隨著 Internet 普及，入侵威脅日增，防火牆技術應用勢在必行。Cisco PIX 防火牆結合封包過濾（網路層）與代理服務（應用層）優點，採用自適應安全演算法（ASA），透過動態/靜態位址轉換、Conduit 管道技術、存取控制列表，有效屏蔽內部拓撲、控制雙向資源存取，構建高效能完整防火牆系統。

PIX 核心技術架構

自適應安全演算法（ASA）

• 內部主機發起外部連線：建立連線狀態表（xlate + conn），允許回應流量通過
• 外部主機主動發起連線：無對應狀態表項目，直接丟棄
• 安全等級：介面安全等級 0-100，高等級（內網 100）可主動存取低等級（外網 0），反向需明確授權

位址轉換機制

• NAT（Network Address Translation）：內部私有 IP → 全球合法 IP（動態/靜態），隱藏內部拓撲
• PAT（Port Address Translation）：多對一映射，單一公網 IP 支援多內部主機同時上網
• Static 身份映射：內部伺服器固定公網 IP，發布公開服務

Conduit 管道與存取控制列表（ACL）

早期版本使用 conduit 允許特定外部流量進入；新版採用 access-list + access-group 綁定介面，功能更強、粒度更細。

配置實戰：雙介面拓撲範例

網路規劃

• 外部網路：204.31.17.128/26（公網段），PIX 外部介面：204.31.17.130
• 內部網路：192.168.3.0/24，PIX 內部介面：192.168.3.1
• DMZ/公開服務：E-mail、WWW、FTP 伺服器位於內網，需發布至外網

步驟 1：基本介面與路由配置

nameif ethernet0 outside security0
nameif ethernet1 inside security100
ip address outside 204.31.17.130 255.255.255.192
ip address inside 192.168.3.1 255.255.255.0
route outside 0.0.0.0 0.0.0.0 204.31.17.129 1  # 預設閘道

步驟 2：動態 NAT 隱藏內部拓撲

nat (inside) 1 0.0.0.0 0.0.0.0          # 所有內部流量使用 NAT ID 1
global (outside) 1 204.31.17.131-204.31.17.165  # 動態位址池
global (outside) 1 204.31.17.130          # PAT 備用位址（位址池耗盡時使用）

效果：內部主機主動外連顯示為位址池 IP，外部無法直接發起連線至內部主機。

步驟 3：靜態映射發布公開服務

# 假設內部伺服器真實 IP
static (inside,outside) 204.31.17.131 192.168.3.10 netmask 255.255.255.255  # WWW
static (inside,outside) 204.31.17.132 192.168.3.11 netmask 255.255.255.255  # E-mail
static (inside,outside) 204.31.17.133 192.168.3.12 netmask 255.255.255.255  # FTP

步驟 4：Conduit/ACL 精準控制存取

# 僅允許必要服務通過，拒絕其餘
# Conduit 寫法（舊版）
conduit permit tcp host 204.31.17.131 eq www any
conduit permit tcp host 204.31.17.132 eq smtp any
conduit permit tcp host 204.31.17.132 eq pop3 any
conduit permit tcp host 204.31.17.133 eq ftp any
conduit permit tcp host 204.31.17.133 eq ftp-data any

# Access-list 寫法（新版推薦）
access-list OUTSIDE_IN permit tcp any host 204.31.17.131 eq www
access-list OUTSIDE_IN permit tcp any host 204.31.17.132 eq smtp
access-list OUTSIDE_IN permit tcp any host 204.31.17.132 eq pop3
access-list OUTSIDE_IN permit tcp any host 204.31.17.133 eq ftp
access-list OUTSIDE_IN permit tcp any host 204.31.17.133 eq ftp-data
access-group OUTSIDE_IN in interface outside

步驟 5：內部存取外部控制（可選）

access-list INSIDE_OUT permit tcp any any eq www
access-list INSIDE_OUT permit tcp any any eq https
access-list INSIDE_OUT permit tcp any any eq ftp
access-list INSIDE_OUT permit udp any any eq domain
access-group INSIDE_OUT in interface inside

進階安全策略建議

1. 啟用 Flood Defender：floodguard enable、設定 set connection embryonic 限制半連線數、set connection timeout 調整逾時值
2. 應用層檢查：fixup protocol http 80、fixup protocol smtp 25、fixup protocol ftp 21、fixup protocol dns 53 啟用深度協議檢查
3. 入侵防禦整合：PIX 500 系列支援內建 IDS 模組或串接 Cisco IDS 感測器
4. 日誌與稽核：logging on、logging trap informational、logging host inside syslog_server、配置 syslog 伺服器集中分析
5. 管理存取安全：僅允許特定管理 IP 透過 SSH/HTTPS 管理、啟用 AAA 認證（TACACS+/RADIUS）、配置特權命令授權

遷移提示：PIX 已停止支援，建議升級至 ASA 系列

Cisco PIX 於 2008 年停止銷售，2013 年停止支援。現代架構請採用 Cisco ASA（自適應安全應用裝置）或 Firepower 威脅防禦（FTD），提供：

• 統一 ASA 作業系統（9.x+）
• 應用辨識與控制（AVC）
• 新一代 IPS（NGIPS）整合
• AMP 惡意軟體防護、URL 過濾、檔案軌跡
• REST API、Cisco Security Manager 集中管理