总结了防火墙基本配置十个方面的内容。
硬件防火墙，是网络间的墙，防止非法侵入，过滤信息等，从结构上讲，简单地说是一种pc式的电脑主机加上闪存（flash）和防火墙操作系统。它的硬件跟共控机差不多，都是属于能适合24小时工作的，外观造型也是相类似。闪存基本上跟路由器一样，都是那中eeprom，操作系统跟cisco ios相似,都是命令行（command）式。
防火墙是cisco firewall pix 515e，是一种机架式标准（即能安装在标准的机柜里），有1u的高度，正面看跟cisco 路由器一样，只有一些指示灯，从背板看，有三个以太口（rj-45网卡）,一个配置口（console）,2个usb,一个15针的failover口，还有pci扩展口。
如何开始cisco firewall pix呢？应该是跟cisco 路由器使用差不多吧，于是用配置线从电脑的com2连到pix 515e的console口，进入pix操作系统采用windows系统里的“超级终端”，通讯参数设置为默然。初始使用有一个初始化过程，主要设置：date(日期)、time(时间)、hostname(主机名称)、inside ip address(内部网卡ip地址)、domain(主域)等，如果以上设置正确，就能保存以上设置，也就建立了一个初始化设置了。
进入pix 515e采用超级用户(enable),默然密码为空，修改密码用passwd 命令。一般情况下firewall配置
下面讲一下一般用到的最基本配置
1、 建立用户和修改密码
跟cisco ios路由器基本一样。
2、 激活以太端口
必须用enable进入，然后进入configure模式
pix515e>enable
password:
pix515e#config t
pix515e(config)#interface ethernet0 auto
pix515e(config)#interface ethernet1 auto
在默然情况下ethernet0是属外部网卡outside, ethernet1是属内部网卡inside, inside在初始化配置成功的情况下已经被激活生效了，但是outside必须命令配置激活。
3、 命名端口与安全级别
采用命令nameif
pix515e(config)#nameif ethernet0 outside security0
pix515e(config)#nameif ethernet0 outside security100
security0是外部端口outside的安全级别（0安全级别最高）
security100是内部端口inside的安全级别,如果中间还有以太口，则security10，security20等等命名，多个网卡组成多个网络，一般情况下增加一个以太口作为dmz(demilitarized zones非武装区域)。
4、 配置以太端口ip 地址
采用命令为：ip address
如：内部网络为：192.168.1.0 255.255.255.0
外部网络为：222.20.16.0 255.255.255.0
pix515e(config)#ip address inside 192.168.1.1 255.255.255.0
pix515e(config)#ip address outside 222.20.16.1 255.255.255.0
5、 配置远程访问[telnet]
在默然情况下，pix的以太端口是不允许telnet的，这一点与路由器有区别。inside端口可以做telnet就能用了,但outside端口还跟一些安全配置有关。
pix515e(config)#telnet 192.168.1.1 255.255.255.0 inside
pix515e(config)#telnet 222.20.16.1 255.255.255.0 outside
测试telnet
在[开始]->[运行]
telnet 192.168.1.1
pix passwd:
输入密码：cisco
6、 访问列表(access-list)
此功能与cisco ios基本上是相似的，也是firewall的主要部分，有permit和deny两个功能，网络协议一般有ip|tcp|udp|icmp等等，如：只允许访问主机:222.20.16.254的www,端口为：80
pix515e(config)#access-list 100 permit ip any host 222.20.16.254 eq www
pix515e(config)#access-list 100 deny ip any any
pix515e(config)#access-group 100 in interface outside
7、 地址转换（nat）和端口转换(pat)
nat跟路由器基本是一样的，
首先必须定义ip pool，提供给内部ip地址转换的地址段，接着定义内部网段。
pix515e(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0
pix515e(config)#nat (outside) 1 192.168.0.0 255.255.255.0
如果是内部全部地址都可以转换出去则：
pix515e(config)#nat (outside) 1 0.0.0.0 0.0.0.0
则某些情况下，外部地址是很有限的，有些主机必须单独占用一个ip地址，必须解决的是公用一个外部ip(222.20.16.201),则必须多配置一条命令，这种称为（pat），这样就能解决更多用户同时共享一个ip,有点像代理服务器一样的功能。配置如下：
pix515e(config)#global (outside) 1 222.20.16.100-222.20.16.200 netmask 255.255.255.0
pix515e(config)#global (outside) 1 222.20.16.201 netmask 255.255.255.0
pix515e(config)#nat (outside) 1 0.0.0.0 0.0.0.0
8、 dhcp server
在内部网络，为了维护的集中管理和充分利用有限ip地址，都会启用动态主机分配ip地址服务器（dhcp server），cisco firewall pix都具有这种功能，下面简单配置dhcp server,地址段为192.168.1.100—192.168.168.1.200
dns: 主202.96.128.68 备202.96.144.47
主域名称：abc.com.cn
dhcp client 通过pix firewall
pix515e(config)#ip address dhcp
dhcp server配置
pix515e(config)#dhcpd address 192.168.1.100-192.168.1.200 inside
pix515e(config)#dhcp dns 202.96.128.68 202.96.144.47
pix515e(config)#dhcp domain abc.com.cn
9、 静态端口重定向(port redirection with statics)
在pix 版本6.0以上，增加了端口重定向的功能，允许外部用户通过一个特殊的ip地址/端口通过firewall pix 传输到内部指定的内部服务器。这种功能也就是可以发布内部www、ftp、mail等服务器了，这种方式并不是直接连接，而是通过端口重定向，使得内部服务器很安全。
命令格式：
static [(internal_if_name,external_if_name)]{global_ip|interface} local_ip
[netmask mask][max_cons[max_cons[emb_limit[norandomseq]]]
static [(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface} local_ip
[netmask mask][max_cons[max_cons[emb_limit[norandomseq]]]
!----外部用户直接访问地址222.20.16.99 telnet端口，通过pix重定向到内部主机192.168.1.99的telnet端口（23）。
pix515e(config)#static (inside,outside) tcp 222.20.16.99 telnet 192.168.1.99 telnet netmask 255.255.255.255 0 0
!----外部用户直接访问地址222.20.16.99 ftp，通过pix重定向到内部192.168.1.3的ftp server。
pix515e(config)#static (inside,outside) tcp 222.20.16.99 ftp 192.168.1.3 ftp netmask 255.255.255.255 0 0
!----外部用户直接访问地址222.20.16.208 www(即80端口)，通过pix重定向到内部192.168.123的主机的www(即80端口)。
pix515e(config)#static (inside,outside) tcp 222.20.16.208 www 192.168.1.2 www netmask 255.255.255.255 0 0
!----外部用户直接访问地址222.20.16.201 http(8080端口)，通过pix重定向到内部192.168.1.4的主机的www(即80端口)。
pix515e(config)#static (inside,outside) tcp 222.20.16.208 8080 192.168.1.4 www netmask 255.255.255.255 0 0
!----外部用户直接访问地址222.20.16.5 smtp(25端口)，通过pix重定向到内部192.168.1.5的邮件主机的smtp(即25端口)
pix515e(config)#static (inside,outside) tcp 222.20.16.208 smtp 192.168.1.4 smtp netmask 255.255.255.255 0 0
10、显示与保存结果
采用命令show config
保存采用write memory
 
