当前位置:首页 >> 信息与通信 >>

Cisco ASA5520防火墙配置


Cisco ASA5520 防火墙配置 前言 主要从防火墙穿越的角度,描述 Cisco ASA5520 防火墙的配置 对 Pix ASA 系列防火墙配置具有参考意义 内容 防火墙与 NAT 介绍 基本介绍 基本配置 高级配置 其它 案例 防火墙与 NAT 介绍 防火墙 门卫 NAT 过道 区别 两者可以分别使用 Windows 有个人防火墙 Windows 有 Internet

Connect sharing 服务 一般防火墙产品,同时带有 NAT 基本介绍 配置连接 工作模式 常用命令 ASA5520 介绍 配置连接 初次连接 使用超级终端登陆 Console 口 Cicso 的波特率设置为 9600 Telnet 连接 默认不打开,在使用 Console 配置后,可以选择开启 开启命令:telnet ip_addressnetmaskif_name 连接命令:telnet 192.168.1.1 ASA5520 默认不允许外网 telnet,开启比较麻烦 ASDM 连接 图形界面配置方式 SSH 连接 工作模式 普通模式 连接上去后模式 进入普通模式需要有普通模式密码 Enable 进入特权模式,需要特权密码

特权模式 Config terminal 进入配置模式 配置模式 模式转换 exit 或者 ctrl-z 退出当前模式,到前一模式 也适用于嵌套配置下退出当前配置 常用命令 命令支持缩写,只要前写到与其它命令不同的地方即可 config terminal = conf term = conf t Tab 键盘补全命令 ?Or help 获取帮助 取消配置 no 命令取消以前的配置 Clear 取消一组配置,具体请查看帮助 查看配置 Show version show run [all] , write terminal Show xlat Show run nat Show run global 保存配置 Write memory ASA5520 介绍 硬件配置: ASA5520, 512 MB RAM, CPU Pentium 4 Celeron 2000 MHz 1 个 Console 口,一个 Aux 口,4 个千兆网口 支持并发:280000 个 支持 VPN 个数:150 支持双机热备、负载均衡 可以通过 show version 查看硬件信息 基本配置 接口配置 NAT 配置 ACL 访问控制 接口配置

四个以太网口 GigabitEthernet0/0、gig0/1、gig0/2、gig0/3 进入接口配置: interface if_name 配置 IP ip address ip_address [netmask] ip address ip_addressdhcp

打开端口: no shutdown 配置安全级别 security-level [0-100] 数据从安全级别高的流向底的,不能倒流 倒流需要保安允许 所以外网一般配置为 0,内网为 100 配置别名 供其它命令引用 Nameifif_name NAT

NAT (Network Address Translate) NAT 类型(与防火墙穿越提到的类型不相关) Dynamic NAT PAT Static NAT & Static PAT Identity NAT NAT exemption Policy NAT 地址表超时 NAT 配置 普通 NAT Dynamic NAT PAT NAT 例外 Static NAT Identity NAT NAT exemption Policy NAT 普通 NAT 普通 NAT,只允许内网先发起连接 地址池配置 global (if_name) natidstart_addr-end_addrnetmask 如:global (outside) 1 192.168.85.111-192.168.85.113 255.255.255.0 定义了 natid 1 和地址池 192.168.85.111-192.168.85.113 Dynamic NAT nat (real_ifc) nat_idinside_networkoutside_network 动态分配给内网一个独立的 IP PAT PAT 使用 1 个地址+65535 个端口为内网提供地址转换 地址池中只有一个值时,就是 PAT 分配给内网连接一个固定 IP 和一个动态的端口 Static NAT

