ASA配置命令.docx
《ASA配置命令.docx》由会员分享，可在线阅读，更多相关《ASA配置命令.docx（43页珍藏版）》请在冰豆网上搜索。
ASA配置命令
要想配置思科得防火墙得先了解这些命令:
常用命令有:
namｅiｆ、interface、iｐaddress、nat、globａl、roｕte、statiｃ等。
global
指定公网地址范围:
定义地址池、
Ｇlobal命令得配置语法:
globaｌ（ｉf_name）ｎａt_idip_address－ip_addresｓ［netmarkglobal_mａsk]
其中:
（ｉf＿ｎaｍe）:
表示外网接口名称,一般为ouｔｓide。
naｔ_ｉd:
建立得地址池标识（nａt要引用）。
iｐ_ａddｒｅss—ip_aｄdrｅss:
表示一段iｐ地址范围。
［neｔmarｋgloｂａｌ_mａsk］:
表示全局ip地址得网络掩码。
ｎat
地址转换命令,将内网得私有ip转换为外网公网ip。
naｔ命令配置语法:
nａt（if＿namｅ）nat_id lｏcal_ip［nｅtmａｒk］
其中:
（ｉf_naｍｅ）:
表示接口名称,一般为inｓide。
ｎat＿id:
表示地址池,由globaｌ命令定义。
lｏcal_ip:
表示内网得ｉp地址。
对于0、0.0。
0表示内网所有主机。
［nｅtmark］:
表示内网ｉp地址得子网掩码。
routｅ
rｏute命令定义静态路由。
语法:
route（iｆ＿ｎame） 0 0gatewaｙ_ｉｐ ［metｒiｃ]
其中:
（if_ｎａme）:
表示接口名称。
00:
表示所有主机
Ｇateｗay＿ip:
表示网关路由器得ip地址或下一跳。
[mｅｔric]:
路由花费。
缺省值就是1。
sｔatic
配置静态IP地址翻译,使内部地址与外部地址一一对应。
语法:
stａtic（iｎtｅrnal＿if＿ｎame,externａl_ｉf_nａｍe） outsｉｄｅ_iｐ_adｄrｉnsidｅ＿ip_addrｅss
其中:
interｎal_if_naｍe表示内部网络接口,安全级别较高,如iｎsｉｄe。
external_if＿naｍe表示外部网络接口,安全级别较低,如outside。
ｏutsiｄe＿ip_ａddress表示外部网络得公有ip地址。
iｎsiｄe_ip＿address表示内部网络得本地ip地址、
（括号内序顺就是先内后外,外边得顺序就是先外后内）
例如:
aｓa（config）#sｔatic（ｉnｓｉde,ｏutｓide） 133.0。
0、1 1９2.１68.０.8
表示内部ip地址1９2。
168。
0。
8,访问外部时被翻译成１３３、0、0。
１全局地址
＊＊＊＊*＊＊*＊**＊＊＊*＊＊＊*＊**＊*＊＊＊＊＊*＊＊＊＊*＊＊＊＊＊＊*＊＊***＊＊*＊＊＊**＊＊****＊*＊*＊*＊＊＊＊＊*＊
aｓa＃coｎft
asa（confiｇ）#hostｎameasａ/／设置主机名
asa（cｏnｆig）＃eｎaｂle passwｏrdciｓco//设置密码
配置外网得接口,名字就是ouｔsidｅ,安全级别0,输入ISＰ给您提供得地址就行了。
asa（config）＃iｎterfａｃｅ GigabitEthernｅt0/０
asa（conｆig）＃namｅｉfｏutside /／名字就是oｕtｓiｄｅ
ａsa（config）＃seｃｕｒit—ｌeｖｅl０ //安全级别0
asa（conｆig）＃ip ａddress＊、*.＊、*２55.2５5、255。
0 ／/配置公网IP地址
asa（coｎｆig）＃ｄuplexfull
asa（ｃonfｉg）#
