Cisco-ASA-5500防火墙个人基本配置手册-去水印.pdfVIP

Cisco ASA 5500 不同安全级别区域实现互访实验 一、 网络拓扑 二、 实验环境 ASA 防火墙 eth0 接口定义为 outside 区，Security-Level:0，接Router F0/0 ；ASA 防火墙 eth1 接口定 义为 insdie 区，Security-Level:100，接 Switch 的上联口；ASA 防火墙 Eth2 接口定义为 DMZ 区， Security-Level:60，接Mail Server 。 三、 实验目的 实现 inside 区域能够访问 outside，即 Switch 能够 ping 通 Router 的 F0/0 （ ）；dmz 区能 够访问 outside，即Mail Server 能够 ping 通 Router 的F0/0 （ ）； outside 能够访问 insdie 区的 Web Server 的http 端口(80)和 dmz 区的 Mail Server 的pop3 端口（110）、 smtp 端口（25 ）. 四、 详细配置步骤 1、端口配置 CiscoASA(config)# interface ethernet 0 CiscoASA(config)#nameif ouside CiscoASA(config-if)# security-level 0 CiscoASA(config-if)# ip address CiscoASA(config-if)# no shut CiscoASA(config)# interface ethernet 1 CiscoASA(config)#nameif inside CiscoASA(config-if)# security-level 100 CiscoASA(config-if)# ip address CiscoASA(config-if)# no shut CiscoASA(config)# interface ethernet 2 CiscoASA(config)#nameif dmz CiscoASA(config-if)# security-level 50 CiscoASA(config-if)# ip address CiscoASA(config-if)# no shut 2、路由配置 CiscoASA(config)# route outside 1 #默认路由 CiscoASA(config)# route inside 1 #外网访问内网服务器的路由 3 、定义高安全接口区域需要进行地址转换的IP范围 CiscoASA(config)# nat (inside) 1 0 0 CiscoASA(config)# nat (dmz) 1 0 0 4、定义低安全接口区域用于高安全接口区域进行IP转换的地址范围 CiscoASA(config)# global (outside) 1 interface CiscoASA(config)# global (dmz) 1 interface 5、定义静态IP映射（也称一对一映射） CiscoASA(config)# static (inside,outside) tcp www www netmask 55 #实现从 outside 区访问 inside 区 的 80 端口时，就直接访问 :80 对 outside 区的映射 :80 CiscoASA(config)# static (dmz,outside) tcp pop3 pop3 netmask 55 #实现从 outside 区访问 dmz 区 的 110 时，就直接访问 :110 对 outside 区的映射 :110 CiscoASA(config)# static (dmz,outside) tcp smtp smtp netmask 55 #实现从 outside 区访问 dmz 区 的 25 时，就直接访问 :25 对 outside 区的映射 :25 6、定义 access-list CiscoASA(config)# access-list 101 extended permit ip any any CiscoASA(config)# access-list 101 extended p