小草博客

A-A+

【思科防火墙】思科ASA防火墙企业网实例

2015年12月28日 站长资讯 暂无评论

前提：随着网络发展，网络安全成为当前重要的课题，越来越多的公司会选择将防火墙作为公司出口设备，相比于路由器，防火墙除了具有转发路由的功能外，还可以对内部、外部的流量进行过滤，从而进一步加强公司网络的安全性。

实验拓扑：

实验目的：如图，公司内网划分为两个vlan，vlan10和vlan 20，将三层交换机M1作为网关，将思科防火墙ASA1作为公司的出口设备，R1为运营商路由器，在R1环回口1.1.1.1/32模拟外网。

在ASA1上做PAT，使得内网主机可以上外网。

在ASA1上做配置，使得R1可以远程管理内网交换机SW1。

实验步骤：

1。首先进行基本配置

  1. SW1  
  2. SW1#conf t  
  3. SW1(config)#no ip routing   
  4. SW1(config)#vlan  10,20  
  5.   
  6. SW1(config-vlan)#int f1/1  
  7. SW1(config-if)#switchport access vlan 10   
  8. SW1(config-if)#int f1/2  
  9. SW1(config-if)#switchport access vlan 20  
  10. SW1(config-if)#int f1/3   
  11. SW1(config-if)#switchport mode trunk  
  12.    
  13. M1  
  14. M1#conf t  
  15. M1(config)#ip routing  
  16. M1(config)#vlan 10,20  
  17.   
  18. M1(config-vlan)#int f1/1  
  19. M1(config-if)#no sh  
  20. M1(config-if)#switchport mode trunk   
  21. M1(config-if)#ex www.luyouqiwang.com  
  22.   
  23. M1(config)#int vlan 10  
  24. M1(config-if)#ip add 192.168.10.1 255.255.255.0  
  25. M1(config-if)#no sh  
  26.    
  27. M1(config-if)#int vlan 20  
  28. M1(config-if)#ip add 192.168.20.1 255.255.255.0   
  29. M1(config-if)#no sh  
  30. M1(config-if)#ex  
  31.    
  32. M1(config)#int f0/0  
  33. M1(config-if)#ip add 11.0.0.1 255.255.255.0  
  34. M1(config-if)#no sh  
  35. M1(config-if)#ex  
  36.   
  37. M1(config)#ip route 0.0.0.0 0.0.0.0 11.0.0.2               //向出口防火墙指一条默认  

ASA1

注意：再给ASA防火墙配置接口时，要指定内部接口inside和外部接口outside。

  1. ciscoasa> en    
  2. Password:       
  3. ciscoasa#   
  4. ciscoasa# conf t  
  5. ciscoasa(config)# int e0/0  
  6. ciscoasa(config-if)# nameif inside   
  7. ciscoasa(config-if)# ip add 11.0.0.2 255.255.255.0  
  8. ciscoasa(config-if)# no sh  
  9.    
  10. ciscoasa(config-if)# int e0/1  
  11. ciscoasa(config-if)# nameif outside.  
  12. ciscoasa(config-if)# ip add 12.0.0.2 255.255.255.0  
  13. ciscoasa(config-if)# no sh   
  14. ciscoasa(config-if)# ex  

向运营商路由器指一条默认，向内网指一条静态路由，这里和路由器配置稍有不同

  1. ciscoasa(config)# route outside 0 0 12.0.0.1  
  2. ciscoasa(config)# route inside 192.168.0.0 255.255.0.0 11.0.0.1  
  3.    
  4. R1  
  5. R1(config)#int f0/0  
  6. R1(config-if)#ip add 12.0.0.1 255.255.255.0  
  7. R1(config-if)#no sh  

配置环回口l0模拟外网

  1. R1(config-if)#int l0  
  2. R1(config-if)#ip add   
  3. R1(config-if)#ip add 1.1.1.1 255.255.255.255  
  4. R1(config-if)#no sh  
  5.   
  6. R1(config-if)#ex  

2.ASA防火墙在默认情况下，允许内网区域访问外部区域，而外部区域无法访问内部区域，若想访问，需要做一条ACL来匹配。

ASA1

ciscoasa(config)# access-list test permit ip any any

应用在外接口的in方向（即外部向内部）

ciscoasa(config)# access-group test in int outside

在ASA1上做动态PAT，使内网主机利用外网口上网

ASA1

ciscoasa(config)# nat (inside) 1 192.168.10.0 255.255.255.0

ciscoasa(config)# nat (inside) 1 192.168.20.0 255.255.255.0

利用外网口e0/1上网

ciscoasa(config)# global (outside) 1 int

可以在C1上测试下能否访问R1了

通了。

因为运营商路由器R1不可能知晓公司内部私网地址，下面要使R1远程管理SW1，必须在ASA1上做PAT静态端口映射，将SW1的telnet端口映射到e0/1的telnet端口。

首先配置管理vlan1，开启远程登录

  1. SW1  
  2. SW1(config)#int vlan 1  
  3. SW1(config-if)#ip add 192.168.8.8 255.255.255.0  
  4. SW1(config-if)#no sh  
  5. SW1(config-if)#ex  
  6.   
  7. SW1(config)#line vty 0 4  
  8. SW1(config-line)#password abc  
  9. SW1(config-line)#login  

指定默认网关

  1. SW1(config)#ip default-gateway 192.168.8.1  
  2.    
  3. M1  
  4. M1(config)#int vlan 1  
  5. M1(config-if)#ip add 192.168.8.1 255.255.255.0  
  6. M1(config-if)#no sh  

在ASA1上做端口映射

ASA1

ciscoasa(config)# static (inside,outside) tcp int telnet192.168.8.8 telnet netmask

255.255.255.255

需要在ACL内加一条，允许R1访问e0/1的23端口

ciscoasa(config)# access-list test permit tcp 12.0.0.1 255.255.255.255 12.0.0.2 255.255.255.255 eq 23

在R1上测试结果

  1. R1  
  2. R1#telnet 12.0.0.2  
  3. Trying 12.0.0.2 ... Open  
  4.   
  5. User Access Verification  
  6. Password:   
  7. SW1>  
  8. SW1>  
  9. SW1>  

已经成功远程登录SW1了，实验结束。

标签：

给我留言