suselinux的博客

ASA5520的简单配置

热17已有 476 次阅读 2012-09-13 08:17 标签: ASA

下面为出站的流量配置NAT

指定什么流量需要被转换。为出站的流量指定NAT

ASA5520(config)#nat（ interface_name内部接口的名字) nat-id(外部地址的编号) local-ip（内部地址）mask（掩码）指定了内部的接口、内部地址

定义一个全局地址池

ASA5520(config)#global (intefac_name外部接口的名字) ) nat-id（外部地址的编号) ｛ global-ip（外部开始地址）[-global-ip（外部结束地址）] | interfac（接口就是端口转换）定义了外网地址池、外部接口

以上两条为组合使用。

本例的配置：内网访问外网及DMZ区必须要做NAT

ASA5520(config)#nat-control 启用内网的nat功能

ASA5520(config)#nat (inside) 1 0 0 启用NAT,内网的所有主机都可以访问网络,用0代表0.0.0.0

定义编号为1的内部地址，地址为任意地址。

ASA5520(config)#global (outside) 1 int 外部地址、外部接口编号为1，地址为interface的接口地址

定义编号为1的外部地址，地址是interface接口的IP 地址

ASA5520(config)#global (dmz）1 192.168.202.100 -192.168.202.110 将内网地址翻译成DMZ区编号为1的这个地址池范围。

内网访问DMZ区时,将内网地址翻译成DMZ区的这个地址范围内的IP进行访问

定义编号为1的DMZ地址段，地址为192.168.202.100 -192.168.202.110 这个地址段。也就是是将内网任意地址转换为这个地址段的地址来访问DMZ区.

说明：用ASA5520(config)#nat-control 这个命令及以下的命令来指定内网哪些网段可以访问外部

例如：两个网段192.168.201.0/24、192.168.202.0/24通过防火墙连接外网,要求192.168.201.0/24能访问外网，而192.168.202.0/24不能访问外网。

在防火墙上做如下配置:

ASA5520(config)#nat-control 启用内网的nat功能
ASA5520(config)#nat (inside) 1 192.168.201.0 255.255.255.0指定内网地址编号为1的192.168.201.0/24这个网段可以访问外网

ASA5520(config)#global (outside) 1 int 定义编号为1的外部地址通过接口来访问外部，地址是interface接口的IP 地址

以上nat-control指定了192.168.201.0/24所以这个网段能访问外网,而192.168.202.0/24没指定则不能访问外网
配置ACL

标准访问列表

ASA5520(config)#access-list acl_name (自定义访问控制列表的名字)standard(标准此字母可以被忽略) {permit | deny｝ip_addr mask(IP地址及掩码)

扩展访问列表

ASA5520(config)#access-list acl_name (自定义访问控制列表的名字) extended (扩展此字母不可省略) { pemit| deny｝protocol (协议) src_ip_addr src_mask(源地址及掩码) dst_ip_addr dst_mask(目的地址及掩码) [operator port](端口号)