思科5505配置详解

Cisco ASA 5505配置详解

(2011-06-10 09:46:21)

分类：IT

标签：

it

在配ASA 5505时用到的命令

2009-11-22 22:49

nat-control命令

在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。7.0以后开始nat-control 是默认关闭的，关闭的时候允许没有配置NAT规则的前提下和外部主机通信，相当于路由器一样，启用NAT开关后内外网就必须通过NAT转换才能通信

1、定义外口

interface Ethernet0/0 进入端口

nameif outside 定义端口为外口

security-level 0 定义安全等级为0

no shut 激活端口

ip address ×.×.×.× 255.255.255.248 设置IP

2、定义内口

interface Ethernet0/1

nameif inside 定义端口为内

security-level 100 定义端口安去昂等级为100

no shut

ip address 192.168.1.1 255.255.255.0

3、定义内部NAT范围。

nat (inside) 1 0.0.0.0 0.0.0.0 任何IP都可以NAT，可以自由设置范围。

4、定义外网地址池

global (outside) 1 10.21.67.10-10.21.67.14 netmask 255.255.255.240

或

global (outside) 1 interface 当ISP只分配给一个IP是，直接使用分配给外口的IP地址。5、设置默认路由

route outside 0 0 218.17.148.14 指定下一条为IPS指定的网关地址

查看NAT转换情况

show xlate

---------------------------------------------------

一：6个基本命令：nameif、interface、ip address 、nat、global、route。

二：基本配置步骤：

step1: 命名接口名字

nameif ethernet0 outside security0

nameif ethernet1 inside security100

nameif ethernet2 dmz security50

＊＊7版本的配置是先进入接口再命名。

step2：配置接口速率

interface ethernet0 10full auto

interface ethernet1 10full auto

interface ethernet2 10full

step3：配置接口地址

ip address outside 218.106.185.82

ip address inside 192.168.100.1 255.255.255.0

ip address dmz 192.168.200.1 255.255.255.0

step4：地址转换（必须）

* 安全高的区域访问安全低的区域（即内部到外部）需NAT和global;

nat(inside) 1 192.168.1.1 255.255.255.0

global(outside) 1 222.240.254.193 255.255.255.248

＊＊＊nat (inside) 0 192.168.1.1 255.255.255.255 表示192.168.1.1这个地址不需要转换。直接转发出去。

* 如果内部有服务器需要映射到公网地址(外网访问内网)则需要static和conduit或者acl. static (inside, outside) 222.240.254.194 192.168.1.240

static (inside, outside) 222.240.254.194 192.168.1.240 10000 10

后面的10000为限制连接数，10为限制的半开连接数。

conduit permit tcp host 222.240.254.194 eq www any

conduit permit icmp any any (这个命令在做测试期间可以配置，测试完之后要关掉，防止不必要的漏洞)

ACL实现的功能和conduit一样都可实现策略访问，只是ACL稍微麻烦点。conduit现在在7版本已经不能用了。

Access-list 101 permit tcp any host 222.240.254.194 eq www

Access-group 101 in interface outside (绑定到接口)

＊＊＊允许任何地址到主机地址为222.240.254.194的www的tcp访问。

Step5：路由定义：

Route outside 0 0 222.240.254.193 1

Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1

＊＊如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。

Step6：基础配置完成，保存配置。

Write memory write erase 清空配置

reload

---------------------------------------------------

要想配置思科的防火墙得先了解这些命令：

常用命令有：nameif、interface、ip address、nat、global、route、static等。global

指定公网地址范围：定义地址池。

Global命令的配置语法：

global (if_name) nat_id ip_address-ip_address [netmark global_mask]

其中：

(if_name)：表示外网接口名称，一般为outside。

nat_id：建立的地址池标识(nat要引用)。

ip_address-ip_address：表示一段ip地址范围。

[netmark global_mask]：表示全局ip地址的网络掩码。

nat

地址转换命令，将内网的私有ip转换为外网公网ip。

nat命令配置语法：nat (if_name) nat_id local_ip [netmark]

其中：

(if_name)：表示接口名称，一般为inside.

nat_id：表示地址池，由global命令定义。

local_ip：表示内网的ip地址。对于0.0.0.0表示内网所有主机。[netmark]：表示内网ip地址的子网掩码。

route

route命令定义静态路由。

语法：

route (if_name) 0 0 gateway_ip [metric]

其中：

(if_name)：表示接口名称。

0 0 ：表示所有主机

Gateway_ip：表示网关路由器的ip地址或下一跳。

[metric]：路由花费。缺省值是1。