CiscoASA防火墙详细图文配置实例Word格式文档下载.docx

CiscoASA防火墙详细图文配置实例Word格式文档下载.docx

《CiscoASA防火墙详细图文配置实例Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《CiscoASA防火墙详细图文配置实例Word格式文档下载.docx（10页珍藏版）》请在冰豆网上搜索。

4、更新Image文件。

准备好TFTP服务器和新的Image文件，开始更新。

5、更新ASDM。

6、更新完成后，再用dir命令查看

7、修改启动文件。

以便于ASA防火墙能够从新的Image启动

8、存盘，重启

9、用shversion命令验证启动文件，可以发现当前的Image文件

就是更新后的

10、设置允许用图形界面来管理ASA防火墙

表示内部接口的任意地址都可以通过http的方式来管理防火墙。

11、打开浏览器，在地址栏输入防火墙内部接口的IP地址

选择“是”按钮。

12、出现安装ASDM的画面

选择“InstallASDMLauncherandRunASDM”按钮，开始安装过程。

13、安装完成后会在程序菜单中添加一个程序组

14、运行ASDMLauncher，出现登陆画面

15、验证证书

单击“是”按钮后，开始登陆过程

16、登陆进去后，出现防火墙的配置画面，就可以在图形界面下完

成ASA防火墙的配置

17、选择工具栏的“Configuration”按钮

18、选择“Interface”，对防火墙的接口进行配置，这里配置g0/3

接口

选择g0/3接口，并单击右边的“Edit”按钮

19、配置接口的IP地址，并将该接口指定为outside

单击OK后，弹出“SecurityLevelChange”对话框，单击OK

20、编辑g0/1接口，并定义为DMZ区域

21、接口配置完成后，要单击apply按钮，以应用刚才的改变，这

一步一定不能忘

22、设置静态路由

单击Routing->

StaticRoute->

Add

23、设置enable密码

24、允许ssh方式登录防火墙

25、增加用户

定义ssh用本地数据库验证

26、用ssh登录测试

登录成功

27、建立动态NAT转换

选择AddDynamicNATRule

Interface选择inside，Source处输入any

单击Manage按钮

单击add，增加一个地址池

Interface选择Outside，选择PAT，单击Add按钮

单击OK

完成了添加动态NAT转换

28、静态NAT转换

由于笔者2009年离开了原单位，有些配置的截图没有做，新单位又

没有ASA防火墙，只好参考《ASA8.0/ASDM6.0测试报告》的截图

和文档来完成本文，并将该文档中部分常用的配置联接在本文后，对

该文的作者表示感谢。

关于在ASA上配置IPSecVPN和SSLVPN的

截图都没有，所以本文中就只好省略掉这一部分了。

为172.16.1.10添加静态NAT转换。

29、免除NAT

当穿过防火墙的访问某些区域而不需要进行NAT转换时就需要用到

免除NAT功能。

如为inside访问DMZ区域的服务器时就不需要进行

NAT转换，这时就可以配置免除NAT。

以下为《ASA8.0/ASDM6.0测试报告》文档的部分内容，对原文档中

的序号等未作修改。

7定义安全策略

注意缺省情况下高安全级别到低安全级别安全策略是允许通过的，所

以inside到ouside，DMZ到ouside不用设置安全策略流量就可以

通过

此时我们只需要建立outside到DMZ的HTTPserver

（172.16.1.10）的安全策略

PDFcreatedwithpdfFactoryProtrialversion

8multi-context模式

将管理PC接到M0/0口

添加context在本例中我们加两个contextA和B

此时contextA已经配置完毕，contextB的配置方法一样。

登陆contextA

对于context的其他配置和配置single模式是一样的。

9透明模式

9.1设置透明模式

转换模式

定义接口

设置管理IP

透明模式下安全策略的定义和路由模式的设置是一样的。

9.2透明模式下的NAT

ASA上设置如下:

10应用层协议检测

10.1过滤InstantMessengers

此次我们用YAHOOmessenger做测试

将YahooMessenger的连接配置修改为Firewallwithnoproxies,然后我们将利用ASA的

应用安全策略进行控制.

此时Yahoomessenger无法登陆。

我们可以通过CLI验证配置

10.2过滤longURL

此时URI长度超过20Bytes将无法正常显示。

通过CLI验证

10.3通过QOS对应用进行限速

观察限速结果

10.4对应用程序命令进行过滤

此次我们防止客户上传文件到FTPSERVER

通过CLI进行配置验证

验证结果：

11对HTTP进行应用过滤

11.1FilteringJavaApplets

过滤前：

过滤后：

11.2filteractiveX

11.4基于表达式过滤URL

通过CLI配置：

通过ASDM配置：

12High-Availability

12.1active/standby

12.2active/active

建立组1如下图

建立组2如下图

通过CLI验证配置