标签：asa 防火墙 安全
ASA是状态化防火墙，会建立一个用户信息连接表（Conn），连接表中包含的相关信息有源IP地址、目的IP地址、IP协议（如TCP或UDP）、IP协议信息（如TCP/UDP的端口号、TCP序列号和TCP控制位）。
ASA安全算法原理会执行三项基本操作
1.访问控制列表—基于特定网络、主机和服务控制网络访问，有两个作用允许入站连接和控制出站的流量
2.连接表—维护每个连接状态信息，在已建立的连接中有效转发数据流量，入站流量如果conn表中没有将会丢弃
3.检查引擎—执行状态检查和应用层检查
工作原理：
ASA接口的安全级别
每个接口都会有一个安全级别，范围是0~100，数值越大安全级别越高。inside默认是100、outside默认是0。
不同安全级别接口直接访问遵从三项默认规则
1.允许出站—允许从高安全级别接口到低安全级别接口的流量通过
2.禁止入站—禁止从低安全级别接口到高安全级别接口的流量通过
3.禁止相同安全级别的接口直接通信
DMZ区的概念
DMZ俗称“隔离区”，也叫“非军事化区”，是位于企业内部网络和外部网络之间的一个网络区域，这个区域可以放置一些必须公开的服务器，如公司的WEB服务器或论坛等等
DMZ区的安全级别介于inside和outside之前，有6条默认访问规则，所以配置DMZ区时候就要配置安全级别了
1.inside可以访问outside
2.inside可以范围DMZ
3.DMZ可以访问outside
4.DMZ不能访问inside
5.outside可以访问DMZ
6.outside不能访问inside
ASA基本配置
配置主机名和特权密码都与思科路由器一样，配置远程登录密码不一样asa（config）# passwd mima
配置接口的名称：asa（config-if）# nameif name 解释name为接口名称inside、outside或DMZ等
配置接口安全级别：asa（config-if）# security-level number 解释number代表安全级别的范围数值0~100
如图所示：配置接口名称、安全级别、IP、静态路由和ACL的方法
ASA的远程管理
telnet方式可以实现内网到ASA的远程管理，如果是外网访问将无法通过telnet的方式进行管理
配置命令：asa（config）# telnet （network | ip-address） mask
interface-name
举例1：asa（config）# telnet 192.168.1.0 255.255.255.0 inside
表示允许192.169.1.0网段telnet管理
举例2：asa（config）# telnet 192.168.1.1 255.255.255.255 inside
表示只有1.1这个IP地址可以管理
SSH方式可以实现对ASA进行安全的远程管理，可实现通过外网连接管理，需要使用Secure CRT软件区连接
配置命令：asa（config）# hostruiuri
配置主机名 我这里的名字叫ruirui
ruirui（config）# domain-nameruirui.com
配置域名 这里的域名叫ruirui.com
ruirui（config）# crypto key generate rsa modulus
1024
生成RSA密钥对，默认是1024
ruirui（config）# ssh （network | ip-address） mask
interface-name
配置ssh允许接入
ruirui（config）# ssh 0 0 outside
表示可以从外部接口接入
ruirui（config）# ssh timeout 30
配置空闲超时时间，表示空闲30分钟就会退出，可以不配置
ruirui（config）# ssh version version-number
配置SSH的版本，默认是同时支持版本1和版本2的
实验
实验步骤：
1.配置各个设备的IP地址、静态路由，这里路由器不讲解了，说一下ASA的配置
2.配置ASA访问规则
3.验证
ASA上NAT的应用
在ASA上NAT分4种类型：动态NAT、动态PAT静态NAT和静态PAT
动态NAT配置语法
asa（config）# nat （interface-name） nat-id local-ip mask
asa（config）# global（interface-name） nat-id
global-ip-global-ip
interface-name ： 代表是要转换的接口是inside还是DMZ等等
nat-id：代表当前这个nat的名称，当配置nat转换的时候同一个转换关系nat-id必须相同
local-ip：表示要进行nat转换的内部局部地址的网段
mask：内部局部地址的掩码
global-ip-global-ip：表示内部全局地址池的范围
配置实验：
实验步骤：路由、IP地址这里不进行演示，下面说下配置动态NAT
动态PAT配置语法
asa（config）# nat （interface-name） nat-id local-ip mask
asa（config）# global（interface-name） nat-id interface
这里与动态NAT唯一的不同是不用写内部全局地址池的范围，因为是多个内部局部地址转换到一个内部全局地址，所以这里将转换直接应用到接口即可
配置实验：
实验步骤：路由、IP地址这里不进行演示，下面说下配置动态NAT
静态NAT配置语法
asa（config）# static（local-name，global-name）
global-ip local-ip
并且需要创建相应的ACL访问规则
配置实验：
实验步骤：路由、IP地址这里不进行演示，下面说下配置静态NAT
静态PAT配置语法
asa（config）# static（local-name，global-name） {tcp | udp}
global-ip global-port local-ip local-port
tcp | udp：代表要使用的是tcp协议还是udp协议
global-port：代表对应的协议端口号，内部全局地址和内部局部地址的协议端口号要一致
并且需要创建相应的ACL访问规则
实验步骤：路由、IP地址这里不进行演示，下面说下配置静态PAT
标签：asa 防火墙 安全
原文地址：http://928004321.blog.51cto.com/10707688/1729824
