㈠ 誰知道CISCO PIX防火牆用什麼命令查電源
配置
靜態IP地址
翻譯static(inside,outside)
61.144.51.62
192.168.0.2static(inside,outside)
192.168.0.2
61.144.51.62
這兩條命令有什麼區別？為什麼有的例子把內部IP（192.168.0.2）
寫在前面
，有的例子把外部IP寫在前面？還有
static(dmz,outside)
211.48.16.2
172.16.10.8
到底DMZ的ip是前面的ip還是後面的IP？我初學者，請大家指點一二，
不勝感激
！
㈡ 思科PIX-515E 防火牆如何恢復出廠設置
要恢復PIX 防火牆的出廠設置，按照以下步驟輸入CLI（命令行介面）命令：
conf t
clear configuration all (清空當前配置)
int e1 auto
ip address inside 192.168.1.1 255.255.255.0
dhcpd address 192.168.1.2-192.168.1.254 inside
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
dhcpd enable inside
http 192.168.1.0 255.255.255.0 inside
http server enable
pdm history enable
pdm logging informational 100
write memory
exit
PIX515E
1檢查隨機附件
2安裝PIX 515E
3配置PIX 515E
PIX 515E隨機附帶的出廠配置適用於大部分小型的商務辦公網路環境。INSIDE INTERFACE包含有一個默認的DHCP地址池。PIX 515E的出廠配置能在未知流量下保護你的內部網路。
默認情況下，PIX 515E阻止所有從OUTSIDE INTERFACE入站的流量。基於你的網路安全策略，你應該考慮通過執行icmp命令，來配置PIX拒絕所有到達OUTSIDE INTERFACE（或者任意一個你認為需要的介面）的ICMP流量。想了解關於icmp命令的更多信息，請查閱cisco pix 防火牆命令手冊。
PIX 515E內置一個名叫PDM的基於WEB方式的配置工具，它可以幫助你設置PIX防火牆。PDM已經被預安裝到了515E防火牆內。PDM運行前，請確認你的瀏覽器支持JavaAcript和Java組件。查詢CISCO PDM安裝向導可以得到關於操作系統和PDM瀏覽器環境的更多信息。
PDM為你的PIX防火牆提供了一個初始配置的啟動向導。只需要幾個步驟，PDM向導就可以使你完成一個基本的配置，使內網與外網安全地通信。
通過下面幾個步驟啟動PDM向導：
步驟一：如果你還沒有做任何工作，那麼利用網線使連接E1介面與一台交換機或者HUB相連。然後用一台計算機連接到交換機上配置PIX 515E。
步驟二：配置你的計算機使用DHCP獲取IP或者配置一個192.168.1.0網段內的靜態IP地址（可用IP為192.168.1.2到192.168.1.254）
注意：PIX 515E的E1介面默認為192.168.1.1
步驟三：檢查515E的E1介面連接指示燈，當成功連接後，PIX上的E1指示燈與交換機通信指示燈都為綠色。
步驟四：利用計算機訪問來啟動PDM向導。
步驟五：用戶名與口令均為空。
步驟六：點擊YES接受證書，然後根據向導進行PIX 515E的配置。點擊Help按鈕獲得在線幫助。
㈢ 防火牆的配置命令有哪些
1、nameif
設置介面名稱，並指定安全級別，安全級別取值范圍為1～100，數字越大安全級別越高。
使用命令：
PIX525(config)#
PIX525(config)#
PIX525(config)#nameifethernet2dmzsecurity50
2、interface
配置以太口工作狀態，常見狀態有：auto、100full、shutdown。
auto：設置網卡工作在自適應狀態。
100full：設置網卡工作在100Mbit/s，全雙工狀態。
