LAN接口
列出支持的 LAN接口类型：防火墙所能保护的网络类型，如以太网、快速以太网、千兆以太网、ATM、令牌环及FDDI等。
支持的最大 LAN接口数：指防火墙所支持的局域网络接口数目，也是其能够保护的不同内网数目。
服务器平台：防火墙所运行的 *** 作系统平台（如 Linux、UNIX、Win NT、专用安全 *** 作系统等）。
协议支持
支持的非 IP协议：除支持IP协议之外，又支持AppleTalk、DECnet、IPX及NETBEUI等协议。
建立 通道的协议： 构建通道所使用的协议，如密钥分配等，主要分为IPSec，PPTP、专用协议等。
可以在 中使用的协议：在中使用的协议，一般是指TCP/IP协议。
加密支持
支持的 加密标准：中支持的加密算法, 例如数据加密标准DES、3DES、RC4以及国内专用的加密算法。
除了 之外，加密的其他用途： 加密除用于保护传输数据以外，还应用于其他领域，如身份认证、报文完整性认证，密钥分配等。
提供基于硬件的加密： 是否提供硬件加密方法，硬件加密可以提供更快的加密速度和更高的加密强度。
认证支持
支持的认证类型： 是指防火墙支持的身份认证协议，一般情况下具有一个或多个认证方案，如 RADIUS、Kerberos、TACACS/TACACS＋、口令方式、数字证书等。防火墙能够为本地或远程用户提供经过认证与授权的对网络资源的访问，防火墙管理员必须决定客户以何种方式通过认证。
列出支持的认证标准和 CA互 *** 作性：厂商可以选择自己的认证方案，但应符合相应的国际标准，该项指所支持的标准认证协议，以及实现的认证协议是否与其他CA产品兼容互通。
支持数字证书：是否支持数字证书。
访问控制
通过防火墙的包内容设置：包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。 IP包过滤的依据主要是根据IP包头部信息如源地址和目的地址进行过滤，如果IP头中的协议字段表明封装协议为ICMP、TCP或UDP，那么再根据 ICMP头信息（类型和代码值）、TCP头信息（源端口和目的端口）或UDP头信息（源端口和目的端口）执行过滤，其他的还有MAC地址过滤。应用层协议过滤要求主要包括FTP过滤、基于RPC的应用服务过滤、基于UDP的应用服务过滤要求以及动态包过滤技术等。
在应用层提供代理支持：指防火墙是否支持应用层代理，如 >此FTP服务器的防火墙通用设置规则适用于Windows(包括服务器版和桌面版)、Linux服务器以及可能的其他 *** 作系统。
在配置好FTP服务器后将发起FTP服务的程序(如Windows的svchostexe或FileZilla
serverexe)而不仅仅是端口允许通过防火墙，程序(此处特指Windows的svchostexe)不用带参数。
svchostexe这个例外，必须通过控制面板中的
“
允许程序通过
Windows
防火墙通信”
，使得
“Windows
服务主进程”
(
svchostexe
，C:WindowsSystem32svchostexe
)允许通过防火墙才可以。
FileZilla也是如此，但无需仅使用控制面板中的
“
允许程序通过
Windows
防火墙通信”，而也可以使用“高级安全Windows防火墙”进行设置
。一般会遇到以下N种情况,你看有没有你的那种:
调制解调器不工作。
原因： 调制解调器不兼容。
解决方案： 如果有另一台计算机可以访问 Internet，那么请查看兼容调制解调器的列表。要查找由 Windows *** 作系统支持的硬件，请访问 Microsoft 网站上的 Windows 目录。
原因： 调制解调器没有正确连接或已关闭。
解决方案： 验证调制解调器是否适当地连接到了计算机上的正确端口。如果调制解调器是外置的，那么请验证电源是否已打开。
无法连接到 Internet 服务提供商 (ISP)。
原因： ISP 服务器没有运行。
解决方案： 询问 ISP 以验证远程访问服务器是否正在运行。
原因： 没有有效的用户帐户，或者没有远程访问权限。
解决方案： 询问 ISP 是否已建立您的用户帐户以及您是否具有远程访问权限。
原因： 拨打的号码不对，或者拨打了正确的号码但却忘记拨打外线访问号码，例如 9。
解决方案： 验证所拨的号码是否正确。
原因： 调制解调器无法与服务器的调制解调器协商。
解决方案： 尝试使用与服务器使用的类型相同的调制解调器。
原因： 调制解调器电缆有故障。
