ASA配置命令Word文档格式.docx
- 文档编号:14529949
- 上传时间:2022-10-23
- 格式:DOCX
- 页数:25
- 大小:40.60KB
ASA配置命令Word文档格式.docx
《ASA配置命令Word文档格式.docx》由会员分享,可在线阅读,更多相关《ASA配置命令Word文档格式.docx(25页珍藏版)》请在冰豆网上搜索。
ip_address-ip_address:
表示一段ip地址范围。
[netmarkglobal_mask]:
表示全局ip地址的网络掩码。
nat
地址转换命令,将内网的私有ip转换为外网公网ip。
nat命令配置语法:
nat(if_name)nat_idlocal_ip[netmark]其中:
表示接口名称,一般为inside.nat_id:
表示地址池,由global命令定义。
local_ip:
表示内网的ip地址。
对于0.0.0.0表示内网所有主机。
[netmark]:
表示内网ip地址的子网掩码。
route
route命令定义静态路由。
语法:
route(if_name)00gateway_ip[metric]其中:
表示接口名称。
00:
表示所有主机Gateway_ip:
表示网关路由器的ip地址或下一跳。
[metric]:
路由花费。
缺省值是1。
static配置静态IP地址翻译,使内部地址与外部地址一一对应。
语法:
static(internal_if_name,external_if_name)outside_ip_addrinside_ip_address其中:
internal_if_name表示内部网络接口,安全级别较高,如inside。
external_if_name表示外部网络接口,安全级别较低,如outside。
outside_ip_address表示外部网络的公有ip地址。
inside_ip_address表示内部网络的本地ip地址。
(括号内序顺是先内后外,外边的顺序是先外后内)例如:
asa(config)#static(inside,outside)133.0.0.1192.168.0.8
表示内部ip地址192.168.0.8,访问外部时被翻译成133.0.0.1全局地址
asa#conft
asa(config)#hostnameasa//设置主机名
asa(config)#enablepasswordcisco//设置密码
配置外网的接口,名字是outside,安全级别0,输入ISP给您提供的地址就行了。
asa(config)#interfaceGigabitEthernet0/0
asa(config)#nameifoutside//名字是outsideasa(config)#securit-level0//安全级别0
asa(config)#ipaddress*.*.*.*255.255.255.0//配置公网IP地址asa(config)#duplexfull
asa(config)#asa(config)#noshutdown配置内网的接口,名字是inside,安全级别100asa(config)#interfaceGigabitEthernet0/1
asa(config)#nameifinsideasa(config)#securit-level100
asa(config)#duplexfullasa(config)#speed100asa(config)#noshutdown配置DMZ的接口,名字是dmz,安全级别50asa(config)#interfaceGigabitEthernet0/2
asa(config)#nameifdmzasa(config)#securit-level50
asa(config)#duplexfull
asa(config)#
asa(config)#noshutdown网络部分设置
asa(config)#nat(inside)1192.168.1.1255.255.255.0asa(config)#global(outside)1222.240.254.193255.255.255.248asa(config)#nat(inside)0192.168.1.1255.255.255.255//表示192.168.1.1这个地址不需要转换。
直接转发出去。
asa(config)#global(outside)1133.1.0.1-133.1.0.14//定义的地址池
asa(config)#nat(inside)100//00表示转换网段中的所有地址。
定义内部网络地址将要翻译成的全局地址或地址范围
配置静态路由asa(config)#routeoutside00133.0.0.2//设置默认路由133.0.0.2为下一跳如果内部网段不是直接接在防火墙内口,则需要配置到内部的路由。
asa(config)#Routeinside192.168.10.0255.255.255.0192.168.1.11地址转换
asa(config)#static(dmz,outside)133.1.0.110.65.1.101;
静态NATasa(config)#static(dmz,outside)133.1.0.210.65.1.102;
