补充资料第4章ASA安全环境(SecurityContext)V1.0.docVIP

安全环境（Security Context） 1、安全环境概述 ASA从7.0版本开始支持虚拟防火墙，也称为单一设备内的安全环境。多环境与含有多个独立设备相似，每个环境具有自己的一套安全策略（NAT、ACL、路由等）。多环境模式几乎支持在独立设备上可配置的所有选项，但不支持某些特性，如VPN、动态路由选择协议等。 ASA 5505不支持多环境，5510及以上型号才支持多环境，但仅免费提供2个环境。 ASA默认处于单模式，要使用多环境需要切换到多模式。 （1）系统执行空间 当切换到多模式时，就进入了系统执行空间。系统执行空间用来进行一些全局性的配置，例如接口的物理特性、配置TRUNK、限制资源使用、创建环境等。 （2）环境特性 每个环境需要有一个名字、接口分配、配置文件用于存储配置和环境自身的配置。ASA会自动创建一个环境，叫做admin context，用于管理特性。 2 安全环境的配置 (1)切换到多模式 ciscoasa(config)# mode multiple WARNING: This command will change the behavior of the device WARNING: This command will initiate a Reboot Proceed with change mode? [confirm] ENTER Convert the system configuration? [confirm] ENTER The old running configuration file will be written to disk0 The admin context configuration will be written to disk0 The new running configuration file was written to disk0 Security context mode: multiple ……………………………………………………. 切换到多模式后ASA需要重新启动。 重新启动后的默认配置如下。 ciscoasa# show run : Saved : ASA Version 8.0(2) system hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted no mac-address auto interface Ethernet0/0 shutdown interface Ethernet0/1 shutdown interface Ethernet0/2 shutdown interface Ethernet0/3 shutdown interface Management0/0 shutdown class default limit-resource All 0 limit-resource ASDM 5 limit-resource SSH 5 limit-resource Telnet 5 ftp mode passive pager lines 24 no failover asdm image disk0:/asdm-602.bin no asdm history enable arp timeout 14400 console timeout 0 admin-context admin context admin config-url disk0:/admin.cfg prompt hostname context Cryptochecksum:410be16e875b7302990a831a5d91aefd : end 查看当前的模式 ciscoasa# show mode Security context mode: multiple (2)系统执行空间的配置 1）配置接口 接口是物理接口或子接口。从6.3版本开始支持TRUNK，但只支持802.1q封装。ASA 5510及以上型号配置TRUNK是通过子接口来实现的，ASA 5505不支持子接口。 配置示例 ciscoasa(config)# interface ethernet0/1 ciscoasa(config-subif)# no shutdown ciscoasa(config)# interface ethernet0/1.10 ciscoasa(config-subif)# vlan 10 ciscoasa(config)# interface ethernet0/1.20 ciscoasa(config-subif)# vlan 20 2）共享接口的MAC地址 多环境可以共享同