pix、asa分解实验5卷防火墙的问题集锦

1、Cisco PIX用户net至PIX的outside？集锦如何允许补充一下Licensed Features:-DES: Enabled-3DES: Disabled用SSH就可以。net不可以！对inside 倒dmz的，需要做nat配 置，对于dmz到inside的，需要做sic 与acs-list的配置。PIX 515E连接ADSL 路由MODEM！想知道 E0 口上怎么配置与开启路由的 MODEM 的连接。让内网所有用户可以都通过这个MODEM 上网。ADSL MODEM IP:pixfirwall(config)#vpdn group request dialout pppoepix

2、firwall(config)#vpdn group ppp auth PAP/CHAP/MSCHAPpixfirwall(config)#vpdn group localname pixfirwall(config)#vpdn username password pixfirwall(config)#ip add pppoe通过在 pix 515e 上进行设置使某些内网用户只能上一个特定的当前配置如下:PIX Ver6.3(3)erface ethernet0 autoerface ethernet1 autonameif ethernet0 outside security0nameif

3、ethernet1 inside security100hostnamxfirewallfixup protocol dnsum-length 512fixup protocol ftp 21fixup protocol h323 h225 1720fixup protocol h323 ras 1718-1719fixup protocol http 80fixup protocol rsh 514fixup protocol rtsp 554fixup protocol sip 5060fixup protocol sip udp 5060fixup protocol skinny 200

4、0fixup protocol smtp 25fixup protocol sqlnet 1521fixup protocol tftp 69namespager lines 24mtu outside 1500mtu inside 1500ip address outside 2 52ip address inside 53 ip audit info action alarmip auditack action alarmpdm history enablearp timeout 14400global (outside) 3erfacenat (inside) 3 55 0 0nat (

5、inside) 3 55 0 0nat (inside) 3 1 55 0 0nat (inside) 3 2 55 0 0nat (inside) 3 13 55 0 0nat (inside) 3 61 55 0 0nat (inside) 3 62 55 0 0nat (inside) 3 65 55 0 0nat (inside) 3 40 55 0 0nat (inside) 3 40 48 0 0nat (inside) 3 40 40 0 0route outside 1 1route inside 54 1timeout xlate 3:00:00timeoonn 1:00:0

6、0 half-closed 0:10:00 udp 0:02:00 rpc0:10:00 h225 1:00:00timeout h323 0:05:000:05:00 sip 0:30:00 sip_media0:02:00timeout uauth 0:05:00 absoluteaaa-server TACACS+ protocol tacacs+aaa-server RADIUS protocol radiusaaa-server LOCAL protocol localno snmp-server locationno snmp-server contactsnmp-server c

7、ommunity publicno snmp-server enable trapsfloodguard enablenet timeout 5ssh timeout 5console timeout 0terminal width 80Cryptochecksum:72a261056ba18f4dbefab375fb871688: end是的，可以将针对这些主机的限制策略放在 acl 的最上端，应用在 inside 口的 in 的方向上。你可以用支持时间的 acl 来做，也可以用 tacacs 来验证用户，定义 downloaded acl请教 pix515 acl 如何一个网段？deny

8、ip host 61.129.64.* any61.129.64.*这样的网段该咋样？juechen70 (版主)deny ip csco10334975 (普通用户)deny ip anymythis (普通用户)acs-list 100 deny ip anypix上启用了DHCP，不允许内网自动获取只允许DMZ自动获如何做。dhcpd address -54 dmzdhcpd enable dmzdhcpd dns 0 8这样就可以了！pix7.0 如何在 routed 和 transparent 两种方式中切换?pix 515e 升级到 pix7.01使用 transparent 模式

9、，请大家教如何做了？firewall transparentno firewall transparent在 515E 中配置 DHCP 网关令是什么dhcpd enable insidepix 能不能实现 dmz 和 inside 透明模式呢？有客户想把服务器搬到dmz区，但是服务器地址不变，这样除了透明模式我还想不到其他办法，inside和outside的透明模式我知道，但是inside 和 dmz 的透明模式怎么办？地址必须改变。透明桥模式下是没有 DMZ 概念的。地址不变也可以.做地址的时候翻译相同的地址就行了. 但是想搬到 dmz 区的机器和 inside区的机器是同一网段的服务器和