 
PIX防火墙的实际PIX防火墙的实际应用配置 应用配置
所属分类：IT科技  |  2007-11-28 10:32:25 
 
PIX防火墙的实际应用配置
--------------------------------------------------------------------------------

PIX：一个合法IP完成inside、outside和dmz之间的访问
　　现有条件：
　　100M宽带接入，分配一个合法的IP（222.134.135.98）（只有1个静态IP是否够用？）；Cisco防火
墙PiX515e-r-DMZ-BUN1台（具有Inside、Outside、DMZ三个RJ45接口）！
　　RONG>请问能否实现以下功能：
　　1、内网中的所有用户可以防问Internet和DMZ中的WEB服务器。
　　2、外网的用户可以防问DMZ区的Web平台。
　　3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器。
　　注：DMZ区WEB服务器作为应用服务器，使用内网中的数据库服务器。
　　解决方案：
　　一、 概述
　　本方案中，根据现有的设备，只要1个合法的IP地址（电信的IP地址好贵啊，1年租期10000元RMB）
，分别通过PIX515所提供的NAT、PAT、端口重定向、ACL和route功能完全可以实现所提的功能要求。
　　二、 实施步骤
　　初始化Pix防火墙：
　　给每个边界接口分配一个名字，并指定安全级别
pix515e(config)# nameif ethernet0 outside security0
pix515e(config)# nameif ethernet1 inside security100
pix515e(config)# nameif ethernet2 dmz security50
　
 
