cisco_asa5510_防火墻配置手冊(已修改)
2025-08-22 09:17 本頁面
【正文】 CISCO ASA5510 防火墻配置手冊一． 密碼配置Ciscoasa(config)passwd 123 (用于telnet登陸ASA的密碼)Ciscoasa(config)enable password 456 (進入enable特權(quán)模式的密碼)Ciscoasa(config)hostname wyciscoasa二． 接口配置Ciscoasa(config)interface Ethernet0/0Ciscoasa(configif)nameif outside 一般的情況將E0/0命為外網(wǎng)接口，而將E0/1命為內(nèi)網(wǎng)接口。Ciscoasa(configif)securitylevel 100 (100指權(quán)限，數(shù)字越高權(quán)限越高)Ciscoasa(configif)ip address .*.* Ciscoasa(configif)shutdown/no shutdown三． 靜態(tài)路由配置Ciscoasa(config)route inside 意思為：，Ciscoasa(config)route outside 創(chuàng)建一條外網(wǎng)默認路由，四． 網(wǎng)絡地址轉(zhuǎn)換（NAT）配置NAT實現(xiàn)的方式有三種：動態(tài)NAT 、靜態(tài)NAT、PAT動態(tài)NAT：指將內(nèi)部網(wǎng)絡私有IP地址轉(zhuǎn)換為公有IP地址，IP地址不確定，是隨機的，所有被授權(quán)訪問intelnet的私有IP地址可隨機轉(zhuǎn)換為任何指定合法IP地址。靜態(tài)NAT：指IP地址一對一的轉(zhuǎn)換。PAT：指改變外出數(shù)據(jù)包的源端口并進行端口轉(zhuǎn)換。內(nèi)部所有網(wǎng)絡均可以共享一個合法外部IP地址實現(xiàn)對intelnet的訪問，從而可以最大限度節(jié)約IP地址資源。同時，又可以隱藏網(wǎng)絡內(nèi)部的所有主機，有效避免來自己intelnet的攻擊。因此，武英項目做NAT時推薦用PAT。Ciscoasa(config)nat (inside) 1 Ciscoasa(config)global(outside) 1 .*.* netmask *.*的地址。Ciscoasa(config)nat (inside) 2 將此地址激活NATCiscoasa(config)global 2 .*.* .*.* PAT配置Ciscoasa(config)nat (inside) 3 將此地址激活NATCiscoasa(config)global (outside) 3 interface(這個是電信只提供了一個IP時可以這樣做，所有內(nèi)網(wǎng)共享一個IP上網(wǎng)) 什么時候要做端口映射 當外網(wǎng)需要訪問內(nèi)網(wǎng)中的一臺服務器時，ASA并不知道訪問的是哪 一臺內(nèi)網(wǎng)中的機器，這時就需要做靜態(tài)的端口映射。語法：Ciscoasa(config)accesslist listname extended permit tcp/udp any hsot outside_address eq port_numlist_name:訪問控制列表名稱tcp/udp:需要映射的協(xié)議類型port_num:需要映射的端口號Ciscoasa(config)static (inside,outside) tcp/udp interface port_num local_address port_num netmask Tcp/udp:需要映射的協(xié)議類型port_num：映射前的端口號local_address：映射后的內(nèi)網(wǎng)主機IP地址port_num：映射后的端口號例如：Ciscoasa(config)accesslist 100 extended permit tcp any host .*.* eq 80.*.*的tcp 80端口Ciscoasa(config)static (inside,outside) tcp interface 80 80 netmask 80端口Ciscoasa(config)accessgroup 100 in intercae outside peruseroverride訪問必須調(diào)用ACL備注如果，只是需要將內(nèi)網(wǎng)一個服務器映射到公網(wǎng)可以這樣做ciscoasa(config)static (inside, outside) .*.* ciscoasa(config)static (inside, outside) .*.* 10000 10 //后面的10000為限制連接數(shù)，10為限制的半開連接數(shù)。五 訪問控制列表（ACL）配置 配置訪問控制列表的一般步驟 配置訪問控制列表 接口方向的調(diào)用 標準訪問控制列表 語法ciscoasa(config)accesslist list_name standard deny/permit des_address netmask list_name:標準訪問控制列表的名稱（199） deny/permit：阻止或是允許符合此條規(guī)則的流量 des_address ：需要做控制的目的地址 netmask:需要做控制的目的地址的掩碼ciscoasa(config)accessgroup list_name in/out interface interface_namein/out:標準訪問控制列表的名稱interface_name:調(diào)用控制列表的接口名
環(huán)評公示相關推薦
鄂ICP備17016276號-1