ASA配置命令.docx
《ASA配置命令.docx》由会员分享，可在线阅读，更多相关《ASA配置命令.docx（29页珍藏版）》请在冰豆网上搜索。
ASA配置命令
要想配置思科的防火墙得先了解这些命令：
常用命令有：
nameif、interface、ipaddress、nat、global、route、static等。
global
指定公网地址范围：
定义地址池。
Global命令的配置语法：
global（if_name）nat_idip_address-ip_address[netmarkglobal_mask]
其中：
（if_name）：
表示外网接口名称，一般为outside。
nat_id：
建立的地址池标识（nat要引用）。
ip_address-ip_address：
表示一段ip地址范围。
[netmarkglobal_mask]：
表示全局ip地址的网络掩码。
nat
地址转换命令，将内网的私有ip转换为外网公网ip。
nat命令配置语法：
nat（if_name）nat_idlocal_ip[netmark]
其中：
（if_name）：
表示接口名称，一般为inside.
nat_id：
表示地址池，由global命令定义。
local_ip：
表示内网的ip地址。
对于0.0.0.0表示内网所有主机。
[netmark]：
表示内网ip地址的子网掩码。
route
route命令定义静态路由。
语法：
route（if_name）00gateway_ip[metric]
其中：
（if_name）：
表示接口名称。
00：
表示所有主机
Gateway_ip：
表示网关路由器的ip地址或下一跳。
[metric]：
路由花费。
缺省值是1。
static
配置静态IP地址翻译，使内部地址与外部地址一一对应。
语法：
static（internal_if_name,external_if_name）outside_ip_addrinside_ip_address
其中：
internal_if_name表示内部网络接口，安全级别较高，如inside。
external_if_name表示外部网络接口，安全级别较低，如outside。
outside_ip_address表示外部网络的公有ip地址。
inside_ip_address表示内部网络的本地ip地址。
（括号内序顺是先内后外，外边的顺序是先外后内）
例如：
asa（config）#static（inside，outside）133.0.0.1192.168.0.8
表示内部ip地址192.168.0.8，访问外部时被翻译成133.0.0.1全局地址
**************************************************************************
asa#conft
asa（config）#hostnameasa//设置主机名
asa（config）#enablepasswordcisco//设置密码
配置外网的接口，名字是outside，安全级别0，输入ISP给您提供的地址就行了。
asa（config）#interfaceGigabitEthernet0/0
asa（config）#nameifoutside//名字是outside
asa（config）#securit-level0//安全级别0
asa（config）#ipaddress*.*.*.*255.255.255.0//配置公网IP地址
asa（config）#duplexfull
asa（config）#
asa（config）#noshutdown
配置内网的接口，名字是inside，安全级别100
asa（config）#interfaceGigabitEthernet0/1
asa（config）#nameifinside
asa（config）#securit-level100
asa（config）#duplexfull
asa（config）#speed100
asa（config）#noshutdown
配置DMZ的接口,名字是dmz，安全级别50
asa（config）#interfaceGigabitEthernet0/2
asa（config）#nameifdmz
asa（config）#securit-level50
asa（config）#duplexfull
asa（config）#
asa（config）#noshutdown
网络部分设置
asa（config）#nat（inside）1192.168.1.1255.255.255.0
asa（config）#global（outside）1222.240.254.193255.255.255.248
asa（config）#nat（inside）0192.168.1.1255.255.255.255//表示192.168.1.1这个地址不需要转换。
直接转发出去。
asa（config）#global（outside）1133.1.0.1-133.1.0.14//定义的地址池
asa（config）#nat（inside）100//00表示转换网段中的所有地址。
定义内部网络地址将要翻译成的全局地址或地址范围
配置静态路由
asa（config）#routeoutside00133.0.0.2//设置默认路由133.0.0.2为下一跳
如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。
asa（config）#Routeinside192.168.10.0255.255.255.0192.168.1.11
地址转换
asa（config）#static（dmz，outside）133.1.0.110.65.1.101;静态NAT
asa（config）#static（dmz，outside）133.1.0.210.65.1.102;静态NAT
asa（config）#static（inside，dmz）10.66.1.20010.66.1.200;静态NAT
如果内部有服务器需要映射到公网地址（外网访问内网）则需要static
asa（config）#static（inside,outside）222.240.254.194192.168.1.240
asa（config）#static（inside,outside）222.240.254.194192.168.1.2401000010//后面的10000为限制连接数，10为限制的半开连接数
ACL实现策略访问
asa（config）#access-list101permitipanyhost133.1.0.1eqwww;设置ACL
asa（config）#access-list101permitipanyhost133.1.0.2eqftp;设置ACL
asa（config）#access-list101denyipanyany;设置ACL
asa（config）#access-group101ininterfaceoutside;将ACL应用在outside端口
当内部主机访问外部主机时，通过nat转换成公网IP，访问internet。
