设为首页 双色球直播

双色球规律公式算法: 双色球直播

查看: 462|回复: 1
打印 上一主题 下一主题

[经验分享] Cisco ASA 5505配置详解

[复制链接]

尚未签到

跳转到指定楼层
1#
发表于 2018-7-17 14:13:21 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
  在配ASA 5505时用到的命令
  2009-11-22 22:49
  nat-control命令
  在6.3的时候只要是穿越防火墙都需要创建转换项,比如:nat;static等等,没有转换项是不能穿越防火墙的,但是到了7.0这个规则有了变化,不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了!当你打上nat-control这个命令的时候,这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。7.0以后开始 nat-control 是默认关闭的,关闭的时候允许没有配置NAT规则的前提下和外部主机通信,相当于路由器一样,启用NAT开关后内外网就必须通过NAT转换才能通信
  1、定义外口
  interface Ethernet0/0 进入端口
  nameif outside 定义端口为外口
  security-level 0 定义安全等级为0
  no shut 激活端口
  ip address ×.×.×.× 255.255.255.248 设置IP
  2、定义内口
  interface Ethernet0/1
  nameif inside 定义端口为内
  security-level 100 定义端口安去昂等级为100
  no shut
  ip address 192.168.1.1 255.255.255.0
  3、定义内部NAT范围。
  nat (inside) 1 0.0.0.0 0.0.0.0 任何IP都可以NAT,可以自由设置范围。
  4、定义外网地址池
  global (outside) 1 10.21.67.10-10.21.67.14 netmask 255.255.255.240
  或
  global (outside) 1 interface 当ISP只分配给一个IP是,直接使用分配给外口的IP地址。
  5、设置默认路由
  route outside 0 0 218.17.148.14 指定下一条为IPS指定的网关地址
  查看NAT转换情况
  show xlate
  ---------------------------------------------------
  一:6个基本命令: nameif、 interface、 ip address 、nat、 global、 route。
  二:基本配置步骤:
  step1: 命名接口名字
  nameif ethernet0 outside security0
  nameif ethernet1 inside security100
  nameif ethernet2 dmz security50
 ?。?版本的配置是先进入接口再命名。
  step2:配置接口速率
  interface ethernet0 10full auto
  interface ethernet1 10full auto
  interface ethernet2 10full
  step3:配置接口地址
  ip address outside 218.106.185.82
  ip address inside 192.168.100.1 255.255.255.0
  ip address dmz 192.168.200.1 255.255.255.0
  step4:地址转换(必须)
  * 安全高的区域访问安全低的区域(即内部到外部)需NAT和global;
  nat(inside) 1 192.168.1.1 255.255.255.0
  global(outside) 1 222.240.254.193 255.255.255.248
 ?。?nat (inside) 0 192.168.1.1 255.255.255.255 表示192.168.1.1这个地址不需要转换。直接转发出去。
  * 如果内部有服务器需要映射到公网地址(外网访问内网)则需要static和conduit或者acl.
  static (inside, outside) 222.240.254.194 192.168.1.240
  static (inside, outside) 222.240.254.194 192.168.1.240 10000 10
  后面的10000为限制连接数,10为限制的半开连接数。
  conduit permit tcp host 222.240.254.194 eq www any
  conduit permit icmp any any (这个命令在做测试期间可以配置,测试完之后要关掉,防止不必要的漏洞)
  ACL实现的功能和conduit一样都可实现策略访问,只是ACL稍微麻烦点。conduit现在在7版本已经不能用了。
  Access-list 101 permit tcp any host 222.240.254.194 eq www
  Access-group 101 in interface outside (绑定到接口)
 ?。市砣魏蔚刂返街骰刂肺?22.240.254.194的www的tcp访问。
  Step5:路由定义:
  Route outside 0 0 222.240.254.193 1
  Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
 ?。绻诓客尾皇侵苯咏釉诜阑鹎侥诳?,则需要配置到内部的路由。
  Step6:基础配置完成,保存配置。
  Write memory write erase 清空配置
  reload
  ---------------------------------------------------
  要想配置思科的防火墙得先了解这些命令:
  常用命令有:nameif、interface、ip address、nat、global、route、static等。
  global
  指定公网地址范围:定义地址池。
  Global命令的配置语法:
  global (if_name) nat_id ip_address-ip_address [netmark global_mask]
  其中:
  (if_name):表示外网接口名称,一般为outside。
  nat_id:建立的地址池标识(nat要引用)。