 
　给每个接口分配IP地址
pix515e(config)# ip address outside 222.134.135.98 255.255.255.252
pix515e(config)# ip address inside 192.168.1.1 255.255.255.0
 pix515e(config)# ip address dmz 10.0.0.1 255.255.255.0
　　为Pix防火墙每个接口定义一条静态或缺省路由
pix515e(config)# route outside 0.0.0.0 0.0.0.0 222.134.135.97 1
（通过IP地址为222.134.135.97的路由器路由所有的出站数据包／外部接口／）
pix515e(config)# route dmz 10.0.0.0 255.255.255.0 10.0.0.1 1
pix515e(config)# route inside 192.168.1.0 255.255.255.0 192.168.1.1 1
pix515e(config)# route outside 222.134.135.96 255.255.255.252 222.134.135.98 1
　
 
 
 
　配置Pix防火墙作为内部用户的DPCH服务器
pix515e(config)# dhcpd address 192.168.1.2-192.168.1.100 inside
pix515e(config)# dhcpd dns 202.102.152.3 202.102.134.68
pix515e(config)# dhcpd enable inside
 
 
 
1、配置Pix防火墙来允许处于内部接口上的用户防问Internet和堡垒主机
　　同时允许DMZ接口上的主机可以防问Internet
　　通过设置NAT和PAT来实现高安全级别接口上的主机对低安全级别接口上的主机的防问。
　　（1）命令如下：
pix515e(config)# nat (inside) 10 192.168.1.0 255.255.255.0
pix515e(config)# nat (dmz) 10 10.0.0.0 255.255.255.0
pix515e(config)# global (outside) 10 interface
pix515e(config)# global (dmz) 10 10.0.0.10-10.0.0.254 netmask 255.255.255.0
　
 
 
　（2）第一个nat命令允许在安全级别为100的内部接口上的主机，去连接那些安全级别比它低的接口上
的主机。在第一个命令中，低安全级别接口上的主机包括外部接口上的主机和非军事区／DMZ／上的主机
。第二个nat命令允许在安全级别为50的DMZ上的主机，去连接那些安全级别比它低的接口上的主机。而
在第二个命令中，低安全级别的接口只包含外部接口。
　　（3）因为全局地址池和nat （inside）命令都使用nat_id为10，所以在192.168.1.0网络上的主机
地址将被转换成任意地址池中的地址。因此，当内部接口上用户访问DMZ上的主机时，它的源地址被转换
成global （dmz）命令定义的10.0.0.10-10.0.0.254范围中的某一个地址。当内部接口上的主机防问
Internet时，它的源地址将被转换成global （outside）命令定义的222.134.135.98和一个源端口大于
1024的结合。
　　（4）当DMZ上用户访问外部主机时，它的源地址被转换成global （outside）命令定义的
222.134.135.98和一个源端口大于1024的结合。Global （dmz）命令只在内部用户访问DMZ接口上的Web
服务器时起作用。
　　（5）内部主机访问DMZ区的主机时，利用动态内部NAT——把在较安全接口上的主机地址转换成不太
安全接口上的一段IP地址或一个地址池（10.0.0.10-10.0.0.254）。内部主机和DMZ区的主机防问
Internet时，利用PAT——1个IP地址和一个源端口号的结合，它将创建一个惟一的对话，即PAT全局地址
（222.134.135.98）的源端口号对应着内部或DMZ区中的唯一的IP地址来标识唯一的对话。PAT全局地址
（222.134.135.98）的源端口号要大于1024.理论上，在使用PAT时，最多可以允许64000台内部主机使用
一个外部IP地址，从实际环境中讲大约4000台内部的主机可以共同使用一个外部IP地址。）
　　2、 配置PIX防火墙允许外网的用户可以防问DMZ区的Web服务器
　　通过配置静态内部转换、ACL和端口重定向来实现外网对DMZ区的Web防问。
　　（1）命令如下
static (dmz,outside) tcp interface www 10.0.0.2 www dns netmask 255.255.255.255 0 0
access-list outside_access_in line 1 permit tcp any interface outside
access-group 101 in interface outside
　
 
