思科ASA和PIX防火墻配置手册.docx

1、思科ASA和PIX防火墻配置手册思科ASA和PIX防火墙配置手册北京九瑞网络科技有限公司2011-3一、 配置基础 51. 用户接口 52. 防火墙许可介绍 63. 初始配置 6二、 配置连接性 71. 配置接口 72. 配置路由 83. DHCP 84. 组播的支持 8三、 防火墙的管理 81. 使用Security Context建立虚拟防火墙（7.x特性） 82. 管理Flash文件系统 83. 管理配置文件 84. 管理管理会话 85. 系统重启和崩溃 8四、 用户管理 81. 一般用户管理 82. 本地数据库管理用户 83. 使用AAA服务器来管理用户 84. 配置AAA管理用户 8

2、5. 配置AAA支持用户Cut-Through代理 86. 密码恢复 8五、 防火墙的访问控制 81. 防火墙的透明模式 82. 防火墙的路由模式和地址翻译 83. 使用ACL进行访问控制 8六、 配置Failover增加可用性 81. 配置Failover 82. 管理Failover 83. 升级Failover模式防火墙的OS镜像 8七、 配置负载均衡 81. 配置软件实现 (只在6500 native ios模式下) 82. 配置硬件实现 83. 配置CSS实现 8八、 日志管理 81. 时钟管理 82. 日志配置 83. 日志消息输出的微调 84. 日志分析 8九、 防火墙工作状态验

3、证 81. 防火墙健康检查 82. 流经防火墙数据的监控 83. 验证防火墙的连接性 8一、 配置基础1. 用户接口思科防火墙支持下列用户配置方式：Console，Telnet，SSH（1.x或者2.0，2.0为7.x新特性，PDM的http方式（7.x以后称为ASDM）和VMS的Firewall Management Center。支持进入Rom Monitor模式，权限分为用户模式和特权模式，支持Help，History和命令输出的搜索和过滤。注：Catalyst6500的FWSM没有物理接口接入，通过下面CLI命令进入：Switch# session slot slot processo

4、r 1 （FWSM所在slot号）用户模式：Firewall 为用户模式，输入enable进入特权模式Firewall#。特权模式下可以进入配置模式，在6.x所有的配置都在一个全局模式下进行，7.x以后改成和IOS类似的全局配置模式和相应的子模式。通过exit，ctrl-z退回上级模式。配置特性：在原有命令前加no可以取消该命令。Show running-config 或者 write terminal显示当前配置，7.x后可以对show run 的命令输出进行搜索和过滤。Show running-config all显示所有配置，包含缺省配置。Tab可以用于命令补全，ctrl-l可以用于重新

5、显示输入的命令（适用于还没有输入完命令被系统输出打乱的情况），help和history相同于IOS命令集。Show命令支持 begin，include，exclude，grep 加正则表达式的方式对输出进行过滤和搜索。Terminal width 命令用于修改终端屏幕显示宽度，缺省为80个字符，pager命令用于修改终端显示屏幕显示行数，缺省为24行，pager lines 0命令什么效果可以自己试试。2. 防火墙许可介绍防火墙具有下列几种许可形式，通过使用show version命令可以看设备所支持的特性：Unrestricted (UR) 所有的限制仅限于设备自身的性能，也支持Failov

6、erRestricted (R) 防火墙的内存和允许使用的最多端口数有限制，不支持FailoverFailover (FO) 不能单独使用的防火墙，只能用于FailoverFailover-Active/Active (FO-AA) 只能和UR类型的防火墙一起使用，支持active/active failover 注：FWSM内置UR许可。activation-key 命令用于升级设备的许可，该许可和设备的serial number有关（show version输出可以看到），6.x为16字节，7.x为20字节。3. 初始配置跟路由器一样可以使用setup进行对话式的基本配置。二、 配置连接性

7、1. 配置接口接口基础：防火墙的接口都必须配置接口名称，接口IP地址和掩码（7.x开始支持IPv6）和安全等级。接口可以是物理接口也可以是逻辑接口（vlan），从6.3开始trunk只支持802.1Q封装，不支持DTP协商。接口基本配置：注：对于FWSM所有的接口都为逻辑接口，名字也是vlan后面加上vlanid。例如FWSM位于6500的第三槽，配置三个接口，分别属于vlan 100,200,300.Switch(config)# firewall vlan-group 1 100,200,300Switch(config)# firewall module 3 vlan-group 1Sw

8、itch(config)# exitSwitch# session slot 3 processor 1经过此配置后形成三个端口vlan100.vlan200,vlan300PIX 6.xFirewall(config)# interface hardware-id hardware-speed shutdown （Hardware-id可以用show version命令看到）PIX 7.xFirewall(config)# interface hardware-idFirewall(config-if)# speed auto | 10 | 100 | nonegotiateFirewall

