導航:首頁 > 程序命令 > cisco防火牆命令

cisco防火牆命令

發布時間:2022-07-01 08:13:06

Ⅰ 思科防火牆怎樣配置WEB界面

思科防火牆telnet、ssh、web登陸配置及密碼配置,相關命令如下:
防火牆默認是不允許內/外網用戶通過遠程登陸或WEB訪問的,需要相應得開啟功能。
1、firewall(config)#telnet 192.168.10.0 255.255.255.0 inside 允許內網此網斷內的機器Telnet到防火牆
2、配置從外網遠程登陸到防火牆
Firewall(config)#domain-name cisco.com
firewall(config)# crypto key generate rsa
firewall(config)#ssh 0.0.0.0 0.0.0.0 outside
3、允許外網所有地址可以遠程登錄防火牆,也可以定義一格具體的地址可以從外網登陸到防火牆上,如:
firewall(config)#ssh 218.240.6.81 255.255.255.255 outside
firewall(config)#enable password cisco
4、由用戶模式進入特權模式的口令
firewall(config)#passrd cisco
5、ssh遠程登陸時用的口令
firewall(config)#username Cisco password Cisco
6、Web登陸時用到的用戶名
firewall(config)#http enable
7、打開http允許內網10網斷通過http訪問防火牆
firewall(config)#http 192.168.10.0 255.255.255.0 inside
firewall(config)#pdm enable
firewall(config)#pdm location 192.168.10.0 255.255.255.0 inside
8、web登陸方式:https://172.16.1.1

Ⅱ 思科路由器怎麼關閉防火牆命令

樓主說的路由器如果是Cisco路由器用命令為:iptable(空格)-F 就可以關閉,如果是類似TP-link的路由器則其中有一項為「路由器選項」的菜單把裡面的路由出防控之類的(好像是記不清了)閉關就可以了,如果是50元左右的應該不帶此功能。希望能對樓主有幫助。

Ⅲ cisco asa防火牆關機命令是什麼

沒有關機命令。

  1. 不過有重新載入配置的命令,相當於重啟。

  2. 命令:reload

CISCO分為三種模式 :
1、用戶模式,提示符:SWITHC>和ROUTER> 只能進行一些簡單的查詢工作, 輸入命令:enable進入特權模式。
2、特權模式,提示符:SWITHC#和ROUTER#相對於用戶模式它所能查詢的功能要強大很多,例如,查看埠,查看協議等等 輸入configure terminal 進入全局模式。
3、全局模式,此模式下擁有完全的許可權,可以根據CISCO設備進行相應的設置。

Ⅳ CISCO防火牆配置及詳細介紹

在眾多的企業級主流防火牆中,cisco pix防火牆是所有同類產品性能最好的一種。cisco pix系列防火牆目前有5種型號pix506,515,520,525,535。其中pix535是pix 500系列中最新,功能也是最強大的一款。它可以提供運營商級別的處理能力,適用於大型的isp等服務提供商。但是pix特有的os操作系統,使得大多數管理是通過命令行來實現的,不象其他同類的防火牆通過web管理界面來進行網路管理,這樣會給初學者帶來不便。本文將通過實例介紹如何配置cisco pix防火牆。

在配置pix防火牆之前,先來介紹一下防火牆的物理特性。防火牆通常具有至少3個介面,但許多早期的防火牆只具有2個介面;當使用具有3個介面的防火牆時,就至少產生了3個網路,描述如下:

�0�3 內部區域(內網)。 內部區域通常就是指企業內部網路或者是企業內部網路的一部分。它是互連網路的信任區域,即受到了防火牆的保護。

�0�3 外部區域(外網)。 外部區域通常指internet或者非企業內部網路。它是互連網路中不被信任的區域,當外部區域想要訪問內部區域的主機和服務,通過防火牆,就可以實現有限制的訪問。

�0�3 停火區(dmz)。 停火區是一個隔離的網路,或幾個網路。位於停火區中的主機或伺服器被稱為堡壘主機。一般在停火區內可以放置web伺服器,mail伺服器等。停火區對於外部用戶通常是可以訪問的,這種方式讓外部用戶可以訪問企業的公開信息,但卻不允許他們訪問企業內部網路。注意:2個介面的防火牆是沒有停火區的。

