CISCO+ASA+5520配置手册

1、给防火墙命名定义工作域进入特权模式的密码内网接口： 接口作工模式：全双工，半双，自适应 为端口命名 ：内部接口 inside 设置安全级别 0100 值越大越安全设置本端口的 IP 地址外网接口 为外部端口命名 ：外部接口 outside地址配置防火墙管理地址CD-ASA5520# show run : SavedASA Version 7.2(2)!hostname CD-ASA5520 / domain-name default.domain.invalid / enable password 9jNfZuG3TC5tCVH0 encrypted / names dns-guard !in

2、terface GigabitEthernet0/0/duplex full/nameif inside/security-level 100 / ip address / !interface GigabitEthernet0/1/nameif outside / security-level 0ip address 22 /IP !interface GigabitEthernet0/2nameif dmz security-level 50 ip address

3、 !interface GigabitEthernet0/3shutdown no nameif no security-level no ip address !interface Management0/0/shutdown no nameifno security-levelno ip address!passwd 2KFQnbNIdI.2KYOU encryptedftp mode passive clock timezone CST 8 dns server-group DefaultDNS domain-name default.domain.inval

4、id access-list outside_permit extended permit tcp any interface outside eq 3389/ 访问控制列表access-list outside_permit extended permit tcp any interface outside range 30000 30010 / 允许外部任何用户可以访问 outside 接口的 30000-30010 的端口。pager lines 24logging enable / 启动日志功能logging asdm informationalmtu inside 1500 内部最大

5、传输单元为 1500 字节mtu outside 1500mtu dmz 1500ip local pool vpnclient -00 mask / 定义一个命名为 vpnclient 的 IP 地址池 , 为 remote 用户分配 IP 地址 no failovericmp unreachable rate-limit 1 burst-size 1asdm image disk0:/asdm-522.binno asdm history enablearp timeout 14400 /arp空闲时间为 144

6、00 秒INTERNETglobal (outside) 1 interface /由于没有配置 NAT 故这里是不允许内部用户上static (dmz,outside) tcp interface 30000 30000 netmask 55 / 端口映射 可以解决内部要公布的服务太多，而申请公网 IP 少问题。static (dmz,outside) tcp interface 30001 30001 netmask 55/把dmz区192.16822 30002映射给外部 30002端口上

7、。static (dmz,outside) tcp interface 30002 30002 netmask 55 static (dmz,outside) tcp interface 30003 30003 netmask 55 static (dmz,outside) tcp interface 30004 30004 netmask 55 static (dmz,outside) tcp interface 30005 192.168.2

8、.2 30005 netmask 55 static (dmz,outside) tcp interface 30006 30006 netmask 55 static (dmz,outside) tcp interface 30007 30007 netmask 55 static (dmz,outside) tcp interface 30008 3008 netmask 55 static (dmz,outside

9、) tcp interface 30009 30009 netmask 55 static (dmz,outside) tcp interface 30010 30010 netmask 55 static (dmz,outside) tcp interface 3389 3389 netmask 55 access-group outside_permit in interface outside/ 把 outside_permit 控制列表运

10、用在外部接口的入口方向。route outside 26 1 /定义一个默认路由。timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout

11、 uauth 0:05:00 absolute 定义一个命名为 vpnclient group-policy vpnclient internal/group-policy vpnclient attributes/wins-server value 0/dns-server value 0 9 /vpn-idle-timeout none/vpn-session-timeout none/vpn-tunnel-protocol IPSec/split-tunnel-policy tunnelspecified/default-d

12、omain value /的组策略 创建一个内部的组策略。 设置 vpnclient 组策略的参数 定义 WINS-SERVER勺IP地址。 定义 dns-server 的 IP 地址。终止连接时间设为默认值 会话超时采用默认值 定义通道使用协议为IPSEC。定义。定义默认域名为 定义一个命名为 l2lvpn 勺组策略 group-policy l2lvpn internal group-policy l2lvpn attributeswins-server value 0dns-server value 0 9 vpn-simu

13、ltaneous-logins 3vpn-idle-timeout none vpn-session-timeout none vpn-tunnel-protocol IPSec username test password P4ttSyrm33SV8TYp encrypted privilege 0/ 创建一个远程访问用户来访问安全应用 username cisco password 3USUcOPFUiMCO4Jk encryptedhttp server enable /启动 HTTP服务http in side/允许内部主机 HTTP连接no snmp-

14、server locationno snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart /snmp 的默认配置crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac/ 配置转集（定义了 IPSC 隧道使用的加密和信息完整性算法集合）crypto dynamic-map vpn_dyn_map 10 set transform-set ESP-DES-MD5 / 为动态加密图条目定义传换集crypto m

15、ap outside_map 10 ipsec-isakmp dynamic vpn_dyn_map/ 创建一个使用动态加密条目的加密图crypto map outside_map interface outside端口/ 将 outside_map 加密图应用到 outside 配置 IKEcrypto isakmp enable outside / crypto isakmp policy 20 authentication pre-share encryption des hash md5/isakmmp/group 2 lifetime 86400/ostside 接口启动 ISAKM

16、P权值，值越小权值越高 指定同位体认证方法是共享密钥 指定加密算法指定使用MD5散列算法指定 diffie-hellman 组 2指定SA （协商安全关联）的生存时间crypto isakmp policy 65535 authentication pre-share encryption des hash md5 group 2lifetime 86400 调用组策略 crypto isakmp nat-traversal 20tunnel-group DefaultL2LGroup general-attributes / default-group-policy l2lvpn/tunne

17、l-group DefaultL2LGroup ipsec-attributes / pre-shared-key */配置这个通道组的认证方法 指定默认组策略名称。 配置认证方法为 IPSEC 提供 IKE 连接的预共享密钥tunnel-group vpnclient type ipsec-ra / tunnel-group vpnclient general-attributes / address-pool vpnclient / default-group-policy vpnclient 设置认证方式和共享密钥/设置连接类型为远程访问。配置这个通道组的认证方法 定义所用的地址池 定义

18、默认组策略tunnel-group vpnclient ipsec-attributes /配置认证方法为 IPSECpre-shared-key */提供 IKE 连接的预共享密钥telnet timeout 5/telnetssh outside/ssh timeout 60/SSHconsole timeout 0/超时设置允许外部通SSH访问防火墙连接超时设置控制台超时设置dhcp-client update dns server both dhcpd dns 9 8/dhcp发布的 DNSdhcpd address 19