解决方案： 不要使用大多数鼠标硬件所带的 9 到 25 针转换器，因为其中有一些不能传输调制解调器信号。为安全起见，应该使用专用的转换器。
原因： 电话线（例如，在旅馆的房间内）不适应调制解调器的速度。
解决方案： 选择较低的速率 (bps)（或者向旅馆经理申请一条直拨线）。
另请参阅： 更改调制解调器端口的最大速度。
原因： 尝试使用的线路是数字的。
解决方案： 大多数的调制解调器只能使用模拟电话线。请验证是否安装了模拟电话线，或者如果安装了数字电话线，请验证服务器和客户端是否具备数字调制解调器。
尝试连接时，收到 ISP 服务器没有响应的消息。
原因：
速率较高时，调制解调器与服务器的调制解调器不兼容。
电话线路上存在许多干扰，这会阻止调制解调器以较高的 bps 速率进行连接。
在客户端和服务器之间有某种切换设备，会阻止两个调制解调器以较高的 bps 速率协商。
解决方案： 将调制解调器调到较低的速率 (bps)。
另请参阅： 更改调制解调器端口的最大速度。
原因： ISP 服务器没有运行。
解决方案： 询问您的 ISP 以验证服务器是否在运行。
调制解调器总是以比指定速率 (bps) 低的速率连接。
原因： 调制解调器和电话线路运行不正常。电话线上过多的干扰会导致会话中断。
解决方案： 您可以使用调制解调器诊断程序来确认调制解调器是否 *** 作正常。
原因： 线路质量不够好。
解决方案： 询问电信公司以验证线路的质量。
原因： 正在拨打的线路影响速度。
解决方案： 如果可以使用多个号码连接到 ISP，那么请尝试其他号码，看速度是否有所提高。
原因： 调制解调器软件需要更新。
解决方案： 请与调制解调器的制造商联系，以获得调制解调器软件的更新版本。
网络上与 ISP 的会话经常断开。
原因： 呼叫等待在干扰您的连接。
解决方案： 验证电话是否有呼叫等待功能。如果有，请禁用呼叫等待并尝试再次呼叫。
原因： 由于不活动，ISP 断开了与您的连接。
解决方案： 请尝试再次呼叫。
原因： 有人接听电话。拿起电话时，连接将自动断开。
解决方案： 请尝试再次呼叫。
原因： 调制解调器电缆被断开。
解决方案： 验证调制解调器电缆连接正确。
原因： 调制解调器软件需要更新。
解决方案： 请与调制解调器的制造商联系，以获得调制解调器软件的更新版本。
原因： 因为 ISP 更改了服务器上的设置，所以您需要更改自己的调制解调器设置。
解决方案： 请与 ISP 系统管理员联系以验证调制解调器的设置。
连接异常断开。
原因： ISP 服务器没有运行。
解决方案： 询问 ISP 系统管理员以验证服务器是否正在运行。
原因：
调制解调器无法与 ISP 服务器的调制解调器正确协商。
计算机的串行端口无法跟上您选择的速度。
解决方案： 请尝试用较低的初始端口速度进行连接。
原因： 调制解调器软件需要更新。
解决方案： 请与调制解调器的制造商联系，以获得调制解调器软件的更新版本。
尝试连接时接到硬件错误。
原因： 调制解调器已关闭。
解决方案： 验证调制解调器是否已经打开。如果调制解调器被关闭，请将其打开并重新拨号。
原因： 调制解调器工作不正常。
解决方案： 启用调制解调器日志记录来测试连接。
原因： 电缆不兼容。
解决方案： 如果您的调制解调器是通过“终端”而不是“网络连接”进行通讯，那么连接调制解调器与计算机的电缆可能不兼容。您需要安装兼容的电缆。
串行端口之间的冲突导致连接问题。
原因： 串行端口冲突。
解决方案： Com1 和 Com3 共享中断请求 (IRQ) 4。Com2 和 Com4 共享 IRQ 3。因此，对于串行通信，不能同时使用 COM1 和 COM3，也不能同时使用 COM2 和 COM4。例如，不能在 COM1 上使用“网络连接”的同时在 COM3 上使用“终端”。
该规则同样适用于在使用其他串行通讯程序（例如“网络连接”或“终端”程序）的同时使用鼠标的情况。如果使用智能串行适配器（如 DigiBoard 串行卡），那么此规则不适用。
试图使用 ISDN 连接时，收到“无应答”的消息。
原因： ISP 服务器没有应答，因为服务器已关机或者调制解调器没有连接。
解决方案： 请与系统管理员联系。
原因： 线路忙。
解决方案： 稍后再尝试呼叫，或与您的系统管理员联系。
原因： 硬件有问题。
解决方案： 验证是否正确安装和配置了 ISDN 适配器。
原因： 电话号码配置不正确。
解决方案： 在某些情况下，ISDN 线路上的每个 B 信道都有自己的号码，而在其他的情况下，两个 B 信道共用一个号码。电信公司可以告诉您 ISDN 线路有多少个号码。