由於pix535在企業級別不具有普遍性,因此下面主要說明pix525在企業網路中的應用。

pix防火牆提供4種管理訪問模式:

非特權模式。 pix防火牆開機自檢後,就是處於這種模式。系統顯示為pixfirewall>

特權模式。 輸入enable進入特權模式,可以改變當前配置。顯示為pixfirewall#

配置模式。 輸入configure terminal進入此模式,絕大部分的系統配置都在這里進行。顯示為pixfirewall(config)#

監視模式。 pix防火牆在開機或重啟過程中,按住escape鍵或發送一個「break」字元,進入監視模式。這里可以更新操作系統映象和口令恢復。顯示為monitor>

配置pix防火牆有6個基本命令:nameif,interface,ip address,nat,global,route.

這些命令在配置pix是必須的。以下是配置的基本步驟:

1. 配置防火牆介面的名字,並指定安全級別(nameif)。

pix525(config)#nameif ethernet0 outside security0

pix525(config)#nameif ethernet1 inside security100

pix525(config)#nameif dmz security50

提示:在預設配置中,乙太網0被命名為外部介面(outside),安全級別是0;乙太網1被命名為內部介面(inside),安全級別是100.安全級別取值范圍為1~99,數字越大安全級別越高。若添加新的介面,語句可以這樣寫:

pix525(config)#nameif pix/intf3 security40 (安全級別任取)

2. 配置以太口參數(interface)

pix525(config)#interface ethernet0 auto(auto選項表明系統自適應網卡類型 )

pix525(config)#interface ethernet1 100full(100full選項表示100mbit/s乙太網全雙工通信 )

pix525(config)#interface ethernet1 100full shutdown (shutdown選項表示關閉這個介面,若啟用介面去掉shutdown )

3. 配置內外網卡的ip地址(ip address)

pix525(config)#ip address outside 61.144.51.42 255.255.255.248

pix525(config)#ip address inside 192.168.0.1 255.255.255.0

很明顯,pix525防火牆在外網的ip地址是61.144.51.42,內網ip地址是192.168.0.1

4. 指定要進行轉換的內部地址(nat)

網路地址翻譯(nat)作用是將內網的私有ip轉換為外網的公有ip.nat命令總是與global命令一起使用,這是因為nat命令可以指定一台主機或一段范圍的主機訪問外網,訪問外網時需要利用global所指定的地址池進行對外訪問。nat命令配置語法:nat (if_name) nat_id local_ip [netmark]

其中(if_name)表示內網介面名字,例如inside. nat_id用來標識全局地址池,使它與其相應的global命令相匹配,local_ip表示內網被分配的ip地址。例如0.0.0.0表示內網所有主機可以對外訪問。[netmark]表示內網ip地址的子網掩碼。

例1.pix525(config)#nat (inside) 1 0 0

表示啟用nat,內網的所有主機都可以訪問外網,用0可以代表0.0.0.0

例2.pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0

表示只有172.16.5.0這個網段內的主機可以訪問外網。

5. 指定外部地址范圍(global)

global命令把內網的ip地址翻譯成外網的ip地址或一段地址范圍。global命令的配置語法:global (if_name) nat_id ip_address-ip_address [netmark global_mask]

其中(if_name)表示外網介面名字,例如outside.。nat_id用來標識全局地址池,使它與其相應的nat命令相匹配,ip_address-ip_address表示翻譯後的單個ip地址或一段ip地址范圍。[netmark global_mask]表示全局ip地址的網路掩碼。

例1. pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48

表示內網的主機通過pix防火牆要訪問外網時,pix防火牆將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網的主機分配一個全局ip地址。

例2. pix525(config)#global (outside) 1 61.144.51.42

表示內網要訪問外網時,pix防火牆將為訪問外網的所有主機統一使用61.144.51.42這個單一ip地址。

例3. pix525(config)#no global (outside) 1 61.144.51.42

表示刪除這個全局表項。

6. 設置指向內網和外網的靜態路由(route)