9、(config-if)# duplex auto | full | halfFirewall(config-if)# no shutdown命名接口FWSM 2.xFirewall(config)# nameif vlan-id if_name securitylevel PIX 6.xFirewall(config)# nameif hardware-id | vlan-id if_name securitylevel PIX 7.xFirewall(config)# interface hardware_id.subinterfaceFirewall(config-if)# nameif

10、if_nameFirewall(config-if)# security-level level注：Pix 7.x和FWSM 2.x开始支持不同接口有相同的security level，前提是全局配置模式下使用same-security-traffic permit inter-interface命令。配置IP地址静态地址：Firewall(config)# ip address if_name ip_address netmask动态地址：Firewall(config)# ip address outside dhcp setroute retry retry_cnt注：setroute参

11、数可以同时获得来自DHCP服务器的缺省路由，再次输入此命令可以renew地址。PPPOE：Firewall(config)# vpdn username JohnDoe password JDsecretFirewall(config)# vpdn group ISP1 localname JohnDoeFirewall(config)# vpdn group ISP1 ppp authentication chapFirewall(config)# vpdn group ISP1 request dialout pppoeFirewall(config)# ip address outsid

12、e pppoe setroute验证接口Firewall# show ipIPv6地址配置（7.x新特性）暂略ARP配置配置一个静态的ARP条目：Firewall(config)# arp if_name ip_address mac_address alias配置timeout时间：Firewall(config)# arp timeout seconds 缺省为4小时注：一般情况下使用clear arp会清除所有的ARP缓存，不能针对单个的条目，但是可以通过以下变通方法：配置一个静态的条目，映射有问题的ip为一个假的mac地址，然后no掉该命令就会重新建立一个arp条目。MTU和分段配置M

13、TU：Firewall(config)# mtu if_name bytes 使用show mtu (6.3) 或者show running-config mtu (7.x)来验证分段（fragment）的几个命令：限制等待重组的分段数Firewall(config)# fragment size database-limit if_name限制每个包的分段数Firewall(config)# fragment chain chain-limit if_name限制一个数据包分段到达的时间Firewall(config)# fragment timeout seconds if_name配置接

14、口的优先队列（7.x新特性）暂略2. 配置路由启用PRF防止地址欺骗 Firewall(config)# ip verify reverse-path interface if_name配置静态路由Firewall(config)# route if_name ip_address netmask gateway_ip metric配置RIP被动听RIP更新(v1，v2)Firewall(config)# rip if_name passive version 1 （Firewall(config)# rip if_name passive version 2 authentication t

15、ext | md5 key (key_id)）宣告该接口为缺省路由Firewall(config)# rip if_name default version 1 | 2 authentication text | md5 key key_id配置OSPF定义OSPF进程 Firewall(config)# router ospf pid指定相应网络到OSPF区域 Firewall(config-router)# network ip_address netmask area area_id可选：定义Router ID Firewall(config-router)# router-id ip_

16、address记录OSPF邻居状态更新 Firewall(config-router)# log-adj-changes detail启用OSPF更新认证 Firewall(config-router)# area area_id authentication message-digest宣告缺省路由 Firewall(config-router)# default-information originate always metric value metric-type 1 | 2 route-map name调节OSPF参数 Firewall(config-router)# timers

17、spf spf_delay spf_holdtime |lsa-group-pacing seconds3. DHCP配置成为DHCP Server：配置地址池 Firewall(config)# dhcpd address ip1-ip2 if_name（最多256个客户端）配置DHCP参数 Firewall(config)# dhcpd dns dns1 dns2 Firewall(config)# dhcpd wins wins1 wins2 Firewall(config)# dhcpd domain domain_name Firewall(config)# dhcpd lease

18、lease_lengthFirewall(config)# dhcpd ping_timeout timeout启用DHCP服务 Firewall(config)# dhcpd enable if_name验证：show dhcdp, show dhcpd bindings, show dhcpd statistics配置DHCP中继：定义真实DHCP Server Firewall(config)# dhcprelay server dhcp_server_ip server_ifc(最多4个)中继参数 Firewall(config)# dhcprelay timeout seconds

19、Firewall(config)# dhcprelay setroute client_ifc启用中继 Firewall(config)# dhcprelay enable client_ifc验证 show dhcprelay statistics4. 组播的支持暂略三、 防火墙的管理1. 使用Security Context建立虚拟防火墙（7.x特性）特性介绍：从PIX7.0和FWSM 2.2(1)开始，可以把物理的一个防火墙配置出多个虚拟的防火墙，每个防火墙称为context，这样一个防火墙就支持两种工作模式：single-context和multiple-context，处于后者工作模

20、式的防火墙被分为三个功能模块：system execution space(虽然没有context的功能，但是是所有的基础)，administrative context(被用来管理物理的防火墙) 和 user contexts(虚拟出来的防火墙，所有配置防火墙的命令都适用)配置：首先使用show activation-key来验证是否有multiple-context的许可，然后通过mode multiple和mode single命令在这两个模式之间进行切换，当然也可以用show mode来验证现在工作在什么模式下。在不同context下进行切换使用Firewall# changeto s