 
　（2）PIX防火墙静态PAT所使用的共享全局地址可以是一个惟一的地址，也可以是一个共享的出站PAT
地址，还可以与外部接口共享一个地址。
　　（3）Static静态转换中“DNS”表示进行“DNS记录转换”
　　DNS记录转换应用在当内部的主机通过域名连接处于内部的服务器，并且用来进行域名解析的服务器
处于PIX防火墙外部的情况下。
　　一个处于内网中的客户端通过域名向地址为10.0.0.2的Web服务器发送一个HTTP请示。首先要通过
PIX防火墙外部接口上的DNS服务器进行域名解析，因此客户端将DNS解析请求包发送到PIX防火墙上。当
PIX防火墙收到客户端的DNS解析请求包时，将IP头中不可路由的源地址进行转换，并且将这个DNS解析请
求转发到处于PIX防火墙外部接口上的DNS服务器。DNS服务器通过A-记录进行地址解析，并将结果返回到
客户端。当PIX防火墙收到 DNS解析回复后，它不仅要将目的地址进行转换，而且还要将DNS解析回复中
的地址替换成Web服务器的实际地址。然后PIX防火墙将DNS解析发回客户端。这样所产生的结果是，当客
户端收到这个DNS解析回复，它会认为它与Web服务器处于内部网络中，可以通过DMZ接口直接到达。
　　3、DMZ区的WEB服务器可以防问内网中的SQL数据库服务器和外网中的其它服务器
　　通过静态内部转换可以实现DMZ区的主机对内网中的主机的防问。
　　（1）命令如下：
static (inside,dmz) 10.0.0.9 192.168.1.200 netmask 255.255.255.255 0 0
access-list dmz_access_in line 1 permit tcp any any
access-group dmz_access_in in interface dmz
 
 
 
　　（2）静态内部地址转换可以让一台内部主机固定地使用PIX防火墙全局网络中的一个地址。使用
Static命令可以配置静态转换。Static命令创建一个在本地IP地址和一个全局IP地址之间的永久映射（
被称为静态转换槽或xlate），可以用来创建入站和出站之间的转换。
　　除了Static命令之外，还必须配置一个适当的访问控制列表（ACL），用来允许外部网络对内部服务
器的入站访问。
 
 
一、PIX防火墙的认识
    PIX是Cisco的硬件防火墙，硬件防火墙有工作速度快，使用方便等特点。
    PIX有很多型号，并发连接数是PIX防火墙的重要参数。PIX25是典型的设备。
    PIX防火墙常见接口有：console、Failover、Ethernet、USB。
    网络区域：
    内部网络：inside
    外部网络：outside
    中间区域：称DMZ (停火区)。放置对外开放的服务器。
二、防火墙的配置规则
    没有连接的状态(没有握手或握手不成功或非法的数据包)，任何数据包无法穿过防火墙。
    (内部发起的连接可以回包。通过ACL开放的服务器允许外部发起连接)
    inside可以访问任何outside和dmz区域。
    dmz可以访问outside区域。
    inside访问dmz需要配合static(静态地址转换)。
    outside访问dmz需要配合acl(访问控制列表)。
三、PIX防火墙的配置模式：
    PIX防火墙的配置模式与路由器类似，有4种管理模式：
    PIXfirewall>：用户模式
    PIXfirewall#：特权模式
    PIXfirewall(config)#：配置模式
    monitor>：ROM监视模式，开机按住[Esc]键或发送一个“Break”字符，进入监视模式。
四、PIX基本配置命令
    常用命令有：nameif、interface、ip address、nat、global、route、static等。
 1、nameif
    设置接口名称，并指定安全级别，安全级别取值范围为1～100，数字越大安全级别越高。
    例如要求设置：
    ethernet0命名为外部接口outside，安全级别是0。
    ethernet1命名为内部接口inside，安全级别是100。
    ethernet2命名为中间接口dmz, 安装级别为50。
    使用命令：
    PIX525(config)#nameif ethernet0 outside security0
    PIX525(config)#nameif ethernet1 inside security100
    PIX525(config)#nameif ethernet2 dmz security50