定義一條靜態路由。route命令配置語法:route (if_name) 0 0 gateway_ip [metric]

其中(if_name)表示介面名字,例如inside,outside。gateway_ip表示網關路由器的ip地址。[metric]表示到gateway_ip的跳數。通常預設是1。

例1. pix525(config)#route outside 0 0 61.144.51.168 1

表示一條指向邊界路由器(ip地址61.144.51.168)的預設路由。

例2. pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1

pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1

如果內部網路只有一個網段,按照例1那樣設置一條預設路由即可;如果內部存在多個網路,需要配置一條以上的靜態路由。上面那條命令表示創建了一條到網路10.1.1.0的靜態路由,靜態路由的下一條路由器ip地址是172.16.0.1

這6個基本命令若理解了,就可以進入到pix防火牆的一些高級配置了。

a. 配置靜態ip地址翻譯(static)

如果從外網發起一個會話,會話的目的地址是一個內網的ip地址,static就把內部地址翻譯成一個指定的全局地址,允許這個會話建立。static命令配置語法:static (internal_if_name,external_if_name) outside_ip_address inside_ ip_address 其中internal_if_name表示內部網路介面,安全級別較高。如inside. external_if_name為外部網路介面,安全級別較低。如outside等。outside_ip_address為正在訪問的較低安全級別的介面上的ip地址。inside_ ip_address為內部網路的本地ip地址。

例1. pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8

表示ip地址為192.168.0.8的主機,對於通過pix防火牆建立的每個會話,都被翻譯成61.144.51.62這個全局地址,也可以理解成static命令創建了內部ip地址192.168.0.8和外部ip地址61.144.51.62之間的靜態映射。

例2. pix525(config)#static (inside, outside) 192.168.0.2 10.0.1.3

例3. pix525(config)#static (dmz, outside) 211.48.16.2 172.16.10.8

注釋同例1。通過以上幾個例子說明使用static命令可以讓我們為一個特定的內部ip地址設置一個永久的全局ip地址。這樣就能夠為具有較低安全級別的指定介面創建一個入口,使它們可以進入到具有較高安全級別的指定介面。

b. 管道命令(conit)

前面講過使用static命令可以在一個本地ip地址和一個全局ip地址之間創建了一個靜態映射,但從外部到內部介面的連接仍然會被pix防火牆的自適應安全演算法(asa)阻擋,conit命令用來允許數據流從具有較低安全級別的介面流向具有較高安全級別的介面,例如允許從外部到dmz或內部介面的入方向的會話。對於向內部介面的連接,static和conit命令將一起使用,來指定會話的建立。

conit命令配置語法:

conit permit | deny global_ip port[-port] protocol foreign_ip [netmask]

permit | deny 允許 | 拒絕訪問

global_ip 指的是先前由global或static命令定義的全局ip地址,如果global_ip為0,就用any代替0;如果global_ip是一台主機,就用host命令參數。

port 指的是服務所作用的埠,例如www使用80,smtp使用25等等,我們可以通過服務名稱或埠數字來指定埠。

protocol 指的是連接協議,比如:tcp、udp、icmp等。

foreign_ip 表示可訪問global_ip的外部ip。對於任意主機,可以用any表示。如果foreign_ip是一台主機,就用host命令參數。

例1. pix525(config)#conit permit tcp host 192.168.0.8 eq www any

這個例子表示允許任何外部主機對全局地址192.168.0.8的這台主機進行http訪問。其中使用eq和一個埠來允許或拒絕對這個埠的訪問。eq ftp 就是指允許或拒絕只對ftp的訪問。

例2. pix525(config)#conit deny tcp any eq ftp host 61.144.51.89

表示不允許外部主機61.144.51.89對任何全局地址進行ftp訪問。

例3. pix525(config)#conit permit icmp any any

表示允許icmp消息向內部和外部通過。

例4. pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.3

pix525(config)#conit permit tcp host 61.144.51.62 eq www any

這個例子說明static和conit的關系。192.168.0.3在內網是一台web伺服器,現在希望外網的用戶能夠通過pix防火牆得到web服務。所以先做static靜態映射:192.168.0.3->61.144.51.62(全局),然後利用conit命令允許任何外部主機對全局地址61.144.51.62進行http訪問。

c. 配置fixup協議

fixup命令作用是啟用,禁止,改變一個服務或協議通過pix防火牆,由fixup命令指定的埠是pix防火牆要偵聽的服務。見下面例子:

例1. pix525(config)#fixup protocol ftp 21

啟用ftp協議,並指定ftp的埠號為21

例2. pix525(config)#fixup protocol http 80

pix525(config)#fixup protocol http 1080

為http協議指定80和1080兩個埠。

例3. pix525(config)#no fixup protocol smtp 80

禁用smtp協議。

d. 設置telnet

telnet有一個版本的變化。在pix os 5.0(pix操作系統的版本號)之前,只能從內部網路上的主機通過telnet訪問pix。在pix os 5.0及後續版本中,可以在所有的介面上啟用telnet到pix的訪問。當從外部介面要telnet到pix防火牆時,telnet數據流需要用ipsec提供保護,也就是說用戶必須配置pix來建立一條到另外一台pix,路由器或vpn客戶端的ipsec隧道。另外就是在pix上配置ssh,然後用ssh client從外部telnet到pix防火牆,pix支持ssh1和ssh2,不過ssh1是免費軟體,ssh2是商業軟體。相比之下cisco路由器的telnet就作的不怎麼樣了。

telnet配置語法:telnet local_ip [netmask]

local_ip 表示被授權通過telnet訪問到pix的ip地址。如果不設此項,pix的配置方式只能由console進行。

說了這么多,下面給出一個配置實例供大家參考。

welcome to the pix firewall

type help or 』?』 for a list of available commands.

pix525> en

password:

pix525#sh config

: saved

:

pix version 6.0(1) ------ pix當前的操作系統版本為6.0

nameif ethernet0 outside security0

nameif ethernet1 inside security100 ------ 顯示目前pix只有2個介面

enable password 7y051hhccoirtsqz encrypted

passed 7y051hhccoirtsqz encrypted ------ pix防火牆密碼在默認狀態下已被加密,在配置文件中不會以明文顯示,telnet 密碼預設為cisco

hostname pix525 ------ 主機名稱為pix525

domain-name 123.com ------ 本地的一個域名伺服器123.com,通常用作為外部訪問

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060 ------ 當前啟用的一些服務或協議,注意rsh服務是不能改變埠號

names ------ 解析本地主機名到ip地址,在配置中可以用名字代替ip地址,當前沒有設置,所以列表為空

pager lines 24 ------ 每24行一分頁

interface ethernet0 auto

interface ethernet1 auto ------ 設置兩個網卡的類型為自適應

mtu outside 1500

mtu inside 1500 ------ 乙太網標準的mtu長度為1500位元組

ip address outside 61.144.51.42 255.255.255.248

ip address inside 192.168.0.1 255.255.255.0 ------ pix外網的ip地址61.144.51.42,內網的ip地址192.168.0.1

ip audit info action alarm

ip audit attack action alarm ------ pix入侵檢測的2個命令。當有數據包具有攻擊或報告型特徵碼時,pix將採取報警動作(預設動作),向指定的日誌記錄主機產生系統日誌消息;此外還可以作出丟棄數據包和發出tcp連接復位信號等動作,需另外配置。

pdm history enable ------ pix設備管理器可以圖形化的監視pix

arp timeout 14400 ------ arp表的超時時間

global (outside) 1 61.144.51.46 ------ 如果你訪問外部論壇或用qq聊天等等,上面顯示的ip就是這個

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

static (inside, outside) 61.144.51.43 192.168.0.8 netmask 255.255.255.255 0 0

conit permit icmp any any

conit permit tcp host 61.144.51.43 eq www any

conit permit udp host 61.144.51.43 eq domain any

------ 用61.144.51.43這個ip地址提供domain-name服務,而且只允許外部用戶訪問domain的udp埠

route outside 0.0.0.0 0.0.0.0 61.144.51.61 1 ------ 外部網關61.144.51.61

timeout xlate 3:00:00 ------ 某個內部設備向外部發出的ip包經過翻譯(global)後,在預設3個小時之後此數據包若沒有活動,此前創建的表項將從翻譯表中刪除,釋放該設備佔用的全局地址

