防火墙实验（PIX804）配置笔记

GNS3->编辑->首选项，设置PIX镜像的路径

激活码和序列号去网上找下

拉三个路由出来，分别作为内网用户，服务器和互联网

因为防火墙都是E口，故都插E模块

接下来启动PIX，先来激活一下（默认Activation Key是没有的）

刚一启动，我电脑风扇就转起来了，这么恐怖的吗

 

pixfirewall>enable
password:    //没密码，直接回车
pixfirewall#conf t
pixfirewall(config)#activation key ? ? ? ? //4个激活码，之间用空格隔开
proceed with update flash activation key? [confirm]
pixfirewall(config)#reload

接下来它需要重启。重启过程需要手动把PIX关机重启

之后给他们配置IP和底层路由，ACL和NAT，以实现内外互访

做的时候很不幸碰到bug，怎么都ping不通，后来把路由逐个接上并配置才解决的

pixfirewall> enable 
Password: 
pixfirewall# conf t
pixfirewall(config)# hos
pixfirewall(config)# hostname PIX

PIX(config)# int e1
PIX(config-if)# no shu  //默认情况下就是no shutdown，所以其实可以不写
PIX(config-if)# nameif inside  //需要定义进程名。他能识别出"inside"这个关键词，然后自动设置安全级别为100。你也可以手动security-level 100
PIX(config-if)# ip add 192.168.1.10 255.255.255.0

PIX(config-if)# int e2
PIX(config-if)# nameif outside   
INFO: Security level for "outside" set to 0 by default.
PIX(config-if)# ip add 100.1.1.20 255.255.255.0

PIX(config-if)# int e3
PIX(config-if)# nameif dmz
INFO: Security level for "dmz" set to 0 by default.
PIX(config-if)# sec                             
PIX(config-if)# security-level 50
PIX(config-if)# ip add 172.16.1.30 255.255.255.0
PIX(config-if)# end
PIX# show int ip bri
PIX# show int ip brief

在PIX下写默认路由，指向出口

PIX(config)# route outside 0 0 100.1.1.3  //这里将0.0.0.0省略写为0
    //PIX(config)# show route

设置远程管理，可以用telnet或SSH等，telnet的大概配置如下

username admin password admin privilege 15  //帐号密码是明文传输的....以及，15是最高级别
telnet 192.168.1.0 255.255.255.0 inside    //只允许inside的192.168.1.0/24网段才可以访问。若希望inside内所有网段都能telnet，可以写成telnet 0 0 inside
aaa authentication telnet console LOCAL   //开启3A认证，从本地调用注册的帐号密码。注意LOCAL大写

telnet过程不够安全，SSH要好一些。SSH生成密钥，需要有主机名和域名，主机名之前已经写过了，就不写啦

PIX(config)# domain-name PIXtest.com
PIX(config)# crypto key generate rsa
PIX(config)# ssh 100.1.1.0 255.255.255.0 //设置访问权限
PIX(config)# aaa authentication ssh console LOCAL

客户端的登录就用ssh -l admin 100.1.1.20 。admin是用户名。可以去抓包试试，可以见到其过程类似与SSL

后面还需配置默认路由，动态路由协议和ACL/NAT等，以后再补上吧