Cisco ASA5520防火墙配置
前言
主要从防火墙穿越的角度，描述Cisco ASA5520防火墙的配置
对Pix ASA系列防火墙配置具有参考意义
内容
防火墙与NAT介绍
基本介绍
基本配置
高级配置
其它
案例
防火墙与NAT介绍
防火墙
➢ 门卫
NAT
➢ 过道
区别
➢ 两者可以分别使用
➢ Windows有个人防火墙
➢ Windows有 Internet Connect sharing服务
➢ 一般防火墙产品，同时带有NAT
基本介绍
配置连接
工作模式
常用命令
ASA5520介绍
配置连接
初次连接
➢ 使用超级终端登陆Console口
➢ Cicso的波特率设置为9600
Telnet连接
➢ 默认不打开，在使用Console配置后，可以选择开启
➢ 开启命令： telnet ip_address netmask if_name
➢ 连接命令： telnet 192.168.1.1
➢ ASA5520默认不允许外网telnet,开启比较麻烦
ASDM连接
➢ 图形界面配置方式
SSH连接
工作模式
普通模式
➢ 连接上去后模式
➢ 进入普通模式需要有普通模式密码
➢ Enable 进入特权模式，需要特权密码
特权模式
➢ Config terminal 进入配置模式
配置模式
模式转换
➢ exit 或者 ctrl-z退出当前模式，到前一模式
➢ 也适用于嵌套配置下退出当前配置
常用命令
命令支持缩写，只要前写到与其它命令不同的地方即可
➢ config terminal = conf term = conf t
➢ Tab键盘补全命令
➢ ？ Or help 获取帮助
取消配置
➢ no 命令取消以前的配置
➢ Clear 取消一组配置，具体请查看 帮助
查看配置
➢ Show version
➢ show run [all] , write terminal
➢ Show xlat
➢ Show run nat
➢ Show run global
保存配置
➢ Write memory
ASA5520介绍
硬件配置： ASA5520, 512 MB RAM, CPU Pentium 4 Celeron 2000 MHz
1个Console口，一个Aux口，4个千兆网口
支持并发：280000个
支持VPN个数：150
支持双机热备、负载均衡
可以通过show version 查看硬件信息
基本配置
接口配置
NAT配置
ACL访问控制
接口配置
四个以太网口
➢ GigabitEthernet0/0、gig0/1、gig0/2、gig0/3
➢ 进入接口配置: interface if_name
配置IP
➢ ip address ip_address [netmask]
➢ ip address ip_address dhcp
➢ 打开端口: no shutdown
➢ 配置安全级别
➢ security-level [0-100]
➢ 数据从安全级别高的流向底的，不能倒流
➢ 倒流需要保安允许
➢ 所以外网一般配置为0，内网为100
➢ 配置别名
➢ 供其它命令引用
➢ Nameif if_name
NAT
NAT (Network Address Translate)
NAT类型(与防火墙穿越提到的类型不相关）
➢ Dynamic NAT
➢ PAT
➢ Static NAT & Static PAT
➢ Identity NAT
➢ NAT exemption
➢ Policy NAT
地址表超时
NAT配置
普通NAT
➢ Dynamic NAT
➢ PAT
NAT例外
➢ Static NAT
➢ Identity NAT
➢ NAT exemption
➢ Policy NAT
普通NAT
普通NAT，只允许内网先发起连接
地址池配置
➢ global (if_name) natid start_addr-end_addr netmask
➢ 如：global (outside) 1 192.168.85.111-192.168.85.113 255.255.255.0
➢ 定义了natid 1 和地址池 192.168.85.111-192.168.85.113
➢ Dynamic NAT
➢ nat (real_ifc) nat_id inside_network outside_network
➢ 动态分配给内网一个独立的IP
PAT
➢ PAT使用1个地址+65535个端口为内网提供地址转换
➢ 地址池中只有一个值时，就是PAT
➢ 分配给内网连接一个固定IP和一个动态的端口
Static NAT
Static NAT
➢ 允许外网先发起连接
➢ 是一个外网IP固定一个内网IP
➢ 可以称为IP映射
命令
➢ Static (internal_if_name, external_if_name) maped_addr real_addr
➢ Maped_addr 与 real_addr不相同
Static PAT
Static PAT
➢ 允许外网先发起连接
➢ 是一个内网IP+一个端口转换成一个固定的外网IP+固定的外网端口
➢ 可以称为端口映射
命令
➢ static (real_interface,mapped_interface) {tcp | udp} {mapped_ip
|interface} mapped_port real_ip real_port [netmask mask]
Identity NAT
Identity NAT
➢ 不使用地址转换，采用原地址出去
➢ 只能内网发起连接
➢ 外网必须配置ACL permit才能先发起连接
命令
➢ NAT （real_if_name） 0 addr/network networkmask
➢ 如: nat (inside) 0 192.168.1.2 255.255.255.255
Static Identity NAT
➢ 不使用地址转换，采用原地址出去
➢ 内外网都可先发起连接
命令
➢ static (real_interface,mapped_interface) real_ip real_ip
NAT exemption
NAT exemption
➢ Identity NAT和 ACL的混合，功能更加强大
➢ 不使用地址转换，采用原地址出去
➢ 内外网均可发起连接
命令
➢ 例1：access-list EXEMPT permit ip 10.1.2.0 255.255.255.0 any
➢ nat (inside) 0 access-list EXEMPT
➢ 例2：access-list NET1 permit ip 10.1.2.0 255.255.255.0 209.165.201.0