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute ------ aaa認證的超時時間,absolute表示連續運行uauth定時器,用戶超時後,將強制重新認證

aaa-server tacacs+ protocol tacacs+

aaa-server radius protocol radius ------ aaa伺服器的兩種協議。aaa是指認證,授權,審計。pix防火牆可以通過aaa伺服器增加內部網路的安全

no snmp-server location

no snmp-server contact

snmp-server community public ------ 由於沒有設置snmp工作站,也就沒有snmp工作站的位置和聯系人

no snmp-server enable traps ------ 發送snmp陷阱

floodguard enable ------ 防止有人偽造大量認證請求,將pix的aaa資源用完

no sysopt route dnat

telnet timeout 5

ssh timeout 5 ------ 使用ssh訪問pix的超時時間

terminal width 80

cryptochecksum:

pix525#

pix525#write memory ------ 將配置保存

上面這個配置實例需要說明一下,pix防火牆直接擺在了與internet介面處,此處網路環境有十幾個公有ip,可能會有朋友問如果我的公有ip很有限怎麼辦?你可以添加router放在pix的前面,或者global使用單一ip地址,和外部介面的ip地址相同即可。另外有幾個維護命令也很有用,show interface查看埠狀態,show static查看靜態地址映射,show ip查看介面ip地址,ping outside | inside ip_address確定連通性。

Ⅳ 思科防火牆中「plex full命令「是什麼意思

思科防火牆中「plex full命令「是什麼意思:

FullDuplex,網卡的工作模式「全雙工」的意思。

全雙工模式是通訊傳輸的一個術語。

通信允許數據在兩個方向上同時傳輸,它在能力上相當於兩個單工通信方式的結合。

全雙工指可以同時(瞬時)進行信號的雙向傳輸(A→B且B→A)。

指A→B的同時B→A,是瞬時同步的。單工就是在只允許甲方向乙方傳送信息,而乙方不能向甲方傳送 。

半雙工模式,所謂半雙工就是指一個時間段內只有一個動作發生。

早期的對講機、以及早期集線器等設備都是基於半雙工的產品。

Ⅵ 求一份CISCO防火牆的配置命令,最好有圖。最好有show run過的圖的

ASA5520#sh run
: Saved
:
ASA Version 7.2(4)
!
hostname ASA5520
domain-name default.domain.invalid
enable password 2KFQnbNIdI.2KYOU encrypted
passwd cisco encrypted
names
!
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 211.220.10.310 255.255.255.248
!
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 192.168.7.1 255.255.255.0
!
interface GigabitEthernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/3
shutdown
no nameif
no security-level
no ip address
!!
interface Management0/0
shutdown
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
dns server-group DefaultDNS
domain-name default.domain.invalid
access-list 101 extended permit icmp any any
access-list inside_nat0_outbound extended permit ip any 192.168.7.224 255.255.255.224
pager lines 24
logging asdm informational
mtu management 1500
mtu outside 1500
mtu inside 1500
ip local pool cisco123 192.168.7.230-192.168.7.250 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-524.bin
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 0.0.0.0 0.0.0.0
access-group 101 in interface outside
route outside 0.0.0.0 0.0.0.0 122.200.90.209 1
route inside 192.168.10.0 255.255.255.0 192.168.7.2 1
route inside 192.168.20.0 255.255.255.0 192.168.7.2 1
route inside 192.168.30.0 255.255.255.0 192.168.7.2 1
route inside 192.168.40.0 255.255.255.0 192.168.7.2 1
route inside 192.168.50.0 255.255.255.0 192.168.7.2 1
route inside 192.168.60.0 255.255.255.0 192.168.7.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
http server enable
http 0.0.0.0 0.0.0.0 inside
http 0.0.0.0 0.0.0.0 outside
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map outside_dyn_map 20 set pfs group1
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-SHA
crypto dynamic-map outside_dyn_map 40 set pfs group1
crypto dynamic-map outside_dyn_map 40 set transform-set ESP-3DES-SHA
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86200
telnet 0.0.0.0 0.0.0.0 inside
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 outside
ssh 0.0.0.0 0.0.0.0 inside
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!group-policy cisco123 internal
group-policy cisco123 attributes
vpn-tunnel-protocol IPSec
username cisco123 password ffIRPGpDSOJh9YLq encrypted privilege 0
username cisco123 attributes
vpn-group-policy cisco123
username cisco password 3USUcOPFUiMCO4Jk encrypted
tunnel-group cisco123 type ipsec-ra
tunnel-group cisco123 general-attributes
address-pool cisco123
default-group-policy cisco123
tunnel-group cisco123 ipsec-attributes
pre-shared-key *
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:
: end