asa（ｃonｆig）＃nｏshutｄoｗn
配置内网得接口,名字就是inside,安全级别100
asa（confiｇ）#inｔeｒface GigabitEthｅｒnｅｔ０/１
aｓa（config）#nameifinｓｉde
asa（config）＃secuｒit－lｅvel1０0
aｓa（ｃｏnfiｇ）＃duｐleｘfｕll
asa（confiｇ）＃sｐｅed100
asa（conｆig）＃nｏsｈutdown
配置ＤMＺ得接口,名字就是ｄmz,安全级别5０
asa（cｏｎfｉg）#ｉnterｆacｅGｉgａbitEthernet0／2
asa（conｆig）＃ｎameifdmz
asa（config）＃securit—ｌevｅl50
ａsa（confiｇ）＃duplexfｕｌl
asａ（cｏｎfiｇ）＃
aｓa（cｏnfiｇ）＃nｏshuｔｄoｗn
网络部分设置
asa（ｃonｆig）#nat（ｉnsｉｄe）1192.168、1.125５.255、2５5。
0
asa（conｆiｇ）＃globａl（ｏutsｉｄe）１2２2、240。
2５4。
１9３255。
2５5、２5５。
２48
ａｓa（coｎfig）#nａｔ（inside）0192、168、1、12５５、25５、255。
255//表示192。
１68、1。
１这个地址不需要转换。
直接转发出去。
asａ（ｃｏnfig）＃gｌobal（ｏuｔsidｅ）1133.1、０、1—133。
１、0。
14／/定义得地址池
asａ（ｃonfiｇ）#ｎat （inside） 10 0/／00表示转换网段中得所有地址。
定义内部网络地址将要翻译成得全局地址或地址范围
配置静态路由
ａsa（ｃonfig）＃roｕteouｔside0 01３３。
０、0.２//设置默认路由1３3、0。
０、2为下一跳
如果内部网段不就是直接接在防火墙内口,则需要配置到内部得路由、
aｓa（confｉg）#Rｏutｅinside 192、16８、１0.02５5、２55、255.0１９２.168、１、11
地址转换
aｓa（confiｇ）＃staｔiｃ（dmz,outsidｅ）133、1.０。
110。
６5。
１。
101 ;静态NAT
asa（coｎfｉg）#ｓtatic（dｍｚ,oｕtsｉde）１33。
1。
0.２ 10、65、1。
102;静态NAT
asa（coｎfｉｇ）#statｉc（iｎｓidｅ,dmｚ）10、66。
1、20０10.66、1、20０;静态ＮAT
如果内部有服务器需要映射到公网地址（外网访问内网）则需要sｔatic
aｓa（coｎfig）＃ｓｔａｔiｃ（iｎside,outsidｅ）222。
２４０、25４.194192。
１６８.１。
240
ａsa（ｃonｆig）＃staｔｉc（iｎside,ｏｕtside）222、2４0.2５4。
194192、168、1。
240 100０010／/后面得10000为限制连接数,１0为限制得半开连接数
ＡCＬ实现策略访问
asa（conｆｉg）＃access—lisｔ10１pｅrｍitiｐanｙ host133。
１.0.1eq ;设置ACL
asａ（cｏnｆig）＃aｃcess—ｌｉst１0１permｉtiｐ aｎｙhｏst１3３.1、０。
２eqftp;设置ACL
asa（ｃonfｉg）＃aｃcess－ｌiｓｔ10１dｅnyipanyanｙ ;设置ＡCL
asa（ｃｏnfig）＃accｅsｓ-group１01inintｅrfａｃeoｕtsｉdｅ;将ACＬ应用在ｏuｔsiｄe端口
当内部主机访问外部主机时,通过ｎat转换成公网IP,访问interｎet。
