我爱学习网-上传

CiscoIOS防火墙命令大全

时间:2013-05-03 19:37来源:未知 作者:布丁点儿 点击:

(以下命令省略了提示 符,在每条命令下加了解释或描述。)
  enable
  进入特权用户模式
  config t
  进入全局配置模式
  ip dhcp excluded-address 192.168.100.1 192.168.100.10
  从内部dhcp地址池中排除前10个ip地址
  ip dhcp pool internal-dhcp
  创建一个称为“internal dhcp”的dhcp池
  import all
  将外部的dhcp设置从isp导入到“internal dhcp”池中
  network 192.168.100.0 255.255.255.0
  定义这个dhcp池运行的网络
  default-router 192.168.100.1
  为“internal dhcp”池设置默认网关
  ip inspect name cbac tcp
  检查向外发出的数据通信,以便于准许对内的响应tcp通信
  ip inspect name cbac udp
  检查向外发出的数据通信,以便于准许对内的响应udp通信
  interface f0/0
  进入接口f0/0, f0/0在这里即是内部的局域网接口
  ip address 192.168.100.1 255.255.255.0
  将内部的局域网接口ip设置为 192.168.100.1,子网掩码为24位。
  ip nat inside
  将此接口指定为网络地址转换的内部接口
  interface e0/0
  进入接口 e0/0.   e0/0在这里即是外部的局域网接口。
  ip address dhcp
  设置外部局域网接口的ip使用dhcp,dhcp由isp提供。
  ip access-group cbac in
  打开对内的状态数据包检查
  ip inspect cbac out
  打开对内的状态数据包检查,这点对于响应对内通信极为关键。
  ip nat outside
  将这个接口指定为网络地址转换的内部接口
    mac-address ffff.ffff.ffff
  可选, 允许用户进行mac地址欺骗。有一些isp会锁定mac地址。
  ip nat inside source list natacl interface e0/0 overload
  它将所有的ip地址从natacl acl转换到外部的接口和ip地址
  ip access-list extended cbac
  定义一个称为cbac的扩展acl,用于对内的防火墙规则
  permit udp any eq bootps any eq bootpc
  准许对内的dhcp。如果不用这个功能,用户的isp就不能为其分配一个dhcp ip地址。
  permit gre any any
  如果不这样的话,外发的pptp vpn无法工作
  permit icmp any any echo
  准许ping入.   注意,如果你想要保持秘密,请不要使用此功能。
  permit icmp any any echo-reply
  准许ping出
  permit icmp any any traceroute
  准许 traceroute
  deny ip any any log
  如果你想记录所拒绝的进入企图功能,这条命令就很有用。
  ip access-list extended natacl
  定义一个称为natacl的扩展acl,用于实现nat
  permit ip 192.168.100.0 0.0.0.255 any
  准许192.168.100.0/24到达已经进行了网络地址转换的任何地方。
  exit
  退出 natacl acl
  exit
  退出全局配置模式
  wr mem
  将配置改变写往永久性闪存
------分隔线----------------------------
评论列表(网友评论仅供网友表达个人看法,并不表明本站同意其观点或证实其描述)
热门图文
看看啦