配置ASA防火墙.docVIP

配置ASA防火墙（上） 如今网络安全日益重要，网络面临的威胁也越来越大，来自企业网内部和外部的网络攻击可能为企业带来严重的损失，问题产生时我们该如何解决？ 防火墙是我们的首选考虑。思科防火墙在业界一直享有盛名，它集高安全性和高可扩展性于一身，能够对病毒、垃圾邮件、非授权访问等进行实时监控，企业用户的理想选择。前期在讲授网络高级课程安全模块时，防火墙技术主要是以讲解理论为主，配合ASA模拟器介绍常用命令的用法。没有把ASA放在一个具体的生产环境中来研究它是如何工作的，最近研究了一下VMware和QEMU,发现完全可以把二者结合起来，这样基于ASA的实验就更加完整了。同时，对于那些技术爱好者来说，也是不错的选择。于是我整理了一下文档，以一个企业常见拓扑为例来介绍ASA的典型配置。 文档分2部分： 第一部分：搭建VMware+ASA环境 第二部分：配置ASA企业应用 实验拓扑： 本实验共需要4台虚拟机： 虚拟机 系统 角色 说明 ASA XP或2003 安装ASA模拟器 安装3块网卡，设置不同的VMnet 外网机器 2003 模拟公网服务器（www+dns+mms） www服务器(虚拟主机)：和 dns新建和区域 内网机器 2003或XP IE浏览器 无需额外配置 DMZ机器 2003 www服务器 建立公司门户网站 step1:开启ASA虚拟机 配置3块网卡，我们对其重命名为DMZ,，分别设置网卡类型在vmnet2,vmnet3,vmnet4网段。 step2：安装ASA模拟器 打开ASA模拟器安装包， （1）先安装WinPcap_4_0.exe； （2）将asa文件夹拷贝到C:\下； （3）如果电脑内没有安装超级终端，请首先安装该组件； （4）打开文件夹“C:\asa\asaemu”，在该文件夹下双击“1.创建Disk.cmd”； （5）接着双击“2.获取网卡参数.bat”，然后按任意键以获取网卡参数； 说明：我们此时会看到3个网卡参数，我们无法判断哪个网卡是对应哪个参数。建议先关闭2块网卡，将剩余这块标记，同理，再操作2遍。 （6）选择“3.ASA802.bat”，右键选择“编辑”，然后替换文件内{}处的网卡参数，保存后退出即可。此处要替换3个网卡参数，也可以写序号。 （7）双击“3.ASA802.bat”，会有两个类似ms-dos的窗口出现，请不要关闭这两个窗口 （8）使用超级终端连接该防火墙（选择TCP/IP方式，IP地址是，端口为1007），请确保出现#符号，否则没有连接上 （9）然后在超级终端窗口中选择“传送”——“发送文本文件”——选择文本文件“firststart.txt”。按确定键执行该文件。第一次安装该软件时需要执行该步骤，以后使用中不需要 （10）在超级终端窗口中选择“传送”——“发送文本文件”——选择文本文件“everystart.txt”。按确定键执行该文件。 至此，观察终端输出，出现下图即可 step3、再开启其余3台虚拟机并配置好相应地址 OUT(外部主机) DMZ（DMZ区域服务器） IN（内网客户端） step4、接下来配置ASA上3块网卡e0/0(outside), e0/1(DMZ) , e0/2(inside)接口地址，并测试直连网络能否通信。 查看接口IP情况 测试一下直连网段连通情况 好，结果显示一切OK! 至此实验环境已搭建完毕。接下来就是结合一个应用案例来看如何配置ASA。 敬请期待！  第二部分：配置ASA企业应用 拓扑如下： 需求： 1）内网客户端正常访问外网和DMZ区域 外网有2个网站：和 DNS上有 和 和三个区域 2）外网用户正常访问DMZ区域的web server（） 3）禁止内用用户访问名称包含关键字game的URL 分析： 1、初始化配置 2、接口参数配置 3、配置远程管理接入 4、配置ASA静态路由 5、配置网络地址转换NAT 6、配置ACL实现内网正常访问外网 7、发布DMZ区域web服务器 8、配置URL过滤 9、其它配置 实验过程如下： 1、初始化配置 2、接口参数配置 3、配置远程管理接入 可以在外部主机上用PUtty测试，结果如下： 4、配置ASA静态路由 route outside 0 0 -------------------------//配置缺省路由 sh route -------------------------//查看路由表 5、配置网络地址转换NAT 内网和DMZ区域都是私有地址，我们考虑做PAT,允许内部用户可以访问外部和DMZ. sh xlate 是查看地址转换情况。 6、配置ACL实现内网正常访问外网 防火墙默认规则是拒绝所有，因此我们要内网访问外网及DMZ需在ASA上做策略允许才行。 这里我们开启WWW（