一、基本环境

　　当前公司有PIX 515E防火墙一台（三个接口），服务器若干。要求将服务器迁移至DMZ区域并确保服务器正常工作，简略拓扑结构图。

　　二、配置DMZ基本命令

　　1.分别定义outside、inside、dmz的安全级别

　　nameif ethernet0 outside security0               #定义E0口为非信任端口，security0代表此端口安全级别最低

　　nameif ethernet1 inside security100             #定义E1口为信任端口，security100代表此端口安全级别最高

　　nameif ethernet2 dmz security50                 #定义E2口为DMZ端口，security50代表此端口安全级别介于信任与非信任端口之间

　　这里的数字0、50、100可自行调整，但需要注意数字之间的大小关系不能混淆。

　　2.设置dmz接口IP

　　ip address dmz 10.0.200.1 255.255.255.0         #设置DMZ接口IP地址，设置好后可以按拓扑结构图测试从PIX上ping 10.0.200.2检查连通性。

　　3.允许dmz区域的主机通过icmp数据包以及访问外网的80端口

　　access-list acl_dmz permit icmp any any             #允许DMZ主机访问外部网络icmp协议

　　4.把acl_dmz规则邦定到dmz端口上使之生效

　　access-group acl_dmz in interface dmz               #应用策略到DMZ接口

　　5.设置静态的因特网、局域网、dmz区的访问关系

　　static （dmz，outside） 218.104.XX.XX 10.0.200.2 netmask 255.255.255.255 0 0          #发布DMZ服务器到因特网

　　6.允许outside区域访问dmz区域特定的某个端口

　　access-list 100 permit tcp any host 218.104.XX.XX eq www                    #设置策略允许因特网访问DMZ服务器80端口