原因： 如果是在美国或加拿大，那么服务配置文件标识符 (SPID) 的配置不正确。SPID 通常由开头、结尾或两头附加数字的电话号码组成。SPID 帮助交换机了解连接到线路上的设备的类型，以及对线路上适当设备的路由呼叫。如果 ISDN 信道需要 SPID，但是没有正确输入，那么设备将无法进行呼叫或接受呼叫。
解决方案： 验证是否正确地输入了 SPID。
原因： 线路条件不好（例如，过多的干扰）导致连接中断。
解决方案： 等几分钟再尝试拨号。
原因： 您没有启用线路类型协商，或不能使用所选择的线路类型进行连接。
解决方案： 启用线路类型协商。
原因： ISDN 交换设备正忙。
解决方案： 稍候再试。
原因： DigiBoard 卡太旧。
解决方案： 如果没有最新的 PCIMAC-ISA DigiBoard 卡（序列号为 A14308 或更高），那么请与 DigiBoard 联系进行更换。
使用 X25 进行连接失败。
原因： 拨号 PAD 配置了错误的 X3 参数或串行设置。
解决方案： 如果远程访问服务器正在运行，而您不能通过 X25 智能卡或外部 PAD 直接连接到它，那么请修改拨号 PAD X3 参数或串行设置。询问系统管理员正确的设置是什么。
原因： 新建的 Padinf 项不正确。
解决方案： 您可以检查用于直接连接和外部 PAD 的其他 Padinf 项，并查看其注释。可能需要线路分析器或终端程序才能看到 PAD 的响应。对于拨号 PAD 项，可以使用 Padinf 中的项作为范例，同时注意范例所附的注释。
原因： 调制解调器不兼容。
解决方案： 如果连接到拨号 PAD 的调制解调器在连接时的速度低于其应有的速度，那么请使用兼容的调制解调器替换它。
原因： 远程访问服务器的线路拥挤。如果已经建立连接，但是网络驱动器会断开，而且您的会话会被断开或遇到网络错误，那么原因可能是远程访问服务器的租用线路上出现拥挤。
例如，若四个客户端以 9600 bps 的速率进行连接（通过拨号 PAD），则要求服务器端的租用线路为 38,400 bps（四倍于 9600）。如果租用线路没有足够的带宽，则可能会造成超时并降低已连接客户端的性能。此例假定“路由和远程访问”使用了全部带宽。如果路由和远程访问共享带宽，那么可以建立的连接会更少。
解决方案： 您的系统管理员需要验证所租用线路的速度能够支持所有 COM 端口以客户端拨入时使用的各种速度进行连接。
通过 PPTP 连接失败。
原因： TCP/IP 连接问题阻止您连接到 PPTP 服务器。
解决方案： 您或您的系统管理员可以使用 ipconfig 和 ping 命令来验证到服务器的连接。
原因： Winsock 代理客户端处于活动状态。
解决方案： 当 Winsock 代理客户端处于活动状态时， 连接不能工作。在虚拟网络连接对数据包进行封装处理之前，Winsock Proxy 已经将数据包重定向到代理服务器。请要求系统管理员禁用 Winsock 代理客户端。
原因： 您在远程访问服务器上没有适当的连接和域访问权限。
解决方案： 请与系统管理员联系。
原因： 如果使用的是 TCP/IP 协议，那么说明没有唯一的 TCP/IP 地址。
解决方案： 请与系统管理员联系。
原因： 名称解析问题阻止您将名称解析为 IP 地址。
解决方案： 在连接中指定完全合格的域名和 IP 地址。
使用 PPP 或 TCP/IP 实用程序进行的连接失败。
原因： 服务器不支持 LCP 扩展。
解决方案： 如果您不能使用 PPP 连接到服务器，或者远程计算机终止您的连接，那么服务器可能不支持 LCP 扩展。请在“网络连接”中，清除“启用 LCP 扩展”复选框。
原因： IP 报头压缩阻止 TCP/IP 实用程序的运行。如果已使用 PPP 成功地连接到远程服务器，但是 TCP/IP 实用程序不运行，那么问题可能是 IP 报头压缩。
解决方案： 在关闭 IP 报头压缩以后，尝试重新连接。
特定的程序遇到 Internet 连接问题，而且 Internet 连接共享、Windows 防火墙或者两者同时被启用。
原因： Windows 防火墙、Internet 连接共享或者这两者阻止程序或者禁止程序成功建立跨 Internet 的完全双向通讯。