Ⅶ Cisco 防火牆中的name 命令是干什麼用的 有什麼作用嗎

可以把ip地址進行文字命名,可以在acl里調用的時候用命名來代替地址,比如
name 1.1.1.1(地址) test(對該地址命名) description XXX(對該命名的描述)

然後ACL里只需要在寫地址的地方寫上test這個名字就行了

Ⅷ cisco防火牆配置的基本配置是什麼

設置介面名稱,並指定安全級別,安全級別取值范圍為1~100,數字越大安全級別越高。
使用命令:

PIX525(config)#

PIX525(config)#

PIX525(config)#nameifethernet2dmzsecurity50

配置網路介面的IP地址

指定公網地址范圍:定義地址池。

Global命令的配置語法:

global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]

Ⅸ cisco防火牆配置的基本配置

激活以太埠必須用enable進入,然後進入configure模式
PIX525>enable
Password:
PIX525#config t
PIX525(config)#interface ethernet0 auto
PIX525(config)#interface ethernet1 auto
在默認情況下ethernet0是屬外部網卡outside, ethernet1是屬內部網卡inside,
inside在初始化配置成功的情況下已經被激活生效了,但是outside必須命令配置激活。 採用命令nameif
PIX525(config)#nameif ethernet0 outside security0
security100
security0是外部埠outside的安全級別(100安全級別最高)
security100是內部埠inside的安全級別,如果中間還有以太口,則security10,security20等等命名,多個網卡組成多個網路,一般情況下增加一個以太口作為DMZ(Demilitarized Zones非武裝區域)。 採用命令為:ip address
如:內部網路為:192.168.1.0 255.255.255.0
外部網路為:222.20.16.0 255.255.255.0
PIX525(config)#ip address inside 192.168.1.1 255.255.255.0
PIX525(config)#ip address outside 222.20.16.1 255.255.255.0 在默然情況下,PIX的以太埠是不允許telnet的,這一點與路由器有區別。Inside埠可以做telnet就能用了,但outside埠還跟一些安全配置有關。
PIX525(config)#telnet 192.168.1.1 255.255.255.0 inside
PIX525(config)#telnet 222.20.16.1 255.255.255.0 outside
測試telnet
在[開始]->[運行]
telnet 192.168.1.1
PIX passwd:
輸入密碼:cisco 此功能與Cisco IOS基本上是相似的,也是Firewall的主要部分,有permit和deny兩個功能,網路協議一般有IP|TCP|UDP|ICMP等等,如:只允許訪問主機:222.20.16.254的www,埠為:80
PIX525(config)#access-list 100permit ip any host 222.20.16.254 eq www
deny ip any any
PIX525(config)#access-group 100 in interface outside NAT跟路由器基本是一樣的,
首先必須定義IP Pool,提供給內部IP地址轉換的地址段,接著定義內部網段。
PIX525(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0
PIX525(config)#nat (inside) 1 192.168.0.0 255.255.255.0
如果是內部全部地址都可以轉換出去則:
PIX525(config)#nat (inside) 1 0.0.0.0 0.0.0.0
則某些情況下,外部地址是很有限的,有些主機必須單獨佔用一個IP地址,必須解決的是公用一個外部IP(222.20.16.201),則必須多配置一條命令,這種稱為(PAT),這樣就能解決更多用戶同時共享一個IP,有點像代理伺服器一樣的功能。配置如下:
PIX525(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0
PIX525(config)#global (outside) 1 222.20.16.201 netmask
255.255.255.0
