思科防火牆 PIX ASA 配置總結
思科防火牆 PIX ASA 配置總結一(基礎)：
思科防火牆已經從PIX發展到ASA了，IOS也已經從早期的6.0發展到7.2。但總體的配置思路並沒有多少變化。只是更加人性化，更加容易配置和管理了。
下面是我工作以來的配置總結，有些東西是6.3版本的，但不影響在7.*版本的配置。
一：6個基本命令： nameif、 interface、 ip address 、nat、 global、 route。
二：基本配置步驟：
step1: 命名介面名字
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
**7版本的配置是先進入介面再命名。
step2：配置介面速率
interface ethernet0 10full auto
interface ethernet1 10full auto
interface ethernet2 10full
step3：配置介面地址
ip address outside 218.106.185.82
ip address inside 192.168.100.1 255.255.255.0
ip address dmz 192.168.200.1 255.255.255.0
step4：地址轉換(必須)
* 安全高的區域訪問安全低的區域(即內部到外部)需NAT和global;
nat(inside) 1 192.168.1.1 255.255.255.0
global(outside) 1 222.240.254.193 255.255.255.248
*** nat (inside) 0 192.168.1.1 255.255.255.255 表示192.168.1.1這個地址不需要轉換。直接轉發出去。
* 如果內部有伺服器需要對映到公網地址(外網訪問內網)則需要static和conduit或者acl.
static (inside, outside) 222.240.254.194 192.168.1.240
static (inside, outside) 222.240.254.194 192.168.1.240 10000 10
後面的`10000為限制連線數，10為限制的半開連線數。
conduit permit tcp host 222.240.254.194 eq www any
conduit permit icmp any any (這個命令在做測試期間可以配置，測試完之後要關掉，防止不必要的漏洞)
ACL實現的功能和conduit一樣都可實現策略訪問，只是ACL稍微麻煩點。conduit現在在7版本已經不能用了。
Access-list 101 permit tcp any host 222.240.254.194 eq www
Access-group 101 in interface outside (繫結到介面)
***允許任何地址到主機地址為222.240.254.194的www的tcp訪問。
Step5：路由定義：Route outside 0 0 222.240.254.193 1
Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
**如果內部網段不是直接接在防火牆內口，則需要配置到內部的路由。
Step6：基礎配置完成，儲存配置。
Write memory write erase 清空配置
reload
[思科防火牆 PIX ASA 配置總結]相關文章：
1.投行業務
【思科防火牆 PIX ASA 配置總結】相關文章：