Static NAT 允许外网先发起连接 是一个外网 IP 固定一个内网 IP 可以称为 IP 映射 命令 Static (internal_if_name, external_if_name) maped_addrreal_addr Maped_addr 与 real_addr 不相同 Static PAT Static PAT 允许外网先发起连接 是一个内网 IP+一个端口转换成一个固定的外网 IP+固定的外网端口 可以称为端口映射 命令 static (real_interface,mapped_interface) {tcp | udp} {mapped_ip |interface} mapped_portreal_ipreal_port [netmask mask] Identity NAT Identity NAT 不使用地址转换,采用原地址出去 只能内网发起连接 外网必须配置 ACL permit 才能先发起连接 命令 NAT (real_if_name)0 addr/network networkmask 如: nat (inside) 0 192.168.1.2 255.255.255.255 Static Identity NAT 不使用地址转换,采用原地址出去 内外网都可先发起连接 命令 static (real_interface,mapped_interface) real_ipreal_ip NAT exemption NAT exemption Identity NAT 和 ACL 的混合,功能更加强大 不使用地址转换,采用原地址出去 内外网均可发起连接 命令 例 1:access-list EXEMPT permit ip10.1.2.0 255.255.255.0 any nat (inside) 0 access-list EXEMPT 例 2:access-list NET1 permit ip 10.1.2.0 255.255.255.0 209.165.201.0 access-list NET1 permit ip 10.1.2.0 255.255.255.0 209.165.200.224 nat (inside) 0 access-list NET1 Policy NAT Policy NAT & Policy PAT 用 ACL 定义的 NAT 和 PAT 更加灵活

命令 Policy nat : static (real_interface,mapped_interface) {mapped_ip | interface}access-list acl_name Policy pat : static (real_interface,mapped_interface) {tcp | udp} {mapped_ip |interface} mapped_port access-list acl_name 举例 hostname(config)# access-list NET1 permit ip 10.1.2.0 209.165.201.0 255.255.255.224 hostname(config)# access-list NET2 permit ip 10.1.2.0 209.165.200.224 255.255.255.224 hostname(config)# nat (inside) 1 access-list NET1 hostname(config)# global (outside) 1 209.165.202.129 hostname(config)# nat (inside) 2 access-list NET2 hostname(config)# global (outside) 2 209.165.202.130 地址表超时 地址转换表超时 查看命令:show run timeout xlate 默认超时为 3 小时 设置命令:timeout xlatehh:mm:ss 清除当前表:clear xlat 在重新配置了 NAT 后,如果不重启,只有等到当前表超时才能生效,可以强 制清除表,但此时的连接都将中断 连接超时 查看命令: show run timeout conn 默认超时为 1 小时 设置命令:timeout conn hh:mm:ss 清除当前连接:clear conn 清除当前连接,当前的连接都将中断 ACL 访问控制 ACL 访问控制 权限列表,定义外网数据包是否可以进入 Deny 优先 配合 NAT, Static 等命令使用 内网一般配置成允许所有,外网需要根据实际情况配置 命令 access-list access_list_name [line line_number] [extended]{deny | permit} protocol source_address mask [operator port] dest_address mask [operator port | icmp_type] [inactive] 与接口绑定: access-group access_list_name in/out interface if_name ACL 访问控制 举例 255.255.255.0

255.255.255.0

access-list ACL_IN extended permit ip any any access-list ACL_IN extended permit ip 192.168.1.0 255.255.255.0 209.165.201.0 255.255.255.224 access-list alout extended permit tcp any interface outside eq 3389 access-list alout extended permit tcpany host 192.168.85.113 eq 3389 Access-group alout in interface outside 高级配置 对象组 应用层协议检查 AAA 认证 VPN 配置 对象组 对象组( 对象组(Object-group) ) 对其它命令(NAT、access-listd 等)用到类似的对象进行的分组 有四种类型的对象组 icmp-type Specifies a group of ICMP types, such as echo network Specifies a group of host or subnet IP addresses protocol Specifies a group of protocols, such as TCP, etc service Specifies a group of TCP/UDP ports/services 命令 Object-group grpTypegrpName description 组描述 group-object 组中嵌套别的组 network-object 具体的一个 Object 定义,这里举 network 类型的情况 对象组 举例 Object-group network grpNetWork network-object 192.168.85.111 255.255.255.255 network-object 192.168.85.111 255.255.255.255 exit access-list alout permit tcp object-group grpNetWork any 应用层协议检查 应用层协议检查 除使用当前连接,还需要协商使用其它端口的协议。如 ftp/tftp, sip, rtsp 一定程度代替端口映射的工作 实现了防火墙穿越 命令 policy-map global_policy class inspection_default inspect ftp/no inspect ftp 其它 配置查看 show 命令 show startup-config 查看启动配置