解决方案： 从程序制造商那里获取 Internet 连接共享和 Windows 防火墙插件。Internet 连接共享和 Windows 防火墙插件可以在启用 Internet 连接共享 (ICS) 或 Windows 防火墙时解决特定程序遇到的任何 Internet 连接问题。插件是在磁盘或者 Internet 上作为可执行文件提供的。因为 Internet 连接共享和 Windows 防火墙插件可能使您的网络不安全，所以只有当它们的来源可信时才应该安装。详细信息，请参阅使用 Internet 连接共享和 Windows 防火墙插件。
使用 Internet 连接共享建立的连接失败。
原因： 共享了错误的 LAN 网络适配器。
解决方案： 有 Internet 连接共享的计算机需要两个连接。一个连接通常是网络适配器，连接到家庭或小型办公网络上的计算机，而另一个连接则将家庭或小型办公网络连接到 Internet。需要确保在将家庭或小型办公网络连接到 Internet 的连接上启用 Internet 连接共享。
原因： 家庭或小型办公网络没有安装 TCP/IP。
解决方案： 默认情况下，运行 Windows XP、Windows 2000、Windows Millennium Edition、Windows 98 和 Windows NT 40 的计算机上安装了 TCP/IP 协议。如果家庭或小型办公网络上的用户运行的是其他 *** 作系统，那么请检查计算机上是否安装了 TCP/IP 协议。
原因： 如果家庭或小型办公网络上的用户无法连接 Internet，那么可能是计算机上的 TCP/IP 配置不正确。
解决方案： 确保在本地连接上建立了下列 TCP/IP 设置：
IP 地址:自动获取 IP 地址（通过 DHCP）
DNS 服务器：自动获取 DNS 服务器地址
默认网关：未指定
对于运行 Windows 95、Windows 98、Windows Millennium 或 Windows NT 40 的计算机，可以在“控制面板”的“网络”中找到 TCP/IP 设置。
原因： 如果家庭或小型办公网络用户不能连接 Internet，那么需要修改其 Internet 选项。
解决方案： 必须修改 Internet 连接共享的 Internet 选项。详细信息，请参阅配置 Internet 连接共享的 Internet 选项。
原因： 没有启动 Internet 连接共享服务。
解决方案： 使用事件查看器确认是否已启动 Internet 连接共享服务。
原因： 没有正确配置 Internet 连接共享计算机的名称解析。
解决方案：您可能需要在计算机上配置 WINS 或 DNS 名称解析服务。如果家庭或小型办公网络中的计算机无法将名称解析为 IP 地址，那么可以使用 ipconfig 命令检查 Internet 连接共享计算机的名称解析配置。ISP 配置名称解析的方法有两种：
静态分配的名称服务器
必须用 ISP 提供的名称服务器的 IP 地址来手动配置 TCP/IP 协议。如果您拥有静态分配的名称服务器，那么就可以随时使用 ipconfig 命令来获取您的已配置名称服务器的 IP 地址。
动态分配的名称服务器
不需要手动配置。只要一拨打 ISP，就会动态分配 ISP 提供的名称服务器的 IP 地址。如果名称服务器是动态分配的，那么必须在连接到 ISP“之后”运行 ipconfig 命令。
原因： 如果不能通过 Internet 玩游戏，那么此应用程序使用的协议是不可转换的。
解决方案： 尝试从 Internet 连接共享计算机运行该程序。如果程序在那里能正常运行，而在家庭或小型办公网络的其他计算机上却不能，那么说明该程序可能是不可转换的。
原因： 如果无法在 Internet 上玩游戏，那么可能没有在运行 Internet 连接共享的计算机上配置该程序。
解决方案： 验证是否正确配置了该程序，包括端口号。
原因：如果 Internet 用户不能看到家庭或小型办公网络上的服务（如 Web 服务器），那么该服务没有正确配置。
解决方案： 验证已正确配置了该服务，包括端口号和 TCP/IP 地址。
原因：如果家庭网络上的用户不能使用友好名称访问 Internet 站点，那么存在 DNS 解析问题。
解决方案： 当访问 Internet 资源时，请让您的家庭或小型办公网络上的用户使用完全合格的域名或 IP 地址。
使用本地连接时，没有响应。
原因： 网络适配器可能有问题。
解决方案：尝试以下 *** 作：
检查本地连接图标的外观。根据本地连接的状态，“网络连接”文件夹中本地连接图标的外观会有所不同。而且，如果本地连接媒体断开（例如，电缆被拔掉），那么通知区域将显示一个状态图标。详细信息，请参阅本地连接。
