ASA防火墙工作原理与配置实例-创新互联
ASA是状态化防火墙,会建立一个用户信息连接表(Conn),连接表中包含的相关信息有源IP地址、目的IP地址、IP协议(如TCP或UDP)、IP协议信息(如TCP/UDP的端口号、TCP序列号和TCP控制位)
创新互联于2013年成立,先为班玛等服务建站,班玛等地企业,进行企业商务咨询服务。为班玛企业网站制作PC+手机+微官网三网同步一站式服务解决您的所有建站问题。一.工作原理
ASA安全算法原理会执行三项基本操作
1.访问控制列表—基于特定网络、主机和服务控制网络访问,有两个作用:允许入站连接和控制出站的流量
2.连接表—维护每个连接状态信息,在已建立的连接中有效转发数据流量,入站流量如果conn表中没有将会丢弃
3.检查引擎—执行状态检查和应用层检查
工作原理:
二.ASA接口的安全级别
1.每个接口都会有一个安全级别,范围是0~100,数值越大安全级别越高。inside默认是100、outside默认是0。
不同安全级别接口直接访问遵从三项默认规则
允许出站—允许从高安全级别接口到低安全级别接口的流量通过
禁止入站—禁止从低安全级别接口到高安全级别接口的流量通过
禁止相同安全级别的接口直接通信
2.DMZ区的概念
DMZ俗称“隔离区”,也叫“非军事化区”,是位于企业内部网络和外部网络之间的一个网络区域,这个区域可以放置一些必须公开的服务器,如公司的WEB服务器或论坛等等
DMZ区的安全级别介于inside和outside之前,有6条默认访问规则,所以配置DMZ区时候就要配置安全级别了
inside可以访问outside
inside可以范围DMZ
DMZ可以访问outside
DMZ不能访问inside
outside可以访问DMZ
outside不能访问inside
三.ASA基本配置
配置主机名和特权密码都与思科路由器一样
配置远程登录密码:asa(config)# passwd mima
配置接口的名称:asa(config-if)# nameif name
说明:name为接口名称inside、outside或DMZ等
配置接口安全级别:asa(config-if)# security-level number
说明:number代表安全级别的范围数值0~100
如图所示:配置接口名称、安全级别、IP、静态路由和ACL的方法
四.ASA的远程管理
1.telnet方式可以实现内网到ASA的远程管理,如果是外网访问将无法通过telnet的方式进行管理
配置命令:asa(config)# telnet (network|ip-address) mask
interface-name
举例1:asa(config)# telnet 192.168.1.0 255.255.255.0 inside
表示允许192.168.1.0网段的客户机可以进行telnet管理
举例2:asa(config)# telnet 192.168.1.1 255.255.255.255 inside
表示只有192.168.1.1这个IP地址可以进行管理
2.SSH方式可以实现对ASA进行安全的远程管理,可实现通过外网连接管理,需要使用Secure CRT软件区连接
配置命令:asa(config)# hostasa
配置主机名为asa
asa(config)# domain-name asadomain.com
配置域名asadomain.com
asa(config)# crypto key generate rsa modulus
1024 生成RSA密钥对,默认是1024位
asa(config)# ssh (network|ip-address) mask
interface-name
配置ssh允许接入
asa(config)# ssh 0 0 outside
表示可以从外部接口接入
asa(config)# ssh timeout 30
配置空闲超时时间,表示空闲30分钟就会退出,可以不配置
asa(config)# ssh version version-number
配置SSH版本,默认是同时支持版本1和版本2的
实验
实验步骤:
1.配置各个设备的IP地址、静态路由,这里路由器不讲解了,说一下ASA的配置
2.配置ASA访问规则
3.验证
五.ASA上NAT的应用
在ASA上NAT分4种类型:动态NAT、动态PAT静态NAT和静态PAT
1.动态NAT配置语法
asa(config)# nat (interface-name) nat-id local-ip mask
asa(config)# global (interface-name) nat-id
global-ip-global-ip
interface-name : 代表是要转换的接口是inside还是DMZ等等
nat-id:代表当前这个nat的名称,当配置nat转换的时候同一个转换关系nat-id必须相同
local-ip:表示要进行nat转换的内部局部地址的网段
mask:内部局部地址的掩码
global-ip-global-ip:表示内部全局地址池的范围
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置动态NAT
2.动态PAT配置语法
asa(config)# nat (interface-name) nat-id local-ip mask
asa(config)# global(interface-name) nat-id interface
这里与动态NAT唯一的不同是不用写内部全局地址池的范围,因为是多个内部局部地址转换到一个内部全局地址,所以这里将转换直接应用到接口即可
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置动态NAT
3.静态NAT配置语法
asa(config)# static (local-name,global-name)
global-ip local-ip
并且需要创建相应的ACL访问规则
配置实验:
实验步骤:路由、IP地址这里不进行演示,下面说下配置静态NAT
4.静态PAT配置语法
asa(config)# static (local-name,global-name) {tcp|udp}
global-ip global-port
local-ip local-port
tcp|udp:代表要使用的是tcp协议还是udp协议
global-port:代表对应的协议端口号,内部全局地址和内部局部地址的协议端口号要一致
并且需要创建相应的ACL访问规则
实验步骤:路由、IP地址这里不进行演示,下面说下配置静态PAT
另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。
分享文章:ASA防火墙工作原理与配置实例-创新互联
分享地址:http://myzitong.com/article/hioic.html