show running-config [all] 查看当前配置 all,显示默认配置 配置保存 Write memory 重新启动:reload/reboot 单项配置查看 Show 单项名称如: show access-list Show run 单项名称如:show run static


相关文章:
Cisco ASA5520防火墙配置
Cisco ASA5520防火墙配置_信息与通信_工程科技_专业资料。Cisco ASA5520防火墙配置介绍 NAT Cisco ASA5520 防火墙配置 前言 主要从防火墙穿越的角度,描述 Cisco ASA...
ASA5520防火墙VPN配置详解
ASA5520防火墙VPN配置详解_计算机硬件及网络_IT/计算机_专业资料。ASA5520防火墙VPN配置详解ASA Version 7.2(3) ! hostname ciscoasa enable password 8Ry2YjIyt7RR...
ASA防火墙疑难杂症与Cisco ASA5520防火墙配置
7. 待续 Cisco ASA5520 防火墙配置 前言 ? 主要从防火墙穿越的角度,描述 Cisco ASA5520 防火墙的配置 ? 对 Pix ASA 系列防火墙配置具有参考意义 内容 ? 防火墙...
ASA5520防火墙双机配置
ASA5520防火墙双机配置_计算机硬件及网络_IT/计算机_专业资料。ASA5520 防火墙的安装...显示为 monitor> 三、基本配置步骤 在 PC 机上用串口通过 cisco 产品控制线...
Cisco ASA5520 防火墙双 ISP接入配置
Cisco ASA5520 防火墙双 ISP接入配置_计算机硬件及网络_IT/计算机_专业资料。Cisco ASA5520 防火墙双 ISP 接入配置 . 刚改好的 ASA5520, 双 ISP 接入配置,大家...
CISCO ASA5520配置手册
CISCO ASA5520 配置手册 CD-ASA5520# show run: Saved : ASA Version 7.2(2) ! hostname CD-ASA5520 //给防火墙命名 domain-name default.domain.invalid /...
CiscoASA防火墙详细图文配置实例
Cisco ASA 防火墙图文配置实例 本文是基于ASA5540 和 ASA5520配置 截图所做的一篇配置文档,从最初始的配置开始: 1、 连接防火墙登陆 与其他的 Cisco 设备一样...
Cisco_ASA防火墙图文配置实例
Cisco ASA 防火墙图文配置实例 By Mast 2010 年 2 月 15 日 本文是基于笔者 2008 年在原单位配置 ASA5540 和 ASA5520配置 截图所做的一篇配置文档,从最...
51CTO下载-Cisco_ASA5540和5520防火墙图文配置
Cisco ASA 防火墙图文配置实例 2010 年 2 月 15 日 本文是基于笔者 2008 年在原单位配置 ASA5540 和 ASA5520配置 截图所做的一篇配置文档,从最初始的配置...
asa5520防火墙透明模式的配置例子
asa5520防火墙透明模式的配置例子_IT/计算机_专业资料。asa5520防火墙透明模式的配置例子 asa5520 防火墙透明模式的配置例子 ciscoasa# sh run : Saved : ASA ...
更多相关标签:
cisco asa 5520 配置 | cisco asa防火墙配置 | cisco 5520防火墙 | cisco asa 5520 | cisco asa 5520 升级 | cisco asa 5520 nat | cisco asa 5520 vpn | cisco asa 5520 ios |