《ciscoasa防火墙图文配置实例》由会员分享，可在线阅读，更多相关《ciscoasa防火墙图文配置实例（66页珍藏版）》请在金锄头文库上搜索。
1、 Cisco ASA 防火墙图文配置实例 Cisco ASA 防火墙图文配置实例 By Mast By Mast 2010 年 2 月 15 日 2010 年 2 月 15 日 本文是基于笔者 2008 年在原单位配置 ASA5540 和 ASA5520 的配置 截图所做的一篇配置文档，从最初始的配置开始： 1、 连接防火墙登陆 与其他的 Cisco 设备一样，用 Console 线连接到防火墙，初始特权密 码为空。 2、 配置内部接口和 IP 地址 进入到接口配置模式，配置接口的 IP 地址，并指定为 inside。 防火墙的地址配置好后，进行测试，确认可以和防火墙通讯。 3、 用 dir
2、命令查看当前的 Image 文件版本。 4、 更新 Image 文件。 准备好 TFTP 服务器和新的 Image 文件，开始更新。 5、 更新 ASDM。 6、 更新完成后，再用 dir 命令查看 7、 修改启动文件。以便于 ASA 防火墙能够从新的 Image 启动 8、 存盘，重启 9、 用 sh version 命令验证启动文件，可以发现当前的 Image 文件 就是更新后的 10、 设置允许用图形界面来管理 ASA 防火墙 表示内部接口的任意地址都可以通过 http 的方式来管理防火墙。 11、 打开浏览器，在地址栏输入防火墙内部接口的 IP 地址 选择“是”按钮。 12、 出现安装
3、 ASDM 的画面 选择“Install ASDM Launcher and Run ASDM”按钮，开始安装过程。 13、 安装完成后会在程序菜单中添加一个程序组 14、 运行 ASDM Launcher，出现登陆画面 15、 验证证书 单击“是”按钮后，开始登陆过程 16、 登陆进去后，出现防火墙的配置画面，就可以在图形界面下完 成 ASA 防火墙的配置 17、 选择工具栏的“Configuration”按钮 18、 选择“Interface” ，对防火墙的接口进行配置，这里配置 g0/3 接口 选择 g0/3 接口，并单击右边的“Edit”按钮 19、 配置接口的 IP 地址，并将该接口
4、指定为 outside 单击 OK 后，弹出“Security Level Change”对话框，单击 OK 20、 编辑 g0/1 接口，并定义为 DMZ 区域 21、 接口配置完成后，要单击 apply 按钮，以应用刚才的改变，这 一步一定不能忘 22、 设置静态路由 单击 Routing-Static Route-Add 23、 设置 enable 密码 24、 允许 ssh 方式登录防火墙 25、 增加用户 定义 ssh 用本地数据库验证 26、 用 ssh 登录测试 登录成功 27、 建立动态 NAT 转换 选择 Add Dynamic NAT Rule Interface 选择 i
5、nside，Source 处输入 any 单击 Manage 按钮 单击 add，增加一个地址池 Interface 选择 Outside，选择 PAT，单击 Add 按钮 单击 OK 完成了添加动态 NAT 转换 28、 静态 NAT 转换 由于笔者 2009 年离开了原单位，有些配置的截图没有做，新单位又 没有 ASA 防火墙，只好参考ASA8.0/ASDM6.0 测试报告的截图 和文档来完成本文，并将该文档中部分常用的配置联接在本文后，对 该文的作者表示感谢。 关于在 ASA 上配置 IPSec VPN 和 SSL VPN 的 截图都没有，所以本文中就只好省略掉这一部分了。 为 172.
