CiscoAA防火墙详细图文配置实例

Cisco ASA 防火墙图文配置实例

本文是基于ASA5540 和ASA5520 的配置

截图所做的一篇配置文档，从最初始的配置开始：

1、连接防火墙登陆

与其他的Cisco 设备一样，用Console 线连接到防火墙，初始特权密码为空。

2、配置内部接口和IP 地址

进入到接口配置模式，配置接口的IP 地址，并指定为inside。

防火墙的地址配置好后，进行测试，确认可以和防火墙通讯。

3、用dir 命令查看当前的Image 文件版本。

4、更新Image 文件。

准备好TFTP 服务器和新的Image 文件，开始更新。

5、更新ASDM。

6、更新完成后，再用dir 命令查看

7、修改启动文件。以便于ASA 防火墙能够从新的Image 启动

8、存盘，重启

9、用sh version 命令验证启动文件，可以发现当前的Image 文件

就是更新后的

10、设置允许用图形界面来管理ASA 防火墙

表示内部接口的任意地址都可以通过http 的方式来管理防火墙。11、打开浏览器，在地址栏输入防火墙内部接口的IP 地址

选择“是”按钮。

12、出现安装ASDM 的画面

选择“Install ASDM Launcher and Run ASDM”按钮，开始安装过程。

13、安装完成后会在程序菜单中添加一个程序组

14、运行ASDM Launcher，出现登陆画面

15、验证证书

单击“是”按钮后，开始登陆过程

16、登陆进去后，出现防火墙的配置画面，就可以在图形界面下完

成ASA 防火墙的配置

17、选择工具栏的“Configuration”按钮

18、选择“Interface”，对防火墙的接口进行配置，这里配置g0/3

接口

选择g0/3 接口，并单击右边的“Edit”按钮

19、 配置接口的 IP 地址，并将该接口指定为 outside

单击OK 后，弹出“Security Level Change”对话框，单击OK

20、编辑g0/1 接口，并定义为DMZ 区域

21、接口配置完成后，要单击apply 按钮，以应用刚才的改变，这

一步一定不能忘

22、设置静态路由

单击Routing->Static Route->Add

23、设置enable 密码

24、允许ssh 方式登录防火墙

25、增加用户

定义ssh 用本地数据库验证

26、用ssh 登录测试

登录成功

27、建立动态NAT 转换

选择Add Dynamic NAT Rule

Interface 选择inside，Source 处输入any

单击Manage 按钮

单击add，增加一个地址池

Interface 选择Outside，选择PAT，单击Add 按钮

单击OK

完成了添加动态NAT 转换

28、静态NAT 转换

由于笔者2009 年离开了原单位，有些配置的截图没有做，新单位又没有ASA 防火墙，只好参考《ASA8.0/ASDM6.0 测试报告》的截图

和文档来完成本文，并将该文档中部分常用的配置联接在本文后，对

该文的作者表示感谢。关于在ASA 上配置IPSec VPN 和SSL VPN 的截图都没有，所以本文中就只好省略掉这一部分了。

为172.16.1.10 添加静态NAT 转换。

29、免除NAT

当穿过防火墙的访问某些区域而不需要进行NAT 转换时就需要用到免除NAT 功能。如为inside 访问DMZ 区域的服务器时就不需要进行NAT 转换，这时就可以配置免除NAT。

以下为《ASA8.0/ASDM6.0 测试报告》文档的部分内容，对原文档中的序号等未作修改。

7定义安全策略

注意缺省情况下高安全级别到低安全级别安全策略是允许通过的，所

以inside到ouside，DMZ到ouside不用设置安全策略流量就可以

通过

此时我们只需要建立outside到DMZ的HTTP server

（172.16.1.10）的安全策略

PDF created with pdfFactory Pro trial version

8 multi-context模式

将管理PC接到M0/0口

添加context在本例中我们加两个context A和B

此时context A已经配置完毕，context B的配置方法一样。

登陆context A

对于context的其他配置和配置single模式是一样的。9透明模式

9.1设置透明模式

转换模式

定义接口

设置管理IP

透明模式下安全策略的定义和路由模式的设置是一样的。

9.2透明模式下的NAT

ASA上设置如下:

10 应用层协议检测

10.1过滤Instant Messengers

此次我们用YAHOO messenger做测试

将Yahoo Messenger 的连接配置修改为Firewall with no proxies,然后我们将利用ASA 的应用安全策略进行控制.

此时Yahoo messenger无法登陆。

我们可以通过CLI验证配置

10.2过滤long URL