 2、interface
    配置以太口工作状态，常见状态有：auto、100full、shutdown。
    auto：设置网卡工作在自适应状态。
    100full：设置网卡工作在100Mbit/s，全双工状态。
    shutdown：设置网卡接口关闭，否则为激活。
    命令：
    PIX525(config)#interface ethernet0 auto
    PIX525(config)#interface ethernet1 100full
    PIX525(config)#interface ethernet1 100full shutdown
 3、ip address
    配置网络接口的IP地址，例如：
    PIX525(config)#ip address outside 133.0.0.1 255.255.255.252
    PIX525(config)#ip address inside 192.168.0.1 255.255.255.0
    内网inside接口使用私有地址192.168.0.1，外网outside接口使用公网地址133.0.0.1。
 4、global
    指定公网地址范围：定义地址池。
    Global命令的配置语法：
    global (if_name) nat_id ip_address-ip_address [netmark global_mask]
    其中：
    (if_name)：表示外网接口名称，一般为outside。
    nat_id：建立的地址池标识(nat要引用)。
    ip_address-ip_address：表示一段ip地址范围。
    [netmark global_mask]：表示全局ip地址的网络掩码。
    例如：
    PIX525(config)#global (outside) 1 133.0.0.1-133.0.0.15
    地址池1对应的IP是：133.0.0.1-133.0.0.15
    PIX525(config)#global (outside) 1 133.0.0.1
    地址池1只有一个IP地址 133.0.0.1。
    PIX525(config)#no global (outside) 1 133.0.0.1
    表示删除这个全局表项。
 5、nat
    地址转换命令，将内网的私有ip转换为外网公网ip。
    nat命令配置语法：nat (if_name) nat_id local_ip [netmark]
    其中：
    (if_name)：表示接口名称，一般为inside.
    nat_id：   表示地址池，由global命令定义。
    local_ip： 表示内网的ip地址。对于0.0.0.0表示内网所有主机。
    [netmark]：表示内网ip地址的子网掩码。
    在实际配置中nat命令总是与global命令配合使用。
    一个指定外部网络，一个指定内部网络，通过net_id联系在一起。
    例如：
    PIX525(config)#nat (inside) 1 0 0
    表示内网的所有主机(0 0)都可以访问由global指定的外网。
    PIX525(config)#nat (inside) 1 172.16.5.0 255.255.0.0
    表示只有172.16.5.0/16网段的主机可以访问global指定的外网。
 6、route
    route命令定义静态路由。
    语法：
    route (if_name) 0 0 gateway_ip [metric]
    其中：
    (if_name)：表示接口名称。
    0 0 ：表示所有主机
    Gateway_ip：表示网关路由器的ip地址或下一跳。
    [metric]：路由花费。缺省值是1。
    例如：
    PIX525(config)#route outside 0 0 133.0.0.1 1
    设置缺省路由从outside口送出，下一跳是133.0.0.1。
    0 0 代表 0.0.0.0 0.0.0.0，表示任意网络。
    PIX525(config)#route inside 10.1.0.0 255.255.0.0 10.8.0.1 1
    设置到10.1.0.0网络下一跳是10.8.0.1。最后的“1”是花费。
 7、static
    配置静态IP地址翻译，使内部地址与外部地址一一对应。
    语法：
    static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address
    其中：
    internal_if_name表示内部网络接口，安全级别较高，如inside。
    external_if_name表示外部网络接口，安全级别较低，如outside。
    outside_ip_address表示外部网络的公有ip地址。
    inside_ ip_address表示内部网络的本地ip地址。
    (括号内序顺是先内后外，外边的顺序是先外后内)
    例如：
    PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.8
    表示内部ip地址192.168.0.8，访问外部时被翻译成133.0.0.1全局地址。
    PIX525(config)#static (dmz，outside) 133.0.0.1 172.16.0.2
    中间区域ip地址172.16.0.2，访问外部时被翻译成133.0.0.1全局地址。
 8、conduit
    管道conduit命令用来设置允许数据从低安全级别的接口流向具有较高安全级别的接口。
    例如允许从outside到DMZ或inside方向的会话(作用同访问控制列表)。
    语法：
    conduit permit|deny protocol global_ip port[-port] foreign_ip [netmask]
    其中：
    global_ip是一台主机时前面加host参数，所有主机时用any表示。
    foreign_ip 表示外部ip。
    [netmask] 表示可以是一台主机或一个网络。
    例如：
    PIX525(config)#static (inside，outside) 133.0.0.1 192.168.0.3
    PIX525(config)#conduit permit tcp host 133.0.0.1 eq www any
    这个例子说明static和conduit的关系。192.168.0.3是内网一台web服务器，
    现在希望外网的用户能够通过PIX防火墙访问web服务。
    所以先做static静态映射：192.168.0.3－>133.0.0.1