  ip_address-ip_address:表示一段ip地址范围。
  [netmark global_mask]:表示全局ip地址的网络掩码。
  nat
  地址转换命令,将内网的私有ip转换为外网公网ip。
  nat命令配置语法:nat (if_name) nat_id local_ip [netmark]
  其中:
  (if_name):表示接口名称,一般为inside.
  nat_id: 表示地址池,由global命令定义。
  local_ip:表示内网的ip地址。对于0.0.0.0表示内网所有主机。
  [netmark]:表示内网ip地址的子网掩码。
  route
  route命令定义静态路由。
  语法:
  route (if_name) 0 0 gateway_ip [metric]
  其中:
  (if_name):表示接口名称。
  0 0 :表示所有主机
  Gateway_ip:表示网关路由器的ip地址或下一跳。
  [metric]:路由花费。缺省值是1。
  static
  配置静态IP地址翻译,使内部地址与外部地址一一对应。
  语法:
  static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address
  其中:
  internal_if_name表示内部网络接口,安全级别较高,如inside。
  external_if_name表示外部网络接口,安全级别较低,如outside。
  outside_ip_address表示外部网络的公有ip地址。
  inside_ ip_address表示内部网络的本地ip地址。
  (括号内序顺是先内后外,外边的顺序是先外后内)
  例如:
  asa(config)#static (inside,outside) 133.0.0.1 192.168.0.8
  表示内部ip地址192.168.0.8,访问外部时被翻译成133.0.0.1全局地址
  **************************************************************************
  asa#conf t
  asa(config)# hostname asa //设置主机名
  asa(config)#enable password cisco //设置密码
  配置外网的接口,名字是outside,安全级别0,输入ISP给您提供的地址就行了。
  asa(config)#interface GigabitEthernet0/0
  asa(config)#nameif outside // 名字是outside
  asa(config)#securit-level 0 // 安全级别0
  asa(config)#ip address *.*.*.* 255.255.255.0 // 配置公网IP地址
  asa(config)#duplex full
  asa(config)#
  asa(config)#no shutdown
  配置内网的接口,名字是inside,安全级别 100
  asa(config)#interface GigabitEthernet0/1
  asa(config)#nameif inside
  asa(config)#securit-level 100
  asa(config)#duplex full
  asa(config)#speed 100
  asa(config)#no shutdown
  配置DMZ的接口,名字是dmz,安全级别50
  asa(config)#interface GigabitEthernet0/2
  asa(config)#nameif dmz
  asa(config)#securit-level 50
  asa(config)#duplex full
  asa(config)#
  asa(config)#no shutdown
  网络部分设置
  asa(config)#nat(inside) 1 192.168.1.1 255.255.255.0
  asa(config)#global(outside) 1 222.240.254.193 255.255.255.248
  asa(config)#nat (inside) 0 192.168.1.1 255.255.255.255 // 表示192.168.1.1这个地址不需要转换。直接转发出去。
  asa(config)#global (outside) 1 133.1.0.1-133.1.0.14 //定义的地址池
  asa(config)#nat (inside) 1 0 0 //0 0表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围
  配置静态路由
  asa(config)#route outside 0 0 133.0.0.2 // 设置默认路由 133.0.0.2为下一跳
  如果内部网段不是直接接在防火墙内口,则需要配置到内部的路由。
  asa(config)#Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
  地址转换
  asa(config)#static (dmz,outside) 133.1.0.1 10.65.1.101 ; 静态NAT
  asa(config)#static (dmz,outside) 133.1.0.2 10.65.1.102 ; 静态NAT
  asa(config)#static (inside,dmz) 10.66.1.200 10.66.1.200 ; 静态NAT
  如果内部有服务器需要映射到公网地址(外网访问内网)则需要static
  asa(config)#static (inside, outside) 222.240.254.194 192.168.1.240
  asa(config)#static (inside, outside) 222.240.254.194 192.168.1.240 10000 10 //后面的10000为限制连接数,10为限制的半开连接数
  ACL实现策略访问
  asa(config)#access-list 101 permit ip any host 133.1.0.1 eq www;设置ACL
  asa(config)#access-list 101 permit ip any host 133.1.0.2 eq ftp;设置ACL
  asa(config)#access-list 101 deny ip any any ; 设置ACL
  asa(config)#access-group 101 in interface outside ; 将ACL应用在outside端口