使用 设备管理器验证您的网络适配器工作是否正常。
原因： 本地连接电缆可能没有插入网络适配器。
解决方案： 检查并确保本地连接电缆已插入网络适配器。
使用笔记本电脑连接到 ISP 时，部分或所有程序运行不正常。
原因： 当使用 ISP 连接时，WinSock 代理客户端可能会阻止程序正常运行。
解决方案： 如果您是移动用户，并且是在公司环境中使用笔记本电脑，那么当您使用同一台计算机拨号连接到 ISP 或其他网络时，可能需要禁用 Microsoft WinSock 代理客户端（“控制面板”中的 WSP 客户端）。例如，如果在办公室使用笔记本电脑，并且在家中使用同一台计算机连接到 ISP 或其他网络，那么当您使用 ISP 连接时，可能会在运行各种应用程序时遇到问题。（例如，您的程序可能无法找到需要的资源或服务器。）如果是这种情况，请禁止 Microsoft WinSock 代理客户端（“控制面板”中的 WSP 客户端）运行那些您在公司办公室里使用笔记本电脑时经常运行的程序。
传入连接客户端看不到传入连接计算机之外的资源。
另外,站长团上有产品团购,便宜有保证在众多的企业级主流防火墙中，cisco pix防火墙是所有同类产品性能最好的一种。cisco pix系列防火墙目前有5种型号pix506，515，520，525，535。其中pix535是pix 500系列中最新，功能也是最强大的一款。它可以提供运营商级别的处理能力，适用于大型的isp等服务提供商。但是pix特有的os *** 作系统，使得大多数管理是通过命令行来实现的，不象其他同类的防火墙通过web管理界面来进行网络管理，这样会给初学者带来不便。本文将通过实例介绍如何配置cisco pix防火墙。
在配置pix防火墙之前，先来介绍一下防火墙的物理特性。防火墙通常具有至少3个接口，但许多早期的防火墙只具有2个接口；当使用具有3个接口的防火墙时，就至少产生了3个网络，描述如下：
�0�3 内部区域（内网）。 内部区域通常就是指企业内部网络或者是企业内部网络的一部分。它是互连网络的信任区域，即受到了防火墙的保护。
�0�3 外部区域（外网）。 外部区域通常指internet或者非企业内部网络。它是互连网络中不被信任的区域，当外部区域想要访问内部区域的主机和服务，通过防火墙，就可以实现有限制的访问。
�0�3 停火区（dmz）。 停火区是一个隔离的网络，或几个网络。位于停火区中的主机或服务器被称为堡垒主机。一般在停火区内可以放置web服务器，mail服务器等。停火区对于外部用户通常是可以访问的，这种方式让外部用户可以访问企业的公开信息，但却不允许他们访问企业内部网络。注意：2个接口的防火墙是没有停火区的。
由于pix535在企业级别不具有普遍性，因此下面主要说明pix525在企业网络中的应用。
pix防火墙提供4种管理访问模式：
非特权模式。 pix防火墙开机自检后，就是处于这种模式。系统显示为pixfirewall>
特权模式。 输入enable进入特权模式，可以改变当前配置。显示为pixfirewall#
配置模式。 输入configure terminal进入此模式，绝大部分的系统配置都在这里进行。显示为pixfirewall(config)#
监视模式。 pix防火墙在开机或重启过程中，按住escape键或发送一个“break”字符，进入监视模式。这里可以更新 *** 作系统映象和口令恢复。显示为monitor>
配置pix防火墙有6个基本命令：nameif，interface，ip address，nat，global，route
这些命令在配置pix是必须的。以下是配置的基本步骤：
1 配置防火墙接口的名字，并指定安全级别（nameif）。
pix525(config)#nameif ethernet0 outside security0
pix525(config)#nameif ethernet1 inside security100
pix525(config)#nameif dmz security50
提示：在缺省配置中，以太网0被命名为外部接口（outside），安全级别是0；以太网1被命名为内部接口（inside），安全级别是100安全级别取值范围为1～99，数字越大安全级别越高。若添加新的接口，语句可以这样写：
pix525(config)#nameif pix/intf3 security40 （安全级别任取）