shutdown：設置網卡介面關閉，否則為激活。
命令：
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#
3、ipaddress
配置網路介面的IP地址
4、global
指定公網地址范圍：定義地址池。
Global命令的配置語法：
global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]
其中：
(if_name)：表示外網介面名稱，一般為outside。
nat_id：建立的地址池標識(nat要引用)。
ip_address-ip_address：表示一段ip地址范圍。
[netmarkglobal_mask]：表示全局ip地址的網路掩碼。
5、nat
地址轉換命令，將內網的私有ip轉換為外網公網ip。
6、route
route命令定義靜態路由。
語法：
route(if_name)00gateway_ip[metric]
7、static
配置靜態IP地址翻譯，使內部地址與外部地址一一對應。
語法：
static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address
8、conit
管道conit命令用來設置允許數據從低安全級別的介面流向具有較高安全級別的介面。
語法：
conitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]
9、訪問控制列表ACL
訪問控制列表的命令與couit命令類似
10、偵聽命令fixup
作用是啟用或禁止一個服務或協議，
通過指定埠設置PIX防火牆要偵聽listen服務的埠。
11、telnet
當從外部介面要telnet到PIX防火牆時，telnet數據流需要用vpn隧道ipsec提供保護或
在PIX上配置SSH，然後用SSHclient從外部到PIX防火牆。
12、顯示命令：
showinterface；查看埠狀態。
showstatic；查看靜態地址映射。
showip；查看介面ip地址。
showconfig；查看配置信息。
showrun；顯示當前配置信息。
writeterminal；將當前配置信息寫到終端。
showcpuusage；顯示CPU利用率，排查故障時常用。
showtraffic；查看流量。
showblocks；顯示攔截的數據包。
showmem；顯示內存
13、DHCP服務
PIX具有DHCP服務功能。
㈣ 防火牆的配置命令是什麼
1、nameif
設置介面名稱，並指定安全級別，安全級別取值范圍為1～100，數字越大安全級別越高。
使用命令：
PIX525(config)#
PIX525(config)#
PIX525(config)#nameifethernet2dmzsecurity50
2、interface
配置以太口工作狀態，常見狀態有：auto、100full、shutdown。
auto：設置網卡工作在自適應狀態。
100full：設置網卡工作在100Mbit/s，全雙工狀態。
shutdown：設置網卡介面關閉，否則為激活。
命令：
PIX525(config)#interfaceethernet0auto
PIX525(config)#interfaceethernet1100full
PIX525(config)#
3、ipaddress
配置網路介面的IP地址
4、global
指定公網地址范圍：定義地址池。
Global命令的配置語法：
global(if_name)nat_idip_address-ip_address[netmarkglobal_mask]
其中：
(if_name)：表示外網介面名稱，一般為outside。
nat_id：建立的地址池標識(nat要引用)。
ip_address-ip_address：表示一段ip地址范圍。
[netmarkglobal_mask]：表示全局ip地址的網路掩碼。
5、nat
地址轉換命令，將內網的私有ip轉換為外網公網ip。
6、route
