查看思科防火牆配置命令

A. 思科防火牆SSH接入配置

這兩條命令都是相同的，都是為了允許特定IP地址通過SSH登錄防火牆第二行的兩個0其實有意義的只是第二個0，第二個0是掩碼在掩碼中，0表示忽略，1表示匹配。第二行中把掩碼配成了0.0.0.0也就是忽略所有的，即不管第一個0寫成什麼都不會有影響。總的來說就是「表示任何外部主機都能通過SSH訪問outside介面」

B. 思科防火牆asa5510配置說明誰有

CISCO ASA 基本配置
ciscoasa#conf t 進入全局模式
ciscoasa(config)# hostname cisco 命名
ciscoasa(config)# show running-config 查看當前配置

ciscoasa(config)# show startup-config 查看保存配置

ciscoasa(config)# run star 保存配置

ciscoasa(config)# wr 也可保存配置
刪除配置，可在怎麼配置的前面加NO 就可以
clear config all
write earse
記得 再reload

全部刪除你可以用一下他裡面的clear 命令。注意別把系統給刪除了。

CISCO ASA5510 telnet 配置

ASA5510 telnet 配置及用戶名和密碼配置
telnet 192.168.0.0 255.255.0.0 inside （准許內網IP TELNET到防火牆）
telnet 192.168.1.2 255.255.255.0 inside （准許內網IP 192.168.1.2 TELNET到防火牆）
telnet 0.0.0.0 0.0.0.0 inside 登錄任何地址都可以通過INSIDE 介面TELNET
telnet 0.0.0.0 0.0.0.0 outside 登錄任何地址都可以通過outside 介面TELNET
telnet timeout 5

TELNET 用戶名和密碼配置
#usename name CISCO password //設置登入的帳號和密碼
#aaa authentication telnet console LOCAL //設置AAA驗證方式。 此處為LOCAL本地。也可以用AAA伺服器進入驗證。
#telnet 0.0.0.0 0.0.0.0 inside //哪些地址可telnet進此介面
#telnet timeout 10 //超時時長，以分鍾為單位

CISCO ASA5510埠限速

拓撲圖如下：

限速配置如下：
access-list rate_limit_1 extended permit ip any host 192.168.1.2 //(限制192.168.1.2下載)
access-list rate_limit_1 extended permit ip host 192.168.1.2 any //(限制192.168.1.2上傳)
access-list rate_limit_2 extended permit ip any host 192.168.1.3 //(限制192.168.1.3下載)
access-list rate_limit_2 extended permit ip host 192.168.1.3 any //(限制192.168.1.3上傳)

class-map rate_limit_1
match access-list rate_limit_1
exit
class-map rate_limit_2
match access-list rate_limit_2
exit

policy-map rate_limit
class rate_limit_1
police input 819000 4368000 //(限制192.168.1.2上傳速度為99K/S)
police output 819000 4368000 //(限制192.168.1.2下載速度為99K/S)
class rate_limit_2
police input 819000 4368000 //(限制192.168.1.3上傳速度為99K/S)
police output 819000 4368000 //(限制192.168.1.3上傳速度為99K/S)
exit
exit

service-policy rate_limit interface inside //(應用到介面上)

註：由於是根據單個IP限制速度，所以ACL要寫成一個IP兩句ACL，一個匹配上傳，另一個匹配下載。要是所有IP都寫在一個ACL里，那麼是限制所有IP的共用這99K/s。一定要寫不同的ACL。
police input 819000 4368000 前一個819000速度是基本速率，後一個4368000是突發速率，突發速率可以根據自己來定義(我認為)。

CISCO ASA5510埠映射。

現在要讓內網192.168.1.2的3389埠映射成外網220.178.36.156的3389埠
要把內網192.168.1.3 的4435埠映射成外網220.178.36.156的4435埠

static (inside,outside) tcp interface 3389 192.168.1.2 3389 netmask 255.255.255.255
static (inside,outside) tcp interface 4435 192.168.1.3 4435 netmask 255.255.255.255

access-list outside-inside extended permit tcp any interface outside eq 3389
access-list outside-inside extended permit tcp any interface outside eq 4435
access-group outside-inside in interface outside

