思科---防火牆asa5520配置筆記

1、防火牆的動態pat配置

Object network （inside）名稱 //設置對象網絡名稱
Subnet 網段 掩碼 //設置網段
Nat （inside，outside）指定接口方向 dynamic 外網ip 或interface   //設置nat方向爲inside區域到outside區域，動態轉換ip爲外網ip或外網端口ip（不能與防火牆網關地址相同）

---

2、Show xlate //查看防火牆nat轉換表

---

3、防火牆靜態pat配置

Object network 名稱1 //設置對象網絡名稱1
Host 外網未使用的ip  //設置要轉換的外網ip

Object network 名稱2 //設置對象網絡名稱2
Host 內網要轉換的ip1  //設置內網要轉換的ip1
Nat （dmz，outside） static  名稱1  service  tcp  80  80  //使用靜態nat，方向dmz到outside，類型靜態，要轉換的外網ip名稱，tcp協議的80端口出項，80端口入項

Object network 名稱3 //設置對象網絡名稱3
Host 內網要轉換的ip2 //設置內網要轉換的ip2
Nat （dmz，outside） static  名稱1  service  tcp  21  21  //使用靜態nat，方向dmz到outside，類型靜態，要轉換的外網ip名稱，tcp協議的21端口出項，21端口入項

Access-list 名稱 permit  tcp  any  object 名稱2  eq  http  //容許如何tcp 訪問的ip，去訪問內網名稱爲2的80端口號
Access-list 名稱 permit  tcp  any  object 名稱3  eq  ftp  //容許如何tcp 訪問的ip，去訪問內網名稱爲3的21端口號
Access-group 名稱 in  interface  outside  //在outside區域應用

---

4、本地主機遠程訪問防火牆

Telnet 10.1.1.0  255.255.255.0  inside //容許inside區域地址段爲 10.1.1.0  255.255.255.0 全部主機遠程訪問防火牆。
Telnet  0  0  inside // 容許inside區域全部計算機遠程訪問防火牆。

---

5、Ssh端口號22

---

6、外網主機遠程訪問防火牆

Hostname  asa842 // 修更名爲asa842
Domian-name  ciscoasa842.com  //設置域名稱爲 ciscoasa842.com
Crypto key generate rsa modulus 1024（密鑰默認長度爲1024） //生成RSA密鑰對密鑰長度爲1024
Ssh 0 0 outside //設置在outside區域可使用ssh遠程訪問防火牆
Username 帳號名 password 密碼 //設置遠程訪問的帳號名和密碼
Aaa  authentication ssh console LOCAL  //啓用aaa認證，用在ssh的本地控制檯接口上

---

7、使用https遠程訪問防火牆

http server enable //啓用htts服務
http 0 0 outside //容許從outside接口使用https訪問防火牆
Asdm image disk0：asdm-649.bin //提供客戶端下載asdm軟件
Username 帳號名 password 密碼 privilege 15  //設置訪問帳戶和密碼，以及權限

---

8、防火牆日誌信息安全級別

---

9、防火牆的工做模式

1.路由模式：充當三層設備，基於目的ip地址轉發數據包
2.透明模式：充當二層設備，基於目的mac地址轉發數據幀

---

10、防火牆透明模式的優勢

---

11、防火牆本身總結的要點

防火牆每一個區域的acl只能配置一個，例如：

若是再添加個acl放着在DMZ中就會頂替掉原先的acl。

---

12、透明防火牆配置

ASA的配置

ciscoasa(config)# firewall transparent //開啓防火牆透明模式
ciscoasa(config)# hostname asa //修更名稱爲asa
asa(config)# int E0/0 //進入接口e0/0
asa(config-if)# no shut //開啓接口
asa(config-if)# nameif outside //設置接口區域爲outside
asa(config-if)# int E0/1 //進入接口e0/1
asa(config-if)# no shut  //開啓接口
asa(config-if)# nameif inside //設置接口區域爲inside
asa(config)# ip add 192.168.1.253 255.255.255.0 //設置防火牆IP地址