静态NATasa(config)#static(inside,dmz)10.66.1.20010.66.1.200;
静态NAT如果内部有服务器需要映射到公网地址(外网访问内网)则需要staticasa(config)#static(inside,outside)222.240.254.194192.168.1.240asa(config)#static(inside,outside)222.240.254.194192.168.1.2401000010//后面的10000为限制连接数,10为限制的半开连接数
ACL实现策略访问
asa(config)#access-list101permitipanyhost133.1.0.1eqwww;
设置ACLasa(config)#access-list101permitipanyhost133.1.0.2eqftp;
设置ACLasa(config)#access-list101denyipanyany;
设置ACL
asa(config)#access-group101ininterfaceoutside;
将ACL应用在outside端口当内部主机访问外部主机时,通过nat转换成公网IP,访问internet。
当内部主机访问中间区域dmz时,将自己映射成自己访问服务器,否则内部主机将会映射成地址池的IP,到外部去找。
当外部主机访问中间区域dmz时,对133.0.0.1映射成10.65.1.101,static是双向的。
PIX的所有端口默认是关闭的,进入PIX要经过acl入口过滤。
静态路由指示内部的主机和dmz的数据包从outside口出去。
思科ASA和PIX防火墙配置手册
一、配置基础
1.1用户接口思科防火墙支持下列用户配置方式:
Console,Telnet,SSH(1.x或者2.0,2.0为7.x新特性,PDM的http方式(7.x以后称为ASDM)和VMS的FirewallManagementCenter。
支持进入RomMonitor模式,权限分为用户模式和特权模式,支持Help,History和命令输出的搜索和过滤。
注:
Catalyst6500的FWSM没有物理接口接入,通过下面CLI命令进入:
Switch#sessionslotslotprocessor1(FWSM所在slot号)用户模式:
Firewall>
为用户模式,输入enable进入特权模式Firewall#。
特权模式下可以进入配置模式,在6.x所有的配置都在一个全局模式下进行,7.x以后改成和IOS类似的全局配置模式和相应的子模式。
通过exit,ctrl-z退回上级模式。
配置特性:
在原有命令前加no可以取消该命令。
Showrunning-config或者writeterminal显示当前配置,7.x后可以对showrun的命令输出进行搜索和过滤。
Showrunning-configall显示所有配置,包含缺省配置。
Tab可以用于命令补全,ctrl-l可以用于重新显示输入的命令(适用于还没有输入完命令被系统输出打乱的情况),help和history相同于IOS命令集。
Show命令支持begin,include,exclude,grep加正则表达式的方式对输出进行过滤和搜索。
Terminalwidth命令用于修改终端屏幕显示宽度,缺省为80个字符,pager命令用于修改终端显示屏幕显示行数,缺省为24行,pagerlines0命令什么效果可以自己试试。
1.2防火墙许可介绍防火墙具有下列几种许可形式,通过使用showversion命令可以看设备所支持的特性:
Unrestricted(UR)所有的限制仅限于设备自身的性能,也支持Failover
Restricted(R)防火墙的内存和允许使用的最多端口数有限制,不支持FailoverFailover(FO)不能单独使用的防火墙,只能用于Failover
Failover-Active/Active(FO-AA)只能和UR类型的防火墙一起使用,支持active/activefailover注:
FWSM内置UR许可。
activation-key命令用于升级设备的许可,该许可和设备的serialnumber有关(showversion输出可以看到),6.x为16字节,7.x为20字节。
1.3初始配置
跟路由器一样可以使用setup进行对话式的基本配置。
二、配置连接性
2.1配置接口接口基础:
防火墙的接口都必须配置接口名称,接口IP地址和掩码(7.x开始支持IPv6)和安全等级。
接口可以是物理接口也可以是逻辑接口(vlan),从6.3贾С?
lt;
/SPAN>
trunk,但只支持
802.1Q封装,不支持DTP协商。
接口基本配置:
对于FWSM所有的接口都为逻辑接口,名字也是vlan后面加上vlanid。
例如FWSM位于6500的第三槽,配置三个接口,分别属于vlan100,200,300.
Switch(config)#firewallvlan-group1100,200,300Switch(config)#firewallmodule3vlan-grou
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ASA 配置 命令