10、用户都是用一网段的，不改变地址怎么搞？如何配置 PIX 透明模式?首先，需要升级 pix os 到 7.0.1直接输入 firewall transparent 命令就可以让 PIX 工作在透明模式下面。 工作在透明模式下时，pix 相当于一条网线，故障切换由其它的三层设备完成。的策略一般多是和端口对应的,做在透明模式时怎样内网HTTI.HTTPS.PPTP,TCP/UDP-5060/1270有一点，透明模式下必须设置管理地址才会通有所变化，以前用双机作，pix os版本好像是就不支持透明模式看来透明模式的应用还是挺多的，可以做网络分区之间的安全，最重要的是可以让动态路由协议穿过如何看用命令看

11、这两台 PIX 支持的最大连接数（不是使用中的最大连接数，而是 license 所限制的最大连接数）show ver.不通 515E 的 outside 地址？为什么PIX 的版本是 6.3(4)，设置了 515E 的 outside 地址和 inside 地址后，用网线将笔记本和 515E的 outside 端口联起来，本本的地址和 outside 地址在一个网段内，但总是不通outside 地址，但同样的配置在 6.2 版本的 515E 上使用时是没有问题的，好奇怪啊？icmp pemit any outside=pix设置好了，DDN方式可以上，为什么家里的adsl？配置如下：pix52

12、0PIX Ver6.3(3)erface ethernet0 100fullerface ethernet1 100fullerface ethernet2 100fullnameif ethernet0 Outside security0nameif ethernet1 inside security100nameif ethernet2 Outside-DMZ security50enable password GyBjREM5Y/fIjrzB encryptedpasswd enO4Olec9w1AmAwd encryptedhostnamX-yinhetech-nameclock ti

13、mezone CST 8fixup protocol dnsum-length 512fixup protocol ftp 21fixup protocol ftp 2121fixup protocol h323 h225 1720fixup protocol h323 ras 1718-1719fixup protocol http 80fixup protocol rsh 514fixup protocol rtsp 554fixup protocol sip 5060fixup protocol sip udp 5060no fixup protocol skinny 2000fixup

14、 protocol smtp 25fixup protocol sqlnet 1521fixup protocol tftp 69namesname notebookpoolIPacs-list nonat permit ip notebookpoolIP acs-list 101 permit ip anyacs-list notebookpc_splitTunnelAcl permit ip anyacs-list notebookpc_splitTunnelAcl permit ip notebookpoolIP anyacs-list notebookpc_splitTunnelAcl

15、 permit ip host 1 anyacs-list Outside_cryptomap_dyn_20 permit ip any notebookpoolIP acs-list Outside_cryptomap_dyn_20 permit ip notebookpoolIP anypager lines 24logging onlogging standbylogging buffered debugginglogging trap notificationsicmp deny any Outsidemtu Outside 1500mtu inside 1500mtu Outside

16、-DMZ 1500ip address Outside *.*.*.* 40ip address inside 53 ip address Outside-DMZ 54 ip verify reverse-patherface Outsideip verify reverse-patherface insideip audit info action alarmip auditack action alarmip local pool notebookpool -50no failoverfailover timeout 0:00:00failovoll 15no failover ip ad

17、dress Outsideno failover ip address insideno failover ip address Outside-DMZpdm history enablearp timeout 14400global (Outside) 1 *.*.*.* netmask 40global (Outside-DMZ) 1 00-50 netmask nat (inside) 0 acs-list nonatnat (inside) 1 0 0acs-group 101 inerface insideroute Outside *.*.*.* 1route inside 54

18、1timeout xlate 3:00:00timeoonn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00timeout h323 0:05:000:05:00 sip 0:30:00 sip_media 0:02:00timeout uauth 0:05:00 absoluteaaa-server TACACS+ protocol tacacs+aaa-server RADIUS protocol radiusaaa-server LOCAL protocol localhttp server enableh

