防火牆基本功能由六大核心命令構建。掌握它們，應對 90% 部署場景。以 Cisco ASA/PIX 為例實戰解析。
出廠所有介面 shutdown。必須手動啟用、設速、命名。
interface ethernet0 auto # 自動協商速率（不建議，易誤判影響效能）
interface ethernet2 100full # 手工指定 100Mbps 全雙工（建議）
建議：統一手工指定速率雙工，與對端設備一致；僅啟用必要介面，減少攻擊面。
nameif hardware-id if-name security-level
hardware-id：物理介面代號（如 ethernet0），不可變。if-name：語義名稱（inside 內網、outside 外網、dmz 等），長度 ≤ 48、無空格特殊字元。security-level：0-100，數值越大信任度越高。預設 inside=100, outside=0, dmz=50。高等級可主動訪問低等級；低訪高需 ACL 放行。建議：兩級制（inside/outside）簡化管理；內網等級高於外網，符合「內信外不信」原則。
ip address if-name ip-address [netmask]
NAT 解決公網 IP 稀缺問題，讓內網多服務共用少量公網 IP 對外服務。
access-list OUTSIDE_IN extended permit tcp any host 192.168.0.6 eq 80
access-group OUTSIDE_IN in interface outside
配合 security-level 實現精細存取控制：外網訪問內網 Web 必須有 ACL 放行。
route outside 0.0.0.0 0.0.0.0 202.96.96.1 1 # 預設閘道
route inside 10.0.0.0 255.0.0.0 192.168.1.254 1 # 內網靜態路由
interface ethernet0 100full
nameif ethernet0 outside security0
ip address outside 202.96.96.240 255.255.255.252
interface ethernet1 100full
nameif ethernet1 inside security100
ip address inside 192.168.1.1 255.255.255.0
nat (inside) 1 192.168.1.0 255.255.255.0
global (outside) 1 202.96.96.240
static (inside,outside) 202.96.96.241 192.168.1.10 netmask 255.255.255.255
access-list OUTSIDE_IN permit tcp any host 202.96.96.241 eq 80
access-group OUTSIDE_IN in interface outside
route outside 0.0.0.0 0.0.0.0 202.96.96.1 1
六大命令打通「介面→命名/等級→IP→NAT→ACL→路由」完整鏈路，是防火牆工程師的基本功。