語法：Ciscoasa(config)#access-list list-name extended permit tcp/udp any hsot outside_address eq port_num
list_name:訪問控制列表名稱
tcp/udp:需要映射的協議類型
port_num:需要映射的埠號
Ciscoasa(config)#static (inside,outside) tcp/udp interface port_num local_address port_num netmask 255.255.255.255
Tcp/udp:需要映射的協議類型
port_num：映射前的埠號
local_address：映射後的內網主機IP地址
port_num：映射後的埠號
例如：Ciscoasa(config)#access-list 100 extended permit tcp any host 219.139.*.* eq 80
允許外網訪問219.139.*.*的tcp 80埠
Ciscoasa(config)#static (inside,outside) tcp interface 80 192.168.16.254 80 netmask 255.255.255.255
外網訪問218.21.217.162的tcp 80埠時啟用靜態PAT映射到內網192.168.16.254的tcp 80埠
Ciscoasa(config)#access-group 100 in intercae outside per-user-override
訪問必須調用ACL
備注如果，只是需要將內網一個伺服器映射到公網可以這樣做
ciscoasa(config)#static (inside, outside) 219.139.*.* 192.168.16.254
ciscoasa(config)#static (inside, outside) 219.139.*.* 192.168.16.254 10000 10 //後面的10000為限制連接數，10為限制的半開連接數。

CISCO ASA 5510 PAT 配置

ciscoasa# conf t 進入全局配置模式
ciscoasa(config)# hostname gametuzi 命名
gametuzi(config)# hostname gametuzi5510 新的名字
gametuzi5510(config)# int e0/0 進入E0/0 介面
gametuzi5510(config-if)# security-level 0 配置安全級別 因為是外部介面，安全級別為最高

gametuzi5510(config-if)# nameif outside 命名介面為外部介面
gametuzi5510(config-if)# ip address 192.168.3.234 255.255.255.0 添加IP地址
gametuzi5510(config-if)# no shu 啟動埠
gametuzi5510(config-if)# end
gametuzi5510# conf t
gametuzi5510(config)# int e0/1 進入E0/1介面
gametuzi5510(config-if)# security-level 100 設置內部安全級別為100
gametuzi5510(config-if)# nameif inside 命名內部網路
gametuzi5510(config-if)# ip address 10.1.1.1 255.255.0.0 添加IP地址
gametuzi5510(config-if)# no shu
gametuzi5510(config-if)# end
gametuzi5510# conf t
gametuzi5510(config)# global (outside) 1 interface PAT地址轉換！
gametuzi5510(config)# end
gametuzi5510# conf t
gametuzi5510(config)# route outside 0.0.0.0 0.0.0.0 192.168.3.254 默認路由 訪問所有外部地址從192.168.3.254 流出。

gametuzi5510(config)# nat (inside) 1 10.1.0.0 255.255.0.0 內部地址轉換 10.1.0.0 網段

CISCO ASA5510 DHCP 配置
gametuzi5510(config)# dhcpd address 10.1.1.20-10.1.1.150 inside 配置DHCP 可分配網段，並標識為內部介面

gametuzi5510(config)# dhcpd dns 192.168.0.1 添加DNS解析伺服器地址

gametuzi5510(config)# dhcpd domain gametuzi 域名

gametuzi5510(config)# dhcpd enable inside 啟動內部DHCP服務

gametuzi5510(config)# end

gametuzi5510# wr 保存配置

gametuzi5510(config)# access-list icmp_in extended permit icmp any any 潤許PING協議轉發

gametuzi5510(config)# access-group icmp_in in interface outside潤許PING協議轉發

gametuzi5510(config)# end

gametuzi5510# wr

Building configuration...

