码迷,mamicode.com
首页 > 其他好文 > 详细

【思科防火墙】思科ASA防火墙企业网实例

时间:2014-11-04 15:21:46      阅读:227      评论:0      收藏:0      [点我收藏+]

标签:思科asa防火墙

前提:随着网络发展,网络安全成为当前重要的课题,越来越多的公司会选择将防火墙作为公司出口设备,相比于路由器,防火墙除了具有转发路由的功能外,还可以对内部、外部的流量进行过滤,从而进一步加强公司网络的安全性。

 

实验拓扑:

bubuko.com,布布扣

 

实验目的:如图,公司内网划分为两个vlan,vlan10和vlan 20,将三层交换机M1作为网关,将思科防火墙ASA1作为公司的出口设备,R1为运营商路由器,在R1环回口1.1.1.1/32模拟外网。

  1. 在ASA1上做PAT,使得内网主机可以上外网

  2. 在ASA1上做配置,使得R1可以远程管理内网交换机SW1

 

实验步骤:

1。首先进行基本配置

SW1

SW1#conf t
SW1(config)#no ip routing
SW1(config)#vlan  10,20


SW1(config-vlan)#int f1/1
SW1(config-if)#switchport access vlan 10
SW1(config-if)#int f1/2
SW1(config-if)#switchport access vlan 20
SW1(config-if)#int f1/3
SW1(config-if)#switchport mode trunk

 

M1

M1#conf t
M1(config)#ip routing
M1(config)#vlan 10,20


M1(config-vlan)#int f1/1
M1(config-if)#no sh
M1(config-if)#switchport mode trunk
M1(config-if)#ex


M1(config)#int vlan 10
M1(config-if)#ip add 192.168.10.1 255.255.255.0
M1(config-if)#no sh

M1(config-if)#int vlan 20
M1(config-if)#ip add 192.168.20.1 255.255.255.0
M1(config-if)#no sh
M1(config-if)#ex

M1(config)#int f0/0
M1(config-if)#ip add 11.0.0.1 255.255.255.0
M1(config-if)#no sh
M1(config-if)#ex


M1(config)#ip route 0.0.0.0 0.0.0.0 11.0.0.2               //向出口防火墙指一条默认

 

ASA1

注意:再给ASA防火墙配置接口时,要指定内部接口inside和外部接口outside

ciscoasa> en 
Password:    
ciscoasa#
ciscoasa# conf t
ciscoasa(config)# int e0/0

ciscoasa(config-if)# nameif inside
ciscoasa(config-if)# ip add 11.0.0.2 255.255.255.0
ciscoasa(config-if)# no sh

ciscoasa(config-if)# int e0/1
ciscoasa(config-if)# nameif outside.
ciscoasa(config-if)# ip add 12.0.0.2 255.255.255.0
ciscoasa(config-if)# no sh
ciscoasa(config-if)# ex

向运营商路由器指一条默认,向内网指一条静态路由,这里和路由器配置稍有不同   
ciscoasa(config)# route outside 0 0 12.0.0.1
ciscoasa(config)# route inside 192.168.0.0 255.255.0.0 11.0.0.1

 

R1

R1(config)#int f0/0
R1(config-if)#ip add 12.0.0.1 255.255.255.0
R1(config-if)#no sh

 

配置环回口l0模拟外网
R1(config-if)#int l0
R1(config-if)#ip add
R1(config-if)#ip add 1.1.1.1 255.255.255.255
R1(config-if)#no sh
R1(config-if)#ex

 

2.ASA防火墙在默认情况下,允许内网区域访问外部区域,而外部区域无法访问内部区域,若想访问,需要做一条ACL来匹配。

ASA1

ciscoasa(config)# access-list test permit ip any any 

 

应用在外接口的in方向(即外部向内部)              
ciscoasa(config)# access-group test in int outside

 

在ASA1上做动态PAT,使内网主机利用外网口上网

ASA1

ciscoasa(config)# nat (inside) 1 192.168.10.0 255.255.255.0
ciscoasa(config)# nat (inside) 1 192.168.20.0 255.255.255.0

 


利用外网口e0/1上网

ciscoasa(config)# global (outside) 1 int

 

可以在C1上测试下能否访问R1了

bubuko.com,布布扣

通了。

 

因为运营商路由器R1不可能知晓公司内部私网地址,下面要使R1远程管理SW1,必须在ASA1上做PAT静态端口映射,将SW1的telnet端口映射到e0/1的telnet端口。

首先配置管理vlan1,开启远程登录

 

SW1

SW1(config)#int vlan 1
SW1(config-if)#ip add 192.168.8.8 255.255.255.0
SW1(config-if)#no sh
SW1(config-if)#ex


SW1(config)#line vty 0 4
SW1(config-line)#password abc
SW1(config-line)#login

 

指定默认网关

SW1(config)#ip default-gateway 192.168.8.1

M1

M1(config)#int vlan 1
M1(config-if)#ip add 192.168.8.1 255.255.255.0
M1(config-if)#no sh

 

在ASA1上做端口映射

ASA1

ciscoasa(config)# static (inside,outside) tcp int telnet192.168.8.8 telnet netmask

                        255.255.255.255  

 

需要在ACL内加一条,允许R1访问e0/1的23端口                    
ciscoasa(config)# access-list test permit tcp 12.0.0.1 255.255.255.255 12.0.0.2 255.255.255.255 eq 23

 

在R1上测试结果

R1

R1#telnet 12.0.0.2
Trying 12.0.0.2 ... Open


User Access Verification

Password:
SW1>
SW1>
SW1>

 

已经成功远程登录SW1了,实验结束

本文出自 “NE之路” 博客,请务必保留此出处http://332162926.blog.51cto.com/8831013/1571545

【思科防火墙】思科ASA防火墙企业网实例

标签:思科asa防火墙

原文地址:http://332162926.blog.51cto.com/8831013/1571545

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!