思科防火墙 PIX ASA 配置总结.docx

思科防火墙PIXASA配置总结思科防火墙PIXASA配置总结思科防火墙PIXASA配置总结一(基础)：思科防火墙已经从PIX发展到ASA了，IOS也已经从早期的6.0发展到7.2。但总体的配置思路并没有多少变化。只是更加人性化，更加容易配置和管理了。下面是我工作以来的配置总结，有些东西是6.3版本的，但不影响在7.*版本的配置。一：6个基本命令：nameif、interface、ipaddress、nat、global、route。二：基本配置步骤：step1:命名接口名字nameifethernet0outsidesecurity0nameifethernet1insidesecurity100nameifethernet2dmzsecurity50**7版本的配置是先进入接口再命名。step2：配置接口速率interfaceethernet010fullautointerfaceethernet110fullautointerfaceethernet210fullstep3：配置接口地址ipaddressoutside218.106.185.82ipaddressinside192.168.100.1255.255.255.0ipaddressdmz192.168.200.1255.255.255.0step4：地址转换(必须)*安全高的区域访问安全低的区域(即内部到外部)需NAT和global;nat(inside)1192.168.1.1255.255.255.0global(outside)1222.240.254.193255.255.255.248***nat(inside)0192.168.1.1255.255.255.255表示192.168.1.1这个地址不需要转换。直接转发出去。*如果内部有服务器需要映射到公网地址(外网访问内网)则需要static和conduit或者acl.static(inside,outside)222.240.254.194192.168.1.240static(inside,outside)222.240.254.194192.168.1.2401000010后面的10000为限制连接数，10为限制的半开连接数。conduitpermittcphost222.240.254.194eqwwwanyconduitpermiticmpanyany(这个命令在做测试期间可以配置，测试完之后要关掉，防止不必要的漏洞)ACL实现的功能和conduit一样都可实现策略访问，只是ACL稍微麻烦点。conduit现在在7版本已经不能用了。Access-list101permittcpanyhost222.240.254.194eqwwwAccess-group101ininterfaceoutside(绑定到接口)***允许任何地址到主机地址为222.240.254.194的www的tcp访问。Step5：路由定义：Routeoutside00222.240.254.1931Routeinside192.168.10.0255.255.255.0192.168.1.11**如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由。Step6：基础配置完成，保存配置。Writememorywriteerase清空配置reload[思科防火墙PIXASA配置总结]相关文章：1.投行业务