21、ystem | context name，由于所有的context的定义都必须在system execution space下，所以要首先使用changeto system转入该模式，Firewall(config)# context name 接着要把物理接口映射到context中。只要这样才能在相应的context下显示出物理接口，从而配置其属性 Firewall(config-ctx)# allocate-interface physical-interface map-name 最后定义context 的startup-config的存放位置Firewall(config-ctx)#

22、config-url url通过show context验证。注：当防火墙工作在multiple-context模式下，admin context就自动生成。(show context来验证)由于所有的context都共享设备的资源，所以要限制各个context的资源分配：首先定义class Firewall(config)# class name 然后 Firewall(config-class)# limit-resource all number% Firewall(config-class)# limit-resource rate resource_name number% 最后在相

23、应的context配置下Firewall(config-ctx)# member class通过以下命令验证 show class， show resource allocation, show resource usage注：缺省telnet，ssh，IPsec 5 sessions，MAC address 65535条目2. 管理Flash文件系统6.x文件系统只有六种文件可以保存到Flash，没有文件名只有代号，没有目录结构012345OS镜像启动文件VPN和密匙证书PDM镜像崩溃信息0的文件大小显示flash文件# show flashfs 7.x和FWSM文件系统7.x和FWSM更像

24、IOS的文件系统，具有层级目录，要被格式化后才可以使用，7.x使用flash:/代表Flash文件系统，FWSM分别使用flash:/ (系统镜像)和disk:/(配置文件)，由于该系统使用类Unix的指令，所以可以使用下列常用命令来对该文件系统操作：dir pwd cd more delete copy rename mkdir rmdir format erase fsck(检查文件系统完整性)6.x在Flash里面只能保存一个系统镜像，7.x则废除了此种限制通过使用Firewall(config)# boot system flash:filename来选取不同的系统镜像，show bo

25、otvar进行验证OS升级 见附录3. 管理配置文件7.0以后可以使用多个启动配置文件Firewall(config)# boot config url显示启动配置文件Firewall# show startup-config Firewall# show configuration (6.x为show configure)保存当前配置文件 write memorycopy running-config startup-configwrite net server-ip-address:filename (7.x也支持copy至tftp)强制standby同步当前配置文件 write stan

26、dby 删除启动配置文件 write erase合并启动配置文件为当前配置文件 configure memory 从Web导入配置文件configure https:/user:passwordlocation:port/ http-pathname(7.x支持copy自以上源)合并配置文件自自动更新服务器Firewall(config)# auto-update device-id hardware-serial | hostname |ipaddress if_name | mac-address if_name | string textFirewall(config)# auto-up

27、date server https:/username:passwordAUSserver-IP-address:port/autoupdate/AutoUpdateServletverify-certificate4. 管理管理会话配置console登录的超时Firewall(config)# console timeout minutes (缺省0不超时)禁止来自outside端口的telnet，启用telnet Firewall(config)# telnet ip_address netmask if_name 配置telnet超时Firewall(config)# telnet ti

28、meout minutes 启用SSH配置首先生成RSA密匙对 Firewall(config)# domain-name name Firewall(config)# ca generate rsa key modulus (7.x 使用crypto key generate rsa general-keys modulus modulus) Firewall(config)# ca save all (7.x自动保存)使用show ca mypubkey rsa来验证(7.x show crypto key mypubkey rsa) ca zeroize rsa作废原有密匙对(7.x c

29、rypto key zeroize rsa default)最后允许ssh会话 Firewall(config)# ssh ip_address netmask if_namessh version命令可以选择ssh的版本，ssh timeout定义超时时间PDM/ASDM配置由于PDM存放位置固定，所以不需要指定镜像的位置，ASDM使用Firewall(config)# asdm image device:/path 来指定镜像位置，如果没有可以使用copy命令来安装。然后配置访问许可Firewall# http ip_address subnet_mask if_name 启用HTTP进程

30、Firewall# http server enable 使用https:/ip-address/admin来访问。Banner配置 Firewall(config)# banner exec | login | motd text对banner不能修改，只能用no来删除，或者clear banner来清除所有的banner（7.0 clear configure banner）监控管理会话 who监控telnet会话 kill telnet-id来清除会话，show ssh sessions监控ssh会话，ssh disconnect session-id清除ssh会话，show pdm s

31、essions监控pdm会话，pdm disconnect session-id清除pdm会话5. 系统重启和崩溃通常使用reload命令重启系统，从7.0以后支持在特定的时间重启系统Firewall# reload at hh:mm month day | day month max-hold-time minutes | hhh:mm noconfirm quick save-config reason text或者经过一定的时间间隔后重启Firewall# reload in minutes | hh:mm max-hold-time minutes | hhh:mm noconfirm quick