PIX525(config)#nat (inside) 1 0.0.0.0 0.0.0.0 在內部網路,為了維護的集中管理和充分利用有限IP地址,都會啟用動態主機分配IP地址伺服器(DHCP Server),Cisco Firewall PIX都具有這種功能,下面簡單配置DHCP Server,地址段為192.168.1.100—192.168.1.200
DNS: 主202.96.128.68 備202.96.144.47
主域名稱:
DHCP Client 通過PIX Firewall
PIX525(config)#ip address dhcp
DHCP Server配置
PIX525(config)#dhcpd address 192.168.1.100-192.168.1.200
inside
PIX525(config)#dhcp dns 202.96.128.68 202.96.144.47
PIX525(config)#dhcp domain 靜態埠重定向(Port Redirection with Statics)
在PIX 版本6.0以上,增加了埠重定向的功能,允許外部用戶通過一個特殊的IP地址/埠通過Firewall PIX
傳輸到內部指定的內部伺服器。這種功能也就是可以發布內部WWW、FTP、Mail等伺服器了,這種方式並不是直接連接,而是通過埠重定向,使得內部伺服器很安全。
命令格式:
static
[(internal_if_name,external_if_name)]{global_ip|interface}
local_ip
[netmask
mask][max_cons[max_cons[emb_limit[norandomseq]]]
static
[(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface}
local_ip
[netmask
mask][max_cons[max_cons[emb_limit[norandomseq]]]
!----外部用戶直接訪問地址222.20.16.99
telnet埠,通過PIX重定向到內部主機192.168.1.99的telnet埠(23)。
PIX525(config)#static (inside,outside) tcp 222.20.16.99
telnet 192.168.1.99 telnet netmask 255.255.255.255 0 0
!----外部用戶直接訪問地址222.20.16.99
FTP,通過PIX重定向到內部192.168.1.3的FTP Server。
PIX525(config)#static (inside,outside) tcp 222.20.16.99
ftp 192.168.1.3 ftp netmask 255.255.255.255 0 0
!----外部用戶直接訪問地址222.20.16.208
www(即80埠),通過PIX重定向到內部192.168.123的主機的www(即80埠)。
www 192.168.1.2 www netmask 255.255.255.255 0 0
!----外部用戶直接訪問地址222.20.16.201
HTTP(8080埠),通過PIX重定向到內部192.168.1.4的主機的www(即80埠)。
8080 192.168.1.4 www netmask 255.255.255.255 0 0
!----外部用戶直接訪問地址222.20.16.5
smtp(25埠),通過PIX重定向到內部192.168.1.5的郵件主機的smtp(即25埠)
smtp 192.168.1.4 smtp netmask 255.255.255.255 0 0 顯示命令show config
保存命令write memory

Ⅹ Cisco ASA 防火牆 erase 和clear兩個命令有何區別

如果用clear命令的話,直接clear
con
all刪除現有的配置。然後再write一下就能清空以前的配置
重啟之後就沒有配置了。erase
好像是針對startup-config或則running-config進行刪除吧!
查看原帖>>

閱讀全文

與cisco防火牆命令相關的資料

熱點內容
安卓數據線為什麼會發熱 瀏覽:29
武林盟私密紀事txt百度雲 瀏覽:207
生孩子的片 瀏覽:491
韓國19禁電影大全 瀏覽:979
cad加密圖紙怎麼解鎖 瀏覽:170
免費爽文有聲小說 瀏覽:681
穿越古代巨肉的yy小說 瀏覽:81
貓眼電影實時票房 瀏覽:576
六七十年代科研強國文 瀏覽:408
霸道王子絕對命令全集 瀏覽:309
能在線看的網站 瀏覽:207
自動編譯設置java前端 瀏覽:903
找一本主角叫蘇晨的小說 瀏覽:847
壓縮包多長時間能解壓 瀏覽:370
小說男主叫江宴女主叫溫暖 瀏覽:455
有一部小說主角叫唐糖 瀏覽:302
找一部小說主角叫陸宇 瀏覽:402
受重生悔過的小說 瀏覽:959
單片機顯示模塊電路 瀏覽:305
交換老婆系列小說 瀏覽:280