route命令定義靜態路由。
語法：
route(if_name)00gateway_ip[metric]
7、static
配置靜態IP地址翻譯，使內部地址與外部地址一一對應。
語法：
static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address
8、conit
管道conit命令用來設置允許數據從低安全級別的介面流向具有較高安全級別的介面。
語法：
conitpermit|denyprotocolglobal_ipport[-port]foreign_ip[netmask]
9、訪問控制列表ACL
訪問控制列表的命令與couit命令類似
10、偵聽命令fixup
作用是啟用或禁止一個服務或協議，
通過指定埠設置PIX防火牆要偵聽listen服務的埠。
11、telnet
當從外部介面要telnet到PIX防火牆時，telnet數據流需要用vpn隧道ipsec提供保護或
在PIX上配置SSH，然後用SSHclient從外部到PIX防火牆。
12、顯示命令：
showinterface；查看埠狀態。
showstatic；查看靜態地址映射。
showip；查看介面ip地址。
showconfig；查看配置信息。
showrun；顯示當前配置信息。
writeterminal；將當前配置信息寫到終端。
showcpuusage；顯示CPU利用率，排查故障時常用。
showtraffic；查看流量。
showblocks；顯示攔截的數據包。
showmem；顯示內存
13、DHCP服務
PIX具有DHCP服務功能。
㈤ cisco pix 防火牆的static命令參數
樓主估計在考網工，你看的資料不是那本厚厚的題庫就是清大出的同步輔導，這兩本對static的解讀是一樣的，一樣的爛！包括舉的爛例子。
這個題目的題目答案是有問題的。
static (inside,outside) 192.168.0.8 61.144.51.43
意思是從外頭經過outside區域（隨便啥源IP）訪問192.168.0.8（這個是outside區IP）的時候，被重定向到本地IP 61.144.51.43。
這題有2個問題，首先是192.168.0.8不可能是外網IP，即：不是能被互聯網路由的IP，外網不可能請求訪問這個地址。其次是4個答案描述有問題。硬選的話，ABC選項的前半句描述的主機根本不存在，只有D正確。但題目應該是static (inside,outside) 61.144.51.43 192.168.0.8
先不管這道題。
static主要用在對外提供應用訪問，比如web請求。舉個例子：
我企業向ISP申請了一段互聯網IP,其中一個是61.144.51.43，我准備拿來作為我的網站地址對外服務。
我企業網的伺服器群在dmz區域，其中一個IP地址為192.168.0.8的伺服器是我的網站伺服器，為了讓人家訪問我的網站，自然我需要將人家對61.144.51.43的web請求定向到192.168.0.8，所以有了如下配置：（沒寫埠那些語法了）
static (dmz,outside)61.144.51.43 192.168.0.8
總之，nat是用來讓我區域網用戶訪問互聯網，static是用來讓互聯網用戶正確訪問到我要對外開放的伺服器。
還有問題留言我空間。
㈥ PIX 防火牆nameif inside這條命令是用來干什麼的
因為最新版的PIX採用ASA演算法，對埠所連接的網路進行保護。當你輸入nameif
inside
命令時，PIX本身會運行ASA演算法將此埠的保護級別設置為100
㈦ 什麼是PIX
PIX是CISCO公司開發的防火牆系列設備，主要起到策略過濾，隔離內外網，根據用戶實際需求設置DMZ（停火區）。它和一般硬體防火牆一樣具有轉發數據包速度快，可設定的規則種類多，配置靈活的特點。不同版本的PIX可以提供不同的防護配置方案，為你量身打造一個安全，便捷的網路環境，使您企業安全上網無後顧之憂，避免「火光之災」......
命令
Aaa允許、禁止或查看以前使用「aaa-server」命令為伺服器指定的TACACS+或RADIUS用戶認證、授權和帳戶