19、ttp 4 55 insidehttp 8 55 insidesnmp-server host inside 0snmp-server host inside 4snmp-server location soft_yuan_ernetsnmp-server contact billsnmp-server community publicsnmp-server enable trapstftp-server inside 4 /no floodguard enablesysopt connection permit-ipseccrypto ipsec transform-set ESP-DES-

20、MD5 esp-des esp-md5-hmaccrypto dynamic-map Outside_dyn_map 20 match address Outside_cryptomap_dyn_20crypto dynamic-map Outside_dyn_map 20 set transform-set ESP-DES-MD5crypto map Outside_map 65535 ipsec-isakmp dynamic Outside_dyn_mapcrypto map Outside_maperface Outsideisakmp enable Outsideisakmentity

21、 addressisakmp keepalive 60 5isakmp nat-traversal 120isakmp policy 20 authentication pre-shareisakmp policy 20 encryption desisakmp policy 20 hash md5isakmp policy 20 group 2isakmp policy 20 lifetime 86400group notebookpc address-pool notebookpoolgroup notebookpc dns-server 8 8group notebookpc defau

22、omaingroup notebookpc split-tunnel notebookpc_splitTunnelAclgroup notebookpc idle-time 1800group notebookpc password *net insidenet 10 55 insidenet 10 55 Outside-DMZnet timeout 31ssh timeout 5console timeout 0terminal width 80Cryptochecksum:826ec1728f5df3bb3ecf0542790a4d35surf_qj (普通用户)对了，是使用cisco s

23、ystemCnt 4.01 登录的，家里adsl可以连上，但是不能，DDN就可以其实，不光是PIX问题，我用 2620 做的和你的也一样，用一般的ADSL是的，但如果是用带路由功能ADSL就可以。isakmp nat-traversal 120还有客户端 NAT 打开，估计是 NAT吧。=pix515具体现象是，DMZ和inside各接一台单机，DMZ的单机能用上网，其他不能，inside的机器什么都干不了。单机保证无问题。请各位帮忙看看配置吧。 outside的地址和global的地址不同，有影响么？（没有空闲的连续地址了,只能用两个不同地址表示一下）PIX Ver6.2(2)nameif

24、ethernet0 outside security0nameif ethernet1 inside security100nameif ethernet2 dmz security50enable password O53fPNRgHkA6IEsY encryptedpasswd TWjtI1emvjruV4SY encryptedhostname jygatewall-name fixup protocol ftp 21fixup protocol http 80fixup protocol h323 h225 1720fixup protocol h323 ras 1718-1719fi

25、xup protocol ils 389fixup protocol rsh 514fixup protocol rtsp 554fixup protocol sqlnet 1521fixup protocol sip 5060no fixup protocol skinny 2000no fixup protocol smtp 25namesacs-list dmz_jygate_acl deny icmp any anyacs-list dmz_jygate_acl permit udp any any eqacs-list dmz_jygate_acl permit tcp any an

26、y eq wwwacs-list dmz_jygate_acl permit udp any any eq 20acs-list dmz_jygate_acl permit tcp any host eq 20817acs-list dmz_jygate_acl permit tcp any host eq 20820acs-list dmz_jygate_acl permit tcp any host eq 8080acs-list dmz_jygate_acl permit tcp any host eq 8383acs-list dmz_jygate_acl per

27、mit tcp any host eq 32002pager lines 24erface ethernet0 100fullerface ethernet1 100fullerface ethernet2 100fullmtu outside 1500mtu inside 1500mtu dmz 1500ip address outside 24ip address inside ip address dmz ip audit info action alarmip auditack action alarmno failoverfailover timeout 0:00:00failovoll 15failover ip address outside failover ip address inside failover ip address dmz pdm history enablearp timeout 14400global (outside) 1 nat (inside) 1 0 0sic (dmz,outside) 01 netmask 55 0 0sic (inside,dmz) netmask 0 0