沈阳电脑维修上门服务13889116605: R1和R2配置上基本的接口和默认路由!PIX配置:pixfirewallenPassword:直接敲回车即可pixfirewall#pixfirewall#conftpixfirew...
R1和R2配置上基本的接口和默认路由!
PIX配置:
pixfirewall>en
Password:直接敲回车即可
pixfirewall#
pixfirewall#conft
pixfirewall(config)#hostnamePIX
PIX(config)#inte0
PIX(config-if)#ipaddress220.171.1.2255.255.255.0
PIX(config-if)#security-level0外部接口,安全级别为0
PIX(config-if)#nameifoutside外部接口命名
PIX(config-if)#nosh
PIX(config-if)#inte1
PIX(config-if)#ipad10.0.1.1255.255.255.0
PIX(config-if)#security-level100 内部接口,安全级别为100
PIX(config-if)#nameifinside
PIX(config-if)#nosh
默认情况下,内部设备是可以ping通内部接口的;同理外部设备也是可以ping通外部接口的!www.it165.net
如图:
现在设置拒绝内部和外部主机ping通防火墙内外部接口!
PIX
PIX(config)#icmpdeny00outside或者icmpdenyanyoutside
PIX(config)#icmpdeny00inside 或者icmpdenyanyinside
再次ping,结果如下:
可以看到不能ping通了!
前面的拒绝命令也可以用下面的这种:
PIX(config)#icmpdeny00echooutside /阻止外部主机发出的echo包
PIX(config)#icmpdeny00echoinside/阻止内部主机发出的echo包
效果一样!因为当用PING命令时,就会发出echo数据包,作用是让目的网络作出响应,以查看网络是否通畅,是否很快!也叫做回声数据,一般是用于确定连接正常的!
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
接下来做:icmp穿越pix实验
PIX
PIX(config)#access-listk1permiticmpanyany内部流量过滤,允许内部任何流量(此刻ICMP包可出但不可回,后面配置好路由就能回了)
PIX(config)#access-groupk1ininterfaceoutside 在outside接口上放行k1指定的流量
PIX(config)#nat(inside)100
PIX(config)#global(outside)1interface 使用outside接口IP实现端口地址转换
INFO:outsideinterfaceaddressaddedtoPATpool
PIX(config)#routeinside10.0.2.0255.255.255.010.0.1.2/实现到内部网络的路由,下一跳10.0.1.2,否则pix不知如何返回数据包
说明:由inside发出的数据包,标签nat1,到外部时源地址会被outside接口地址转换。由内向外的ping包,源地址也会被替换,但ping包出去了,回来时却被outside接口阻挡。
可以看到从内到外能ping同了!当然也能ping通PIX接口了!
如果这样配置
PIX(config)#global(outside)1220.171.1.3-220.171.1.3255.255.255.0
PIX(config)#nat(inside)110.1.1.0255.255.255.0
就只允许内部PC的10.1.1.0/24网络流量使用地址池或PAT
上一篇:DNS劫持演示及防范