具体的网络环境如下：ADSL(211.98.162.25)---PIX515E（192.168.1.128)--普通交换机(192.168.1.0-192.168.1.254)
User Access Verification
Password:
Password:
Type help or '?' for a list of available commands.
pixfirewall> en
Password:
pixfirewall#
pixfirewall# con t
--进行特权模式
interface ethernet0 auto
--配置外部端口速为自动匹配
interface ethernet1 auto
--配置内部端口速为自动匹配
nameif ethernet0 outside security0
--配置外部端口名(outside)和安全级
nameif ethernet1 inside security100
--配置内部部端口名(inside)和安全级
enable password 8Ry2YjIyt7RRXU24 encrypted
----设口令
passwd RLPMUQ26KL4blgFN encrypted------ pix防火墙密码在默认状态下已被加密，在配置文件中不会以明文显示，telnet 密码缺省为cisco
Hostname PIX525
------ 主机名称为PIX525
fixup protocol dns maximum-length 512
--启用相关端口
fixup protocol ftp 21
--启用ftp协议，并指定ftp的端口号为21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol tftp 69
names
--允许DNS解决这台VPN/防火墙的名(就是前面Hostname PIX525
中的)
access-list 80 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
--设定访问列表,80为列表ID
--这句意思是允许任何IP协议在192.168.1.0 255.255.255.0和192.168.1.0 255.255.255.0之间进行通讯
注: 192.168.1.0这是一个网段,但我看不明白为什么是相同的.
access-list 101 permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
--设定访问列表101, 允许任何IP协议从192.168.1.0 255.255.255.0到192.168.2.0 255.255.255.0之间进行通讯
access-list 101 permit icmp 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
--设定访问列表101, 允许ICMP协议从192.168.1.0 255.255.255.0到192.168.2.0 255.255.255.0之间进行通讯。就是可以Ping通
access-list 102 permit icmp any any
--设定访问列表102, 允许ICMP协议在从内网的任何主机到外网的任何主机
access-list 103 permit ip any 211.98.162.0 255.255.255.0
--设定访问列表103, 允许任何IP协议在任何主机对211.98.162.0 255.255.255.0的访问
pager lines 24
--每页显示24口
mtu outside 1500
mtu inside 1500
ip address outside 211.98.162.25 255.255.255.0
--设定外网的ip地址是211.98.162.25，注意对应上面的防火墙接口ethernet0
ip address inside 192.168.1.128 255.255.255.0
--内网的ip地址是192.168.1.128，注意对应上面的防火墙接口ethernet1
ip audit info action alarm
ip audit attack action alarm
------ pix入侵检测的2个命令。当有数据包具有攻击或报告型特征码时，pix将采取报警动作（缺省动作），向指定的日志记录主机产生系统日志消息；此外还可以作出丢弃数据包和发出tcp连接复位信号等动作，需另外配置。
ip local pool dialer1 192.168.1.241-192.168.1.249
---配置从192.168.1.241到192.168.1.249的本地IP地址池dialer1,后面会用到。
no failover
--禁用failover
failover timeout 0:00:00
failover poll 15
no failover ip address outside
no failover ip address inside
pdm history enable