当内部主机访问中间区域dmz时,将自己映射成自己访问服务器,否则内部主机将会映射成地址池得IP,到外部去找。
当外部主机访问中间区域dmz时,对133。
0、0。
１映射成１0、6５。
１.101,statｉｃ就是双向得。
PIＸ得所有端口默认就是关闭得,进入PIＸ要经过acl入口过滤、
静态路由指示内部得主机与dｍｚ得数据包从outside口出去。
思科ASA与PIＸ防火墙配置手册
一、配置基础
1.1用户接口
思科防火墙支持下列用户配置方式:
Console,Telneｔ,ＳSH（1.x或者2.0,２、0为７.x新特性,PDM得方式（7。
ｘ以后称为ASDM）与VMS得FirewａｌｌManａgementＣeｎter、
支持进入ＲomMｏnｉtｏr模式,权限分为用户模式与特权模式,支持Helｐ,Hiｓｔoｒy与命令输出得搜索与过滤、
注:
Cataｌyst65０0得FWSM没有物理接口接入,通过下面CLI命令进入:
Swiｔcｈ＃ sessioｎsloｔsｌotｐrocessor 1（FＷSM所在ｓｌot号）
用户模式:
Firewaｌl〉为用户模式,输入enable进入特权模式Fireｗａll#。
特权模式下可以进入配置模式,在6.x所有得配置都在一个全局模式下进行,7。
x以后改成与IOS类似得全局配置模式与相应得子模式、通过ｅxit,ctrl—z退回上级模式。
配置特性:
在原有命令前加nｏ可以取消该命令。
Showrunｎing-conｆig 或者ｗriteteｒmiｎal显示当前配置,７。
x后可以对shｏｗｒun得命令输出进行搜索与过滤。
Sｈowruｎnｉng-coｎfigalｌ显示所有配置,包含缺省配置。
Tａb可以用于命令补全,ｃtrl—l可以用于重新显示输入得命令（适用于还没有输入完命令被系统输出打乱得情况）,help与hiｓtｏry相同于IOS命令集、
Ｓhow命令支持bｅgiｎ,incｌｕdｅ,exｃludｅ,grｅｐ加正则表达式得方式对输出进行过滤与搜索。
Ｔeｒｍinalwidth命令用于修改终端屏幕显示宽度,缺省为8０个字符,ｐａger命令用于修改终端显示屏幕显示行数,缺省为２4行,pａgerｌineｓ 0命令什么效果可以自己试试。
1.２防火墙许可介绍
防火墙具有下列几种许可形式,通过使用ｓhowverｓiｏn命令可以瞧设备所支持得特性:
Unreｓtｒiｃted（ＵＲ）所有得限制仅限于设备自身得性能,也支持Fａilovｅr
Rｅｓtrｉcteｄ（R）防火墙得内存与允许使用得最多端口数有限制,不支持Fａiｌｏvｅｒ
Ｆａiloｖer（FO） 不能单独使用得防火墙,只能用于Failover
Failovｅr-Active/Actiｖe（FO—AA）只能与ＵR类型得防火墙一起使用,支持acｔｉve/ａｃｔｉveｆaｉlover
注:
ＦWSＭ内置ＵR许可。
aｃtivaｔion-ｋeｙ命令用于升级设备得许可,该许可与设备得seｒialnumbｅr有关（ｓｈowversiｏn输出可以瞧到）,6。
x为16字节,7、x为20字节。
1。
3初始配置
跟路由器一样可以使用ｓetｕp进行对话式得基本配置。
二、配置连接性
２。
１配置接口
接口基础:
防火墙得接口都必须配置接口名称,接口ＩP地址与掩码（７、x开始支持IPv６）与安全等级。
接口可以就是物理接口也可以就是逻辑接口（vｌan）,从6、3贾С？
ｌt;/SPAN＞trunk,但只支持８02。
1Q封装,不支持DTＰ协商。
接口基本配置:
注:
对于ＦＷSＭ所有得接口都为逻辑接口,名字也就是vlaｎ后面加上vlａnｉｄ。
例如ＦWSM位于６５００得第三槽,配置三个接口,分别属于vlan100,200,３０0、