Cryptochecksum: 32d3d557 0d55d4a3 a1a7fa13 76667f5f

1889 bytes copied in 3.640 secs (629 bytes/sec)

[OK]

C. 求一份CISCO防火牆的配置命令，最好有圖。最好有show run過的圖的

ASA5520#sh run
: Saved
:
ASA Version 7.2(4)
!
hostname ASA5520
domain-name default.domain.invalid
enable password 2KFQnbNIdI.2KYOU encrypted
passwd cisco encrypted
names
!
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 211.220.10.310 255.255.255.248
!
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 192.168.7.1 255.255.255.0
!
interface GigabitEthernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/3
shutdown
no nameif
no security-level
no ip address
!!
interface Management0/0
shutdown
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
ftp mode passive
dns server-group DefaultDNS
domain-name default.domain.invalid
access-list 101 extended permit icmp any any
access-list inside_nat0_outbound extended permit ip any 192.168.7.224 255.255.255.224
pager lines 24
logging asdm informational
mtu management 1500
mtu outside 1500
mtu inside 1500
ip local pool cisco123 192.168.7.230-192.168.7.250 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm image disk0:/asdm-524.bin
no asdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 0.0.0.0 0.0.0.0
access-group 101 in interface outside
route outside 0.0.0.0 0.0.0.0 122.200.90.209 1
route inside 192.168.10.0 255.255.255.0 192.168.7.2 1
route inside 192.168.20.0 255.255.255.0 192.168.7.2 1
route inside 192.168.30.0 255.255.255.0 192.168.7.2 1
route inside 192.168.40.0 255.255.255.0 192.168.7.2 1
route inside 192.168.50.0 255.255.255.0 192.168.7.2 1
route inside 192.168.60.0 255.255.255.0 192.168.7.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
http server enable
http 0.0.0.0 0.0.0.0 inside
http 0.0.0.0 0.0.0.0 outside
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map outside_dyn_map 20 set pfs group1
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-SHA
crypto dynamic-map outside_dyn_map 40 set pfs group1
crypto dynamic-map outside_dyn_map 40 set transform-set ESP-3DES-SHA
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86200
telnet 0.0.0.0 0.0.0.0 inside
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 outside
ssh 0.0.0.0 0.0.0.0 inside
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd enable management
!group-policy cisco123 internal
group-policy cisco123 attributes
vpn-tunnel-protocol IPSec
username cisco123 password ffIRPGpDSOJh9YLq encrypted privilege 0
username cisco123 attributes
vpn-group-policy cisco123
username cisco password 3USUcOPFUiMCO4Jk encrypted
tunnel-group cisco123 type ipsec-ra
tunnel-group cisco123 general-attributes
address-pool cisco123
default-group-policy cisco123
tunnel-group cisco123 ipsec-attributes
pre-shared-key *
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:
: end

