ASA基本配置与实验环境搭建

标准ACL：asa802(config)#access-list out-to-dmz standard {permit | deny} ip-add mask
扩展ACL：asa802(config)#access-list acl-name extended {permit | deny} protocol src-ip-add src-mask dst-ip-add dst-mask [operator port]
NETSCREEN防火墙：通过对外网端口MIP和访问策略（set policy）来实现外网对内网及DMZ专项服务的访问限制。
ASA防火墙: 通过静态映射（static
(inside,outside)）和策略（access-list）来实现外网对内网及DMZ专项服务的访问限制。
3、
内网地址转换
Telnet或SSH密码:
asa802(config)#passwd cisco
ASA接口名字和安全级别
asa802(config-if)#nameif inside（不起名，ping不通）
asa802(config-if)#security-level 100(取值0—100 ，值越大，安全级越高)
5、
路由的实现
PIX防火墙：通过route outside 、route inside来实现内外网的访问路由。
NETSCREEN防火墙：通过set route来实现内外网的访问路由。
ASA防火墙：通过route outside 、route inside来实现内外网的访问路由。
6、
管理地址的定义
定义一个全局地址池：
asa802(config)#global (outside) 1 200.1.1.100-200.0.0.110
asa802(config)#global (outside) 1 int (int指该接口地址)
在ASA上show xlate可以查看地址转换条目
5ASA.配置ACL控制流量
NETSCREEN防火墙：通过区域策略实现安全区域对非安全区域的主动访问。
ASA防火墙: 通过定义区域的安全优先级来实现高安全优先级对低安全优先级的主动访问，但ICMP需要双相开通相应策略。
2、
外网对内网及DMZ区提供的专项服务的访问。
PIX防火墙：通过静态映射（static）和策略（conduit）来实现外网对内网及DMZ专项服务的访问限制。
nat (inside) 35 access-list inside_pnat_outbound
4、
策略的定义
PIX防火墙：通过策略命令（conduit）来定制访问策略，实现Ip及端口的访问限制。
NETSCREEN防火墙：通过对访问策略（set policy）实现Ip及端口的访问限制。
ASA防火墙：通过策略命令（access-list）来定制访问策略，实现Ip及端口的访问限制。
ASA5500 PK. NetScreen 功能个方面对PIX、NETSCREEN和ASA防火墙功能做一功能描述和比较：
1、
内网安全领域主动访问外网及DMZ非安全领域
PIX防火墙：通过定义区域的安全优先级来实现高安全优先级对低安全优先级的主动任意访问。
第五步：在客户端安装Jave Runtime Environment（JRE），可以在上下载
访问时在浏览器输入地址——运行ASDM（web方式运行）——进入图形界面
4.为出战流量配置nat
从高安全级别接口（Inside）访问低安全级别接口（Outside），一般需要配置动态网络地址转换，nat和global命令。
启用：asa802(config)#nat-control
配置动态nat：
asa802(config)#nat (inside）1（编号，0-21亿） 192.168.0.0 255.255.255.0
asa802(config)#nat (inside) 1 0 0 对所有地址实施nat
（编号为0指定不需要被转换的流量，一般应用在VPN的配置中）
使用Telnet远程管理是不安全的，所以一般禁止从外部接口使用Telnet接入。
②配置SSH的接入：四步
第一步：给防火墙配置主机名和域名
第二步：生成RSA密钥对（RSA是一种算法）
asa802(config)#crypto key generate rsa modulue 1024（密钥长度，大小为512、768、1024 、2048，默认是1024）
NETSCREEN防火墙：在非HA模式下，通过命令unset
all即可删除防火墙上所以配置，使其恢复到出厂设置状态。通过在命令行内直接粘贴备份的配置文件即可自动恢复配置。
ASA防火墙：通过命令erase
all即可删除防火墙上所以配置，使其恢复到出厂设置状态。通过在命令行内直接粘贴备份的配置文件即可自动恢复配置。
zone "Trust"
set interface "ethernet2" zone "DMZ"
set interface "ethernet3" zone
"Untrust"在接口状态下配置：interface GigabitEthernet0/1
将ACL应用到接口：
asa802(config)#access-group acl-name {in| to} interface intface-name
以上掩码均为正码
从低安全级别接口（Outside）访问高安全级别接口（Inside），
通常是配置静态NAT和ACL。
asa802(config)#static （dmz，outside）200.1.1.253 192.168.1.1
允许某台主机通过inside口进行telnet
asa802(config)#telnet 0.0 inside 允许所有主机通过inside口进行telnet
配置空闲超时时间asa802(config)#telnet timeout 15 （1—1440分钟，默认是5分钟）
telnet时可用show run telnet 查看运行的telnet命令
PIX防火墙：通过telnet来实现管理地址的指定。
NETSCREEN防火墙：通过绑定到端口的manager IP来实现管理地址的制定。
ASA防火墙：通过绑定到端口的manager
IP来实现管理地址的制定。可以是MGMT端口，也可以定义为inside口、outside口或DMZ口。
7、
防火墙备份的实现
3. ASA支持3种主要的远程管理接入方式：Telnet、SSH和ASDM。
①配置允许Telnet接入：
asa802(config)#telnet 192.168.0.0 255.255.255.0 inside
允许某个网段通过inside口进行telnet
asa802(config)#telnet 192.168.0.1 255.255.255.255 inside
允许某个网段通过inside口进行HTTP接入
第三步：指定ASDM映像的位置（也可用show disk查看）
asa802(config)#asdm image disk：/asdm-602.bin
第四步：登陆时用户名和密码
asa802(config)#username gaoyue（用户名）password 123 privilege（权限） 15（最大）
配置路由：
asa802(config)#route outside（端口名称） 0.0.0.0 0.0.0.0 （目的网段）20.0.0.1(下一跳)
可简写asa802(config)#route outside（端口名称）0 0（目的网段） 20.0.0.1(下一跳)
asa802#show route 查看路由表
2.基本配置
配置主机名：
ciscoasa>en
ciscoasa#cinf t
ciscoasa(config)#hostname asa802
域名:
asa802(config)#domain-name
特权密码:
asa802(config)#enable password 123
第一步：启用防火墙HTTPS服务器功能
asa802（config）#http server enable [prot]
默认端口是443，可以指定端口
第二步：配置防火墙允许HTTP接入
asa802(config)#http 192.168.0.0 255.255.255.0 inside
接口地址：
asa802(config-if)#ip address 10.0.0.0.1 255.255.255.0
asa802(config-if)#no shut
查看接口地址：
asa802(config)#show ip address
（备注：在5505中不支持在物理接口上直接进行配置，必须将将接口加入vlan，进vlan配置，在vlan没no shu时，接口也不可以no shu）
PIX防火墙：通过映射命令（net、global）来实现内网地址的转换。
NETSCREEN防火墙：通过对外网端口MIP、VIP和DIP实现内部地址的转换。
ASA防火墙：通过映射命令（net、global）来实现内网地址的转换。
对于同一个地址访问不同目的地时所转换地址不同的应用需求，ASA使用策略NAT实现：