Ｓwitｃh（ｃonfig）＃ firewallvｌan-grｏｕp 1 １0０,２0０,３０0
Swｉtch（ｃonｆiｇ）#fireｗall module3vｌａｎ—ｇｒouｐ１
Ｓwitch（ｃｏnfｉｇ）＃exit
Ｓwｉｔch＃ sessionslot３ ｐrocｅｓsoｒ1
经过此配置后形成三个端口vlan100。
vlan2０0,vlan300
PIX６。
x
Fｉrewall（coｎfｉg）＃interfaceｈarｄwａｒｅ-id[harｄｗaｒe—spｅed］［shｕtdｏｗn]（Hardware－iｄ可以用sｈｏｗversion命令瞧到）
PＩX 7。
x
Fｉrewall（conｆiｇ）#inteｒfacehａｒｄwａre-id
Firｅwaｌｌ（coｎfig－if）＃spｅed｛auto|1０|1０0｜nonegotｉaｔｅ｝
Firewaｌl（conｆｉg—if）＃duplex {aｕto|fｕll|hａlf｝
Firewall（config－ｉf）＃[nｏ］ ｓhuｔdown
命名接口
FWSM2。
x
Ｆｉrｅwaｌl（cｏnfig）＃namｅif ｖlａn—id if_nameｓecuriｔｙｌｅvel
ＰIＸ６。
x
Fｉrewａll（confｉg）#nameiｆ ｛harｄｗare-iｄ|vlan-id}iｆ_nａmｅ sｅcurｉtylevｅl
ＰIＸ7。
x
Firewalｌ（coｎfig）＃ inｔerｆacｅｈarｄwａrｅ_id［、subｉntｅrｆace]
Fireｗaｌl（coｎfig－iｆ）＃ naｍeifif_name
Ｆiｒewall（cｏｎfｉｇ—if）＃ secuｒity－ｌeｖel leｖel
注:
Pix7、x与FWSM2、x开始支持不同接口有相同得sｅcurｉtｙlｅｖeｌ,前提就是全局配置模式下使用ｓame—seｃuｒｉtｙ-ｔrａfｆicpermit ｉｎter-ｉntｅrfaｃe命令。
配置IＰ地址
静态地址:
Ｆirewall（coｎfig）＃ｉp addressif_nａmeip_address [netｍａsk]
动态地址:
Firｅwａll（ｃoｎfｉｇ）＃ iｐadｄreｓｓoutsidｅdhcp[sｅｔrｏuｔe]［rｅｔｒyｒｅtry＿cnｔ]
注:
ｓetroutｅ参数可以同时获得来自ＤHCP服务器得缺省路由,再次输入此命令可以ｒenｅw地址。
PPPOＥ:
Firewａll（coｎfiｇ）＃ vpｄn usernameJohnDoｅｐasswoｒdＪDsｅｃｒeｔ
Firｅwall（config）＃ ｖpdnｇroupＩSP1ｌｏcalname JohnDｏe
Fｉrewａｌl（confｉg）＃vpdngrｏuｐＩSP１ ｐpp auｔhｅｎtiｃatiｏnｃhａp
Fｉrewalｌ（ｃonｆｉg）＃vpdｎgroｕpIＳＰ1ｒequestdｉaloutpppoe
Firewaｌl（conｆig）# ipadｄressoutｓiｄepppoesetrｏｕｔｅ
验证接口
Fｉｒewａｌｌ＃shoｗｉｐ
ＩPv6地址配置（７。
x新特性）
暂略
ARＰ配置
配置一个静态得ＡRP条目:
Firｅwａll（confiｇ）＃arpｉf_nameip_adｄｒｅss mac_ａｄdress［aｌias］
配置tｉｍｅout时间:
Fｉｒewａｌl（cｏnfig）＃aｒptiｍeｏut seｃonｄs缺省为4小时
注:
一般情况下使用clearａrp会清除所有得ＡＲP缓存,不能针对单个得条目,但就是可以通过以下变通方法:
配置一个静态得条目,映射有问题得ｉｐ为一个假得mａc地址,然后nｏ掉该命令就会重新建立一个arp条目。
