Cisco pix 506e 问题 急等！！
请问我有台cisco 的路由器接外网。还有台cisco pix 506e 的防火墙，如果我想把防火墙接在路由器的和内网之间。
请问防火墙的端口地址的配置命令该怎么配置阿？？谢谢了！！
回复 #1 netplay 的帖子
不太清楚你的具体需求但一般来说你需要如下几个步骤
首先看你的防火墙有几个接口
506没用过,是2个接口还是3个?
如果有3个接口，就至少产生了3个网络：
内部区域（内网）:内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。
外部区域（外网）:外部区域通常指Internet或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有限制的访问。
停火区（DMZ）:停火区是一个隔离的网络，或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置Web服务器，Mail服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却不允许他们访问企业内部网络。
[color=red]注意：2个接口的防火墙是没有停火区的。[/color]
1. 配置防火墙接口的名字，并指定安全级别。缺省配置中，以太网0被命名为外部接口（outside），安全级别是0；以太网1被命名为内部接口（inside），安全级别是100.安全级别取值范围为1～99，数字越大安全级别越高。其余我就不多说了
2. 配置以太口参数,这步也没啥可讲的
3. 配置内外网卡的IP地址（ip address,比方说:
Pix (config)#ip address outside 61.144.51.42 255.255.255.248
Pix (config)#ip address inside 192.168.0.1 255.255.255.0
很明显，Pix防火墙在外网的ip地址是61.144.51.42，内网ip地址是192.168.0.1
4. 指定要进行转换的内部地址（nat）
网络地址翻译（nat）作用是将内网的私有ip转换为外网的公有ip.Nat命令总是与global命令一起使用，这是因为nat命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行对外访问。nat命令配置语法：nat (if_name) nat_id local_ip [netmark]
其中（if_name）表示内网接口名字，例如inside. Nat_id用来标识全局地址池，使它与其相应的global命令相匹配，local_ip表示内网被分配的ip地址。例如0.0.0.0表示内网所有主机可以对外访问。[netmark]表示内网ip地址的子网掩码。
例1．Pix(config)#nat (inside) 1 0 0
表示启用nat,内网的所有主机都可以访问外网，用0可以代表0.0.0.0
例2．Pix(config)#nat (inside) 1 172.16.5.0 255.255.0.0
表示只有172.16.5.0这个网段内的主机可以访问外网。
5. 指定外部地址范围
global命令把内网的ip地址翻译成外网的ip地址或一段地址范围。Global命令的配置语法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中（if_name）表示外网接口名字，例如outside.。Nat_id用来标识全局地址池，使它与其相应的nat命令相匹配，ip_address-ip_address表示翻译后的单个ip地址或一段ip地址范围。[netmark global_mask]表示全局ip地址的网络掩码。
例1． Pix(config)#global (outside) 1 61.144.51.42-61.144.51.48
表示内网的主机通过pix防火墙要访问外网时，pix防火墙将使用61.144.51.42-61.144.51.48这段ip地址池为要访问外网的主机分配一个全局ip地址。
例2． Pix(config)#global (outside) 1 61.144.51.42
表示内网要访问外网时，pix防火墙将为访问外网的所有主机统一使用61.144.51.42这个单一ip地址。
例3. Pix(config)#no global (outside) 1 61.144.51.42
表示删除这个全局表项。
6. 设置指向内网和外网的静态路由
定义一条静态路由。route命令配置语法：route (if_name) 0 0 gateway_ip [metric]
其中（if_name）表示接口名字，例如inside，outside。Gateway_ip表示网关路由器的ip地址。[metric]表示到gateway_ip的跳数。通常缺省是1。
例1． Pix (config)#route outside 0 0 61.144.51.168 1
表示一条指向边界路由器（ip地址61.144.51.168）的缺省路由。
例2．
Pix(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1
Pix(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1
如果内部网络只有一个网段，按照例1那样设置一条缺省路由即可；如果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示创建了一条到网络10.1.1.0的静态路由，静态路由的下一条路由器ip地址是172.16.0.1
当然这些只是必须的配置,还有更高级的配置,就需要看你的具体需求而定了.
[[i] 本帖最后由 heart_dream_fly 于 2007-1-11 12:55 编辑 [/i]]
感谢 ！但还有点问题
防火墙连路由器 路由器在连外网 但申请了一个外网ip地址。 如果做了以上你说的配置，那么路由的内外连接的端口的ip地址怎么设置？？回复 #3 netplay 的帖子
可以把路由器上的相应设置如静态路由做到防火墙上，当然防火墙也可以做透明模式，不需配置静态路由，只做包过滤和相应的安全方面的功能就可以。在边界路由器上配置ACL、路由表、NAT等。回复 4#
如果防火墙不支持透明模式，是否可以通过更新IOS的版本，使其支持此功能？ 需要升级pix os到7.0.1应该可以支持透明模式 谢谢老兄。:victory:页:
[1]
