任何企業安全策略的一個主要部分都是實現和維護防火墻，因此防火墻在網絡安全的實現當中扮演著重要的角色。防火墻通常位于企業網絡的邊緣，這使得內部網絡與Internet之間或者與其他外部網絡互相隔離，并限制網絡互訪從而保護企業內部網絡。設置防火墻目的都是為了在內部網與外部網之間設立唯一的通道，簡化網絡的安全治理。
在眾多的企業級主流防火墻中，Cisco PIX防火墻是所有同類產品性能最好的一種。Cisco PIX系列防火墻目前有5種型號PIX506，515，520，525，535。其中PIX535是PIX 500系列中最新，功能也是最強大的一款。它可以提供運營商級別的處理能力，適用于大型的ISP等服務提供商。但是PIX特有的OS操作系統，使得大多數治理是通過命令行來實現的，不象其他同類的防火墻通過Web治理界面來進行網絡治理，這樣會給初學者帶來不便。本文將通過實例介紹如何配置Cisco PIX防火墻。

    在配置PIX防火墻之前，先來介紹一下防火墻的物理特性。防火墻通常具有至少3個接口，但許多早期的防火墻只具有2個接口；當使用具有3個接口的防火墻時，就至少產生了3個網絡，描述如下：
Ø 內部區域（內網）。 內部區域通常就是指企業內部網絡或者是企業內部網絡的一部分。它是互連網絡的信任區域，即受到了防火墻的保護。
Ø 外部區域（外網）。 外部區域通常指Internet或者非企業內部網絡。它是互連網絡中不被信任的區域，當外部區域想要訪問內部區域的主機和服務，通過防火墻，就可以實現有限制的訪問。
Ø ?；饏^（DMZ）。 ?；饏^是一個隔離的網絡，或幾個網絡。位于?；饏^中的主機或服務器被稱為堡壘主機。一般在?；饏^內可以放置Web服務器，Mail服務器等。?；饏^對于外部用戶通常是可以訪問的，這種方式讓外部用戶可以訪問企業的公開信息，但卻不答應他們訪問企業內部網絡。注重：2個接口的防火墻是沒有?；饏^的。

由于PIX535在企業級別不具有普遍性，因此下面主要說明PIX525在企業網絡中的應用。

PIX防火墻提供4種治理訪問模式：
² 非特權模式。 PIX防火墻開機自檢后，就是處于這種模式。系統顯示為pixfirewall>
² 特權模式。 輸入enable進入特權模式，可以改變當前配置。顯示為pixfirewall#
² 配置模式。 輸入configure terminal進入此模式，絕大部分的系統配置都在這里進行。顯示為pixfirewall(config)#
² 監視模式。 PIX防火墻在開機或重啟過程中，按住Escape鍵或發送一個“Break”字符，進入監視模式。這里可以更新操作系統映象和口令恢復。顯示為monitor>

配置PIX防火墻有6個基本命令：nameif，interface，ip address，nat，global，route.
這些命令在配置PIX是必須的。以下是配置的基本步驟：
1. 配置防火墻接口的名字，并指定安全級別（nameif）。
Pix525(config)#nameif ethernet0 outside security0
Pix525(config)#nameif ethernet1 inside security100
Pix525(config)#nameif dmz security50
提示：在缺省配置中，以太網0被命名為外部接口（outside），安全級別是0；以太網1被命名為內部接口（inside），安全級別是100.安全級別取值范圍為1～99，數字越大安全級別越高。若添加新的接口，語句可以這樣寫：
Pix525(config)#nameif pix/intf3 security40 （安全級別任取）

2. 配置以太口參數（interface）
Pix525(config)#interface ethernet0 auto（auto選項表明系統自適應網卡類型 ）
Pix525(config)#interface ethernet1 100full（100full選項表示100Mbit/s以太網全雙工通信 ）
Pix525(config)#interface ethernet1 100full shutdown （shutdown選項表示關閉這個接口，若啟用接口去掉shutdown ）

3. 配置內外網卡的IP地址（ip address）
Pix525(config)#ip address outside 61.144.51.42 255.255.255.248
Pix525(config)#ip address inside 192.168.0.1 255.255.255.0
很明顯，Pix525防火墻在外網的ip地址是61.144.51.42，內網ip地址是192.168.0.1

4. 指定要進行轉換的內部地址（nat）
網絡地址翻譯（nat）作用是將內網的私有ip轉換為外網的公有ip.Nat命令總是與global命令一起使用，這是因為nat命令可以指定一臺主機或一段范圍的主機訪問外網，訪問外網時需要利用global所指定的地址池進行對外訪問。nat命令配置語法：nat (if_name) nat_id local_ip [netmark]
其中（if_name）表示內網接口名字，例如inside. Nat_id用來標識全局地址池，使它與其相應的global命令相匹配，local_ip表示內網被分配的ip地址。例如0.0.0.0表示內網所有主機可以對外訪問。[netmark]表示內網ip地址的子網掩碼。
例1．Pix525(config)#nat (inside) 1 0 0
表示啟用nat,內網的所有主機都可以訪問外網，用0可以代表0.0.0.0
例2．Pix525(config)#nat (inside) 1 172.16.5.0 255.255.0.0
表示只有172.16.5.0這個網段內的主機可以訪問外網。


5. 指定外部地址范圍（global）
global命令把內網的ip地址翻譯成外網的ip地址或一段地址范圍。Global命令的配置語法：global (if_name) nat_id ip_address-ip_address [netmark global_mask]
其中（if_name）表示外網接口名字，例如outside.。Nat_id用來標識全局地址池，使它與其相應的nat命令相匹配，ip_address-ip_address表示翻譯后的單個ip地址或一段ip地址范圍。[netmark global_mask]表示全局ip地址的網絡掩碼。
例1． Pix525(config)#global (outside) 1 61.144.51.42-61.144.51.48
表示內網的主機通過pix防火墻要訪問外網時，pix防火墻將使用61.144.51.42-61.144.51.48這段ip地址池為要訪問外網的主機分配一個全局ip地址。
例2． Pix525(config)#global (outside) 1 61.144.51.42
表示內網要訪問外網時，pix防火墻將為訪問外網的所有主機統一使用61.144.51.42這個單一ip地址。
例3. Pix525(config)#no global (outside) 1 61.144.51.42
表示刪除這個全局表項。

6. 設置指向內網和外網的靜態路由（route）
定義一條靜態路由。route命令配置語法：route (if_name) 0 0 gateway_ip [metric]
其中（if_name）表示接口名字，例如inside，outside。Gateway_ip表示網關路由器的ip地址。[metric]表示到gateway_ip的跳數。通常缺省是1。
例1． Pix525(config)#route outside 0 0 61.144.51.168 1
表示一條指向邊界路由器（ip地址61.144.51.168）的缺省路由。
例2． Pix525(config)#route inside 10.1.1.0 255.255.255.0 172.16.0.1 1
Pix525(config)#route inside 10.2.0.0 255.255.0.0 172.16.0.1 1
假如內部網絡只有一個網段，按照例1那樣設置一條缺省路由即可；假如內部存在多個網絡，需要配置一條以上的靜態路由。上面那條命令表示創建了一條到網絡10.1.1.0的靜態路由，靜態路由的下一條路由器ip地址是172.16.0.1