ASA5505配置手册.docVIP

ASA 5505 配置手册 1. 初始配置 ciscoasa enable 从进入用户模式进入特权模式 ciscoasa# configure terminal 从特权模式进入全局配置模式 ciscoasa(config)# hostname AYKJ-FW 更改防火墙名称 AYKJ-FW(config)# passwd aykj 配置远程登录密码 AYKJ-FW(config)# enable password aykj 配置enable密码 2. 端口配置 AYKJ-FW(config)# interface Vlan2 创建SVI口，ASA5505必须通过SVI口配置地址 AYKJ-FW(config)# nameif outside 定义为outside口，即连接外网接口 AYKJ-FW(config)# security-level 0 定义安全级别 ，范围0~100，其中inside、outside口安全级别为系统自动定义和生成 AYKJ-FW(config)# ip address 8 52 配置运营商分配公网地址 AYKJ-FW(config)# interface Vlan3 AYKJ-FW(config)# nameif inside 定义为inside口，即连接内网接口 AYKJ-FW(config)# security-level 100 inside口默认安全级别100 AYKJ-FW(config)# ip address 配置内网口地址 3. 管理配置 AYKJ-FW(config)# telnet inside 允许内网所有地址通过telnet登录防火墙 AYKJ-FW(config)# ssh outside 允许外网所有地址通过ssh登录防火墙 AYKJ-FW(config)# ssh version 1 使用ssh版本1 AYKJ-FW(config)# http server enable 开启web页面，即开启asdm，与传统的如ASA5520等有专门管理口的防火墙不同，ASA5505只要启用服务，并应用到端口，那么只要网络通畅就可以通过asdm管理，更加灵活 AYKJ-FW(config)# http inside AYKJ-FW(config)# http outside 这两条命令意味着所有只要能够访问防火墙的地址均可以通过asdm管理防火墙 4. 路由配置 AYKJ-FW(config)# route outside 7 配置上网默认路由，下一条为运营商分配的网关 AYKJ-FW(config)# route inside [内网网段] [掩码] [防火墙内网口] 配置内网路由，由于本次内网与防火墙在一个地址段，所以不需要 5. NAT配置 5.1 动态NAT配置 AYKJ-FW(config)# global (outside) 1 interface 将outside接口设置为NAT的外网接口 AYKJ-FW(config)# nat (inside) 1 允许内网网段通过NAT访问互联网 5.2 静态NAT映射 AYKJ-FW(config)# access-list perout extended permit tcp any host 8 eq www 首先在防火墙外网口开放需要做映射的端口 AYKJ-FW(config)# access-group perout in interface outside 在外网口启用该ACL AYKJ-FW(config)# static (inside,outside) tcp interface www 50 www netmask 55 将内网服务器的端口映射到外网 AYKJ-FW(config)# global (inside) 1 interface AYKJ-FW(config)# static (inside,inside) tcp 8 www 50 www netmask 55 以上两条命令的作用是当内网用户通过外网地址去访问内网服务器时，直接映射到内网，如果不做则内网用户不能通过外网地址访问内网服务器 6. VPN配置 6.1 VPN基础配置 AYKJ-FW(config)# ip local pool vpn 10-20 mask 创建vpn地址池，地址池应与本地网段不在同一个段 AYKJ-FW(config)# access-list inside_nat0_outbound extended permit ip 定义vpn流量与内网流量的互访 AYKJ-FW(config)# nat (inside) 0 access-list inside_nat0_outbound