D. Cisco PIX防火牆配置命令

Cisco PIX防火牆配置命令大全
show ip；查看介面ip地址。 show config；查看配置信息。 show run；顯示當前配置信息。 writeterminal；將當前配置信息寫到終端。 showcpuusage；顯示CPU利用率，排查故障時常用。 show traffic；查看流量。 show blocks；顯示攔截的數據包。 show mem；顯示內存 13、DHCP服務 PIX具有DHCP服務功能。 例： PIX525(config)#ipaddressdhcp PIX525(config)#dhcpdaddress192.168.1.100-192.168.1.200inside PIX525(config)#dhcpdns202.96.128.68202.96.144.47 PIX525(config)#dhcpdomainabc.com.cn 五、PIX防火牆舉例 設： ethernet0命名為外部介面outside，安全級別是0。 ethernet1被命名為內部介面inside，安全級別100。 ethernet2被命名為中間介面dmz，安全級別50。 PIX525#conft PIX525(config)# PIX525(config)# PIX525(config)#nameifethernet2dmzsecurity50 PIX525(config)#interfaceethernet0auto PIX525(config)#interfaceethernet1100full PIX525(config)#interfaceethernet2100full PIX525(config)#ipaddressoutside133.0.0.1255.255.255.252;設置介面IP PIX525(config)#ipaddressinside10.66.1.200255.255.0.0;設置介面IP PIX525(config)#ipaddressdmz10.65.1.200255.255.0.0;設置介面IP PIX525(config)#global(outside)1133.1.0.1-133.1.0.14;定義的地址池 PIX525(config)#nat(inside)100;00表示所有 PIX525(config)#routeoutside00133.0.0.2;設置默認路由 PIX525(config)#static(dmz，outside)133.1.0.110.65.1.101;靜態NAT PIX525(config)#static(dmz，outside)133.1.0.210.65.1.102;靜態NAT PIX525(config)#static(inside，dmz)10.66.1.20010.66.1.200;靜態NAT PIX525(config)#access-list101permitipanyhost133.1.0.1eqwww;設置ACL PIX525(config)#access-list101permitipanyhost133.1.0.2eqftp;設置ACL PIX525(config)#access-list101denyipanyany;設置ACL PIX525(config)#access-group101ininterfaceoutside;將ACL應用在outside埠 當內部主機訪問外部主機時，通過nat轉換成公網IP，訪問internet。 當內部主機訪問中間區域dmz時，將自己映射成自己訪問伺服器，否則內部主機將會 映射成地址池的IP，到外部去找。 當外部主機訪問中間區域dmz時，對133.0.0.1映射成10.65.1.101，static是雙向的。 PIX的所有埠默認是關閉的，進入PIX要經過acl入口過濾。 靜態路由指示內部的主機和dmz的數據包從outside口出去。進入討論組討論。

E. 思科asa防火牆的靜態pat的命令是什麼 把運營商的網線直接插防火牆上配置那個公網地址

運營商會給你一個IP地址、掩碼和網關，IP地址和掩碼就配置到outside介面，寫條默認路由指向網關：route outside 0.0.0.0 0.0.0.0 x.x.x.x
再配置PAT，命令如下：
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0
內網就可以上網了
以上是8.3以前的版本，你show version查看一下ASA防火牆的版本，要是8.3或8.3以後的版本就不是這個命令了。

F. CISCO防火牆配置及詳細介紹

在眾多的企業級主流防火牆中，cisco pix防火牆是所有同類產品性能最好的一種。cisco pix系列防火牆目前有5種型號pix506，515，520，525，535。其中pix535是pix 500系列中最新，功能也是最強大的一款。它可以提供運營商級別的處理能力，適用於大型的isp等服務提供商。但是pix特有的os操作系統，使得大多數管理是通過命令行來實現的，不象其他同類的防火牆通過web管理界面來進行網路管理，這樣會給初學者帶來不便。本文將通過實例介紹如何配置cisco pix防火牆。

在配置pix防火牆之前，先來介紹一下防火牆的物理特性。防火牆通常具有至少3個介面，但許多早期的防火牆只具有2個介面；當使用具有3個介面的防火牆時，就至少產生了3個網路，描述如下：

�0�3 內部區域（內網）。 內部區域通常就是指企業內部網路或者是企業內部網路的一部分。它是互連網路的信任區域，即受到了防火牆的保護。

�0�3 外部區域（外網）。 外部區域通常指internet或者非企業內部網路。它是互連網路中不被信任的區域，當外部區域想要訪問內部區域的主機和服務，通過防火牆，就可以實現有限制的訪問。

�0�3 停火區（dmz）。 停火區是一個隔離的網路，或幾個網路。位於停火區中的主機或伺服器被稱為堡壘主機。一般在停火區內可以放置web伺服器，mail伺服器等。停火區對於外部用戶通常是可以訪問的，這種方式讓外部用戶可以訪問企業的公開信息，但卻不允許他們訪問企業內部網路。注意：2個介面的防火牆是沒有停火區的。