ＭTU与分段
配置MＴU:
Fireｗａll（ｃonfig）＃mtu if_namｅbyｔｅs使用sｈow ｍｔu（６.3）或者ｓhowｒunninｇ-configmtｕ（７。
x）来验证
分段（fragment）得几个命令:
限制等待重组得分段数Fireｗaｌl（conｆig）＃ｆragｍeｎｔsｉzedaｔａbase-ｌiｍit［ｉｆ_name]
限制每个包得分段数Fｉrｅｗａll（coｎfｉｇ）# fragmeｎtcｈａin ｃｈａｉn-lｉmit[ｉf_namｅ］
限制一个数据包分段到达得时间Fｉrewall（config）#ｆｒagｍｅnｔ ｔimeoutsecoｎds［ｉｆ_ｎａme]
配置接口得优先队列（7、x新特性）
暂略
2.2配置路由
启用PＲF防止地址欺骗Firewall（config）#ip veriｆyｒevｅrse—ｐａtｈｉnterfaceif_name
配置静态路由Fｉreｗalｌ（conｆig）＃rｏｕte ｉｆ_naｍｅip_address nｅtｍaskｇateｗay_ip［metｒic］
配置RIＰ
被动听ＲIＰ更新（v1,ｖ2）Ｆiｒewall（confｉg）# riｐif＿ｎameｐａｓsiｖe［version1］ （Ｆｉrewall（conｆig）# rｉｐiｆ＿nａmepａｓsiｖeｖerｓion２［authｅｎticａtｉon［ｔext |md5keｙ （kｅy_id）］］）
宣告该接口为缺省路由Fireｗａlｌ（ｃonfig）#rｉｐif_namedefａulｔｖｅrsion［1| 2［autｈenticａｔion［text｜mｄ5keykey＿ｉd］］
配置ＯSPF
定义OSPF进程Fiｒｅｗaｌl（ｃｏnfig）＃router ｏspfｐid
指定相应网络到ＯSPF区域Ｆiｒｅｗall（cｏnfiｇ-roｕter）＃networkiｐ_aｄdreｓsnetｍaｓkareａarea_id
可选:
定义RouterIＤ Fiｒewaｌl（ｃoｎｆig－rouｔeｒ）#rｏｕter—idｉp＿adｄreｓs
记录ＯSPF邻居状态更新Ｆirｅwａll（ｃoｎfｉg－routｅr）＃ｌｏｇ－adj－changｅs [deｔaｉl]
启用OＳPF更新认证 Fireｗall（confｉｇ—rouｔer）＃area ａrea＿idauthenticａｔion ［ｍｅssage-dｉgest］宣告缺省路由 Ｆirewall（ｃｏnfig-roｕter）＃dｅfａuｌｔ—inｆormationoriginaｔe［alｗaｙｓ］［mｅtｒｉcｖａlue]［ｍetｒic－ｔype{１｜ ２}］［roｕte—ｍaｐname]调节OＳＰＦ参数Fｉrewall（ｃonｆig-routeｒ）＃timeｒs{spfspf_dｅlay ｓpｆ_ｈoｌdtimｅ ｜lsa—grouｐ－ｐaｃinｇseconds｝
２。
3DＨCP
配置成为DHCP Servｅｒ:
配置地址池Firewaｌl（coｎfiｇ）＃dｈcpdaddresｓｉp1[-iｐ2］if_ｎａme （最多256个客户端）
配置ＤHCP参数Ｆiｒｅwaｌl（conｆig）＃ dhcpddｎsdnｓ1[dns2]Firewａll（ｃｏnfiｇ）＃ｄhcpdwiｎｓｗins1 ［wｉns２］Firｅwall（cｏnfig）#dhｃpd doｍainｄｏmaｉn_ｎamｅFiｒｅｗaｌl（conｆiｇ）＃dhｃpdlｅaseｌease_lengtｈFirewaｌl（ｃｏnfig）＃ｄhｃpｄ ping_tｉｍｅｏut timeoｕｔ
启用DHCP服务Fiｒewalｌ（coｎfig）＃dhｃpｄenａble iｆ_nａme
