ASA5505配置文档及其指令说明.docVIP

ASA5505配置文档及其指令说明 nat-control命令 在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。7.0以后开始 nat-control 是默认关闭的，关闭的时候允许没有配置NAT规则的前提下和外部主机通信，相当于路由器一样，启用NAT开关后内外网就必须通过NAT转换才能通信 1、定义外口 interface Ethernet0/0 进入端口 nameif outside 定义端口为外口 security-level 0 定义安全等级为0 no shut 激活端口 ip address ×.×.×.× 48 设置IP 2、定义内口 interface Ethernet0/1 nameif inside 定义端口为内 security-level 100 定义端口安去昂等级为100 no shut ip address 3、定义内部NAT范围。 nat (inside) 1 任何IP都可以NAT，可以自由设置范围。 4、定义外网地址池 global (outside) 1 0-4 netmask 40 或 global (outside) 1 interface 当ISP只分配给一个IP是，直接使用分配给外口的IP地址。 5、设置默认路由 route outside 0 0 4 指定下一条为IPS指定的网关地址 查看NAT转换情况 show xlate 一：6个基本命令： nameif、 interface、 ip address 、nat、 global、 route。 二：基本配置步骤： step1: 命名接口名字 nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 dmz security50 ＊＊7版本的配置是先进入接口再命名。 step2：配置接口速率 interface ethernet0 10full auto interface ethernet1 10full auto interface ethernet2 10full step3：配置接口地址 ip address outside 2 ip address inside ip address dmz step4：地址转换（必须） * 安全高的区域访问安全低的区域（即内部到外部）需NAT和global; nat(inside) 1 global(outside) 1 93 48 ＊＊＊ nat (inside) 0 55 表示这个地址不需要转换。直接转发出去。 * 如果内部有服务器需要映射到公网地址(外网访问内网)则需要static和conduit或者acl. static (inside, outside) 94 40 static (inside, outside) 94 40 10000 10 后面的10000为限制连接数，10为限制的半开连接数。 conduit permit tcp host 94 eq www any conduit permit icmp any any (这个命令在做测试期间可以配置，测试完之后要关掉，防止不必要的漏洞) ACL实现的功能和conduit一样都可实现策略访问，只是ACL稍微麻烦点。conduit现在在7版本已经不能用了。 Access-list 101 permit tcp any host 94 eq www Access-group 101 in interface outside (绑定到接口) ＊＊＊允许任何地址到主机地址为94的www的tcp访问。 Step5：路由定义： Route outside 0 0 93 1 Route inside 1 ＊＊如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。 Step6：基础配置完成，保存配置。 Write memory write erase 清空配置 reload 要想配置思科的防火墙得先了解这些命令： 常用命令有：nameif、interface、ip address、nat、global、route、static等。 global 指定公网地址范围：定义地址池。 Global命令