    然后利用conduit命令允许任何外部主机对全局地址133.0.0.1进行http访问。
 9、访问控制列表ACL
    访问控制列表的命令与couduit命令类似，
    例：
    PIX525(config)#access-list 100 permit ip any host 133.0.0.1 eq www
    PIX525(config)#access-list 100 deny ip any any
    PIX525(config)#access-group 100 in interface outside
 10、侦听命令fixup
    作用是启用或禁止一个服务或协议，
    通过指定端口设置PIX防火墙要侦听listen服务的端口。
    例：
    PIX525(config)#fixup protocol ftp 21
    启用ftp协议，并指定ftp的端口号为21
    PIX525(config)#fixup protocol http 8080
    PIX525(config)#no fixup protocol http 80
    启用http协议8080端口，禁止80端口。
 11、telnet
    当从外部接口要telnet到PIX防火墙时，telnet数据流需要用***隧道ipsec提供保护或
    在PIX上配置SSH，然后用SSH client从外部到PIX防火墙。
    例：
    telnet local_ip [netmask]
    local_ip 表示被授权可以通过telnet访问到PIX的ip地址。
    如果不设此项，PIX的配置方式只能用console口接超级终端进行。
 12、显示命令：
    show interface　         ；查看端口状态。
    show static　　          ；查看静态地址映射。
    show ip　　　　          ；查看接口ip地址。
    show config　　          ；查看配置信息。
    show run                 ；显示当前配置信息。
    write terminal　     　  ；将当前配置信息写到终端。
    show cpu usage           ；显示CPU利用率，排查故障时常用。
    show traffic             ；查看流量。
    show connect count       ；查看连接数。
    show blocks              ；显示拦截的数据包。
    show mem                 ；显示内存
 13、DHCP 服务
    PIX具有DHCP服务功能。
    例：
    PIX525(config)#ip address dhcp
    PIX525(config)#dhcpd address 192.168.1.100-192.168.1.200 inside
    PIX525(config)#dhcp dns 202.96.128.68 202.96.144.47
    PIX525(config)#dhcp domain abc.com.cn
五、PIX防火墙举例
    设：
    ethernet0命名为外部接口outside，安全级别是0。
    ethernet1被命名为内部接口inside，安全级别100。
    ethernet2被命名为中间接口dmz，安全级别50。
PIX525#conf t
PIX525(config)#nameif ethernet0 outside security0
PIX525(config)#nameif ethernet1 inside security100
PIX525(config)#nameif ethernet2 dmz security50
PIX525(config)#interface ethernet0 auto
PIX525(config)#interface ethernet1 100full
PIX525(config)#interface ethernet2 100full
PIX525(config)#ip address outside 133.0.0.1 255.255.255.252       ;设置接口IP
PIX525(config)#ip address inside 10.66.1.200 255.255.0.0          ;设置接口IP
PIX525(config)#ip address dmz 10.65.1.200 255.255.0.0             ;设置接口IP
PIX525(config)#global (outside) 1 133.1.0.1-133.1.0.14            ;定义的地址池
PIX525(config)#nat (inside) 1 0 0                                 ;0 0表示所有
PIX525(config)#route outside 0 0 133.0.0.2                        ;设置默认路由
PIX525(config)#static (dmz，outside) 133.1.0.1 10.65.1.101        ;静态NAT
PIX525(config)#static (dmz，outside) 133.1.0.2 10.65.1.102        ;静态NAT
PIX525(config)#static (inside，dmz) 10.66.1.200 10.66.1.200       ;静态NAT
PIX525(config)#access-list 101 permit ip any host 133.1.0.1 eq www;设置ACL
PIX525(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;设置ACL
PIX525(config)#access-list 101 deny ip any any                    ;设置ACL
PIX525(config)#access-group 101 in interface outside     ;将ACL应用在outside端口
    当内部主机访问外部主机时，通过nat转换成公网IP，访问internet。
    当内部主机访问中间区域dmz时，将自己映射成自己访问服务器，否则内部主机将会
映射成地址池的IP，到外部去找。
    当外部主机访问中间区域dmz时，对133.0.0.1映射成10.65.1.101， static是双向的。
    PIX的所有端口默认是关闭的，进入PIX要经过acl入口过滤。
    静态路由指示内部的主机和dmz的数据包从outside口出去。