  当内部主机访问外部主机时,通过nat转换成公网IP,访问internet。
  当内部主机访问中间区域dmz时,将自己映射成自己访问服务器,否则内部主机将会映射成地址池的IP,到外部去找。
  当外部主机访问中间区域dmz时,对133.0.0.1映射成 10.65.1.101,static是双向的。
  PIX的所有端口默认是关闭的,进入PIX要经过acl入口过滤。
  静态路由指示内部的主机和dmz的数据包从outside口出去。
  -----------------------------------------------
  例子:
  sh run
  : Saved
  :
  ASA Version 8.0(2)
  !
  hostname ciscoasa
  enable password 2KFQnbNIdI.2KYOU encrypted
  names
  !
  interface Vlan1
  nameif inside
  security-level 100
  ip address 10.115.25.1 255.255.255.0
  !
  interface Vlan2
  nameif outside
  security-level 0
  ip address 124.254.4.78 255.255.255.248
  !
  interface Ethernet0/0
  switchport access vlan 2
  !
  interface Ethernet0/1
  !
  interface Ethernet0/2
  !
  interface Ethernet0/3
  !
  interface Ethernet0/4
  !
  interface Ethernet0/5
  !
  interface Ethernet0/6
  !
  interface Ethernet0/7
  !
  passwd 2KFQnbNIdI.2KYOU encrypted
  ftp mode passive
  dns domain-lookup inside
  dns domain-lookup outside
  access-list 100 extended permit icmp any any
  access-list 100 extended permit tcp any host 124.254.4.78 eq www
  access-list 100 extended permit tcp any host 124.254.4.78 eq smtp
  access-list 100 extended permit tcp any host 124.254.4.78 eq pop3
  access-list 100 extended permit tcp any host 124.254.4.78 eq ftp
  access-list 100 extended permit tcp any host 124.254.4.78 eq ssh
  access-list 100 extended permit tcp any host 124.254.4.78 eq pcanywhere-data
  access-list 100 extended permit udp any host 124.254.4.78 eq pcanywhere-status
  access-list 100 extended permit tcp any host 124.254.4.78 eq 8086
  access-list 100 extended permit tcp any host 124.254.4.78 eq 3389
  access-list 100 extended permit tcp any host 124.254.4.78 eq 2401
  access-list 100 extended permit ip any any
  access-list 100 extended permit ip any host 124.254.4.78
  pager lines 24
  mtu inside 1500
  mtu outside 1500
  icmp unreachable rate-limit 1 burst-size 1
  no asdm history enable
  arp timeout 14400
  global (outside) 1 interface
  nat (inside) 1 0.0.0.0 0.0.0.0
  static (inside,outside) tcp 124.254.4.78 www 10.115.25.2 www netmask 255.255.255.255
  static (inside,outside) tcp 124.254.4.78 ftp 10.115.25.2 ftp netmask 255.255.255.255
  static (inside,outside) tcp 124.254.4.78 smtp 10.115.25.2 smtp netmask 255.255.255.255
  static (inside,outside) tcp 124.254.4.78 pop3 10.115.25.2 pop3 netmask 255.255.255.255
  static (inside,outside) tcp 124.254.4.78 3389 10.115.25.2 3389 netmask 255.255.255.255
  static (inside,outside) tcp 124.254.4.78 8086 10.115.25.2 8086 netmask 255.255.255.255
  static (inside,outside) 124.254.4.78 10.115.25.2 netmask 255.255.255.255
  access-group 100 in interface outside
  route outside 0.0.0.0 0.0.0.0 124.254.4.73 1
  timeout xlate 3:00:00
  timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
  timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
  timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