由於pix535在企業級別不具有普遍性，因此下面主要說明pix525在企業網路中的應用。

pix防火牆提供4種管理訪問模式：

非特權模式。 pix防火牆開機自檢後，就是處於這種模式。系統顯示為pixfirewall>

特權模式。 輸入enable進入特權模式，可以改變當前配置。顯示為pixfirewall#

配置模式。 輸入configure terminal進入此模式，絕大部分的系統配置都在這里進行。顯示為pixfirewall(config)#

監視模式。 pix防火牆在開機或重啟過程中，按住escape鍵或發送一個「break」字元，進入監視模式。這里可以更新操作系統映象和口令恢復。顯示為monitor>

配置pix防火牆有6個基本命令：nameif，interface，ip address，nat，global，route.

這些命令在配置pix是必須的。以下是配置的基本步驟：

1. 配置防火牆介面的名字，並指定安全級別（nameif）。

pix525(config)#nameif ethernet0 outside security0

pix525(config)#nameif ethernet1 inside security100

pix525(config)#nameif dmz security50

提示：在預設配置中，乙太網0被命名為外部介面（outside），安全級別是0；乙太網1被命名為內部介面（inside），安全級別是100.安全級別取值范圍為1～99，數字越大安全級別越高。若添加新的介面，語句可以這樣寫：

pix525(config)#nameif pix/intf3 security40 （安全級別任取）

2. 配置以太口參數（interface）

pix525(config)#interface ethernet0 auto（auto選項表明系統自適應網卡類型 ）

pix525(config)#interface ethernet1 100full（100full選項表示100mbit/s乙太網全雙工通信 ）

pix525(config)#interface ethernet1 100full shutdown （shutdown選項表示關閉這個介面，若啟用介面去掉shutdown ）

3. 配置內外網卡的ip地址（ip address）

pix525(config)#ip address outside 61.144.51.42 255.255.255.248

pix525(config)#ip address inside 192.168.0.1 255.255.255.0

很明顯，pix525防火牆在外網的ip地址是61.144.51.42，內網ip地址是192.168.0.1

4. 指定要進行轉換的內部地址（nat）

網路地址翻譯（nat）作用是將內網的私有ip轉換為外網的公有ip.nat命令總是與global命令一起使用，這是因為nat命令可以指定一台主機或一段范圍的主機訪問外網，訪問外網時需要利用global所指定的地址池進行對外訪問。nat命令配置語法：nat (if_name) nat_id local_ip [netmark]

其中（if_name）表示內網介面名字，例如inside. nat_id用來標識全局地址池，使它與其相應的global命令相匹配，local_ip表示內網被分配的ip地址。例如0.0.0.0表示內網所有主機可以對外訪問。[netmark]表示內網ip地址的子網掩碼。

例1．pix525(config)#nat (inside) 1 0 0

表示啟用nat,內網的所有主機都可以訪問外網，用0可以代表0.0.0.0

例2．pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0

表示只有172.16.5.0這個網段內的主機可以訪問外網。

5. 指定外部地址范圍（global）

global命令把內網的ip地址翻譯成外網的ip地址或一段地址范圍。global命令的配置語法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]

其中（if_name）表示外網介面名字，例如outside.。nat_id用來標識全局地址池，使它與其相應的nat命令相匹配，ip_address-ip_address表示翻譯後的單個ip地址或一段ip地址范圍。[netmark global_mask]表示全局ip地址的網路掩碼。

例1． pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48

表示內網的主機通過pix防火牆要訪問外網時，pix防火牆將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網的主機分配一個全局ip地址。

例2． pix525(config)#global (outside) 1 61.144.51.42

表示內網要訪問外網時，pix防火牆將為訪問外網的所有主機統一使用61.144.51.42這個單一ip地址。

例3. pix525(config)#no global (outside) 1 61.144.51.42

表示刪除這個全局表項。

6. 設置指向內網和外網的靜態路由（route）

定義一條靜態路由。route命令配置語法：route (if_name) 0 0 gateway_ip [metric]

