cisco-asa-防火墙基础培训.pptVIP

台州职业技术学院计算机系 Cisco ASA 防火墙基础 ASA的基本配置一般包括： 配置主机名、域名和密码 配置接口 配置路由 配置远程管理接入 为出站流量配置网络地址转换 配置接口 配置接口 为出站流量配置网络地址转换 asa#conf t　　asa(config)# hostname asa //设置主机名　　asa(config)#enable password cisco //设置密码　　配置外网的接口，名字是outside，安全级别0，输入ISP给您提供的地址就行了。　　asa(config)#interface GigabitEthernet0/0　　asa(config-if)#nameif outside //名字是outside　　asa(config-if)#securit-level 0 //安全级别0　　asa(config-if)#ip address *.*.*.* //配置公网IP地址　　asa(config-if)#duplex full　　asa(config-if)#　　asa(config-if)#no shutdown 配置内网的接口，名字是inside，安全级别100　　asa(config)#interface GigabitEthernet0/1　　asa(config-if)#nameif inside　　asa(config-if)#securit-level 100　　asa(config-if)#duplex full　　asa(config-if)#speed 100　　asa(config-if)#no shutdown 配置DMZ的接口,名字是dmz，安全级别50asa(config)#interface GigabitEthernet0/2asa(config-if)#nameif dmzasa(config-if)#securit-level 50asa(config-if)#duplex fullasa(config-if)#asa(config)#no shutdown 　网络部分设置asa(config)#nat(inside) 1 asa(config)#global(outside) 1 93 48asa(config)#nat (inside) 0 55 //表示这个地址不需要转换。直接转发出去。asa(config)#global (outside) 1 -4 //定义的地址池asa(config)#nat (inside) 1 0 0 //0 0表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围 配置静态路由asa(config)#route outside 0 0 //设置默认路由 为下一跳 如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。asa(config)#Route inside 1 地址转换asa(config)#static (dmz，outside) 01 ;静态NAT asa(config)#static (dmz，outside) 02 ;静态NAT asa(config)#static (inside，dmz) 00 00 ;静态NAT 如果内部有服务器需要映射到公网地址(外网访问内网)则需要static asa(config)#static (inside, outside) 94 40 asa(config)#static (inside, outside) 94 40 10000 10 //后面的10000为限制连接数，10为限制的半开连接数 ACL实现策略访问 asa(config)#access-list 101 permit ip any host eq www;设置ACL asa(config)#access-list 101 permit ip any host eq ftp;设置ACL asa(config)#access-list 101 deny ip any any ;设置ACL asa(config)#access-group 101 in interface outside ;将ACL应用在outside端口当内部主机访问外部主机时，通过nat转换成公网IP，访问internet。当内部主机访问中间区域dmz时，将自己映射成自己访问服务器，否则内部主机将会映射成地址池的IP，到外部去找。当外部主机访问中间区域dmz时，对映射成01，static是双向的。PIX的所有端口默认是关闭的，进入PIX要经过acl入口过滤。静态路由指示内