|
前面讲过使用static命令可以在一个本地IP地址和一个全局IP地址之间创建一个静态映射,但从外部到内部接口的连接仍然会被PIX防火墙的自适应安全算法(ASA)阻挡。conduit命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口,例如允许从外部到DMZ或内部接口的入口方向的会话。对于向内部接口的连接,static和conduit命令将一起使用,来指定会话的建立。
|
|
|
|
|
|
global_ip指的是先前由global或static命令定义的全局IP地址,如果global_ip为0,就用any代替0;如果global_ip是一台主机,就用host命令参数。
|
|
|
port指的是服务所作用的端口,例如www使用80,smtp使用25等,我们可以通过服务名称或端口数字来指定端口。
|
|
|
protocol指的是连接协议,比如TCP、UDP和ICMP等。
|
|
|
foreign_ip表示可访问global_ip的外部IP。对于任意主机,可以用any表示。如果foreign_ip是一台主机,就用host命令参数。
|
|
|
|
|
这个例子表示允许任何外部主机对全局地址为192.168.0.8的这台主机进行http访问。其中使用eq和一个端口来允许或拒绝对这个端口的访问。Eq www就是指允许或拒绝只对www的访问。
|
|
|
|
|
表示不允许外部主机61.144.51.89对任何全局地址进行FTP访问。
|
|
|
|
|
|
|
|
这个例子说明了static和conduit的关系。192.168.0.3在内网是一台Web服务器,现在希望外网的用户能够通过PIX防火墙得到Web服务,所以先做static静态映射,即192.168.0.3->61.144.51.62(全局),然后利用conduit命令允许任何外部主机对全局地址61.144.51.62进行HTTP访问。
|
|
|