Aaa-server指定一個AAA伺服器
Access-group將訪問列表名綁定到介面名以允許或拒絕IP信息包進入介面
Access-list創建一個訪問列表
Alias管理雙向NAT中的重疊地址
Arp改變或查看ARP緩存，設置超時值
Auth-prompt改變AAA的提示文本
Ca配置PIX防火牆和CA的交互
Clock設置PIX防火牆時鍾以供PIX防火牆系統日誌伺服器和PKI協議使用
Conit為向內連接添加、刪除或顯示通過防火牆的管道
Configure清除或融合當前配置與軟盤或快閃記憶體中的配置。進入配置模式或查看當前配置
Cryptodynamic-map創建、查看或刪除一個動態加密映射項。
Cryptoipsec創建、查看或刪除與加密相關的全局值
Cryptomap創建、查看或刪除一個動態加密映射項，也用來刪除一個加密映射集
Debug通過PIX防火牆調試信息包或ICMP軌跡。
Disable退出特權模式並返回到非特權模式
Domain_name改變IPSec域名
Enable啟動特權模式
Enablepassword設置特權模式的口令
Exit退出訪問模式
Failover改變或查看到可選failover特性的訪問
Filter允許或禁止向外的URL或HTML對像過濾
Fixupprotocol改變、允許、禁止或列出一個PIX防火牆應用的特性
Flashfs清除快閃記憶體或顯示快閃記憶體扇區大小
Floodguard允許或禁止洪泛（FLOOD）保護以防止洪泛攻擊
Help顯示幫助信息
Global從一個全局地址池中創建或刪除項
Hostname改變PIX防火牆命令行提示中的主機名
Interface標示網路介面的速度和雙工屬性
Ip為本地池和網路介面標示地址
Ipsec配置IPSEC策略
Isakmp協商IPSEC策略聯系並允許IPSEC安全通信
Kill終止一個TELNET會話
Logging允許或禁止系統日誌和SNMP記錄
Mtu為一個介面指定MTU（最大流量單元）
Name/names關聯一個名稱和一個IP地址
Nameif命名介面並分配安全等級
Nat聯系一個網路和一個全局IP地址池
Outbound/apply創建一個訪問列表用於控制網際網路
Pager使能或禁止屏幕分頁
Passwd為TELNET和PIX管理者訪問防火牆控制台配置口令
Perfmon瀏覽性能信息
Ping決定在PIX防火牆上其他的IP地址是否可見
Quit退出配置或特權模式
Reload重新啟動或重新載入配置
Rip改變RIP設置
Route為指定的介面輸入一條靜態或預設的路由
Service復位向內連接
Session訪問一個嵌入式的ACCESSPRO路由器控制台
Show查看命令信息
Showblocks/clearblocks顯示系統緩沖區利用情況
Showchecksum顯示配置校驗和
Showconn列出所有的活躍連接
Showhistory顯示前面輸入的行
Showinterface顯示介面配置
Showmemory顯示系統內存的使用情況
Showprocesses顯示進程
Showtech-support查看幫助技術支持分析員診斷問題的信息
Showtraffic顯示介面的發送和接收活動
Showuauth未知（我沒搞過，嘿嘿）
Showversion瀏覽PIX防火牆操作信息
Showxlate查看地址轉換信息
Snmp-server提供SNMP事件信息
Static將局部地址映射為全局地址
Sysopt改變PIX防火牆系統項
Terminal改變控制台終端設置
Timeout設置空閑時間的最大值
Uauth(clearandshow)將一個用戶的所有授權高速緩存刪除
url-cache緩存響應URL過濾對WebSENSE伺服器的請求
url-server為使用folter命令指派一個運行WebSENSE的伺服器
virtual訪問PIX防火牆虛擬伺服器
who顯示PIX防火牆上的活躍的TELNET管理會話
write存儲、查看或刪除當前的配置
xlate(clearandshow)查看或清除轉換槽信息
㈧ 如何配置防火牆
