PIX配置案例.pdfVIP

PIX OS 6.3PIX OS 6.3 发布发布，新特性摘要，新特性摘要 PIX OS 6.3PIX OS 6.3 发布发布，，新特性摘要新特性摘要 PIX OS 6.3 版本于 2003年3月 25日发布，带来了如下一些令人激动的新特性： • 支持基于 802.1Q 的 VLAN及相应的虚接口。 • 支持 OSPF的动态路由。 • 支持 HTTPS 的用户认证。 • 通过增强的 Websense集成功能。 • 支持 AES--先进加密标准 (需要3des授权) • 支持 VAC+硬件加密卡，在PIX 535上，ipsec 性能提升 4 倍，达到 440Mbps 的吞 吐量。 • NAT/PAT 功能支持 ipsec 的透传。 • 支持 Diffie_hellman 第5组(1536bit)的功能。 • 在多个接口上支持 DHCP server. • 支持验证 DN。 • 支持验证加密引擎特性 (KAT)。每次启动时都将使用当前的License 对加密算法进 行验证 (这个DD好像不好)。 • 支持基于 MAC的认证。 • 支持 DHCP relay • PAT支持 ESP透传 • 增强 501和 506E 的性能 • 501上的 vpn peer数从 5 个增加到 10个 • 501可以使用无限的 License 了，不再限制内部的主机的数量 (当然会受性能的限 制)，相应的内部的 DHCP Pool也可以支持到 256个地址了。 • 支持 VPN server(vpn3000)的负载均衡。也就是说在使用pix做为 vpn client 时， 可以配置冗余了。 • Easy VPN支持 X.509 的认证了。 • 支持 PPTP的fixup，就是说可以透传 pptp了。 • 支持 H323 V3 和 V4 • 支持 CTIQBE，新增 fixup protocol ctiqbe 2748命令，使NAT/PAT可以透传 TAPI/JTAPI 应用。 • 新增 fixup protocol mgcp 命令，对MGCP1.0提供支持。 • PAT新增对 skinny 透传的支持，使ip phone 可以顺利的和 call manager实现通 信。 • 增加到 SIP UDP 的 fixup • 增加对 ICMP error 的 fixup • 可以编辑 ACL了，在 show access-list时会显示 acl的行号。 • 在配置 ACL时可以使用 log选项了，可以将 acl的信息发到 log server 中。 • 在show命令中增加了输出选项。最要命的是可以使用grep了。muhahahahhaha, 会unix的人有福了。 • 最大的 domain name 从64 字符改为 63字符，FQDN 的主机名最大可以到 127字符。 • 可以在 flash中保存 crash时的 stack trace信息。(对用户没什么用的DD。sigh). • 增强 show tech、debug、arp、capture命令。 千兆口上不再支持半双工 (千兆口有TBI和 GMII 两种模式，只有GMII同时支持全双工和 半双工。因为i8255x系列控制器都使用的TBI模式，而TBI模式不支持半双工，所以Cisco 干 脆把千兆口上的半双工的设置取消了。) PIXOS 存在问题，要做 PAT，必须写一个只有一个地址的 global 语句 。不然就只做 NAT， 当 global 地址用完后就会出现有的通，有的不通的现象了。 PIX 设备管理器 （PDM ）可以为管理员提供一个直观的、基于Web 的界面，从而使他们 可以方便地配置和监控一台 PIX 506E ，而不需要在管理员的计算机上安装任何 件 （除 了一个标准的Web 浏览器以外 ）。管理员可以利用 PIX 506E 所提供的命令行界面 （CLI ）， 通过多种方式 （包括远程登陆、安全解释程序 （SSH），以及通过控制端 口实现的带