其中（if_name）表示介面名字，例如inside，outside。gateway_ip表示網關路由器的ip地址。[metric]表示到gateway_ip的跳數。通常預設是1。

例1． pix525(config)#route outside 0 0 61.144.51.168 1

表示一條指向邊界路由器（ip地址61.144.51.168）的預設路由。

例2． pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1

pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1

如果內部網路只有一個網段，按照例1那樣設置一條預設路由即可；如果內部存在多個網路，需要配置一條以上的靜態路由。上面那條命令表示創建了一條到網路10.1.1.0的靜態路由，靜態路由的下一條路由器ip地址是172.16.0.1

這6個基本命令若理解了，就可以進入到pix防火牆的一些高級配置了。

a. 配置靜態ip地址翻譯（static）

如果從外網發起一個會話，會話的目的地址是一個內網的ip地址，static就把內部地址翻譯成一個指定的全局地址，允許這個會話建立。static命令配置語法：static (internal_if_name，external_if_name) outside_ip_address inside_ ip_address 其中internal_if_name表示內部網路介面，安全級別較高。如inside. external_if_name為外部網路介面，安全級別較低。如outside等。outside_ip_address為正在訪問的較低安全級別的介面上的ip地址。inside_ ip_address為內部網路的本地ip地址。

例1． pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8

表示ip地址為192.168.0.8的主機，對於通過pix防火牆建立的每個會話，都被翻譯成61.144.51.62這個全局地址，也可以理解成static命令創建了內部ip地址192.168.0.8和外部ip地址61.144.51.62之間的靜態映射。

例2． pix525(config)#static (inside, outside) 192.168.0.2 10.0.1.3

例3． pix525(config)#static (dmz, outside) 211.48.16.2 172.16.10.8

注釋同例1。通過以上幾個例子說明使用static命令可以讓我們為一個特定的內部ip地址設置一個永久的全局ip地址。這樣就能夠為具有較低安全級別的指定介面創建一個入口，使它們可以進入到具有較高安全級別的指定介面。

b. 管道命令（conit）

前面講過使用static命令可以在一個本地ip地址和一個全局ip地址之間創建了一個靜態映射，但從外部到內部介面的連接仍然會被pix防火牆的自適應安全演算法(asa)阻擋，conit命令用來允許數據流從具有較低安全級別的介面流向具有較高安全級別的介面，例如允許從外部到dmz或內部介面的入方向的會話。對於向內部介面的連接，static和conit命令將一起使用，來指定會話的建立。

conit命令配置語法：

conit permit | deny global_ip port[-port] protocol foreign_ip [netmask]

permit | deny 允許 | 拒絕訪問

global_ip 指的是先前由global或static命令定義的全局ip地址，如果global_ip為0，就用any代替0；如果global_ip是一台主機，就用host命令參數。

port 指的是服務所作用的埠，例如www使用80，smtp使用25等等，我們可以通過服務名稱或埠數字來指定埠。

protocol 指的是連接協議，比如：tcp、udp、icmp等。

foreign_ip 表示可訪問global_ip的外部ip。對於任意主機，可以用any表示。如果foreign_ip是一台主機，就用host命令參數。

例1. pix525(config)#conit permit tcp host 192.168.0.8 eq www any

這個例子表示允許任何外部主機對全局地址192.168.0.8的這台主機進行http訪問。其中使用eq和一個埠來允許或拒絕對這個埠的訪問。eq ftp 就是指允許或拒絕只對ftp的訪問。