2 配置以太口参数（interface）
pix525(config)#interface ethernet0 auto（auto选项表明系统自适应网卡类型 ）
pix525(config)#interface ethernet1 100full（100full选项表示100mbit/s以太网全双工通信 ）
pix525(config)#interface ethernet1 100full shutdown （shutdown选项表示关闭这个接口，若启用接口去掉shutdown ）
3 配置内外网卡的ip地址（ip address）
pix525(config)#ip address outside 611445142 255255255248
pix525(config)#ip address inside 19216801 2552552550
很明显，pix525防火墙在外网的ip地址是611445142，内网ip地址是19216801
4 指定要进行转换的内部地址（nat）
网络地址翻译（nat）作用是将内网的私有ip转换为外网的公有ipnat命令总是与global命令一起使用，这是因为nat命令可以指定一台主机或一段范围的主机访问外网，访问外网时需要利用global所指定的地址池进行对外访问。nat命令配置语法：nat (if_name) nat_id local_ip [netmark]
其中（if_name）表示内网接口名字，例如inside nat_id用来标识全局地址池，使它与其相应的global命令相匹配，local_ip表示内网被分配的ip地址。例如0000表示内网所有主机可以对外访问。[netmark]表示内网ip地址的子网掩码。
例1．pix525(config)#nat (inside) 1 0 0
表示启用nat,内网的所有主机都可以访问外网，用0可以代表0000
例2．pix525(config)#nat (inside) 1 1721650 25525500
表示只有1721650这个网段内的主机可以访问外网。
5 指定外部地址范围（global）
global命令把内网的ip地址翻译成外网的ip地址或一段地址范围。global命令的配置语法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中（if_name）表示外网接口名字，例如outside。nat_id用来标识全局地址池，使它与其相应的nat命令相匹配，ip_address-ip_address表示翻译后的单个ip地址或一段ip地址范围。[netmark global_mask]表示全局ip地址的网络掩码。
例1． pix525(config)#global (outside) 1 611445142-611445148
表示内网的主机通过pix防火墙要访问外网时，pix防火墙将使用611445142-611445148这段ip地址池为要访问外网的主机分配一个全局ip地址。
例2． pix525(config)#global (outside) 1 611445142
表示内网要访问外网时，pix防火墙将为访问外网的所有主机统一使用611445142这个单一ip地址。
例3 pix525(config)#no global (outside) 1 611445142
表示删除这个全局表项。
6 设置指向内网和外网的静态路由（route）
定义一条静态路由。route命令配置语法：route (if_name) 0 0 gateway_ip [metric]
其中（if_name）表示接口名字，例如inside，outside。gateway_ip表示网关路由器的ip地址。[metric]表示到gateway_ip的跳数。通常缺省是1。
例1． pix525(config)#route outside 0 0 6114451168 1
表示一条指向边界路由器（ip地址6114451168）的缺省路由。
例2． pix525(config)#route inside 10110 2552552550 1721601 1
pix525(config)#route inside 10200 25525500 1721601 1
如果内部网络只有一个网段，按照例1那样设置一条缺省路由即可；如果内部存在多个网络，需要配置一条以上的静态路由。上面那条命令表示创建了一条到网络10110的静态路由，静态路由的下一条路由器ip地址是1721601
