Cisco PIX 525防火墙用于允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口的配置命令是______。A．globalB．conduitC．routeD．nat

正确答案：(8)switchport mode access (9)switchport access vlan 10
(8)switchport mode access (9)switchport access vlan 10 解析：本问题考查的是PIX防火墙中的管道命令(conduit)。
前面讲过使用static命令可以在一个本地IP地址和一个全局IP地址之间创建一个静态映射，但从外部到内部接口的连接仍然会被pix防火墙的自适应安全算法(ASA)阻挡。conduit命令用来允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从外部到DMZ或内部接口的进入方向的会话。对于向内部接口的连接， static和conduit命令将一起使用，来指定会话的建立。
conduit命令配置语法：
conduit permit | deny global_ip port[-port] protocol foreign_ip [netmask]
permit | deny 允许 | 拒绝访问
global_ip指的是先前由global或static命令定义的全局IP地址，如果global_ip为0，就用any代替0；如果global_ip是一台主机，就用host命令参数。
指的是服务所作用的端口，例如www使用80，smtp使用25等，用户可以通过服务名称或端口数字来指定端口。
protocol指的是连接协议，如TCP、UDP和ICMP等。
foreign_ip表示可访问global_ip的外部IP。对于任意主机，可以用any表示。如果 foreign ip是一台主机，就用host命令参数。
例1．Pix525(config)#conduit permit tcp host 192.168.0.8 eq www any
这个例子表示允许任何外部主机对全局地址192.168.0.8的这台主机进行http访问。其中使用eq和一个端口来允许或拒绝对这个端口的访问。Eq ftp就是指允许或拒绝只对 ftp的访问。
例2．Pix525(config)#conduit deny tcp any eq ftp host 61.144.51.89
表示不允许外部主机61.144.51.89对任何全局地址进行卸访问。
例3．Pix525(config)#conduit permit icmp any any
表示允许icmp消息向内部和外部通过。
例4．Pix525(confiS)#static(inside，outside)61.144.51.62 192.168.0.3
Pix525(config)#conduit permit tcp host 61.144.51.62 eq www any
这个例子说明stmic和conduit的关系。192.168.0.3在内网是一台Web服务器，现在希望外网的用户能够通过pix防火墙得到Web服务。所以先做static静态映射：192.168.0.3 -＞61.144.51.62(全局)，然后利用conduit命令允许任何外部主机对全局地址61.144.51.62进行http访问。

正确答案：D
PIX防火墙基本配置命令nameif用于配置防火墙接口的名字，并指定安全级别。安全级别取值范围为1～99，数字越大安全级别越高。如果一台CiscoPIX525防火墙有如下配置：PIX525（config）#nameifethernetOP1security100PIX525（config）#nameifethernetlP2securityOPIX525（config）#nameifethernet2P3security50那么PlX防火墙的ethemet0端口被命名为P1，安全级别为100，ethernetl端口被命名为P2，安全级别为0，ethernet2端口被命名为P3，安全级别为50。相比之下，Pl端口安全级别最高，适合作为内部接口；P2端口安全级别最低，适合作为外部接口；P3端口适合作为DMZ接口。所以D选项符合要求。

正确答案：Pix525(config)#nameif ethernet0 E1 security100 Pix525(config)#nameif ethernet1 E3 security60 Pix525(config)#nameif ethernet2 E2 security0 Pix525(config)#ip addressE3 210.156.169.6 255.255.255.240 Pix525(config)#ip addressE1 192.168.10.1 255.255.255.0 Pix525(config)#ip addressE2 211.156.169.2 255.255.255.252
Pix525(config)#nameif ethernet0 E1 security100 Pix525(config)#nameif ethernet1 E3 security60 Pix525(config)#nameif ethernet2 E2 security0 Pix525(config)#ip addressE3 210.156.169.6 255.255.255.240 Pix525(config)#ip addressE1 192.168.10.1 255.255.255.0 Pix525(config)#ip addressE2 211.156.169.2 255.255.255.252 解析：在如图4-13所示的网络拓扑中，PIX 525防火墙是基于访问控制策略而设立在内外网之间的一道安全保护机制，实现内外网的物理分隔。它使用了“WAN”(211.156.169.2/30)、“LAN”(192.168.10.254/24)、“DMZ”(211.156.169.2/28)等3个接口，分别与外网、内网、DMZ区相连。DMZ区是放置公共信息的最佳位置，它对外网或内网用户来说是开放的、透明的。公司客户、潜在客户及外部访问者不用通过内网就可以直接获得他们所需要的信息。在图4，13中防火墙的DMZ区就是区域B的服务器群网段。
公司中机密的、私人的信息则需安全地存放在内部局域网中，即DMZ的后面。DMZ中服务器不应包含任何商业机密、资源代码或私人信息。内部局域网的安全级别最高，DMZ区域次之，Internet网的安全级别最低。
PIX 525防火墙的基本配置命令nameif用于配置防火墙接口的名字，并指定安全级别。安全级别取值范围为1～99，数字越大安全级别越高。根据如图4-13所示的网络拓扑，结合试题中己给出的配置信息可得，PIX防火墙的ethernet0端口被命名为E1，安全级别为100；ethernet1端口被命名为E3，安全级别为 60：ethernet2端口被命名为E2，安全级别为0。相比之下，E1端口安全级别最高，适合作为内部接口： E2端口安全级别最低，适合作为外部接口；E3端口适合作为DMZ接口。
PIX 525防火墙配置接口名字，并指定安全级别的相关配置语句示例如下：
Pix525(config)#nameif ethernet0 E1 security100(配置接口名字，并指定安全级别)
Pix525(config)#nameif ethernet1E3security60
Pix525(config)#nameif ethernet2E2security0
对PIX防火墙网络接口进行地址初始化配置时，需要指明网络接口的名字、IP地址和子网掩码等参数。根据如图4-13所示的网络结构中防火墙各网络接口的名字和IP地址配置信息可得如下相关配置语句：
Pix525(config)#ip address E3 210.156.169.6 255.255.255.240(为DMZ接口进行IP地址配置)
Pix525(config)#ip address E1 192.168.10.1 255.255.255.0(为内网口E1进行IP地址配置)
Pix525(config)#ip address E2 211.156.169.2255.255.255.252(为外网口E2进行IP地址配置)

正确答案：D
解析：PIX防火墙基本配置命令nameif用于配置防火墙接口的名字，并指定安全级别。安全级别取值范围为1～99，数字越大安全级别越高。如果一台CiscoPIX 525防火墙有如下配置：
  Pix525(config)#nameif ethernet0 P1 security100
  Pix525(config)#nameif ethernet1 P2 security0
  Pix525(COnfig)#nameif ethernet2 P3 security50
  那么PIX防火墙的ethernet0端口被命名为P1，安全级别为100；ethemet1端口被命名为P2，安全级别为0；ethernet2端口被命名为P3，安全级别为50。相比之下，P1端口安全级别最高，适合作为内部接口；P2端口安全级别最低，适合作为外部接口；P3端口适合作为DMZ接口。