201107182018-网络安全.CH11.2.Cisco.ASA硬件防火墙的基本配置命令介绍.flv

DNS-----internet---（router）---outside ASA dmz-----web
                                         |
                                      inside
                                        |
                                        switch

远程访问或其它复杂路由协议防火墙并不支持，没有串口之类的。
不会支持MSTP什么的

ASA的基本配置
 配置主机名，域名和密码
 hostname ASA5520
 domain-name www.baidu.com
 #特权密码
 enable password
 #远程登录
 password cisco

 配置接口（指定安全级别）
 show interface ip brief
 interface g0/0
 nameif _name_(inside,outside,DMZ)
 #安全级别
 security-level number(0-100,可设置同级接口)
  inside默认安全级别为100
  outside默认安全级别为0
  数字越大安全级别就越高
  inside<DMZ<outside
 EG:int e0/1
  nameif inside
  security-level 100
  ip add 192.168.201.1 255.255.255.0
  no sh
  exit
 (ASA5505适用于小型企业，只能使用虚拟接口)

 配置路由
 route interface-name des-network mask next-hop-address
 route outside 0.0.0.0 0.0.0.0 210.10.10.1
 从外部接口到达任何网段下一跳为210.10.10.1
 show route

 配置远程管理接入（安全的，telnet并不安全）
 #telnet 明文传输
  telnet {network|ip-address} mask interface-name
  telnet 192.168.201.0 255.255.255.0 inside
  只允许192.168.201.0从inside接口接入
  telnet 192.168.201.1 255.255.255.255 inside
  telnet timeout (1-1440)连接超时
 #SSH  传输的用户名和密码都是加密传输的
  必需配置主机名和域名，并生成RSA密钥对
  crypto key generate rsa modulus 1024
  ssh 192.168.201.0 255.255.255.0 inside
  ssh 0 0 outside
  ssh timeout 30
  ssh version 2

 配置ASDM（自适应安全设备管理器）
 #启用防火墙HTTPS服务器功能
  http server enable port(默认80)
 #配置防火墙允许HTTPS接入
  http {netword|ip-address} mask interface-name
 #指定ASDM映像的位置
  asdm image _disk0:/asdmfile
 #配置客户登录使用的用户名和密码
  username _user password _password privilege 15
 EG: http server enable 8008
  http 0 0 outside
  asdm image desk0:/asdm-615.bin
  username xiezy password !@#$! privilege 15
  (客户端安装JRE，访问https://IP:8008) B/S
  ASDM客户端软件 C/S

 为出站流量配置网络地址转换（内网到外网的访问）
 nat (内部接口的名字) nat-id local-ip mask
 global (外部接口的名字) nat-id {global-ip[global-ip]|interface}
 EG： nat-control
  nat (inside) 1 0 0 (定义内部地址池1)
  global (outside) 1 interface
  global (dmz) 1 192.168.202.100-192.168.202.110
 EG: nat-control
  nat (inside) 1 192.168.201.0 255.255.255.0
  global (outside) 1 interface

 配置ACL
 #标准访问控制列表(建议用名字)
 access-list 名字 standard {permit|deny} ip-addr mask
 #扩展访问控制列表
 access-list 名字 extended {permit|deny} protocol src_ip_addr src_mask dst_ip_addr dst_mask [operator port]
 #将ACL应用 到接口
 access-group 名字 {in|out} interface nterface_name
 EG: access-list test1 deny ip 192.168.201.44 255.255.255.255
  access-list test1 permit any
  access-list test2 extended deny ip host 192.168.201.44 any
  access-list test2 extended permit ip any any
  access-group test2 out interface outside

 配置static NAT
 static (real-interface:原接口,mapped-interface：映射到接口 mapped-ip：原IP real-ip：映射到IP)
 EG： static (dmz,outside) 210.10.10.253 192.168.202.1
  access-list out_to_dmz extended permit tcp any host 210.10.10.253 eq www
  access-group out_to_dmz in interface outside
  
 允许ICMP协议
 access-list 111 permit icmp any any echo-reply（ping应答）
 access-list 111 permit icmp any any unreachable(不可达)
 access-list 111 permit icmp any any time-execeeded()
 access-group 111 in interface outside

 保存配置
 write memory
 copy running-config startup-config

 清楚配置
 clear configure all
 clear configure command [level2command]