验证:
shｏwdhcdp,sｈowdhcpｄbindings,sｈoｗdhcｐdstatiｓｔics
配置ＤHCＰ中继:
定义真实ＤHCＰSeｒｖeｒＦiｒewall（coｎｆｉg）＃dhcpreｌaｙｓerverdｈcp_servｅr_iｐserｖer_iｆc（最多４个）
中继参数Fｉreｗaｌｌ（config）＃dhcｐrｅlay timeouｔsｅcondsＦiｒewall（ｃｏnfｉg）#dｈcｐrelａysetrouｔe clｉenｔ_ifc
启用中继Ｆiｒeｗall（coｎfiｇ）＃ dhcｐreｌａyenaｂlecｌienｔ_iｆc
验证showdhcprｅlaystatisｔiｃs
2、４组播得支持
暂略
一、防火墙得管理
3.１使用Ｓeｃurity Conｔｅxt建立虚拟防火墙（7、ｘ特性）
特性介绍:
从PIX7、0与ＦWＳM2。
2（１）开始,可以把物理得一个防火墙配置出多个虚拟得防火墙,每个防火墙称为ｃonｔｅxt,这样一个防火墙就支持两种工作模式:
ｓｉngle-ｃoｎtｅｘt与multｉplｅ－ｃontext,处于后者工作模式得防火墙被分为三个功能模块:
systｅｍexecutioｎspacｅ（虽然没有contｅｘｔ得功能,但就是就是所有得基础）,admｉｎistrativｅｃontexｔ（被用来管理物理得防火墙）与uｓerconｔexｔs（虚拟出来得防火墙,所有配置防火墙得命令都适用）
配置:
首先使用sｈowaｃtｉvation-key来验证就是否有mｕlｔiｐｌe－context得许可,然后通过modeｍultiple与modesiｎgle命令在这两个模式之间进行切换,当然也可以用ｓhｏw mode来验证现在工作在什么模式下。
在不同coｎtext下进行切换使用Fireｗall＃cｈangeto｛sｙsｔem｜cｏnteｘt name｝,由于所有得coｎtｅxt得定义都必须在sｙstemexｅcuｔioｎspacｅ下,所以要首先使用chaｎgetoｓｙsｔem转入该模式,Firewall（cｏnｆｉg）#conteｘtｎａｍe 接着要把物理接口映射到context中 只要这样才能在相应得ｃoｎtｅｘt下显示出物理接口,从而配置其属性Firｅwaｌl（cｏnfig—ctx）＃ａllｏｃate—intｅｒｆaｃepｈysｉcal－iｎtｅrface ［maｐ—nａme] 最后定义contexｔ得starｔup-cｏnfig得存放位置Fｉｒeｗall（confｉg—ｃｔx）＃confｉg－uｒｌurl通过shｏｗ conｔexｔ验证
注:
当防火墙工作在ｍultiplｅ－cｏntexｔ模式下,admin cｏｎｔext就自动生成、（showconｔext来验证）
由于所有得context都共享设备得资源,所以要限制各个cｏntext得资源分配
首先定义claｓsFiｒｅwall（config）＃ clａｓｓnａme然后Fｉrewaｌl（conｆiｇ－clａss）#lｉmiｔ-ｒesoｕrceaｌlnumber%Fｉreｗaｌｌ（coｎfｉg—ｃlaｓｓ）#limit－resouｒce［ratｅ]ｒｅｓource_nａmenｕmber[％］最后在相应得cｏntexｔ配置下Fｉrｅwall（confｉg-ｃtｘ）#ｍｅmｂeｒ cｌass
通过以下命令验证ｓhｏwclass, shoｗreｓourｃealloｃａtion, shｏwrｅsourceusage等
注:
缺省ｔelｎet,ssh,ＩＰseｃ 5sesｓions,MACaddress655３5条目
３、２管理Flasｈ文件系统
6。
x文
升级会员 