（ 33 ）如果一台 Cisco PIX 525 防火墙有如下配置：Pix525(config)#nameif ethernet0 P1 security100Pix525(config)#nameif ethernet1 P2 security0Pix525(config)#nameif ethernet2 P3 security50那么常用的端口连接方案是A ）端口 P1 作为外部接口， P2 连接 DMZ ， P3 作为内部接口B ）端口 P1 作为内部接口， P2 连接 DMZ ， P3 作为外部

正确答案：Pix525(config)#global(outside)1 211.156.169.2 Pix525(config)#nat(inside)1 192.168.1.0 255.255.255.192
Pix525(config)#global(outside)1 211.156.169.2 Pix525(config)#nat(inside)1 192.168.1.0 255.255.255.192 解析：Cisco PIX 525防火墙的“nat”命令用于指定要进行转换的内部地址，“global”命令用于指定外部IP地址范围(地址池)。“nat”命令总是与“global”命令—起使用，因为“nat”命令可以指定一台主机或一段IP地址范围的主机访问外网，访问外网时需要利用“global”所指定的地址池进行对外访问。
“nat”命令格式如下：
nat(if_name) nat_id local_ip[netmask]
其中，“if_name”是内网接口名字，例如inside；“nat_id”是全局地址池标识，使它与其相应的“global”命令相匹配；“local_ip”是内网被分配的IP地址；“netmask”是内网IP地址的子网掩码。
“global”命令格式如下：
global (if_name) nat_id ip_address-ip_address [netmask global_mask]
其中，“if name”是外网接口名字，例如outside：“nat_id”是全局地址池标识；“ip_address-ip address”是NAT转换后的单个IP地址或某段IP地址范围；“netmaskglobal mask”是全局IP地址的子网掩码。
若某公司允许内部网段192.168.1.0/26的所有主机对外访问Internet，则在其网络边界防火墙Cisco PIX525可能执行的配置语句示例如下：
Pix525(config)# global(outside)1 211.156.169.2
Pix525(eonfig)# nat(inside) 1 192.168.1.0 255.255.255.192

正确答案：D
PIX防火墙基本配置命令nameif用于配置防火墙接口的名字，并指定安全级别。安全级别取值范围为1～99，数字越大安全级别越高。如果一台CiscoPIX525防火墙有如下配置：PIX525（config）#nameifethernetOP1security100PIX525（config）#nameifethernetlP2securityOPIX525（config）#nameifethernet2P3security50那么PlX防火墙的ethemet0端口被命名为P1，安全级别为100，ethernetl端口被命名为P2，安全级别为0，ethernet2端口被命名为P3，安全级别为50。相比之下，Pl端口安全级别最高，适合作为内部接口；P2端口安全级别最低，适合作为外部接口；P3端口适合作为DMZ接口。所以D选项符合要求。

正确答案：D
解析：PIX防火墙基本配置命令nameif用于配置防火墙接口的名字，并指定安全级别。安全级别取值范围为1～99，数字越大安全级别越高。如果一台CiscoPIX 525防火墙有如下配置：
  Pix525(config)#nameif ethernet0 P1 security100
  Pix525(config)#nameif ethernet1 P2 security0
  Pix525(COnfig)#nameif ethernet2 P3 security50
  那么PIX防火墙的ethernet0端口被命名为P1，安全级别为100；ethemet1端口被命名为P2，安全级别为0；ethernet2端口被命名为P3，安全级别为50。相比之下，P1端口安全级别最高，适合作为内部接口；P2端口安全级别最低，适合作为外部接口；P3端口适合作为DMZ接口。

正确答案：(1) 定义一条指向边界路由器(或下一跳IP地址为211.156.169.1的路由器)的默认路由。 (2)　建立内部IPDMZ区地址172.30.98.56 211.156.169.5 与外部IP地址 172.32.65.98 211.156.169.2之间的静态映射。 (3)　禁止icmp消息任意方向通过防火墙。 (4)　启用HTTP协议并指定HTTP的端口号为8080
(1) 定义一条指向边界路由器(或下一跳IP地址为211.156.169.1的路由器)的默认路由。 (2)　建立内部IPDMZ区地址172.30.98.56 211.156.169.5 与外部IP地址 172.32.65.98 211.156.169.2之间的静态映射。 (3)　禁止icmp消息任意方向通过防火墙。 (4)　启用HTTP协议，并指定HTTP的端口号为8080 解析：(1)在配置模式下命令“route”用于设置指向内网和外网的静态路由。其语法格式如下：
routeif_name＞0 0 gateway_ip[metric]
其中，“if_name”是接口名字，例如inside、outside；“gateway_ip”是网关路由器的IP地址；“metric”是到gateway_ip的跳数，其默认值为1。
配置语句route outside 0 0 211.156.169.1表示一条指向边界路由器(或下一跳IP地址为211.156.169.1的路由器)的默认路由。
(2)在配置模式下，命令“static”用于配置静态NAT功能。如果从外网发起一个会话，会话的目的地址是一个内网的IP地址，“static”命令就把内部地址翻译成一个指定的全局地址，允许这个会话建立。其命令格式如下：
static(internal_if_name.external_if_name)outside_ip_address inside_ip_address
其中，“internal if name”是内部网络接口名字，如inside等；“extemal_if_name”是外部网络接口名字，如outside等；“outside中address”是外部IP地址；“inside_ip_address”是内部IP地址。
配置语句static(inside,outside)211.156.169.2211.156.169.5用于建立DMZ区地址211.156.169.5与外部 IP地址211.156.169.2之间的静态映射。
(3)管道命令(conduit)用于允许数据流从具有较低安全级别的接口流向具有较高安全级别的接口，例如允许从Internet网到DMZ(或内部接口)方向的会话。“conduit”命令的配置语法如下：
conduit permit | deny global_ip port-port＞ protocolforeign_ip
其中，“permit”为允许访问策略，“deny”为拒绝访问策略；“global_ip”是指由“global”或“static”命令定义的全局IP地址，如果“global_ip”为0，可用any来代替0，如果“global_ip”为某台主机，则需使用host命令参数；“port”是指服务所作用的端口，可以通过服务名称或端口数字来指定端口；“protocol”是指连接协议，例如TCP、UDP、ICMP等；“foreign_ip”表示可访问“global_ip”的外部IP地址，对于任意主机，可以用any表示，如果“foreign_ip”是一台主机，则需使用host命令参数。
配置语句conduit deny icmp any any表示禁止icmp消息(如ping的回声请求/响应消息)的任意方向通过防火墙。
(4)“fixup”命令用于启用、禁止、改变一个服务或协议通过PIX防火墙。由“fixup”命令指定的端口是PIX防火墙要侦听的服务。配置语句fix up protocol http 8080表示，启用HTTP协议，并指定HTTP的端口号为8080。

正确答案：D