如何为思科PIX防火墙配置内外网的访问策略呢

Cisco PIX防火墙曾是网络安全领域的基石产品，尽管其产品线已停止更新并被自适应安全设备（ASA）系列取代，但PIX所确立的许多核心配置理念和安全模型，至今仍在思科防火墙技术中延续，掌握PIX的配置，不仅对于维护老旧网络环境至关重要，更是深入理解思科防火墙技术演进的钥匙，本文将系统性地梳理Cisco PIX防火墙的核心配置步骤，旨在提供一个清晰、实用且信息丰富的配置指南。

基础配置模式

与所有思科网络设备一样,PIX防火墙通过命令行界面（CLI）进行管理，并拥有不同的操作模式，理解这些模式是进行任何配置的前提。

接口配置与安全级别

接口是防火墙连接不同网络区域的桥梁,其配置是整个防火墙策略的基础，PIX的核心安全模型之一便是“接口安全级别”。

每个接口都可以被分配一个0到100的安全级别,数字越大代表网络越可信，默认规则下，从高安全级别接口到低安全级别接口的流量是被允许的（出站流量），而从低到高的流量则被禁止（入站流量），除非有明确的访问控制列表（ACL）允许。

以下是典型接口配置示例：

配置命令如下：

configure terminalinterfAce ethernet0 nameif outside security-level 0 ip address 203.0.113.2 255.255.255.0 no shutdown!interface ethernet1 nameif inside security-level 100 ip address 192.168.1.1 255.255.255.0 no shutdown!interface ethernet2 nameif dmz security-level 50 ip address 172.16.1.1 255.255.255.0 no shutdown

网络地址转换（NAT）配置

NAT是防火墙的另一项核心功能,用于解决IPv4地址短缺问题，并隐藏内部网络结构，PIX支持多种NAT类型，最常用的是静态NAT和动态PAT。

访问控制列表（ACL）与应用

要允许从低安全级别区域到高安全级别区域的流量,必须创建并应用访问控制列表，ACL是防火墙实现精细化管理的关键。

保存配置

所有配置修改都仅在当前运行的配置中生效,重启后将丢失，必须将其保存到启动配置中。

write memory

或者使用更标准的命令：

copy running-config startup-config

相关问答FAQs

问：Cisco PIX和后来的ASA防火墙在配置上有什么主要区别？

答： Cisco ASA是PIX的继任者，虽然在底层架构上进行了彻底革新（采用更统一的操作系统），但在配置语法上保持了高度向后兼容，许多PIX的核心命令，如, security-level ,,,, access-list 和 access-group 在ASA上依然有效，主要区别在于ASA引入了更强大的模块化策略框架（MPF），通过, policy-map , service-policy 提供了比传统ACL更精细、更灵活的流量检查和控制能力，ASA在硬件性能、支持的功能（如IPS、IPSesc VPN、AnyConnect）以及管理方式上都有显著提升，对于基础配置，两者非常相似；但对于高级安全策略，ASA的MPF是现代标准。

问：我已经按照要求配置了NAT和ACL，为什么外网还是无法访问我的内网服务器？

答： 这是一个常见的排错问题，请按以下顺序检查：

路由器的acl是什么？

防火墙必须能够提供控制网络数据流的能力，以用于安全性、qos需求和各种策略制定等各个方面。 实现数据流控制的手段之一是使用acl（access control list，访问控制列表）。 acl是由permit或deny语句组成的一系列有顺序的规则，这些规则针对数据包的源地址、目的地址、端口号、上层协议或其他信息来描述。

