ASA的基本安全级别.docVIP

ASA的基本安全级别 ?Cisco ASA 5500不同安全级别区域实现互访实验一、 网络拓扑?二、 实验环境ASA防火墙eth0接口定义为outside区，Security-Level:0，接Router F0/0；ASA防火墙eth1接口定义为insdie区，Security-Level:100，接Switch的上联口；ASA防火墙Eth2接口定义为DMZ区，Security-Level:60，接Mail Server。?三、 实验目的实现inside区域能够访问outside，即Switch能够ping通Router的F0/0（）；dmz区能够访问outside，即Mail Server能够ping通Router的F0/0（）；outside能够访问insdie区的Web Server的http端口(80)和dmz区的Mail Server的pop3端口（110）、smtp端口（25）.??四、 详细配置步骤?1、端口配置CiscoASA(config)# interface ethernet 0CiscoASA(config)#nameif ousideCiscoASA(config-if)# security-level 0CiscoASA(config-if)# ip address CiscoASA(config-if)# no shutCiscoASA(config)# interface ethernet 1CiscoASA(config)#nameif insideCiscoASA(config-if)# security-level 100CiscoASA(config-if)# ip address CiscoASA(config-if)# no shutCiscoASA(config)# interface ethernet 2CiscoASA(config)#nameif dmzCiscoASA(config-if)# security-level 50CiscoASA(config-if)# ip address CiscoASA(config-if)# no shut2、路由配置CiscoASA(config)# route outside 1 #默认路由CiscoASA(config)# route inside 1 #外网访问内网服务器的路由3、定义高安全接口区域需要进行地址转换的IP范围CiscoASA(config)# nat (inside) 1 0 0CiscoASA(config)# nat (dmz) 1 0 04、定义低安全接口区域用于高安全接口区域进行IP转换的地址范围CiscoASA(config)# global (outside) 1 interfaceCiscoASA(config)# global (dmz) 1 interface5、定义静态IP映射（也称一对一映射）CiscoASA(config)# static (inside,outside) tcp www www netmask 55#实现从outside区访问inside区的80端口时，就直接访问:80 对outside区的映射:80CiscoASA(config)# static (dmz,outside) tcp pop3 pop3 netmask 55#实现从outside区访问dmz区的110时，就直接访问:110 对outside区的映射:110（计算机学校/）CiscoASA(config)# static (dmz,outside) tcp smtp smtp netmask 55#实现从outside区访问dmz区的25时，就直接访问:25 对outside区的映射:256、定义access-list?CiscoASA(config)# access-list 101 extended permit ip any anyCiscoASA(config)# access-list 101 extended permit icmp any anyCiscoASA(config)# access-list 102 extended permit tcp any host eq wwwCiscoASA(config)# access-list 102 extended permit icmp any anyCiscoASA(config)# access-list 103 extended permit tcp any host eq pop3CiscoASA(