XP系統防火牆的設置
步驟一：安裝程序時
許多程序在安裝時都要求關閉防火牆(如WPS Office 2003)。有些程序雖然並未直接明示，但若不及時關閉，就有可能造成安裝失敗，比如彈出「讀取錯誤」、「安裝*.exe出錯」等信息，或者乾脆死機，或者安裝上去之後不能正常使用。筆者在安裝金山影霸、Office XP等程序時已經屢經驗證。
步驟二：整理碎片時
在Windows XP中整理磁碟碎片時，屏幕保護程序已不再像在Windows 98那樣干擾碎片整理的正常進行(每次都得重新開始)，但病毒防火牆卻依舊起著干擾作用，尤其是金山毒霸防火牆，會使碎片整理根本無法進行，在整理列表中會不斷出現重復的磁碟圖標，並且用不了多久就彈出提示：磁碟碎片無法整理，某某錯誤。這時候試著關掉防火牆，再看看是不是已經正常了。
步驟三：系統還原時
Windows XP中的系統還原幾乎可以說是一劑萬能後悔葯，但可能會遇到下面的情況：在創建新的系統還原點時系統提示：無法完成新還原點的創建，請重新啟動計算機，再次運行系統還原。可是即使重新啟動之後仍舊無法完成新還原點的創建。其實罪魁禍首還是病毒防火牆，只要關掉它，就可恢復正常了。病毒防火牆對還原系統到過去某一時間的過程也有影響，表現為點擊「確定」按鈕後系統沒有反應，最可怕的是即使勉強完成了系統還原，有的程序也無法正常使用(如金山影霸)。
㈨ 思科pix配置命令介紹
PIX配置詳解任何企業安全策略的一個主要部分都是實現和維護防火牆，因此防火牆在網路安全的實現當中扮演著重要的角色。防火牆通常位於企業網路的邊緣，這使得內部網路與Internet之間或者與其他外部網路互相隔離，並限制網路互訪從而保護企業內部網路。設置防火牆目的都是為了在內部網與外部網之間設立唯一的通道，簡化網路的安全管理。
在眾多的企業級主流防火牆中，Cisco PIX防火牆是所有同類產品性能最好的一種。
Cisco PIX系列防火牆目前有5種型號PIX506，515，520，525，535。其中PIX535是PIX
500系列中最新，功能也是最強大的一款。它可以提供運營商級別的處理能力，適用於大型的ISP等服務提供商。但是PIX特有的OS操作系統，使得大多數管理是通過命令行來實現的，不象其他同類的防火牆通過Web管理界面來進行網路管理，這樣會給初學者帶來不便。本文將通過實例介紹如何配置Cisco PIX防火牆。
在配置PIX防火牆之前，先來介紹一下防火牆的物理特性。防火牆通常具有至少3個介面，但許多早期的防火牆只具有2個介面；當使用具有3個介面的防火牆時，就至少產生了3個網路，描述如下：
內部區域（內網）:內部區域通常就是指企業內部網路或者是企業內部網路的一部分。它是互連網路的信任區域，即受到了防火牆的保護。
外部區域（外網）:外部區域通常指Internet或者非企業內部網路。它是互連網路中不被信任的區域，當外部區域想要訪問內部區域的主機和服務，通過防火牆，就可以實現有限制的訪問。
停火區（DMZ）:停火區是一個隔離的網路，或幾個網路。位於停火區中的主機或伺服器被稱為堡壘主機。一般在停火區內可以放置Web伺服器，Mail伺服器等。停火區對於外部用戶通常是可以訪問的，這種方式讓外部用戶可以訪問企業的公開信息，但卻不允許他們訪問企業內部網路。注意：2個介面的防火牆是沒有停火區的。由於PIX535在企業級別不具有普遍性，因此下面主要說明PIX525在企業網路中的應用。 PIX防火牆提供4種管理訪問模式：
非特權模式:PIX防火牆開機自檢後，就是處於這種模式。系統顯示為pixfirewall>
特權模式:輸入enable進入特權模式，可以改變當前配置。顯示為pixfirewall#
配置模式:輸入configure terminal進入此模式，絕大部分的系統配置都在這里進行。顯示為pixfirewall(config)#
監視模式:PIX防火牆在開機或重啟過程中，按住Escape鍵或發送一個「Break」字元，進入監視模式。這里可以更新操作系統映象和口令恢復。顯示為monitor>配置PIX防火牆有6個基本命令：nameif，interface，ip address，nat，global，route.
