实验
实验拓扑图:
实验环境:
在虚拟机上搭建一台2008服务器和一台linux服务器:
实验要求:
一,在ASA防火墙上配置inside,outside,dmz区域,配置ACL实现ICMP流量可以穿越防火墙。
二,通过配置ACL禁止DMZ区域访问outside区域,但可以访问inside区域。
三,将内网的10.0网段通过动态PAT转换成公网outside接口地址访问WEB网页。
四,创建静态PAT将DMZ区域的Apache服务器内网地址映射成公网地址。
五,配置SSH,在inside方向接入,实现对防火墙的管理。
实验步骤:
一,在ASA防火墙上配置inside,outside,dmz区域,配置ACL实现ICMP流量可以穿越防火墙。
R2上的配置:
配置各接口IP地址:
R2(config)#int f0/1
R2(config-if)#ip add 12.0.0.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int f0/0
R2(config-if)#ip add 13.0.0.1 255.255.255.0
R2(config-if)#no shut
做一条默认路由通向内网:
R2(config-if)#ex
R2(config)#ip route 0.0.0.0 0.0.0.0 12.0.0.1
防火墙的配置:
配置各接口区域名称和安全级别:
asa(config)# int e0/0
asa(config-if)# ip add 192.168.10.1 255.255.255.0
asa(config-if)# nameif inside
asa(config-if)# no shut
asa(config-if)# int e0/1
asa(config-if)# ip add 12.0.0.1 255.255.255.0
asa(config-if)# no shut
asa(config-if)# nameif outside
asa(config-if)# int e0/2
asa(config-if)# ip add 192.168.20.1 255.255.255.0
asa(config-if)# no shut
asa(config-if)# nameif dmz
asa(config-if)# security-level 50
做一条默认路由指定outsie区域为出口路由与外网通信:
asa(config)# route outside 0 0 12.0.0.2
配置ACL:
asa(config)# access-list 1 permit icmp any any
asa(config)# access-group 1 in int outside
asa(config)# access-group 1 in int dmz
测试全网互通:
真机ping两个服务器地址:
交换机作为二层设备不做任何配置:
二,通过配置ACL禁止DMZ区域访问outside区域,但可以访问inside区域。
配置如下:
asa(config)# access-list 2 deny icmp host 192.168.20.10 host 13.0.0.2
asa(config)# access-list 2 permit icmp any any
asa(config)# access-group 2 in int dmz
测试apache服务器与另两台PC通信:
发现ping外网的服务器ping不通:
三,将内网的10.0网段通过动态PAT转换成公网outside接口地址访问WEB网页。
动态PAT配置如下:
asa(config)# nat (inside) 1 192.168.10.0 255.255.255.0 //定义要转换的内网网段,1代表ID号。
asa(config)# global (outside) 1 interface //定义转换的公网为出口接口IP地址,ID号要相同。
测试使用真机访问WEB网站:
基于域名访问需要搭建DNS服务,并做主机A记录:
使用抓包软件查看PAT转换过程:
四,创建静态PAT将DMZ区域的Apache服务器内网地址映射成公网地址。
静态PAT配置如下:
asa(config)# static (dmz,outside) tcp 12.0.0.88 http 192.168.20.10 http //定义将apache服务器地址转换成公网地址。
asa(config)# access-list out_to_dmz permit ip host 13.0.0.2 host 12.0.0.88 //ACL配置的要访问的服务器地址是转换后的公网地址。
asa(config)# access-group out_to_dmz in int outside
DNS的A记录:
测试使用外网服务器访问Apache网站:
查看转换后的xlate表
五,配置SSH,在inside方向接入,实现对防火墙的管理:
配置如下:
asa(config)# domain-name asa.com //配置域名
asa(config)# crypto key generate rsa modulus 1024 //生成密钥长度
asa(config)# ssh 192.168.10.0 255.255.255.0 inside //定义允许哪段网段可以从哪个区域接入
asa(config)# ssh timeout 5 //定义多少时间未接入自动断开,单位分钟
asa(config)# ssh version 2 //定义版本号
asa(config)# passwd 123123 //配置登陆密码
测试使用putty软件登陆:
ASA的默认使用用户名为pix。
实验完成
本文出自 “共同努力,共同进步~~” 博客,请务必保留此出处http://9067358.blog.51cto.com/9057358/1626228
原文地址:http://9067358.blog.51cto.com/9057358/1626228