思科5505配置详解.docVIP

Cisco?ASA?5505配置详解 ?(2011-06-10 09:46:21) 标签：? it 分类：?IT 在配ASA 5505时用到的命令2009-11-22 22:49nat-control命令在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。7.0以后开始 nat-control 是默认关闭的，关闭的时候允许没有配置NAT规则的前提下和外部主机通信，相当于路由器一样，启用NAT开关后内外网就必须通过NAT转换才能通信1、定义外口interface Ethernet0/0 进入端口nameif outside 定义端口为外口security-level 0 定义安全等级为0no shut 激活端口ip address ×.×.×.× 48 设置IP2、定义内口interface Ethernet0/1nameif inside 定义端口为内security-level 100 定义端口安去昂等级为100no shutip address 3、定义内部NAT范围。nat (inside) 1 任何IP都可以NAT，可以自由设置范围。4、定义外网地址池global (outside) 1 0-4 netmask 40或global (outside) 1 interface 当ISP只分配给一个IP是，直接使用分配给外口的IP地址。5、设置默认路由route outside 0 0 4 指定下一条为IPS指定的网关地址查看NAT转换情况show xlate 一：6个基本命令： nameif、 interface、 ip address 、nat、 global、 route。二：基本配置步骤：step1: 命名接口名字nameif ethernet0 outside security0nameif ethernet1 inside security100nameif ethernet2 dmz security50＊＊7版本的配置是先进入接口再命名。step2：配置接口速率interface ethernet0 10full autointerface ethernet1 10full autointerface ethernet2 10full step3：配置接口地址ip address outside 2ip address inside ip address dmz step4：地址转换（必须）* 安全高的区域访问安全低的区域（即内部到外部）需NAT和global;nat(inside) 1 global(outside) 1 93 48＊＊＊ nat (inside) 0 55 表示这个地址不需要转换。直接转发出去。* 如果内部有服务器需要映射到公网地址(外网访问内网)则需要static和conduit或者acl.static (inside, outside) 94 40static (inside, outside) 94 40 10000 10后面的10000为限制连接数，10为限制的半开连接数。conduit permit tcp host 94 eq www anyconduit permit icmp any any (这个命令在做测试期间可以配置，测试完之后要关掉，防止不必要的漏洞)ACL实现的功能和conduit一样都可实现策略访问，只是ACL稍微麻烦点。conduit现在在7版本已经不能用了。Access-list 101 permit tcp any host 94 eq wwwAccess-group 101 in interface outside (绑定到接口)＊＊＊允许任何地址到主机地址为94的www的tcp访问。Step5：路由定义：Route outside 0 0 93 1Route inside 1＊＊如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。Step6：基础配置完成，保存配置。Write memory write erase 清空配置reload 要想配置思科的防火墙得先了解这些命令：常用命令有：nameif、interface、ip address、nat、global、route、static等。global指定公网地址范围：定义地