➢ access-list NET1 permit ip 10.1.2.0 255.255.255.0 209.165.200.224
➢ nat (inside) 0 access-list NET1
Policy NAT
Policy NAT & Policy PAT
➢ 用ACL定义的NAT和PAT
➢ 更加灵活
命令
➢ Policy nat : static (real_interface,mapped_interface) {mapped_ip interface}access-list acl_name
|
➢ Policy pat : static (real_interface,mapped_interface) {tcp | udp}
{mapped_ip |interface} mapped_port access-list acl_name
举例
➢ hostname(config)# access-list NET1 permit ip 10.1.2.0 255.255.255.0
209.165.201.0
➢ 255.255.255.224
➢ hostname(config)# access-list NET2 permit ip 10.1.2.0 255.255.255.0
209.165.200.224
➢ 255.255.255.224
➢ hostname(config)# nat (inside) 1 access-list NET1
➢ hostname(config)# global (outside) 1 209.165.202.129
➢ hostname(config)# nat (inside) 2 access-list NET2
➢ hostname(config)# global (outside) 2 209.165.202.130
地址表超时
地址转换表超时
➢ 查看命令： show run timeout xlate
➢ 默认超时为3小时
➢ 设置命令： timeout xlate hh:mm:ss
➢ 清除当前表： clear xlat
➢ 在重新配置了NAT后，如果不重启，只有等到当前表超时才能生效，可以强
制清除表，但此时的连接都将中断
连接超时
➢ 查看命令: show run timeout conn
➢ 默认超时为1小时
➢ 设置命令： timeout conn hh:mm:ss
➢ 清除当前连接： clear conn
➢ 清除当前连接，当前的连接都将中断
ACL访问控制
ACL访问控制
➢ 权限列表，定义外网数据包是否可以进入
➢ Deny 优先
➢ 配合NAT, Static等命令使用
➢ 内网一般配置成允许所有，外网需要根据实际情况配置
命令
➢ access-list access_list_name [line line_number] [extended]{deny |
permit} protocol source_address mask [operator port] dest_address mask [operator port | icmp_type] [inactive]
➢ 与接口绑定： access-group access_list_name in/out interface if_name
ACL访问控制
举例
➢ access-list ACL_IN extended permit ip any any
➢ access-list ACL_IN extended permit ip 192.168.1.0 255.255.255.0
209.165.201.0 255.255.255.224
➢ access-list alout extended permit tcp any interface outside eq 3389
➢ access-list alout extended permit tcp any host 192.168.85.113 eq 3389
➢ Access-group alout in interface outside
高级配置
对象组
应用层协议检查
AAA认证
VPN配置
对象组
对象组（Object-group）
➢ 对其它命令（NAT、access-listd等)用到类似的对象进行的分组
➢ 有四种类型的对象组
icmp-type Specifies a group of ICMP types, such as echo
network Specifies a group of host or subnet IP addresses
protocol Specifies a group of protocols, such as TCP, etc
service Specifies a group of TCP/UDP ports/services
命令
➢ Object-group grpType grpName
➢ description 组描述
➢ group-object 组中嵌套别的组
➢ network-object 具体的一个Object定义，这里举network类型的情况
对象组
举例
➢ Object-group network grpNetWork
➢ network-object 192.168.85.111 255.255.255.255
➢ network-object 192.168.85.111 255.255.255.255
➢ exit
➢ access-list alout permit tcp object-group grpNetWork any
应用层协议检查
应用层协议检查
➢ 除使用当前连接，还需要协商使用其它端口的协议。如ftp/tftp, sip, rtsp
➢ 一定程度代替端口映射的工作
➢ 实现了防火墙穿越
命令
➢ policy-map global_policy
➢ class inspection_default
➢ inspect ftp/no inspect ftp
其它
配置查看
➢ show 命令
➢ show startup-config 查看启动配置
➢ show running-config [all] 查看当前配置 all,显示默认配置
配置保存
➢ Write memory
➢ 重新启动： reload/reboot
单项配置查看
➢ Show 单项名称 如: show access-list
➢ Show run 单项名称 如： show run static
因篇幅问题不能全部显示，请点此查看更多更全内容