《cisco asa5500 配置手册》由会员分享，可在线阅读，更多相关《cisco asa5500 配置手册（7页珍藏版）》请在金锄头文库上搜索。
1、Cisco ASA5500 系列防火墙基本配置手册一、配置基础1.1 用户接口思科防火墙支持下列用户配置方式：Console，Telnet，SSH（1.x 或者 2.0，2.0 为 7.x 新特性），ASDM 的 http 方式，VMS 的Firewall Management Center。支持进入 Rom Monitor 模式，权限分为用户模式和特权模式，支持 Help，History 和命令输出的搜索和过滤。用户模式：Firewall 为用户模式，输入 enable 进入特权模式 Firewall#。特权模式下输入 config t 可以进入全局配置模式。通过 exit，ctrl-z 退
2、回上级模式。配置特性：在原有命令前加 no 可以取消该命令。Show running-config 或者 write terminal 显示当前配置。Show running-config all 显示所有配置，包含缺省配置。Tab 可以用于命令补全，ctrl-l 可以用于重新显示输入的命令（适用于还没有输入完命令被系统输出打乱的情况），help 和 history 相同于 IOS 命令集。Show 命令支持 begin，include，exclude，grep 加正则表达式的方式对输出进行过滤和搜索。Terminal width 命令用于修改终端屏幕显示宽度，缺省为 80 个字符，pager
3、 命令用于修改终端显示屏幕显示行数，缺省为 24 行。1.2 初始配置跟路由器一样可以使用 setup 进行对话式的基本配置。二、 配置连接性2.1 配置接口接口基础：防火墙的接口都必须配置接口名称，接口 IP 地址和掩码和安全等级。接口基本配置：Firewall(config)# interface hardware-id 进入接口模式Firewall(config-if)# speed auto | 10 | 100 | nonegotiate 设置接口速率Firewall(config-if)# duplex auto | full | half 接口工作模式Firewall(confi
4、g-if)# no shutdown 激活或关闭接口 Firewall(config-if)# nameif if_name 配置接口名称Firewall(config-if)# security-level level 定义接口的安全级别例：interface GigabitEthernet0/0nameif outsidesecurity-level 0ip address 125.78.33.22 255.255.255.248 !interface GigabitEthernet0/1nameif insidesecurity-level 100ip address 192.168.1
5、8.254 255.255.255.0在配置中，接口被命名为外部接口（outside），安全级别是 0；被命名为内部接口（inside），安全级别是 100.安全级别取值范围为 199，数字越大安全级别越高。规则是高级别可以访问低级别，但低级别默认情况下是不可以访问高级别端口的。注：相同安全等级的接口这间互相不能通讯，除非是在全局配置模式下使用 same-security-traffic permit inter-interface 命令。2.2 配置 IP 地址Firewall(config)# interface hardware-idFirewall(config)# ip addres
6、s if_name ip_address netmask例:asa5520(config-if)#ip add 192.168.0.1 255.255.255.0验证Firewall# show ipARP 配置配置一个静态的 ARP 条目：Firewall(config)# arp if_name ip_address mac_address alias配置 timeout 时间：Firewall(config)# arp timeout seconds 缺省为 4 小时使用 clear arp 会清除所有的 ARP 缓存2.3 配置默认路由启用 PRF 防止地址欺骗 Firewall(co
7、nfig)# ip verify reverse-path interface if_name配置静态路由 Firewall(config)# route if_name ip_address netmask gateway_ip metric例:asa5520(confgi)# route outside 0.0.0.0 0.0.0.0 125.78.33.172.4 DHCP配置成为 DHCP Server：配置地址池 Firewall(config)# dhcpd address ip1-ip2 if_name （最多 256 个客户端）配置 DHCP 参数 Firewall(confi
8、g)# dhcpd dns dns1 dns2 Firewall(config)# dhcpd wins wins1 wins2 Firewall(config)# dhcpd domain domain_name Firewall(config)# dhcpd lease lease_length Firewall(config)# dhcpd ping_timeout timeout启用 DHCP 服务 Firewall(config)# dhcpd enable if_name验证：show dhcdp, show dhcpd bindings, show dhcpd statistic
9、s配置 DHCP 中继：定义真实 DHCP Server Firewall(config)# dhcprelay server dhcp_server_ip server_ifc(最多 4 个)中继参数 Firewall(config)# dhcprelay timeout seconds Firewall(config)# dhcprelay setroute client_ifc启用中继 Firewall(config)# dhcprelay enable client_ifc验证 show dhcprelay statistics三、系统管理3.1 管理配置文件显示启动配置文件 Fire
10、wall# show startup-config保存当前配置文件 write memory, copy running-config startup-config删除启动配置文件 write erase3.2 管理管理会话Firewall(config)# console timeout minutes/i 配置 console 登录的超时(缺省 0 不超时)禁止来自 outside 端口的 telnet，启用 telnet Firewall(config)# telnet ip_address netmask if_name Firewall(config)# telnet timeout
11、 minutes /i /i配置 telnet 超时例：telnet 0.0.0.0 0.0.0.0 insidetelnet timeout 53.3 配置 http 服务指定镜像的位置，ASDM 使用 Firewall(config)# asdm image device:/path 来指定镜像位置，然后配置访问许可 Firewall# http ip_address subnet_mask if_name 启用 HTTP 进程 Firewall# http server enable 使用 https:/ip-address/admin 来访问。Banner 配置 Firewall(co
12、nfig)# banner exec | login | motd text 对 banner 不能修改，只能用 no 来删除，或者 clear banner 来清除所有的 banner3.4 系统重启和崩溃通常使用 reload 命令重启系统，从 7.0 以后支持在特定的时间重启系统 Firewall# reload at hh:mm month day | day month max-hold-time minutes | hhh:mm noconfirm quick save-config reason text或者经过一定的时间间隔后重启Firewall# reload in minu
13、tes | hh:mm max-hold-time minutes | hhh:mm noconfirm quick save-config reason text3.5 用户密码管理telne 密码配置 Firewall(config)# password | passwd password encrypted 清除密码用 clear password | passwd)enable 特权模式密码配置 Firewall(config)# enable password pw level priv_level encrypted定义用户 Firewall(config)# username u
14、sername nopassword | password passwordencrypted privilege level四、 防火墙的路由模式和地址翻译4.1 地址转换特性介绍：从高安全等级到低安全等级的访问称为 outbound 访问，需要配置地址翻译和outbound 访问控制，ASA 防火墙缺省情况下不用配置 ACL 就允许此类访问，而从低安全等级到高安全等级的访问称为 inboud 访问，也需要配置地址翻译和 inboud 访问控制，此类型必须配置 ACL.同一安全等级的访问也可以配置地址翻译。静态 NAT 基于地址的静态翻译 Firewall(config)# static (
15、real_ifc,mapped_ifc) mapped_ip | interface real_ip netmask mask dns norandomseq max_conns emb_limit例：static (inside,outside) 125.78.33.19 192.168.18.244 netmask 255.255.255.255基于端口的静态翻译 Firewall(config)# static (real_ifc,mapped_ifc) tcp | udp mapped_ip | interface mapped_port real_ip real_port netmask mask dns norandomseq max_conns emb_limitstatic (inside,outside) interface tcp 211 192.168.0.18 211netmask 255.255.255.255动态地址翻译定义 NAT 的映射地址 Firewall(config)# global (mapped_ifc) nat_id global_ip-global_ip netmask global_mask定义 PAT 的映射地址 Firewall(config)#