這些命令在配置PIX是必須的。以下是配置的基本步驟：
1. 配置防火牆介面的名字，並指定安全級別（nameif）。
Pix525(config)#nameif ethernet0 outside security0
Pix525(config)#nameif ethernet1 inside security100
Pix525(config)#nameif dmz security50
提示：在預設配置中，乙太網0被命名為外部介面（outside），安全級別是0；乙太網1被命名為內部介面（inside），安全級別是100.安全級別取值范圍為1～99，數字越大安全級別越高。若添加新的介面，語句可以這樣寫：
Pix525(config)#nameif pix/intf3 security40 （安全級別任取）
2. 配置以太口參數（interface）
Pix525(config)#interface ethernet0 auto（auto選項表明系統自適應網卡類型 ）
Pix525(config)#interface ethernet1 100full（100full選項表示100Mbit/s乙太網全雙工通信 ）
Pix525(config)#interface ethernet1 100full shutdown（shutdown選項表示關閉這個介面，若啟用介面去掉shutdown ）
3. 配置內外網卡的IP地址（ip address）
Pix525(config)#ip address outside 61.144.51.42 255.255.255.248
Pix525(config)#ip address inside 192.168.0.1 255.255.255.0
很明顯，Pix525防火牆在外網的ip地址是61.144.51.42，內網ip地址是192.168.0.1
4. 指定要進行轉換的內部地址（nat）
網路地址翻譯（nat）作用是將內網的私有ip轉換為外網的公有ip.Nat命令總是與global命令一起使用，這是因為nat命令可以指定一台主機或一段范圍的主機訪問外網，訪問外網時需要利用global所指定的地址池進行對外訪問。
nat命令配置語法：nat (if_name) nat_id local_ip [netmark]
其中（if_name）表示內網介面名字，例如inside.
Nat_id用來標識全局地址池，使它與其相應的global命令相匹配，
local_ip表示內網被分配的ip地址。例如0.0.0.0表示內網所有主機可以對外訪問。
[netmark]表示內網ip地址的子網掩碼。
例1．Pix525(config)#nat (inside) 1 0 0 表示啟用nat,內網的所有主機都可以訪問外網，用0可以代表0.0.0.0
例2．Pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0 表示只有172.16.5.0這個網段內的主機可以訪問外網。
5. 指定外部地址范圍（global）
global命令把內網的ip地址翻譯成外網的ip地址或一段地址范圍。
Global命令的配置語法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中（if_name）表示外網介面名字，例如outside.。
Nat_id用來標識全局地址池，使它與其相應的nat命令相匹配，
ip_address-ip_address表示翻譯後的單個ip地址或一段ip地址范圍。
[netmark global_mask]表示全局ip地址的網路掩碼。
例1． Pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48 表示內網的主機通過pix防火牆要訪問外網時，pix防火牆將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網的主機分配一個全局ip地址。
例2． Pix525(config)#global (outside) 1 61.144.51.42 表示內網要訪問外網時，pix防火牆將為訪問外網的所有主機統一使用61.144.51.42這個單一ip地址。
例3. Pix525(config)#no global (outside) 1 61.144.51.42 表示刪除這個全局表項。6. 設置指向內網和外網的靜態路由（route）
定義一條靜態路由。route命令配置語法：route (if_name) 0 0 gateway_ip [metric]
其中（if_name）表示介面名字，例如inside，outside。
Gateway_ip表示網關路由器的ip地址。
[metric]表示到gateway_ip的跳數。通常預設是1。例1． Pix525(config)#route outside 0 0 61.144.51.168 1
表示一條指向邊界路由器（ip地址61.144.51.168）的預設路由。
例2． Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1
Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1如果內部網路只有一個網段，按照例1那樣設置一條預設路由即可；如果內部存在多個網路，需要配置一條以上的靜態路由。上面那條命令表示創建了一條到網路10.1.1.0的靜態路由，靜態路由的下一條路由器ip地址是172.16.0.1OK，這6個基本命令若理解了，就可以進入到pix防火牆的一些高級配置了。A. 配置靜態IP地址翻譯（static）
如果從外網發起一個會話，會話的目的地址是一個內網的ip地址，static就把內部地址翻譯成一個指定的全局地址，允許這個會話建立。static命令配置語法：
static (internal_if_name，external_if_name) outside_ip_address inside_ip_address 其中internal_if_name表示內部網路介面，安全級別較高。如inside.
