24、PIX防火墙与防火墙服务模块详解

PIX防火墙与防火墙服务模块详解

一、PIX防火墙的工作原理

PIX防火墙的根源在于网络地址转换（NAT）。在1994年推出时，它是第一个能够实现真正RFC 1631 NAT的设备。即便可以配置PIX防火墙不进行IP地址转换，但其交换过程仍基于NAT，每个数据包都必须使用该NAT机制。

1. NAT机制

• 翻译类型 ：NAT中的翻译是一对IP地址，即本地地址和全局地址。本地地址位于连接到PIX防火墙内部（受信任）接口的网络上，全局地址则是位于外部接口之外、信任程度低于内部接口的网络的一部分。当数据包通过防火墙向外传输时，PIX防火墙将本地地址转换为全局地址；当数据包向内传输时，将全局地址转换为本地地址。
• 静态和动态翻译 ：翻译可以是静态或动态的。静态翻译必须手动配置，而动态翻译是在符合特定条件的数据包到达时创建的。
• 翻译槽和连接槽 ：当一系列数据包中的第一个数据包从内部接口到达PIX防火墙时，它会创建一个翻译槽，这是一个用于跟踪翻译的软件结构，每个翻译使用一个翻译槽。连接槽是另一个软件结构，用于跟踪状态信息。例如，客户端和服务器之间可以通过TCP和UDP端口同时进行多个会话，此时会创建一个翻译槽和多个连接槽，每个连接槽都绑定到一个翻译槽。
• 受限许可证 ：较旧的PIX防火墙型号（如PIX Classic和型号以零结尾的，如PIX 520）使用的受限许可证将连接槽数量限制为128或1024。当前型号以五结尾，如PIX 515、PIX 525和PIX 535。