当内部主机访问中间区域dmz时，将自己映射成自己访问服务器，否则内部主机将会映射成地址池的IP，到外部去找。
当外部主机访问中间区域dmz时，对133.0.0.1映射成10.65.1.101，static是双向的。
PIX的所有端口默认是关闭的，进入PIX要经过acl入口过滤。
静态路由指示内部的主机和dmz的数据包从outside口出去。
思科ASA和PIX防火墙配置手册
一、配置基础
1.1用户接口
思科防火墙支持下列用户配置方式：
Console，Telnet，SSH（1.x或者2.0，2.0为7.x新特性，PDM的http方式（7.x以后称为ASDM）和VMS的FirewallManagementCenter。
支持进入RomMonitor模式，权限分为用户模式和特权模式，支持Help，History和命令输出的搜索和过滤。
注：
Catalyst6500的FWSM没有物理接口接入，通过下面CLI命令进入：
Switch#sessionslotslotprocessor1（FWSM所在slot号）
用户模式：
Firewall>为用户模式，输入enable进入特权模式Firewall#。
特权模式下可以进入配置模式，在6.x所有的配置都在一个全局模式下进行，7.x以后改成和IOS类似的全局配置模式和相应的子模式。
通过exit，ctrl-z退回上级模式。
配置特性：
在原有命令前加no可以取消该命令。
Showrunning-config或者writeterminal显示当前配置，7.x后可以对showrun的命令输出进行搜索和过滤。
Showrunning-configall显示所有配置，包含缺省配置。
Tab可以用于命令补全，ctrl-l可以用于重新显示输入的命令（适用于还没有输入完命令被系统输出打乱的情况），help和history相同于IOS命令集。
Show命令支持begin，include，exclude，grep加正则表达式的方式对输出进行过滤和搜索。
Terminalwidth命令用于修改终端屏幕显示宽度，缺省为80个字符，pager命令用于修改终端显示屏幕显示行数，缺省为24行，pagerlines0命令什么效果可以自己试试。
1.2防火墙许可介绍
防火墙具有下列几种许可形式，通过使用showversion命令可以看设备所支持的特性：
Unrestricted（UR）所有的限制仅限于设备自身的性能，也支持Failover
Restricted（R）防火墙的内存和允许使用的最多端口数有限制，不支持Failover
Failover（FO）不能单独使用的防火墙，只能用于Failover
Failover-Active/Active（FO-AA）只能和UR类型的防火墙一起使用，支持active/activefailover
注：
FWSM内置UR许可。
activation-key命令用于升级设备的许可，该许可和设备的serialnumber有关（showversion输出可以看到），6.x为16字节，7.x为20字节。
1.3初始配置
跟路由器一样可以使用setup进行对话式的基本配置。
二、配置连接性
2.1配置接口
接口基础：
防火墙的接口都必须配置接口名称，接口IP地址和掩码（7.x开始支持IPv6）和安全等级。
接口可以是物理接口也可以是逻辑接口（vlan），从6.3贾С?
lt;/SPAN>trunk，但只支持802.1Q封装，不支持DTP协商。
接口基本配置：
注：
对于FWSM所有的接口都为逻辑接口，名字也是vlan后面加上vlanid。
例如FWSM位于6500的第三槽，配置三个接口，分别属于vlan100,200,300.
Switch（config）#firewallvlan-group1100,200,300
Switch（config）#firewallmodule3vlan-group1
Switch（config）#exit
Switch#sessionslot3processor1
经过此配置后形成三个端口vlan100.vlan200,vlan300
PIX6.x
Firewall（config）#interfacehardware-id[hardware-speed][shutdown]（Hardware-id可以用showversion命令看到）
PIX7.x
Firewall（config）#interfacehardware-id
Firewall（config-if）#speed{auto|10|100|nonegotiate}
Firewall（config-if）#duplex{auto|full|half}
Firewall（config-if）#[no]shutdown
命名接口
FWSM2.x
Firewall（config）#nameifvlan-idif_namesecuritylevel
PIX6.x
Firewall（config）#nameif{hardware-id|vlan-id}if_namesecuritylevel
PIX7.x
Firewall（config）#interfacehardware_id[.subinterface]
Firewall（config-if）#nameifif_name
Firewall（config-if）#security-levellevel
注：
Pix7.x和FWSM2.x开始支持不同接口有相同的securitylevel，前提是全局配置模式下使用same-security-trafficpermitinter-interface命令。
配置IP地址
静态地址：
Firewall（config）#ipaddressif_nameip_address[netmask]
动态地址：
Firewall（config）#ipaddressoutsidedhcp[setroute][retryretry_cnt]
注：
setroute参数可以同时获得来自DHCP服务器的缺省路由，再次输入此命令可以renew地址。
PPPOE：
Firewall（config）#vpdnusernameJohnDoepasswordJDsecret
Firewall（config）#vpdngroupISP1localnameJohnDoe
Firewall（config）#vpdngroupISP1pppauthenticationchap
Firewall（config）#vpdngroupISP1requestdialoutpppoe
Firewall（config）#ipaddressoutsidepppoesetroute
验证接口
Firewall#showip
IPv6地址配置（7.x新特性）
暂略
ARP配置
配置一个静态的ARP条目：
Firewall（config）#arpif_nameip_addressmac_address[alias]
配置timeout时间：
Firewall（config）#arptimeoutseconds缺省为4小时
注：
一般情况下使用cleararp会清除所有的ARP缓存，不能针对单个的条目，但是可以通过以下变通方法：
配置一个静态的条目，映射有问题的ip为一个假的mac地址，然后no掉该命令就会重新建立一个arp条目。