例2. pix525(config)#conit deny tcp any eq ftp host 61.144.51.89

表示不允許外部主機61.144.51.89對任何全局地址進行ftp訪問。

例3. pix525(config)#conit permit icmp any any

表示允許icmp消息向內部和外部通過。

例4. pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.3

pix525(config)#conit permit tcp host 61.144.51.62 eq www any

這個例子說明static和conit的關系。192.168.0.3在內網是一台web伺服器，現在希望外網的用戶能夠通過pix防火牆得到web服務。所以先做static靜態映射：192.168.0.3－>61.144.51.62（全局），然後利用conit命令允許任何外部主機對全局地址61.144.51.62進行http訪問。

c. 配置fixup協議

fixup命令作用是啟用，禁止，改變一個服務或協議通過pix防火牆，由fixup命令指定的埠是pix防火牆要偵聽的服務。見下面例子：

例1． pix525(config)#fixup protocol ftp 21

啟用ftp協議，並指定ftp的埠號為21

例2． pix525(config)#fixup protocol http 80

pix525(config)#fixup protocol http 1080

為http協議指定80和1080兩個埠。

例3． pix525(config)#no fixup protocol smtp 80

禁用smtp協議。

d. 設置telnet

telnet有一個版本的變化。在pix os 5.0（pix操作系統的版本號）之前，只能從內部網路上的主機通過telnet訪問pix。在pix os 5.0及後續版本中，可以在所有的介面上啟用telnet到pix的訪問。當從外部介面要telnet到pix防火牆時，telnet數據流需要用ipsec提供保護，也就是說用戶必須配置pix來建立一條到另外一台pix，路由器或vpn客戶端的ipsec隧道。另外就是在pix上配置ssh，然後用ssh client從外部telnet到pix防火牆，pix支持ssh1和ssh2，不過ssh1是免費軟體，ssh2是商業軟體。相比之下cisco路由器的telnet就作的不怎麼樣了。

telnet配置語法：telnet local_ip [netmask]

local_ip 表示被授權通過telnet訪問到pix的ip地址。如果不設此項，pix的配置方式只能由console進行。

說了這么多，下面給出一個配置實例供大家參考。

welcome to the pix firewall

type help or 』?』 for a list of available commands.

pix525> en

password:

pix525#sh config

: saved

:

pix version 6.0(1) ------ pix當前的操作系統版本為6.0

nameif ethernet0 outside security0

nameif ethernet1 inside security100 ------ 顯示目前pix只有2個介面

enable password 7y051hhccoirtsqz encrypted

passed 7y051hhccoirtsqz encrypted ------ pix防火牆密碼在默認狀態下已被加密，在配置文件中不會以明文顯示，telnet 密碼預設為cisco

hostname pix525 ------ 主機名稱為pix525

domain-name 123.com ------ 本地的一個域名伺服器123.com，通常用作為外部訪問

fixup protocol ftp 21

fixup protocol http 80

fixup protocol h323 1720

fixup protocol rsh 514

fixup protocol smtp 25

fixup protocol sqlnet 1521

fixup protocol sip 5060 ------ 當前啟用的一些服務或協議，注意rsh服務是不能改變埠號

names ------ 解析本地主機名到ip地址，在配置中可以用名字代替ip地址，當前沒有設置，所以列表為空

pager lines 24 ------ 每24行一分頁

interface ethernet0 auto

interface ethernet1 auto ------ 設置兩個網卡的類型為自適應

mtu outside 1500

mtu inside 1500 ------ 乙太網標準的mtu長度為1500位元組

ip address outside 61.144.51.42 255.255.255.248

ip address inside 192.168.0.1 255.255.255.0 ------ pix外網的ip地址61.144.51.42，內網的ip地址192.168.0.1

ip audit info action alarm

ip audit attack action alarm ------ pix入侵檢測的2個命令。當有數據包具有攻擊或報告型特徵碼時，pix將採取報警動作（預設動作），向指定的日誌記錄主機產生系統日誌消息；此外還可以作出丟棄數據包和發出tcp連接復位信號等動作，需另外配置。

