处理ICMP Ping与PIX防火墙(1)

     前言

     互联网控制信息协议 (ICMP) ping在PIX 防火墙根据PIX代码版本不同处理。

     使用的组件本文的信息根 据以下的软件及硬件版本。

　　PIX软件 版本4.1(6)从5.0.1和以后

　　本文提供的信息在特定实验室环境里从设备被创建了。用于本文的所 有设备开始了以一个缺省（默认）配置。如果在一个真实网 络工作，保证您使用它以前了解所有命令的潜在影响。

　　网络图

　　Ping通过PIX

　　PIX软件版本5.0.1以上

　　默认情况下 INBOUND ICMP通过PIX被拒绝; 出局ICMP允许，默认情况下 但流入的应答被拒绝。

　　Ping Inbound

　　INBOUND ICMP可以允许带有 管道语句或 访问列 表语句，您在PIX使用。 请勿 混合输送管道和访问控制列表。 由所有设备超出允许设备的 ICMP 10.1.1.5里面(静态到200.1.1.5)：

　　static (inside,outside) 200.1.1.5 10.1.1.5 netmask 255.255.255.255 0 0

　　!--- and either

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 echo

　　!--- or

　　access-list 101 permit icmp any host 200.1.1.5 echo

　　access-group 101 in interface outside

　　Ping outbound

　　对出局ICMP的回应可以允许带有 管道语句或 访问列表语句，您在PIX使用。 请勿混合输送 管道和访问控制列表。 允许对设备10.1.1.5里面起动的ICMP 请求的回应(静态到200.1.1.5)从所有设备外面：

　　static (inside,outside) 200.1.1.5 10.1.1.5 netmask 255.255.255.255 0 0

　　!--- and either

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 echo-reply

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 source-quench

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 unreachable

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 time-exceeded

　　!--- or

　　access-list 101 permit icmp any host 200.1.1.5 echo-reply

　　access-list 101 permit icmp any host 200.1.1.5 source-quench

　　access-list 101 permit icmp any host 200.1.1.5 unreachable

　　access-list 101 permit icmp any host 200.1.1.5 time-exceeded

　　access-group 101 in interface outside

　　PIX软件版本4.2(2)至 5.0.1

　　默认情况下 INBOUND ICMP通过PIX被拒绝; 出局ICMP允许，默认情况下 但流入的应答被拒绝。

　　Ping Inbound

　　INBOUND ICMP可以允许带有管道语句。 由所 有设备超出允许设备的ICMP 10.1.1.5里面(静态到200.1.1.5)：

　　static (inside,outside) 200.1.1.5 10.1.1.5 netmask 255.255.255.255 0 0

　　conduit permit icmp 200.1.1.5 255.255.255.255 0.0.0.0 0.0.0.0 echo