这6个基本命令若理解了，就可以进入到pix防火墙的一些高级配置了。
a 配置静态ip地址翻译（static）
如果从外网发起一个会话，会话的目的地址是一个内网的ip地址，static就把内部地址翻译成一个指定的全局地址，允许这个会话建立。static命令配置语法：static (internal_if_name，external_if_name) outside_ip_address inside_ ip_address 其中internal_if_name表示内部网络接口，安全级别较高。如inside external_if_name为外部网络接口，安全级别较低。如outside等。outside_ip_address为正在访问的较低安全级别的接口上的ip地址。inside_ ip_address为内部网络的本地ip地址。
例1． pix525(config)#static (inside, outside) 611445162 19216808
表示ip地址为19216808的主机，对于通过pix防火墙建立的每个会话，都被翻译成611445162这个全局地址，也可以理解成static命令创建了内部ip地址19216808和外部ip地址611445162之间的静态映射。
例2． pix525(config)#static (inside, outside) 19216802 10013
例3． pix525(config)#static (dmz, outside) 21148162 17216108
注释同例1。通过以上几个例子说明使用static命令可以让我们为一个特定的内部ip地址设置一个永久的全局ip地址。这样就能够为具有较低安全级别的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口。
b 管道命令（conduit）
前面讲过使用static命令可以在一个本地ip地址和一个全局ip地址之间创建了一个静态映射，但从外部到内部接口的连接仍然会被pix防火墙的自适应安全算法(asa)阻挡，conduit命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到dmz或内部接口的入方向的会话。对于向内部接口的连接，static和conduit命令将一起使用，来指定会话的建立。
conduit命令配置语法：
conduit permit | deny global_ip port[-port] protocol foreign_ip [netmask]
permit | deny 允许 | 拒绝访问
global_ip 指的是先前由global或static命令定义的全局ip地址，如果global_ip为0，就用any代替0；如果global_ip是一台主机，就用host命令参数。
port 指的是服务所作用的端口，例如的这台主机进行>
远程配置防火墙时不要把自己踢出服务器
防火墙是指将内网和外网分开，并依照数据包的 IP 地址、端口号和数据包中的数据来判断是否允许数据包通过的网络设备。
防火墙可以是硬件防火墙设备，也可以是服务器上安装的防火墙软件。
简单来讲，防火墙就是根据数据包自身的参数来判断是否允许数据包通过的网络设备。我们的服务器要想在公网中安全地使用，就需要使用防火墙过滤有害的数据包。
但在配置防火墙时，如果管理员对防火墙不是很熟悉，就有可能把自己的正常访问数据包和有害数据包全部过滤掉，导致自己也无法正常登录服务器。比如说，防火墙关闭了远程连接的 SSH 服务的端口。
防火墙配置完全是靠手工命令完成的，配置规则和配置命令相对也比较复杂，万一设置的时候心不在焉，悲剧就发生了。如何避免这种趟尬的情况发生呢？
最好的方法当然是在服务器本地配置防火墙，这样就算不小视自己的远程登录给过滤了，还可以通过本机登录来进行恢复。如果服务器已经在远程登录了，要配置防火墙，那么最好在本地测试完善后再进行上传，这样会把发生故障的概率降到最低。
虽然在本地测试好了，但是传到远程服务器上时仍有可能发生问题。于是笔者想到一个笨办法，如果需要远程配置防火墙，那么先写一个系统定时任务，让它每 5 分钟清空一下防火墙规则，就算写错了也还有反悔的机会，等测试没有问题了再删除这个系统定时任务。
总之，大家可以使用各种方法，只要留意不要在配置防火墙时把自己踢出服务器就好了。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）