请问，三层交换机和路由器有什么区别？

之所以搞不清三层交换机和路由器之间的区别，最根本就是三层交换机也具有“路由”功能，与传统路由器的路由功能总体上是一致的。 虽然如此，三层交换机与路由器还是存在着相当大的本质区别的 1. 主要功能不同 虽然三层交换机与路由器都具有路由功能，但我们不能因此而把它们等同起来，正如现在许多网络设备同时具备多种传统网络设备功能一样，就如现在有许多宽带路由器不仅具有路由功能，还提供了交换机端口、硬件防火墙功能，但不能把它与交换机或者防火墙等同起来一样。 因为这些路由器的主要功能还是路由功能，其它功能只不过是其附加功能，其目的是使设备适用面更广、使其更加实用。 这里的三层交换机也一样，它仍是交换机产品，只不过它是具备了一些基本的路由功能的交换机，它的主要功能仍是数据交换。 也就是说它同时具备了数据交换和路由 由发两种功能，但其主要功能还是数据交换；而路由器仅具有路由转发这一种主要功能。 2. 主要适用的环境不一样 三层交换机的路由功能通常比较简单，因为它所面对的主要是简单的局域网连接。 正因如此，三层交换机的路由功能通常比较简单，路由路径远没有路由器那么复杂。 它用在局域网中的主要用途还是提供快速数据交换功能，满足局域网数据交换频繁的应用特点。 而路由器则不同，它的设计初哀就是为了满足不同类型的网络连接，虽然也适用于局域网之间的连接，但它的路由功能更多的体现在不同类型网络之间的互联上，如局域网与广域网之间的连接、不同协议的网络之间的连接等，所以路由器主要是用于不同类型的网络之间。 它最主要的功能就是路由转发，解决好各种复杂路由路径网络的连接就是它的最终目的，所以路由器的路由功能通常非常强大，不仅适用于同种协议的局域网间，更适用于不同协议的局域网与广域网间。 它的优势在于选择最佳路由、负荷分担、链路备份及和其他网络进行路由信息的交换等等路由器所具有功能。 为了与各种类型的网络连接，路由器的接口类型非常丰富，而三层交换机则一般仅同类型的局域网接口，非常简单。 3. 性能体现不一样 从技术上讲，路由器和三层交换机在数据包交换操作上存在着明显区别。 路由器一般由基于微处理器的软件路由引擎执行数据包交换，而三层交换机通过硬件执行数据包交换。 三层交换机在对第一个数据流进行路由后，它将会产生一个mac地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率。 同时，三层交换机的路由查找是针对数据流的，它利用缓存技术，很容易利用ASIC技术来实现，因此，可以大大节约成本，并实现快速转发。 而路由器的转发采用最长匹配的方式，实现复杂，通常使用软件来实现，转发效率较低。 正因如此，从整体性能上比较的话，三层交换机的性能要远优于路由器，非常适用于数据交换频繁的局域网中；而路由器虽然路由功能非常强大，但它的数据包转发效率远低于三层交换机，更适合于数据交换不是很频繁的不同类型网络的互联，如局域网与互联网的互联。 如果把路由器，特别是高档路由器用于局域网中，则在相当大程度上是一种浪费（就其强大的路由功能而言），而且还不能很好地满足局域网通信性能需求，影响子网间的正常通信。 综上所述，三层交换机与路由器之间还是存在着非常大的本质区别的。 无论从哪方面来说，在局域网中进行多子网连接，最好还选用三层交换机，特别是在不同子网数据交换频繁的环境中。 一方面可以确保子网间的通信性能需求，另一方面省去了另外购买交换机的投资。 当然，如果子网间的通信不是很频繁，采用路由器也无可厚非，也可达到子网安全隔离相互通信的目的。 具体要根据实际需求来定。 三楼的你说router和switch的是在你家用的吧 3层交换机和普通交换机有什么区别你先搞清楚吧

路由器插满了，接了一个交换机，说受限制，有防火伤怎么办？

其实接一个交换机是可以的，你把路由上面的线要么全插交换机上面，然后路由和交换机用一根线连接起来，这样也可以。 你的问题是现在捕获不到IP地址，状态栏显示受限制或者无连接，首先你要检查自己的路由器和交换机是否能正常工作，其次你要检查你连接路由和交换机的网线是否连通，可以用测线仪测试一下网线，大多数是网线不通所导致的问题（或者你换一根网线试试），有防火墙你可以关闭防火墙，关闭方法（开始——设置——控制面板——防火墙——选择关闭并且确定退出）你要不先试试，实在不行就在网络设置里面手动给它设置IP，当然设置要和路由的IP段是一个网段。