Cisco ASA防火牆常用指令

          前段時間因為工作的需要，要配置Cisco ASA 5510檢視了很多資料，現在把一些常用指令總結如下：

要想配置思科的防火牆得先了解這些指令：

　　常用指令有：nameif、interface、ip address、nat、global、route、static等。

　　global

　　指定公網位址範圍：定義位址池。

　　Global指令的配置文法：

　　global (if_name) nat_id ip_address-ip_address [netmark global_mask]

　　其中：

　　(if_name)：表示外網接口名稱，一般為outside。

　　nat_id：建立的位址池辨別(nat要引用)。

　　ip_address-ip_address：表示一段ip位址範圍。

　　[netmark global_mask]：表示全局ip位址的網絡掩碼。

　　nat

　　位址轉換指令，将内網的私有ip轉換為外網公網ip。

　　nat指令配置文法：nat (if_name) nat_id local_ip [netmark]

　　(if_name)：表示接口名稱，一般為inside.

　　nat_id： 表示位址池，由global指令定義。

　　local_ip： 表示内網的ip位址。對于0.0.0.0表示内網所有主機。

　　[netmark]：表示内網ip位址的子網路遮罩。

　　route

　　route指令定義靜态路由。

　　文法：

　　route (if_name) 0 0 gateway_ip [metric]

　　(if_name)：表示接口名稱。

　　0 0 ：表示所有主機

　　Gateway_ip：表示網關路由器的ip位址或下一跳。

　　[metric]：路由花費。預設值是1。

　　static

　　配置靜态IP位址翻譯，使内部位址與外部位址一一對應。

　　static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address

　　internal_if_name表示内部網絡接口，安全級别較高，如inside。

　　external_if_name表示外部網絡接口，安全級别較低，如outside。

　　outside_ip_address表示外部網絡的公有ip位址。

　　inside_ ip_address表示内部網絡的本地ip位址。

　　(括号内序順是先内後外，外邊的順序是先外後内)

　　例如：

　　asa(config)#static (inside，outside) 133.0.0.1 192.168.0.8

　　表示内部ip位址192.168.0.8，通路外部時被翻譯成133.0.0.1全局位址

　　asa#conf t

　　asa(config)# hostname asa //設定主機名

　　asa(config)#enable password cisco //設定密碼

　　配置外網的接口，名字是outside，安全級别0，輸入ISP給您提供的位址就行了。

　　asa(config)#interface GigabitEthernet0/0

　　asa(config)#nameif outside

　　asa(config)#ip address 61.189.153.33 255.255.255.248

asa(config)#securit-level 0

　　asa(config)#duplex full

asa(config)#speed 100

　　asa(config)#no shutdown

　　配置内網的接口，名字是inside，安全級别100

　　asa(config)#interface GigabitEthernet0/1

　　asa(config)#nameif inside

asa(config)#ip address 192.168.1.1

asa(config)#securit-level 100

asa(config)#duplex full

　　asa(config)#speed 100

　　配置DMZ的接口,名字是dmz，安全級别50

　　asa(config)#interface GigabitEthernet0/2

　　asa(config)#nameif dmz

　　asa(config)#securit-level 50

　　asa(config)# speed 100

　　動态網絡位址轉換：

asa(config)#global(outside) 1 61.189.153.33 - 161.189.153.38 //定義内網通路外網位址池

　　asa(config)#nat(inside) 1 0.0.0.0 0 0.0.0.0 0 //需要轉換的内網IP位址

　　asa(config)#nat (inside) 0 192.168.1.1 255.255.255.255 //表示192.168.1.1這個位址不需要轉換,直接轉發出去。

靜态網絡位址轉換：使内部位址與外部位址一一對應。

　　asa(config)#static (dmz，outside) 61.189.153.34 192.168.1.11  　　

　　如果内部有伺服器需要映射到公網位址(外網通路内網)則需要static：

　　asa(config)#static (inside, dmz) 192.168.1.12 192.168.1.12 //當内部主機通路中間區域dmz時，将自己映射成自己通路伺服器，否則内部主機将會映射成位址池的IP，到外部去找。

　　asa(config)#static (inside, outside) 61.189.153.35 192.168.1.12  10000 10 //後面的10000為限制連接配接數，10為限制的半開連接配接數

asa(config)#static (inside, outside) 61.189.153.35 192.168.1.12

配置靜态路由

：

　　asa(config)#route outside 0 0 61.189.153.38  //設定預設路由61.189.153.38為下一跳

如果内部網段不是直接接在防火牆内口，則需要配置到内部的路由。

　　asa(config)#route inside 192.168.10.0 255.255.255.0 192.168.1.1

　　ACL實作政策通路

　　asa(config)#access-list 101 permit ip any host 61.189.153.35 eq www

　　asa(config)#access-list 101 permit ip any host 61.189.153.35 eq ftp

　　asa(config)#access-list 101 deny ip any any

　　asa(config)#access-group 101 in interface outside ;将ACL應用在outside端口

注意：

　　當内部主機通路外部主機時，通過nat轉換成公網IP，通路internet。

　　當内部主機通路中間區域dmz時，将自己映射成自己通路伺服器，否則内部主機将會映射成位址池的IP，到外部去找。

　　當外部主機通路中間區域dmz時，對133.0.0.1映射成10.65.1.101，static是雙向的。

　　PIX的所有端口預設是關閉的，進入PIX要經過acl入口過濾。

　　靜态路由訓示内部的主機和dmz的資料包從outside口出去。

然而在8.3版本的NAT用的是下面指令：

hostname(config)# object network my-outside-net //目标網絡命名 名為“我的外網位址”

hostname(config-network-object)# range 10.2.2.1 10.2.2.10 //外網位址池範圍

hostname(config)# object network my-inside-net   //目标網絡命名 名為“我的内網位址”

hostname(config-network-object)# subnet 192.168.2.0 255.255.255.0 //内網位址