51.61 1 ------ 外部網(wǎng)關(guān)61.144.51.61
timeout xlate 3:00:00 ------ 某個內(nèi)部設(shè)備向外部發(fā)出的ip包經(jīng)過翻譯(global)后,在缺省3個小時之后此數(shù)據(jù)包若沒有活動,此前創(chuàng)建的表項將從翻譯表中刪除,釋放該設(shè)備占用的全局地址
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute ------ aaa認證的超時時間,absolute表示連續(xù)運行uauth定時器,用戶超時后,將強制重新認證
aaa-server tacacs+ protocol tacacs+
aaa-server radius protocol radius ------ aaa服務(wù)器的兩種協(xié)議。aaa是指認證,授權(quán),審計。pix防火墻可以通過aaa服務(wù)器增加內(nèi)部網(wǎng)絡(luò)的安全
no snmp-server location
no snmp-server contact
snmp-server community public ------ 由于沒有設(shè)置snmp工作站,也就沒有snmp工作站的位置和聯(lián)系人
no snmp-server enable traps ------ 發(fā)送snmp陷阱
floodguard enable ------ 防止有人偽造大量認證請求,將pix的aaa資源用完
no sysopt route dnat
telnet timeout 5
ssh timeout 5 ------ 使用ssh訪問pix的超時時間
terminal width 80
cryptochecksum:a9f03ba4ddb72e1ae6a543292dd4f5e7
pix525#
pix525#write memory ------ 將配置保存
上面這個配置實例需要說明一下,pix防火墻直接擺在了與internet接口處,此處網(wǎng)絡(luò)環(huán)境有十幾個公有ip,可能會有朋友問如果我的公有ip很有限怎么辦?你可以添加router放在pix的前面,或者global使用單一ip地址,和外部接口的ip地址相同即可。另外有幾個維護命令也很有用,show interface查看端口狀態(tài),show static查看靜態(tài)地址映射,show ip查看接口ip地址,ping outside | inside ip_address確定連通性。
?
轉(zhuǎn)載于:https://blog.51cto.com/liuaijun/470551
總結(jié)
以上是生活随笔為你收集整理的cisco pix防火墙命令使用的全部內(nèi)容,希望文章能夠幫你解決所遇到的問題。
- 上一篇: 发布Apworks应用开发框架(Alph
- 下一篇: wpservice.exe应用程序错误