如何为思科PIX防火墙配置内外网的访问策略呢？

Cisco PIX防火墙曾是网络安全领域的基石产品，尽管其产品线已停止更新并被自适应安全设备（ASA）系列取代，但PIX所确立的许多核心配置理念和安全模型，至今仍在思科防火墙技术中延续，掌握PIX的配置，不仅对于维护老旧网络环境至关重要，更是深入理解思科防火墙技术演进的钥匙，本文将系统性地梳理Cisco PIX防火墙的核心配置步骤，旨在提供一个清晰、实用且信息丰富的配置指南。

基础配置模式

与所有思科网络设备一样,PIX防火墙通过命令行界面（CLI）进行管理，并拥有不同的操作模式，理解这些模式是进行任何配置的前提。

• 用户模式（非特权模式）：提示符为 >，在此模式下，用户只能执行有限的、查看基本状态的命令，如 ping 或 enable。
• 特权模式：通过在用户模式下输入 enable 命令进入，提示符为 ，此模式拥有查看所有配置信息和执行调试命令的权限，是进入全局配置模式的必经之路。
• 全局配置模式：在特权模式下输入 configure terminal 进入，提示符为 (config)#，所有影响设备全局的配置都在此模式下进行，如修改主机名、配置接口、创建访问列表等。
• 子配置模式：在全局配置模式下，针对特定功能（如某个接口、一条ACL）会进入相应的子模式，例如接口配置模式 (config-if)#。

接口配置与安全级别

接口是防火墙连接不同网络区域的桥梁,其配置是整个防火墙策略的基础，PIX的核心安全模型之一便是“接口安全级别”。

每个接口都可以被分配一个0到100的安全级别,数字越大代表网络越可信，默认规则下，从高安全级别接口到低安全级别接口的流量是被允许的（出站流量），而从低到高的流量则被禁止（入站流量），除非有明确的访问控制列表（ACL）允许。

以下是典型接口配置示例：

配置命令如下：

configure terminal
interface ethernet0
 nameif outside
 security-level 0
 ip address 203.0.113.2 255.255.255.0
 no shutdown
!
interface ethernet1
 nameif inside
 security-level 100
 ip address 192.168.1.1 255.255.255.0
 no shutdown
!
interface ethernet2
 nameif dmz
 security-level 50
 ip address 172.16.1.1 255.255.255.0
 no shutdown

网络地址转换（NAT）配置

NAT是防火墙的另一项核心功能,用于解决IPv4地址短缺问题，并隐藏内部网络结构，PIX支持多种NAT类型，最常用的是静态NAT和动态PAT。

• 静态NAT：将内部网络的某个私有IP地址永久映射到一个公共IP地址，通常用于需要从外部访问的服务器。

  

  • 示例：将DMZ区的Web服务器（172.16.1.10）映射到公网IP（203.0.113.10）。

    static (dmz,outside) 203.0.113.10 172.16.1.10 netmask 255.255.255.255

• 动态PAT（端口地址转换）：允许多个内部主机共享一个或多个公共IP地址进行出站访问，这是大多数企业内部用户上网的方式。

  • 示例：让整个内部网段（192.168.1.0/24）通过outside接口的IP地址上网。

    nat (inside) 1 192.168.1.0 255.255.255.0
    global (outside) 1 interface

    这里的 nat 命令定义了需要进行地址转换的内部地址范围，并标记为 1。global 命令则定义了转换后使用的公共地址池，同样标记为 1，将两者关联起来。interface 关键字表示使用outside接口本身的IP地址。

访问控制列表（ACL）与应用

要允许从低安全级别区域到高安全级别区域的流量,必须创建并应用访问控制列表，ACL是防火墙实现精细化管理的关键。

1. 创建ACL：定义具体的访问规则，允许外部用户访问公网IP 203.0.113.10的HTTP（80）和HTTPS（443）服务。

   access-list OUTSIDE_IN extended permit tcp any host 203.0.113.10 eq 80
   access-list OUTSIDE_IN extended permit tcp any host 203.0.113.10 eq 443

2. 应用ACL：将创建好的ACL应用到特定接口的入方向。

   access-group OUTSIDE_IN in interface outside

   此命令将名为 OUTSIDE_IN 的ACL绑定到 outside 接口，对所有进入该接口的流量进行检查，务必记住，ACL的方向至关重要。

保存配置

所有配置修改都仅在当前运行的配置中生效,重启后将丢失，必须将其保存到启动配置中。

write memory

或者使用更标准的命令：

copy running-config startup-config

相关问答FAQs

问：Cisco PIX和后来的ASA防火墙在配置上有什么主要区别？

答： Cisco ASA是PIX的继任者，虽然在底层架构上进行了彻底革新（采用更统一的操作系统），但在配置语法上保持了高度向后兼容，许多PIX的核心命令，如 nameif, security-level, nat, global, static, access-list 和 access-group 在ASA上依然有效，主要区别在于ASA引入了更强大的模块化策略框架（MPF），通过 class-map, policy-map, service-policy 提供了比传统ACL更精细、更灵活的流量检查和控制能力，ASA在硬件性能、支持的功能（如IPS、IPSesc VPN、AnyConnect）以及管理方式上都有显著提升，对于基础配置，两者非常相似；但对于高级安全策略，ASA的MPF是现代标准。

问：我已经按照要求配置了NAT和ACL，为什么外网还是无法访问我的内网服务器？

答： 这是一个常见的排错问题，请按以下顺序检查：

1. ACL检查：确认ACL是否正确地应用在了 outside 接口的 in 方向？规则是否明确 permit（允许）了正确的协议（TCP/UDP）、源地址、目标地址（映射后的公网IP）和端口号？ACL规则的顺序也很重要，是从上到下匹配的。
2. NAT检查：静态NAT（static）命令的内外网IP是否书写正确？static (dmz,outside) public_ip private_ip 中的 (dmz,outside) 顺序是否正确，代表了流量从dmz到outside的方向？
3. 安全级别与路由：确保 outside 接口的安全级别低于服务器所在接口（如 dmz），检查防火墙是否有正确的路由，特别是指向互联网的默认路由（route outside 0.0.0.0 0.0.0.0 <ISP_gateway_ip>），否则返回的流量无法到达客户端。
4. 服务状态：最后但同样重要的是，确认服务器本身是否正常运行，防火墙是否开启了相应端口的访问，并且服务器的默认网关是否正确设置为防火墙的DMZ接口IP。