external_if_name為外部網路介面，安全級別較低。如outside等。
outside_ip_address為正在訪問的較低安全級別的介面上的ip地址。
inside_ip_address為內部網路的本地ip地址。例1． Pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.8 表示ip地址為192.168.0.8的主機，對於通過pix防火牆建立的每個會話，都被翻譯成61.144.51.62這個全局地址，也可以理解成static命令創建了內部ip地址192.168.0.8和外部ip地址61.144.51.62之間的靜態映射。
例2． Pix525(config)#static (inside, outside) 192.168.0.2 10.0.1.3
例3． Pix525(config)#static (dmz, outside) 211.48.16.2 172.16.10.8
注釋同例1。通過以上幾個例子說明使用static命令可以讓我們為一個特定的內部ip地址設置一個永久的全局ip地址。這樣就能夠為具有較低安全級別的指定介面創建一個入口，使它們可以進入到具有較高安全級別的指定介面。B. 管道命令（conit）
前面講過使用static命令可以在一個本地ip地址和一個全局ip地址之間創建了一個靜態映射，但從外部到內部介面的連接仍然會被pix防火牆的自適應安全演算法(ASA)阻擋，conit命令用來允許數據流從具有較低安全級別的介面流向具有較高安全級別的介面，例如允許從外部到DMZ或內部介面的入方向的會話。對於向內部介面的連接，static和conit命令將一起使用，來指定會話的建立。
conit命令配置語法：
conit permit | deny global_ip port[-port] protocol foreign_ip [netmask] permit | deny 允許 | 拒絕訪問
global_ip:指的是先前由global或static命令定義的全局ip地址，如果global_ip為0，就用any代替0；如果global_ip是一台主機，就用host命令參數。
port 指的是服務所作用的埠，例如www使用80，smtp使用25等等，我們可以通過服務名稱或埠數字來指定埠。
protocol:指的是連接協議，比如：TCP、UDP、ICMP等。
foreign_ip:表示可訪問global_ip的外部ip。對於任意主機，可以用any表示。如果foreign_ip是一台主機，就用host命令參數。例1. Pix525(config)#conit permit tcp host 192.168.0.8 eq www any
這個例子表示允許任何外部主機對全局地址192.168.0.8的這台主機進行http訪問。其中使用eq和一個埠來允許或拒絕對這個埠的訪問。
Eq ftp 就是指允許或拒絕只對ftp的訪問。
例2. Pix525(config)#conit deny tcp any eq ftp host 61.144.51.89
表示不允許外部主機61.144.51.89對任何全局地址進行ftp訪問。
例3. Pix525(config)#conit permit icmp any any
表示允許icmp消息向內部和外部通過。
例4. Pix525(config)#static (inside, outside) 61.144.51.62 192.168.0.3
Pix525(config)#conit permit tcp host 61.144.51.62 eq www any
這個例子說明static和conit的關系。192.168.0.3在內網是一台web伺服器，現在希望外網的用戶能夠通過pix防火牆得到web服務。所以先做static靜態映射：192.168.0.3－>61.144.51.62（全局），然後利用conit命令允許任何外部主機對全局地址61.144.51.62進行http訪問。C. 配置fixup協議
fixup命令作用是啟用，禁止，改變一個服務或協議通過pix防火牆，由fixup命令指定的埠是pix防火牆要偵聽的服務。見下面例子：
例1． Pix525(config)#fixup protocol ftp 21 啟用ftp協議，並指定ftp的埠號為21
例2． Pix525(config)#fixup protocol http 80
Pix525(config)#fixup protocol http 1080 為http協議指定80和1080兩個埠。
例3． Pix525(config)#no fixup protocol smtp 80 禁用smtp協議。D. 設置telnet
telnet有一個版本的變化。在pix OS5.0（pix操作系統的版本號）之前，只能從內部網路上的主機通過telnet訪問pix。在pix OS 5.0及後續版本中，可以在所有的介面上啟用telnet到pix的訪問。當從外部介面要telnet到pix防火牆時，telnet數據流需要用ipsec提供保護，也就是說用戶必須配置pix來建立一條到另外一台pix，路由器或vpn客戶端的ipsec隧道。另外就是在PIX上配置SSH，然後用SSH client從外部telnet到PIX防火牆，PIX支持SSH1和SSH2，不過SSH1是免費軟體，SSH2是商業軟體。相比之下cisco路由器的telnet就作的不怎麼樣了。
telnet配置語法：telnet local_ip [netmask]
local_ip 表示被授權通過telnet訪問到pix的ip地址。如果不設此項，pix的配置方式只能由console進行。
說了這么多，下面給出一個配置實例供大家參考。
Welcome to the PIX firewall
Type help or '?' for a list of available commands.
