ASA防火墙疑难杂症与CiscoASA5520防火墙配置教材.docVIP

ASA防火墙疑难杂症解答 ASA防火墙疑难杂症解答 1...............................内部网络不能ping通internet 2........................内部网络不能使用pptp拨入vpn服务器 3....................内部网络不能通过被动Mode访问ftp服务器 4.................................内部网络不能进行ipsec NAT 5...................................内网不能访问DMZ区服务器 6................................内网用户不能ping web服务器 1. 内部网络不能ping通internet 对于ASA5510，只要策略允许，则是可以Ping通的，对于ASA550，部分IOS可以ping，如果所以流量都允许还是不能Ping的话，则需要做inspect，对icmp协议进行检查即可 2. 内部网络不能使用pptp拨入vpn服务器 因pptp需要连接TCP 1723端口，同时还需要GRE协议，如果防火墙是linux的Iptables，则需要加载： modprobe ip_nat_pptp modprobe ip_conntrack_proto_gre 如果防火墙是ASA，则需要inspect pptp。 3. 内部网络不能通过被动Mode访问ftp服务器 同样需要inspect ftp，有些还需要检查相关参数 policy-map type inspect ftp ftpaccess parameters match request-command appe cdup help get rnfr rnto put stou site dele mkd rmd 4. 内部网络不能进行ipsec NAT 这种情况不多用，如查进行ipsect ：IPSec Pass Through 5. 内网不能访问DMZ区服务器 增加NAT规则，即DMZ到内网的规则 6. 内网用户不能ping web服务器 如果内网中有一台web服务器，且已经配置了NAT，使用internet用户可以通过外部IP访问这台web服务器。这时如果内网中的机器不能ping这台web服务器，则在配置NAT时，进行DNS rewrite即可，如果故障依然，可以试着关闭arp代理。 7. 待续 Cisco ASA5520防火墙配置 前言 主要从防火墙穿越的角度，描述防火墙的配置 对系列防火墙配置具有参考意义 内容 防火墙与NAT介绍 基本介绍 基本配置 高级配置 其它 案例 防火墙与NAT介绍 防火墙 门卫 过道 区别 两者可以分别使用 有个人防火墙 有服务 一般防火墙产品，同时带有 基本介绍 配置连接 工作模式 常用命令 介绍 配置连接 初次连接 使用超级终端登陆口 的波特率设置为 Telnet连接 默认不打开，在使用配置后，可以选择开启 开启命令： 连接命令： ASA5520默认不允许外网开启比较麻烦 连接 图形界面配置方式 连接 工作模式 普通模式 连接上去后模式 进入普通模式需要有普通模式密码 进入特权模式，需要特权密码 特权模式 进入配置模式 配置模式 模式转换 或者退出当前模式，到前一模式 也适用于嵌套配置下退出当前配置 常用命令 命令支持缩写，只要前写到与其它命令不同的地方即可 Tab键盘补全命令 ？获取帮助 取消配置 命令取消以前的配置 取消一组配置，具体请查看帮助 查看配置 show run [all] , write terminal Show xlat Show run nat Show run global 保存配置 ASA5520介绍 硬件配置： 1个口，一个口，个千兆网口 支持并发：280000个 支持VPN个数：150 支持双机热备、负载均衡 可以通过查看硬件信息 基本配置 接口配置 配置 访问控制 接口配置 四个以太网口 、、、 进入接口配置 配置 ip address ip_address [netmask] ip address ip_addressdhcp 打开端口 配置安全级别 数据从安全级别高的流向底的，不能倒流 倒流需要保安允许 所以外网一般配置为，内网为 配置别名 供其它命令引用 NAT NAT (Network Address Translate) NAT类型与防火墙穿越提到的类型不相关） PAT Static NAT Static PAT Identity NAT NAT exemption Policy NAT 地址表超时 NAT配置 普通 Dynamic NAT P