求大神指点----ASA配置ACL规则-创新互联

实验拓扑:

成都服务器托管,创新互联提供包括服务器租用、资阳服务器托管、带宽租用、云主机、机柜租用、主机租用托管、CDN网站加速、域名注册等业务的一体化完整服务。电话咨询:13518219792

求大神指点 ---- ASA配置ACL规则

实验要求:
1、DMZ发布Web服务器,Client2可以访问Server3
2、使用命令show conn detail查看Conn表
3、分别查看ASA和AR的路由表
4、配置ACL禁止Client3访问Server2
5、状态化防火墙的原理是什么?
6、ASA上不同安全级别的接口之间互相访问时,遵从的默认规则是什么?
7、在ASA上配置ACL的作用是什么?

实验步骤:

一、首先,为Port 0 、Port 1 、Port 2 分别配置IP网关、安全级别数值。
Port 0 :
ciscoasa(config)# interface gigabitEthernet 0
ciscoasa(config-if)# nameif inside
ciscoasa(config-if)# ip address 192.168.1.254 255.255.255.0
ciscoasa(config-if)# no shutdown
ciscoasa(config-if)# security-level 100

Port 1 :
ciscoasa(config)# interface gigabitEthernet 1
ciscoasa(config-if)# nameif outside
ciscoasa(config-if)# ip address 192.168.8.254 255.255.255.0
ciscoasa(config-if)# no shutdowu
ciscoasa(config-if)# security-level 0

Port 2 :
ciscoasa(config)# interface gigabitEthernet 2
ciscoasa(config-if)# nameif DMZ
ciscoasa(config-if)# ip address 192.168.3.254 255.255.225.0
ciscoasa(config-if)# no shutdown
ciscoasa(config-if)# security-level 50

二、为路由器的的G0/0/0、G0/0/1、G0/0/2 口分别配置IP地址:
G0/0/0 :
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip address 192.168.1.1 255.255.255.0
[R1-GigabitEthernet0/0/0]undo shutdown

G0/0/1 :
[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]ip address 10.1.1.254 255.255.255.0
[R1-GigabitEthernet0/0/1]undo shutdown

G0/0/2 :
[R1]interface GigabitEthernet 0/0/2
[R1-GigabitEthernet0/0/2]ip address 10.2.2.1 255.255.255.0
[R1-GigabitEthernet0/0/2]undo shutdown
三、为防火墙配置静态路由、为路由器配置默认路由。

防火墙:
ciscoasa(config)# route inside 10.1.1.0 255.255.255.0 192.168.1.1
ciscoasa(config)# route inside 10.2.2.0 255.255.255.0 192.168.1.1
路由器:
[R1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.254

以上操作配置,可以使得Client 1 可以访问 Server 2 和 Server 3
如图所示:

Client 1访问 Server 2

求大神指点 ---- ASA配置ACL规则

Client 1访问 Server 3

求大神指点 ---- ASA配置ACL规则

四、Client 2 访问 Server 3
ciscoasa(config)# access-list out-to-DMZ permit ip host 192.168.8.1 host 192.168.3.100
ciscoasa(config)# access-group out-to-DMZ in interface outside
如图所示:

求大神指点 ---- ASA配置ACL规则

五、查看conn表:
如图所示:

求大神指点 ---- ASA配置ACL规则

六、查看ASA和 AR 的路由表:
ASA:

如图所示:

求大神指点 ---- ASA配置ACL规则

AR:

如图所示:

求大神指点 ---- ASA配置ACL规则

七、配置ACL禁止Client 3 访问 Server 2

配置命令:
ciscoasa(config)# access-list DMZ-to-out deny ip host 192.168.3.1 host 192.168.8.100
ciscoasa(config)# access-group DMZ-to-out in interface DMZ

验证如下图所示:

求大神指点 ---- ASA配置ACL规则

八、状态化防火墙的原理是什么?

状态化防火墙维护一个关于用户信息的连接表,称为Conn表
九、ASA上不同安全级别的接口之间互相访问时,遵从的默认规则是什么?

允许出站(outbound)连接
禁止入站(inbound)连接
禁止相同安全级别的接口之间通信
十、在ASA上配置ACL的作用是什么?

1、为了能够让低安全级别对高安全级别进行访问
2、 控制流量(路由交换)

通过以上的操作配置表明:
1、 Client 2 是可以访问 Server 3的
如图所示:

求大神指点 ---- ASA配置ACL规则

2、 Client 3 不可以访问 Server 2
如图所示:

求大神指点 ---- ASA配置ACL规则

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。


本文题目:求大神指点----ASA配置ACL规则-创新互联
本文来源:http://myzitong.com/article/dpiccc.html