pdm history enable ------ pix設備管理器可以圖形化的監視pix

arp timeout 14400 ------ arp表的超時時間

global (outside) 1 61.144.51.46 ------ 如果你訪問外部論壇或用qq聊天等等，上面顯示的ip就是這個

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

static (inside, outside) 61.144.51.43 192.168.0.8 netmask 255.255.255.255 0 0

conit permit icmp any any

conit permit tcp host 61.144.51.43 eq www any

conit permit udp host 61.144.51.43 eq domain any

------ 用61.144.51.43這個ip地址提供domain-name服務，而且只允許外部用戶訪問domain的udp埠

route outside 0.0.0.0 0.0.0.0 61.144.51.61 1 ------ 外部網關61.144.51.61

timeout xlate 3:00:00 ------ 某個內部設備向外部發出的ip包經過翻譯(global)後，在預設3個小時之後此數據包若沒有活動，此前創建的表項將從翻譯表中刪除，釋放該設備佔用的全局地址

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 sip 0:30:00 sip_media 0:02:00

timeout uauth 0:05:00 absolute ------ aaa認證的超時時間，absolute表示連續運行uauth定時器，用戶超時後，將強制重新認證

aaa-server tacacs+ protocol tacacs+

aaa-server radius protocol radius ------ aaa伺服器的兩種協議。aaa是指認證，授權，審計。pix防火牆可以通過aaa伺服器增加內部網路的安全

no snmp-server location

no snmp-server contact

snmp-server community public ------ 由於沒有設置snmp工作站，也就沒有snmp工作站的位置和聯系人

no snmp-server enable traps ------ 發送snmp陷阱

floodguard enable ------ 防止有人偽造大量認證請求，將pix的aaa資源用完

no sysopt route dnat

telnet timeout 5

ssh timeout 5 ------ 使用ssh訪問pix的超時時間

terminal width 80

cryptochecksum:

pix525#

pix525#write memory ------ 將配置保存

上面這個配置實例需要說明一下，pix防火牆直接擺在了與internet介面處，此處網路環境有十幾個公有ip,可能會有朋友問如果我的公有ip很有限怎麼辦？你可以添加router放在pix的前面，或者global使用單一ip地址，和外部介面的ip地址相同即可。另外有幾個維護命令也很有用，show interface查看埠狀態，show static查看靜態地址映射，show ip查看介面ip地址，ping outside | inside ip_address確定連通性。

G. cisco防火牆配置的基本配置是什麼

設置介面名稱，並指定安全級別，安全級別取值范圍為1～100，數字越大安全級別越高。
使用命令：

PIX525(config)#

PIX525(config)#

PIX525(config)#nameifethernet2dmzsecurity50

配置網路介面的IP地址

指定公網地址范圍：定義地址池。

Global命令的配置語法：

global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]

H. 思科防火牆路由器的配置

一、路由器開機初始序列
當路由器進行初始化時，路由器進行以下操作：
1)自ROM執行上電自檢，檢測CPU,內存、介面電路的基本操作。
2)自ROM進行引導，將操作系統裝下載到主存。
3)引導操作系統由配置寄存器的引導預確定由FLASH
或網路下載，則配置文件的boot
system
命令確定其確切位置。
4)操作系統下載到低地址內存，下載後由操作系統確定路由器的工作硬體和軟體部分並在屏幕上顯示其結果。
5)NVRAM中存儲的配置文件裝載到主內存並通過執行，配置啟動路由進程，提供介面地址、設置介質特性。
如果NVRAM中設有有效的配置文件，則進入Setup
會話模式。
6)然後進入系統配置會話，顯示配置信息，如每個介面的配置信息。

I. 求思科防火牆顯示配置信息命令

show run 如果做了防火牆命令授權的話，show run （為15級命令）命令不一定能用，需要你的賬戶也為15級才行。

J. 怎樣查看思科交換機某個介面的配置

1、首先打開交換機開機，電腦連接後，進入用戶模式。