  timeout uauth 0:05:00 absolute
  dynamic-access-policy-record DfltAccessPolicy
  no snmp-server location
  no snmp-server contact
  snmp-server enable traps snmp authentication linkup linkdown coldstart
  no crypto isakmp nat-traversal
  telnet 10.115.25.0 255.255.255.0 inside
  telnet timeout 5
  ssh timeout 5
  console timeout 0
  threat-detection basic-threat
  threat-detection statistics access-list
  !
  class-map inspection_default
  match default-inspection-traffic
  !
  !
  policy-map type inspect dns preset_dns_map
  parameters
  message-length maximum 512
  policy-map global_policy
  class inspection_default
  inspect dns preset_dns_map
  inspect ftp
  inspect h323 h225
  inspect h323 ras
  inspect netbios
  inspect rsh
  inspect rtsp
  inspect skinny
  inspect esmtp
  inspect sqlnet
  inspect sunrpc
  inspect tftp
  inspect sip
  inspect xdmcp
  inspect http
  !
  service-policy global_policy global
  prompt hostname context
  Cryptochecksum:deca4473c55485d04a622b1b9fca73d8
  : end
  ciscoasa#
  -----------------------------------------------
  asa 5505
  1.配置防火墙名
  ciscoasa> enable
  ciscoasa# configure terminal
  ciscoasa(config)# hostname asa5505
  2.配置telnet
  asa5505(config)#telnet 192.168.1.0 255.255.255.0 inside
  //允许内部接口192.168.1.0网段telnet防火墙
  3.配置密码
  asa5505(config)# password cisco
  //远程密码
  asa5505(config)# enable password cisco
  //特权模式密码
  4.配置IP
  asa5505(config)# interface vlan 2
  //进入vlan2
  asa5505(config-if)# ip address 218.xxx.37.222 255.255.255.192
  //vlan2配置IP
  asa5505(config)#show ip address vlan2
  //验证配置
  5.端口加入vlan
  asa5505(config)# interface e0/3
  //进入接口e0/3
  asa5505(config-if)# switchport access vlan 3
  //接口e0/3加入vlan3
  asa5505(config)# interface vlan 3
  //进入vlan3
  asa5505(config-if)# ip address 10.10.10.36 255.255.255.224
  //vlan3配置IP
  asa5505(config-if)# nameif dmz
  //vlan3名
  asa5505(config-if)# no shutdown
  //开启
  asa5505(config-if)# show switch vlan
  //验证配置
  6.最大传输单元MTU
  asa5505(config)#mtu inside 1500
  //inside最大传输单元1500字节
  asa5505(config)#mtu outside 1500
  //outside最大传输单元1500字节
  asa5505(config)#mtu dmz 1500
  //dmz最大传输单元1500字节
  7.配置arp表的超时时间
  asa5505(config)#arp timeout 14400
  //arp表的超时时间14400秒
  8.FTP模式
  asa5505(config)#ftp mode passive
  //FTP被动模式
  9.配置域名
  asa5505(config)#domain-name Cisco.com
  10.启动日志
  asa5505(config)#logging enable
  //启动日志
  asa5505(config)#logging asdm informational
  //启动asdm报告日志
  asa5505(config)#Show logging
  //验证配置
  11.启用http服务
  asa5505(config)#http server enable
  //启动HTTP server,便于ASDM连接。
  asa5505(config)#http 0.0.0.0 0.0.0.0 outside
  //对外启用ASDM连接
  asa5505(config)#http 0.0.0.0 0.0.0.0 inside
  //对内启用ASDM连接
  12.控制列表
  access-list acl_out extended permit tcp any any eq www
  //允许tcp协议80端口入站
  access-list acl_out extended permit tcp any any eq https
  //允许tcp协议443端口入站
  access-list acl_out extended permit tcp any host 218.xxx.37.223 eq ftp
  //允许tcp协议21端口到218.xxx.37.223主机
