Cisco ASA 防火墙基础

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,台州职业技术学院计算机系,*,Cisco ASA,防火墙基础,台州职业技术学院计算机系,2,台州职业技术学院计算机系,台州职业技术学院计算机系,ASA,的基本配置一般包括：,配置主机名、域名和密码,配置接口,配置路由,配置远程管理接入,为出站流量配置网络地址转换,台州职业技术学院计算机系,台州职业技术学院计算机系,配置接口,台州职业技术学院计算机系,配置接口,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,为出站流量配置网络地址转换,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,台州职业技术学院计算机系,asa#conf t,asa(config)#hostname asa/,设置主机名,asa(config)#enable password cisco/,设置密码配置外网的接口，名字是,outside,，安全级别,0,，输入,ISP,给您提供的地址就行了。,asa(config)#interface GigabitEthernet0/0,asa(config-if)#nameif outside/,名字是,outside,asa(config-if)#securit-level 0/,安全级别,0,asa(config-if)#ip address*.*.*.*255.255.255.0/,配置公网,IP,地址,asa(config-if)#duplex full,asa(config-if)#,asa(config-if)#no shutdown,台州职业技术学院计算机系,配置内网的接口，名字是,inside,，安全级别,100,asa(config)#interface GigabitEthernet0/1,asa(config-if)#nameif inside,asa(config-if)#securit-level 100,asa(config-if)#duplex full,asa(config-if)#speed 100,asa(config-if)#no shutdown,台州职业技术学院计算机系,配置,DMZ,的接口,名字是,dmz,，安全级别,50asa(config)#interface GigabitEthernet0/2asa(config-if)#nameif dmzasa(config-if)#securit-level 50asa(config-if)#duplex fullasa(config-if)#asa(config)#no shutdown,台州职业技术学院计算机系,网络部分设置,asa(config)#nat(inside)1 192.168.1.1 255.255.255.0asa(config)#global(outside)1 222.240.254.193 255.255.255.248asa(config)#nat(inside)0 192.168.1.1 255.255.255.255/,表示,192.168.1.1,这个地址不需要转换。直接转发出去。,asa(config)#global(outside)1 133.1.0.1-133.1.0.14/,定义的地址池,asa(config)#nat(inside)1 0 0/0 0,表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围,台州职业技术学院计算机系,配置静态路由,asa(config)#route outside 0 0 133.0.0.2,/,设置默认路由,133.0.0.2,为下一跳,如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。,asa(config)#Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1,台州职业技术学院计算机系,地址转换,asa(config)#static(dmz,，,outside)133.1.0.1 10.65.1.101;,静态,NAT,asa(config)#static(dmz,，,outside)133.1.0.2 10.65.1.102;,静态,NAT,asa(config)#static(inside,，,dmz)10.66.1.200 10.66.1.200;,静态,NAT,如果内部有服务器需要映射到公网地址,(,外网访问内网,),则需要,static,asa(config)#static(inside,outside)222.240.254.194 192.168.1.240,asa(config)#static(inside,outside)222.240.254.194 192.168.1.240 10000 10,/,后面的,10000,为限制连接数，,10,为限制的半开连接数,台州职业技术学院计算机系,ACL,实现策略访问,asa(config)#access-list 101 permit ip any host 133.1.0.1 eq www;,设置,ACL,asa(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;,设置,ACL,asa(config)#access-list 101 deny ip any any;,设置,ACL,asa(config)#access-group 101 in interface outside;,将,ACL,应用在,outside,端口当内部主机访问外部主机时，通过,nat,转换成公网,IP,，访问,internet,。当内部主机访问中间区域,dmz,时，将自己映射成自己访问服务器，否则内部主机将会映射成地址池的,IP,，到外部去找。当外部主机访问中间区域,dmz,时，对,133.0.0.1,映射成,10.65.1.101,，,static,是双向的。,PIX,的所有端口默认是关闭的，进入,PIX,要经过,acl,入口过滤。静态路由指示内部的主机和,dmz,的数据包从,outside,口出去。,台州职业技术学院计算机系,