PIX525> en
Password:
PIX525#sh config
: Saved
:
PIX Version 6.0(1) ------ PIX當前的操作系統版本為6.0
Nameif ethernet0 outside security0
Nameif ethernet1 inside security100 ------ 顯示目前pix只有2個介面
Enable password 7Y051HhCcoiRTSQZ encrypted
Passed 7Y051HhCcoiRTSQZ encrypted ------
pix防火牆密碼在默認狀態下已被加密，在配置文件中不會以明文顯示，telnet 密碼預設為cisco Hostname PIX525 ------ 主機名稱為PIX525
Domain-name 123.com ------ 本地的一個域名伺服器123.com，通常用作為外部訪問
Fixup protocol ftp 21
Fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060 ------ 當前啟用的一些服務或協議，注意rsh服務是不能改變埠號 names ------ 解析本地主機名到ip地址，在配置中可以用名字代替ip地址，當前沒有設置，所以列表為空
pager lines 24 ------ 每24行一分頁
interface ethernet0 auto
interface ethernet1 auto ------ 設置兩個網卡的類型為自適應
mtu outside 1500
mtu inside 1500 ------ 乙太網標準的MTU長度為1500位元組
ip address outside 61.144.51.42 255.255.255.248
ip address inside 192.168.0.1 255.255.255.0 ------
pix外網的ip地址61.144.51.42，內網的ip地址192.168.0.1
ip audit info action alarm
ip audit attack action alarm ------
pix入侵檢測的2個命令。當有數據包具有攻擊或報告型特徵碼時，pix將採取報警動作（預設動作），向指定的日誌記錄主機產生系統日誌消息；此外還可以作出丟棄數據包和發出tcp連接復位信號等動作，需另外配置。
pdm history enable ------ PIX設備管理器可以圖形化的監視PIX
arp timeout 14400 ------ arp表的超時時間
global (outside) 1 61.144.51.46 ------ 如果你訪問外部論壇或用QQ聊天等等，上面顯示的ip就是這個
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside, outside) 61.144.51.43 192.168.0.8 netmask 255.255.255.255 0 0
conit permit icmp any any
conit permit tcp host 61.144.51.43 eq www anyconit permit udp host 61.144.51.43 eq domain any
------ 用61.144.51.43這個ip地址提供domain-name服務，而且只允許外部用戶訪問domain的udp埠
route outside 0.0.0.0 0.0.0.0 61.144.51.61 1 ------ 外部網關61.144.51.61
timeout xlate 3:00:00 ------
某個內部設備向外部發出的ip包經過翻譯(global)後，在預設3個小時之後此數據包若沒有活動，此前創建的表項將從翻譯表中刪除，釋放該設備佔用的全局地址
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00
h323 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute ------
AAA認證的超時時間，absolute表示連續運行uauth定時器，用戶超時後，將強制重新認證
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius ------
AAA伺服器的兩種協議。AAA是指認證，授權，審計。Pix防火牆可以通過AAA伺服器增加內部網路的安全
no snmp-server location
no snmp-server contact
snmp-server community public ------ 由於沒有設置snmp工作站，也就沒有snmp工作站的位置和聯系人
no snmp-server enable traps ------ 發送snmp陷阱
floodguard enable ------ 防止有人偽造大量認證請求，將pix的AAA資源用完
no sysopt route dnat
telnet timeout 5
ssh timeout 5 ------ 使用ssh訪問pix的超時時間
terminal width 80
Cryptochecksum:
PIX525#
PIX525#write memory ------ 將配置保存