  access-list acl_out extended permit tcp any host 218.xxx.37.224 eq 3389
  //允许tcp协议3389端口到218.xxx.37.224主机
  access-list acl_out extended permit tcp any host 218.xxx.37.225 eq 1433
  //允许tcp协议1433端口到218.xxx.37.225主机
  access-list acl_out extended permit tcp any host 218.xxx.37.226 eq 8080
  //允许tcp协议8080端口到218.xxx.37.226主机
  asa5505(config)#show access-list
  //验证配置
  13.设置路由
  asa5505(config)#route dmz 10.0.0.0 255.0.0.0 10.10.10.33 1
  //静态路由到10.0.0.0网段经过10.10.10.33网关跳数为1
  asa5505(config)#route outside 0.0.0.0 0.0.0.0 218.16.37.193 1
  //默认路由到所有网段经过218.xxx.37.193网关跳数为1
  asa5505# show route
  //显示路由信息
  14.静态NAT
  asa5505(config)# static (inside,outside) 218.xxx.37.223 192.168.1.6 netmask 255.255.255.255
  //外网218.xxx.37.223映射到内网192.168.1.6
  asa5505(config)#access-list acl_out extended permit icmp any any
  //控制列表名acl_out允许ICMP协议
  asa5505(config)#access-group acl_out in interface outside
  //控制列表acl_out应用到outside接口
  asa5505(config)#static (inside,dmz) 10.10.10.37 192.168.1.16 netmask 255.255.255.255
  //dmz10.10.10.37映射到内网192.168.1.16
  asa5505(config)#access-list acl_dmz extended permit icmp any any
  //控制列表名acl_dmz允许ICMP协议
  asa5505(config)#access-group acl_dmz in interface dmz
  //控制列表acl_out应用到dmz接口
  asa5505(config)#Show nat
  //验证配置
  15.动态NAT
  asa5505(config)#global(outside) 1 218.201.35.224-218.201.35.226
  //定义全局地址池
  asa5505(config)#nat(inside) 1 192.168.1.20-192.168.1.22
  //内部转换地址池
  asa5505(config)# show xlate
  //验证配置
  16.基于端口NAT(PAT)
  asa5505(config)#global (outside) 2 interface
  //定义全局地址即outside地址:218.xxx.37.222
  asa5505(config)#nat (inside) 2 192.168.1.0 255.255.255.0
  //内部转换地址池
  asa5505(config)# show xlate
  //验证配置
  17.基于LAN故障倒换(failover)
  1).主防火墙配置
  asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12
  //故障倒换虚拟MAC地址
  asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22
  //故障倒换虚拟MAC地址
  asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32
  //故障倒换虚拟MAC地址
  asa5505(config)#failover
  //启动故障倒换
  asa5505(config)#failover lan unit primary
  //设置主要防火墙
  asa5505(config)#failover lan interface standby Vlan4
  //故障倒换接口名standby
  asa5505(config)#failover interface ip standby 172.168.32.1 255.255.255.252 standby 172.168.32.2
  //配置主防火墙IP:172.168.32.1,备用防火墙IP:172.168.32.2
  asa5505# show failover
  //验证配置
  2).备防火墙配置
  asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12
  //故障倒换虚拟MAC地址
  asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22
  //故障倒换虚拟MAC地址
  asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32
  //故障倒换虚拟MAC地址
  asa5505(config)#failover
  //启动故障倒换
  asa5505(config)#failover lan unit secondary
  //设置备用防火墙
  asa5505(config)#failover lan interface standby Vlan4
  //故障倒换接口名standby
  asa5505(config)#failover interface ip standby 172.168.32.1 255.255.255.252 standby 172.168.32.2
  //配置主防火墙IP:172.168.32.1,备用防火墙IP:172.168.32.2
  asa5505# show failover
  //验证配置
  18.显示mac地址
  asa5505# show switch mac-address-table
  19.保存配置
  asa5505# write memory
+1 0

