9、思科PIX防火墙访问配置与系统日志管理全解析

思科PIX防火墙访问配置与系统日志管理全解析

1. 访问列表配置

在使用出站访问列表时，为了限制访问，需遵循先拒绝后允许的原则。例如，若要限制内部接口的用户访问外部接口地址为172.16.68.20的网站，可使用以下命令：

pixfirewall(config)# access-list acl_in deny tcp any host 172.16.68.20 eq www
pixfirewall(config)# access-list acl_in permit ip any any
pixfirewall(config)# access-group acl_in in interface inside

从Cisco PIX防火墙操作系统版本5.3开始，访问列表成为管理网络访问的首选方法。早期版本使用的是conduit命令，虽然现在仍支持该命令以保持与旧配置的向后兼容性，但访问列表提供了更高的灵活性。

2. TurboACL特性

TurboACL是Cisco PIX防火墙版本6.2引入的一项特性，旨在提高包含大量条目的访问控制列表（ACLs）的平均搜索时间。该特性通过让PIX为ACLs编译表格来提升长ACL的搜索性能。

TurboACL特性可在整个PIX防火墙上全局启用，也可针对特定的ACL进行启用或禁用。当ACL中的访问控制条目（ACE）超过19条时，搜索性能会得到显著提升；而对于ACE较少的ACL，TurboACL并不会改善性能。该特性仅适用于包含19条及以上条目的ACL，且在PIX防火墙版本6.2中，支持的访问列表条目最