1.1asa实验环境简介

1.1.1物理拓扑图

1.1.2逻辑拓扑图

1.2各设备初始化配置

sw:

vlan 2

name inside

vlan 3

name dmz

vlan 4

name outside

int range f0/1 - 2

sw mo acc

sw acc vlan 2

interface f0/3

sw trunk en dot1q

sw mode trunk

int f0/4

sw mo acc

sw acc vlan 3

int f0/5

sw mode acc

sw acc vlan 4

wr

inside:

int e1/0

ip add 10.1.1.1 255.255.255.0

wr

dmz:

hostname dmz

int e1/0

ip add 172.16.1.1 255.255.255.0

no sh

outside:

int e1/0

ip add 202.100.1.1 255.255.255.0

no sh

wr

htlp命令

查看和保存配置文件

show running-config

show startup-config

write momory

保存的命令

copy run start

write momory

清除配置文件

clear config all 清除running-config

write erase 清除startup-config

重启设备

重新启动设备的配置和重新加载

重新启动可以预定义

reload

文件系统

software image 软件镜像

configuration file 配置文件

private data 私钥数据

asdm image asdm镜像

backup image* 备份镜像

backup configuration file*备份配置文件

virtual firewall configuration file*虚拟防火墙配置文件

显示存储的文件:系统和配置

dir

选择启动系统文件

可存储多个系统镜像和配置文件，可以指定系统映像和启动配置文件。

asa(config)#boot system disk0:/asa-802.bin

show bootvar

安全设备功能：安全算法

对所有穿越流量都运用状态化监控策略，不论是那个方向。

默认只有outbound（有安全级别高到低的）流量可以通过

监控适当流量，放行他们返回流量

扰乱tcp初始化序列号，防止中间人攻击。

安全级别

0-100

asa基本的配置

hostname

interface

nameif

ip address

security-level

no shutdown

nat-control

nat

global

route

接口配置

int e0

nameif outside

ip add 192.168.1.2

security-level 0

speed 100

deplex full

asa管理接口

管理接口不允许穿越流量，要想把管理接口当做普通接口来用使用命令：no management-only

网络地址转换

可以开启或引用nat的配置要求.

nat-control (开启必须做nat不然不会通）

nat和global

nat序列号大于等于1，并和global相同的序号匹配

nat (inside) 1 0.0.0.0 0.0.0.0

global (outside) 1 192.168.0.20-192.168.0.254

静态路由

route outside 0.0.0.0 0.0.0.0 1

route inside 10.0.1.0 255.255.255.0 10.0.0.102 1

name命令

names

name 172.16.0.2 bastionhost

name 10.0.0.11 insidehost

查看接口信息

show run interface

show interface插看内存和cpu

show memory

show cpu usage

查看ip地址信息

show ip address

查看接口安全级别

show nameif

查看转换和连接

show run nat

show run global

show xlate查看转换

show conn查看链接

时间设置和ntp

防火墙可以手动设置时间，也可以使用ntp同步。

clock set 21:0:0 jul 14 2010

clock timezone GMT +8

ntp协议的配置

ntp authentication-key 1234 md5 cisco123

ntp trusted-key 1234

ntp server 10.0.0.12 key 1234 source inside prefer

ntp authenticate

日志记录的选项

sonsole-output to console

buffered-output to internal buffer

monitor-outpu to telnet

host-output to syslog server

snmp-output to snmp server

日志记录级别

0-emergencies紧急情况

1-alerts警报

2-critical关键

3-errors错误

4-warnings警告

5-notifications通知

6-informational信息

7-debugging调试

syslog server

配置

logging host inside 10.0.1.11

logging trap warnings

logging timestamp

logging timestamp

logging device-id asa-1

logging on

自定义系统日志输出

可禁用不需要的日志信息，也可以改变特定日志输出的信息级别

no logging message 710005

logging trap warnings

logging message 302013 level 4

logging message 302014 level 4

查看日志信息

show logging

转换和连接

第一部分：传输协议介绍

传输协议

为了更深入理解cisco asa防火墙如何处理入站和出站传输，我们简要回顾下两个重要的传输协议

网络会话一般基于两个重要的传输协议

tcp:易于完全的检查

udp:较难的完全的检查

tcp协议

tcp是一个面向连接的，可靠的传输、健壮、以及高性能的运输层协议。

tcp功能

序列分析和数据确认

已定义的状态机（打开连接，数据流，再传送，关闭连接）。

拥塞检测和避免机制。

tcp的初始化

tcp的初始化

udp协议

是一个无连接协议。

对一些服务来说是高效的协议。

应用丰富，但难以保证。

udp的初始化