6、16.1.10 添加静态 NAT 转换。 29、 免除 NAT 当穿过防火墙的访问某些区域而不需要进行 NAT 转换时就需要用到 免除 NAT 功能。 如为 inside 访问 DMZ 区域的服务器时就不需要进行 NAT 转换，这时就可以配置免除 NAT。 以下为ASA8.0/ASDM6.0 测试报告文档的部分内容，对原文档中 的序号等未作修改。 7 定义安全策略定义安全策略 注意缺省情况注意缺省情况下高安全级下高安全级别别到到低低安全级安全级别别安全策略安全策略是允许是允许通过的通过的， 所， 所 以以 inside 到到 ouside，DMZ 到到 ouside 不不用设置安全策略用设置安
7、全策略流量就可流量就可以以 通过通过 此 时 我 们 只 需 要 建 立此 时 我 们 只 需 要 建 立outside 到到 DMZ 的的HTTP server （172.16.1.10）的安全策略的安全策略 PDF created with pdfFactory Pro trial version 8 multi-context 模式模式 PDF created with pdfFactory Pro trial version 将管理将管理 PC 接到接到 M0/0 口口 添加添加 context 在本例中我们加两个在本例中我们加两个 context A 和和 B PDF created
8、 with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 此时此时 context A 已经配置完毕，已经配置完毕，context B 的的配配置置方法方法一一样样。 登陆登陆 context A PDF created with pdfFactory Pro trial version 对于对于 context 的其他配置和配置的其他配置和配置 single 模式是一样的。模式是一样的。 9 透明模式透明模式 9.1 设置透明模式设置透明模式 转换模式转换模式 定义接口定义接口 设置管理设
9、置管理 IP PDF created with pdfFactory Pro trial version 透明模式下安全策略的定义和路由模式的设置是一样的。透明模式下安全策略的定义和路由模式的设置是一样的。 9.2 透明模式下的透明模式下的 NAT PDF created with pdfFactory Pro trial version ASA 上设置如下上设置如下: PDF created with pdfFactory Pro trial version 10 应用层协议检测应用层协议检测 PDF created with pdfFactory Pro trial version 10.
10、1 过滤过滤 Instant Messengers 此次我们用此次我们用 YAHOO messenger 做测试做测试 将 Yahoo Messenger 的连接配置修改为 Firewall with no proxies,然后我们将利用 ASA 的 应用安全策略进行控制. PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFact
11、ory Pro trial version 此时此时 Yahoo messenger 无法登陆。无法登陆。 我们可以通过我们可以通过 CLI 验证配置验证配置 PDF created with pdfFactory Pro trial version 10.2 过滤过滤 long URL PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with
12、pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 此时此时 URI 长度超过长度超过 20Bytes 将无法正常显示。将无法正常显示。 通过通过 CLI 验证验证 PDF created with pdfFactory Pro trial version 10.3 通过通过 QOS 对应用进行限速对应用进行限速 PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version P
13、DF created with pdfFactory Pro trial version 观察限速结果观察限速结果 10.4 对应用程序命令进行过滤对应用程序命令进行过滤 此次我们防止客户上传文件到此次我们防止客户上传文件到 FTP SERVER PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 通过通过 CLI 进行配置验证进行配置验证 PDF created with pdfFactory Pro trial version 验证结果：验证结果： 11 对对
14、 HTTP 进行应用过滤进行应用过滤 11.1 Filtering Java Applets PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 过滤前：过滤前： 过滤后：过滤后： PDF created with pdfFactory Pro trial version 11.2 filter activeX PDF created with pdfFactory Pro trial version 11.4 基于表达式过滤基于表达式过滤 URL 通过通过 CL
15、I 配置：配置： 通过通过 ASDM 配置：配置： PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 12 High-Availability 12.1 active/standby PDF created with pdfFactory Pro trial version PDF
16、 created with pdfFactory Pro trial version 12.2 active/active PDF created with pdfFactory Pro trial version 建立组建立组 1 如下图如下图 建立组建立组 2 如下图如下图 PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version PDF created with pdfFactory Pro trial version 通过通过 CLI 验证配置验证配置 PDF created with pdfFactory Pro trial version