运维网声明 1、欢迎大家加入本站运维交流群:群①:263444886群②:197202523群③:485755530群④:201730672群⑤:202807635运维网交流群⑥:281548029
2、本站所有主题由该帖子作者发表,该帖子作者与双色球直播享有帖子相关版权
3、其他单位或个人使用、转载或引用本文时必须注明原文的出处
4、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
5、双色球直播 - 服务您的运维操作管理专家!
6、联系人Email:[email protected] 网址:双色球直播 www.dh5vg.com.cn

点击关注更多内容
累计签到:82 天
连续签到:2 天
2#
发表于 2018-7-17 14:47:13 | 只看该作者
2009-11-22 22:49

运维网声明 1、欢迎大家加入本站运维交流群:群①:263444886群②:197202523群③:485755530群④:201730672群⑤:202807635运维网交流群⑥:281548029
2、本站所有主题由该帖子作者发表,该帖子作者与双色球直播享有帖子相关版权
3、其他单位或个人使用、转载或引用本文时必须注明原文的出处
4、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
5、双色球直播 - 服务您的运维操作管理专家!
6、联系人Email:[email protected] 网址:双色球直播 www.dh5vg.com.cn

您需要登录后才可以回帖 登录 | 立即注册  

本版积分规则  允许回帖邮件提醒楼主

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群,最新一手资源尽在官方微信交流群!快快加入我们吧...

扫描微信二维码查看详情

客服 E-mail:[email protected]

本站由青云提供云计算服务

运维网--中国最专业的运维工程师交流社区

京ICP备14039699号-1 Copyright ? 2012-2018

使用手机软件扫描微信二维码

关注我们可获取更多热点资讯

Good good study day day up !


提醒:禁止发布任何违反国家法律、法规的言论与图片等内容;本站内容均来自个人观点与网络等信息,非本站认同之观点.


独家合作伙伴: 青云cloud

快速回复 双色球直播 返回列表
  • “屎尿罐”炸日军工兵 地雷埋进鬼子据点 2018-12-19
  • 既然美国要打,我们当然也只能奉陪到底!可是新中国的历史证明中国总是越战越强的! 2018-12-19
  • 主持人资料库——元元 2018-12-19
  • 凯恩两球补时绝杀 卡利尼奇拒绝登场被开除 2018-12-18
  • “长城新媒体”官方微信、微博 2018-12-18
  • 2000年出生的孩子属龙,要风得风,要雨得雨 2018-12-18
  • 你看咱是跟帖还是在耍猴? 2018-12-17
  • 海拔4400米高山上的午餐 2018-12-17
  • 港珠澳大桥跨境私家车澳门配额接受申请 2018-12-17
  • 人工智能机遇与挑战 听听专家怎么说 2018-12-17
  • 勤劳只是致富的要素之一,生产力水平也是致富的要素之一。生产力水平低下导致农民勤劳却不能致富,因此,很多农民选择了进城打工。一个劳动力在刀耕火种的条件下,一年能够 2018-12-16
  • 比亚迪秦EV450 稳居北京市占率第一 2018-12-16
  • 陈越光:致敬国学是向良知致敬 在致敬中实现自我 2018-12-16
  • 昂首迈进下一个十年 试驾上汽大众全新一代朗逸 2018-12-15
  • 新华时评:品味文化远香 涵养文化自信 2018-12-15
  • 884| 904| 403| 678| 474| 867| 463| 510| 42| 200|