ASA防火墙工作原理与配置实例
ASA是状态化防火墙,会建立一个用户信息连接表(Conn),连接表中包含的相关信息有源IP地址、目的IP地址、IP协议(如TCP或UDP)、IP协议信息(如TCP/UDP的端口号、TCP序列号和TCP控制位)
创新互联专业为企业提供安平网站建设、安平做网站、安平网站设计、安平网站制作等企业网站建设、网页设计与制作、安平企业网站模板建站服务,10多年安平做网站经验,不只是建网站,更提供有价值的思路和整体网络服务。
一.工作原理
ASA安全算法原理会执行三项基本操作
1.访问控制列表—基于特定网络、主机和服务控制网络访问,有两个作用:允许入站连接和控制出站的流量
2.连接表—维护每个连接状态信息,在已建立的连接中有效转发数据流量,入站流量如果conn表中没有将会丢弃
3.检查引擎—执行状态检查和应用层检查
工作原理:
二.ASA接口的安全级别
1.每个接口都会有一个安全级别,范围是0~100,数值越大安全级别越高。inside默认是100、outside默认是0。
不同安全级别接口直接访问遵从三项默认规则
允许出站—允许从高安全级别接口到低安全级别接口的流量通过
禁止入站—禁止从低安全级别接口到高安全级别接口的流量通过
禁止相同安全级别的接口直接通信
2.DMZ区的概念
DMZ俗称“隔离区”,也叫“非军事化区”,是位于企业内部网络和外部网络之间的一个网络区域,这个区域可以放置一些必须公开的服务器,如公司的WEB服务器或论坛等等
DMZ区的安全级别介于inside和outside之前,有6条默认访问规则,所以配置DMZ区时候就要配置安全级别了
inside可以访问outside
inside可以范围DMZ
DMZ可以访问outside
DMZ不能访问inside
outside可以访问DMZ
outside不能访问inside
三.ASA基本配置
配置主机名和特权密码都与思科路由器一样
配置远程登录密码:asa(config)# passwd mima
配置接口的名称:asa(config-if)# nameif name
说明:name为接口名称inside、outside或DMZ等
配置接口安全级别:asa(config-if)# security-level number
说明:number代表安全级别的范围数值0~100
如图所示:配置接口名称、安全级别、IP、静态路由和ACL的方法
四.ASA的远程管理
1.telnet方式可以实现内网到ASA的远程管理,如果是外网访问将无法通过telnet的方式进行管理
配置命令:asa(config)# telnet(network|ip-address) mask
interface-name
举例1:asa(config)# telnet 192.168.1.0 255.255.255.0 inside
表示允许192.168.1.0网段的客户机可以进行telnet管理
举例2:asa(config)# telnet 192.168.1.1 255.255.255.255 inside
表示只有192.168.1.1这个IP地址可以进行管理
2.SSH方式可以实现对ASA进行安全的远程管理,可实现通过外网连接管理,需要使用Secure CRT软件区连接
配置命令:asa(config)# hostasa
配置主机名为asa
asa(config)# domain-nameasadomain.com
配置域名asadomain.com
asa(config)# crypto key generate rsa modulus
1024 生成RSA密钥对,默认是1024位
asa(config)# ssh(network|ip-address) mask
interface-name
配置ssh允许接入
asa(config)# ssh 0 0 outside
表示可以从外部接口接入
asa(config)# ssh timeout30
配置空闲超时时间,表示空闲30分钟就会退出,可以不配置
asa(config)# ssh versionversion-number
配置SSH版本,默认是同时支持版本1和版本2的
实验
实验步骤:
1.配置各个设备的IP地址、静态路由,这里路由器不讲解了,说一下ASA的配置
2.配置ASA访问规则
3.验证
五.ASA上NAT的应用
在ASA上NAT分4种类型:动态NAT、动态PAT静态NAT和静态PAT
1.动态NAT配置语法
asa(config)# nat(interface-name) nat-id local-ip mask
asa(config)# global(interface-name) nat-id
global-ip-global-ip
interface-name : 代表是要转换的接口是inside还是DMZ等等
nat-id:代表当前这个nat的名称,当配置nat转换的时候同一个转换关系nat-id必须相同
local-ip:表示要进行nat转换的内部局部地址的网段
mask:内部局部地址的掩码
global-ip-global-ip:表示内部全局地址池的范围
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置动态NAT
2.动态PAT配置语法
asa(config)# nat(interface-name) nat-id local-ip mask
asa(config)# global(interface-name) nat-id interface
这里与动态NAT唯一的不同是不用写内部全局地址池的范围,因为是多个内部局部地址转换到一个内部全局地址,所以这里将转换直接应用到接口即可
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置动态NAT
3.静态NAT配置语法
asa(config)# static(local-name,global-name)
global-ip local-ip
并且需要创建相应的ACL访问规则
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置静态NAT
4.静态PAT配置语法
asa(config)# static(local-name,global-name) {tcp|udp}
global-ip global-port
local-ip local-port
tcp|udp:代表要使用的是tcp协议还是udp协议
global-port:代表对应的协议端口号,内部全局地址和内部局部地址的协议端口号要一致
并且需要创建相应的ACL访问规则
实验步骤:路由、IP地址这里不进行演示,下面说下配置静态PAT
分享标题:ASA防火墙工作原理与配置实例
转载来于:http://scyanting.com/article/pesdsh.html