PIX实验指南.doc

PIX实验指南 PIX的基本使用 拓扑图 需求 PIX采用三向外围结构，DMZ区域采用静态IP，inside区域采用DHCP方式获取IP，PIX充当DHCP服务器，Client需要采用PAT方式访问互联网，Client访问内部服务器采用直接路由的方式，0服务器需要对外发布到TCP80端口，并拒绝外部到outside接口的任何ICMP通信，内部inside到DMZ和互联网可以采用ICMP测试联通性。 配置 PIX Version 7.2(1) ! hostname pixfirewall interface Ethernet0 nameif outside//将E0口配置为外口 security-level 0//将E0口安全级别设置为0 ip address 3 ! interface Ethernet1 nameif inside//将E1口配置为内口 security-level 100//将E1口安全级别设置为100 ip address ! interface Ethernet2 nameif dmz//将E2口配置为DMZ security-level 50//将E2口安全级别设置为50 ip address ! access-list outsidelist extended permit tcp any interface outside eq www //允许外部向outside接口发起TCP80端口的连接 access-list outsidelist extended permit icmp any interface outside echo-reply //允许外部向outside接口发送icmp-reply报文 access-list outsidelist extended deny ip any any //拒绝其他所有报文 access-list nonat extended permit ip //从1网段去往2网段的所有报文不进行NAT/PAT处理 access-list dmzlist extended permit ip access-list dmzlist extended permit tcp host 0 any eq www icmp deny any outside//拒绝任何地址向outside接口发送ICMP报文 icmp permit any inside//允许任何地址向inside接口发送ICMP报文 icmp permit any dmz//允许任何地址向DMZ接口发送ICMP报文 nat-control//开启NAT功能 global (outside) 1 interface//在outside接口上启动PAT nat (inside) 0 access-list nonat//从1网段去往2网段的所有报文不进行NAT/PAT处理 nat (inside) 1 //对网段启动nat功能 static (dmz,outside) tcp interface www 0 www netmask 55 //建立DMZ区域0的80端口到outside接口80端口的静态映射 access-group outsidelist in interface outside//在outside接口绑定outsidelist访问列表 access-group dmzlist in interface dmz//在dmz接口绑定dmzlist访问列表 route outside 1//建立默认路由 ssh timeout 5 dhcpd dns 3//配置DHCP分配的DNS地址 ! dhcpd address -54 inside//配置DHCP分配的IP地址范围 dhcpd enable inside//在inside接口上开启DHCP功能 ! DHCP中继 拓扑图 需求 建立上个试验基础上，将PIX的DHCP改为内部3提供DHCP，由PIX中继DHCP 配置 dhcprelay server 3 dmz//配置dmz接口上侦听DHCP服务器3的报文 dhcprelay enable inside//在inside接口上开启侦听客户端DHCP请求的报文 dhcprelay setroute inside//在inside接口上通过DHCP分配默认路由 dhcprelay timeout 60//设置DHCP中继超时时间 PIX虚拟防火墙 拓扑 需求 某商业办公楼中央机房只有一台PIX防火墙，但办公楼驻入有多个公司，为了节约成本，使用虚拟防火墙技术将物理PIX划分为逻辑上多个独立的墙来使