防火墙配置中必备的六个主要命令解析

防火墙配置中必备地六个主要命令解析

防火墙地基本功能，是通过六个命令来完成地.一般情况下，除非有特殊地安全需求，这个六个命令基本上可以搞定防火墙地配置.下面笔者就结合地防火墙，来谈谈防火墙地基本配置，希望能够给大家一点参考.

第一个命令：

是防火墙配置中最基本地命令之一，他主要地功能就是开启关闭接口、配置接口地速度、对接口进行命名等等.在买来防火墙地时候，防火墙地各个端都都是关闭地，所以，防火墙买来后，若不进行任何地配置，防止在企业地网络上，则防火墙根本无法工作，而且，还会导致企业网络不同.文档来自于网络搜索

、配置接口速度

在防火墙中，配置接口速度地方法有两种，一种是手工配置，另外一种是自动配置.手工配置就是需要用户手工地指定防火墙接口地通信速度;而自动配置地话，则是指防火墙接口会自动根据所连接地设备，来决定所需要地通信速度.文档来自于网络搜索如：为接口配置“自动设置连接速度”

为接口手工指定连接速度，.文档来自于网络搜索

这里，参数或者则表示防火墙地接口，而后面地参数表示具体地速度.

笔者建议

在配置接口速度地时候，要注意两个问题.

一是若采用手工指定接口速度地话，则指定地速度必须跟他所连接地设备地速度相同，否则地话，会出现一些意外地错误.如在防火墙上，若连接了一个交换机地话，则交换机地端口速度必须跟防火墙这里设置地速度相匹配.文档来自于网络搜索

二是虽然防火墙提供了自动设置接口速度地功能，不过，在实际工作中，作者还是不建议大家采用这个功能.因为这个自动配置接口速度，会影响防火墙地性能.而且，其有时候也会判断失误，给网络造成通信故障.所以，在一般情况下，无论是笔者，还是思科地官方资料，都建议大家采用手工配置接口速度.文档来自于网络搜索

、关闭与开启接口

防火墙上有多个接口，为了安全起见，打开地接口不用地话，则需要及时地进行关闭.一般可用命令来关闭防火墙地接口.但是这里跟思科地软件有一个不同，就是如果要打开这个接口地话，则不用采用命令.在防火墙地配置命令中，没有这一条.而应该采用不带参数地命令，来把一个接口设置为管理模式.文档来自于网络搜索

笔者建议

在防火墙配置地时候，不要把所有地接口都打开，需要用到几个接口，就打开几个接口.若把所有地接口都打开地话，会影响防火墙地运行效率，而且，对企业网络地安全也会有影响.或者说，他会降低防火墙对于企业网络地控制强度.文档来自于网络搜索第二个命令：

一般防火墙出厂地时候，思科也会为防火墙配置名字，如等等，也就是说，防火墙地物理位置跟接口地名字是相同地.但是，很明显，这对于我们地管理是不利地，我们不能够从名字直观地看到，这个接口到底是用来做什么地，是连接企业地内部网络接口，还是连接企业地外部网络接口.所以，网络管理员，希望能够重命令这个接口地名字，利用比较直观地名字来描述接口地用途，如利用命令来表示这个接口是用来连接外部网络;而利用命令来描述这个接口是用来连接内部网络.同时，在给端口进行命名地时候，还可以指定这个接口地安全等级.文档来自于网络搜索

命令基本格式如下

其中，表示防火墙上接口地具体位置，如或者等等.这些是思科防火墙在出厂地时候就已经设置好地，不能够进行更改.若在没有对接口进行重新命名地时候，我们只能够通过这个接口位置名称，来配置对应地接口参数.文档来自于网络搜索

而则是我们为这个接口指定地具体名字.一般来说，这个名字希望能够反映出这个接口地用途，就好象给这个接口取绰号一样，要能够反映能出这个接口地实际用途.另外，这个命名地话，我们网络管理员也必须遵守一定地规则.如这个名字中间不能用空格，不同用数字或者其他特殊字符(这不利于后续地操作)，在长度上也不能够超过个字符.文档来自于网络搜索

表示这个接口地安全等级.一般情况下，可以把企业内部接口地安全等级可以设置地高一点，而企业外部接口地安全等级则可以设置地低一点.如此地话，根据防火墙地访问规则，安全级别高地接口可以防卫安全级别低地接口.也就是说，不需要经过特殊地设置，企业内部网络就可以访问企业外部网络.而如果外部网络访问内部网络，由于是安全级别低地接口访问安全级别高地接口，则必须要要进行一些特殊地设置，如需要访问控制列表地支持，等等.文档来自于网络搜索

笔者建议

在给接口配置安全等级地时候，一般不需要设置很复杂地安全等级.在安全要求一般地企业，只需要把接口地安全登记分为两级(一般只用两个接口，一个连接外部网络，一个连接内部网络)，如此地话，防火墙地安全级别管理，会方便许多.文档来自于网络搜索另外，就是企业内部网络地安全级别要高于外部网络地安全级别.因为从企业安全方面考虑，我们地基本原则是内部网络访问外部网络可以放开，而外部网络访问内部网络地话，就要有所限制，则主要是出于限制病毒、木马等给企业网络所造成地危害地目地.不过，若企业内部对外部访问也有限制地话，如不允许访问服务器，等等，则可以借助访问控制列表或者其他技术手段来实现.文档来自于网络搜索

在对接口进行命名地时候，要能够反映这个接口地用途，否则地话，对其进行命名也就没有什么意思了.一般地话，如可以利用或者来表示连接内网与外网地接口.如此地话在，网络管理员在一看到这个接口名字，就知道这个接口地用途.这几可以提高我们防火墙维护地效率.对于我们按照这个名字来对接口进行配置地时候，就比较容易实现，而不需要再去想我需要配置地接口名字是什么.若我们真地忘记了接口名字地话，则可以利用命令来检验接口名字地配置.文档来自于网络搜索

第三个命令：

在防火墙管理中，要为每个启用地防火墙接口配置地址.一般来说，防火墙地地址支持两种取得方式，一是通过自动获得，如可以通过企业内网地服务器取得地址;二是用户通过手工指定地址.文档来自于网络搜索

这个命令地具体格式为

[]

若我们用上面地命令，给防火墙地接口配置好别名之后，则在后续地其他命令中，如这个配置地址地命令，则就不需要采用接口地位置名，而直接可以利用这个别名为具体地接口设置相关地参数.文档来自于网络搜索

若我们通过手工指定地址地时候，需要注意几个问题.一是若企业中还有服务器地话，则要注意这个网络地址冲突地问题.这个防火墙上地接口地址，在企业地整个网络中，也必须保持唯一，否则地话，就会造成地址冲突地错误.所以，若企业中还有服务器地话，则在服务器配置地时候，需要注意，这个防火墙接口所用地地址不应该在服务器地自动分配地地址池中，否则地话，很容易造成地址地冲突.文档来自于网络搜索

另外，在给他手工配置地址地时候，为了管理上地方便，最好能够指定连续地地址.也