MTU和分段
配置MTU：
Firewall（config）#mtuif_namebytes使用showmtu（6.3）或者showrunning-configmtu（7.x）来验证
分段（fragment）的几个命令：
限制等待重组的分段数Firewall（config）#fragmentsizedatabase-limit[if_name]
限制每个包的分段数Firewall（config）#fragmentchainchain-limit[if_name]
限制一个数据包分段到达的时间Firewall（config）#fragmenttimeoutseconds[if_name]
配置接口的优先队列（7.x新特性）
暂略
2.2配置路由
启用PRF防止地址欺骗Firewall（config）#ipverifyreverse-pathinterfaceif_name
配置静态路由Firewall（config）#routeif_nameip_addressnetmaskgateway_ip[metric]
配置RIP
被动听RIP更新（v1，v2）Firewall（config）#ripif_namepassive[version1]（Firewall（config）#ripif_namepassiveversion2[authentication[text|md5key（key_id）]]）
宣告该接口为缺省路由Firewall（config）#ripif_namedefaultversion[1|2[authentication[text|md5keykey_id]]
配置OSPF
定义OSPF进程Firewall（config）#routerospfpid
指定相应网络到OSPF区域Firewall（config-router）#networkip_addressnetmaskareaarea_id
可选：
定义RouterIDFirewall（config-router）#router-idip_address
记录OSPF邻居状态更新Firewall（config-router）#log-adj-changes[detail]
启用OSPF更新认证Firewall（config-router）#areaarea_idauthentication[message-digest]宣告缺省路由Firewall（config-router）#default-informationoriginate[always][metricvalue][metric-type{1|2}][route-mapname]调节OSPF参数Firewall（config-router）#timers{spfspf_delayspf_holdtime|lsa-group-pacingseconds}
2.3DHCP
配置成为DHCPServer：
配置地址池Firewall（config）#dhcpdaddressip1[-ip2]if_name（最多256个客户端）
配置DHCP参数Firewall（config）#dhcpddnsdns1[dns2]Firewall（config）#dhcpdwinswins1[wins2]Firewall（config）#dhcpddomaindomain_nameFirewall（config）#dhcpdleaselease_lengthFirewall（config）#dhcpdping_timeouttimeout
启用DHCP服务Firewall（config）#dhcpdenableif_name
验证：
showdhcdp,showdhcpdbindings,showdhcpdstatistics
配置DHCP中继：
定义真实DHCPServerFirewall（config）#dhcprelayserverdhcp_server_ipserver_ifc（最多4个）
中继参数Firewall（config）#dhcprelaytimeoutsecondsFirewall（config）#dhcprelaysetrouteclient_ifc
启用中继Firewall（config）#dhcprelayenableclient_ifc
验证showdhcprelaystatistics
2.4组播的支持
暂略
一、防火墙的管理
3.1使用SecurityContext建立虚拟防火墙（7.x特性）
特性介绍：
从PIX7.0和FWSM2.2
（1）开始，可以把物理的一个防火墙配置出多个虚拟的防火墙，每个防火墙称为context，这样一个防火墙就支持两种工作模式：
single-context和multiple-context，处于后者工作模式的防火墙被分为三个功能模块：
systemexecutionspace（虽然没有context的功能，但是是所有的基础），administrativecontext（被用来管理物理的防火墙）和usercontexts（虚拟出来的防火墙，所有配置防火墙的命令都适用）
配置：
首先使用showactivation-key来验证是否有multiple-context的许可，然后通过modemultiple和modesingle命令在这两个模式之间进行切换，当然也可以用showmode来验证现在工作在什么模式下。
在不同context下进行切换使用Firewall#changeto{system|contextname}，由于所有的context的定义都必须在systemexecutionspace下，所以要首先使用changetosystem转入该模式，Firewall（config）#contextname接着要把物理接口映射到context中只要这样才能在相应的context下显示出物理接口，从而配置其属性Firewall（config-ctx）#allocate-interfacephysical-interface[map-name]最后定义context的startup-config的存放位置Firewall（config-ctx）#config-urlurl通过showcontext验证
注：
当防火墙工作在multiple-context模式下，admincontext就自动生成。
（showcontext来验证）
由于所有的context都共享设备的资源，所以要限制各个context的资源分配
首先定义classFirewall（config）#classname然后Firewall（config-class）#limit-resourceallnumber%Firewall（config-class）#limit-resource[rate]resource_namenumber[%]最后在相应的context配置下Firewall（config-ctx）#memberclass
通过以下命令验证showclass，showresourceallocation,showresourceusage等
注：
缺省telnet，ssh，IPsec5sessions，MACaddress65535条目
3.2管理Flash文件系统
升级会员 