思科ASA防火墙精华配置总结

1、思科ASA防火墙精华配置总结思科防火墙PIX ASA配置总结一（基础）：下面是我工作以来的配置总结，有些东西是6.3版本的，但 不影响在7.大版本的配置。一：6 个基本命令：nameif、interface、ip address、nat、 global、 route o二：基本配置步骤：step1:命名接口名字nameif ethernet0 outside security0nameif ethernet1 inside security100nameif ethernet2 dmz security50大大7版本的配置是先进入接口再命名。step2:配置接口速率interface ethe

2、rnet0 10full autointerface ethernet1 10full autointerface ethernet2 10fullstep3:配置接口地址ip address outside 2ip address inside ip address dmz step4 :地址转换（必须）*安全高的区域访问安全低的区域(即内部到外部)需NAT 和 global;nat(inside) 1 global(outside) 1 93 48* nat (inside) 0 55表示 这个地址不需要转换。直接转发出去。*如果内部有服务器需要映像到公网地址(外网访问内网)则 需要 st

3、atic 和 conduit 或者 acl.static (inside, outside) 94 40static (inside, outside) 94 40 1000010后面的10000为限制连接数，10为限制的半开连接数。conduit permit tcp host 94 eq www anyconduit permit icmp any any这个命令在做测试期间可以配置，测试完之后要关掉，防止不必要的漏洞ACL实现的功能和conduit 一样都可实现策略访问，只是ACL 稍微麻烦点。conduit现在在7版本已经不能用了。Access-list 101 permit tcp

4、any host 94 eq wwwAccess-group 101 in interface outside 绑定到接口)*允许任何地址到主机地址为94的 www的tcp访问。Step5：路由定义：Route outside 0 0 93 1Route inside 1太大如果内部网段不是直接接在防火墙内口，则需要配置到内部的路由Step6：基础配置完成，保存配置。Write memory write erase 清空配置reload前言防火墙观念已经在企业网络相当普及，DataCente提供企业主机代管业务或是ISP提供企业VPN需求时，常需考虑网络安全，需要帮客户建置防火墙服务，Data

5、Cente提供为数众多的客户主机代管服务，亦需要为客户建置安全网络环境。DataCente在众多客户的网络环境或是大型企业各个子公司需要不同防火墙策略时，即可考虑使用思科ASA系列防火墙的Multiple conte功能来建置一个灵活 可扩充性高的防火墙环境。ASA Multiple context是将一个实体防火墙分割成多个虚拟防火墙。每一虚拟 防火墙可以有独立虚拟线路、路由表、NAT表、独立防火墙策略及个别管理者。 使用限制上，ASA Multuple context启动后，ASA只支持静态路由，不支持动 态路由、Multicast路由以及VPN与Threat Detection功能。一、

6、ASA Multiple conte规格：目前 CISCO ASA5500 支持 050 个 multiple context .表一、ASA 5500防火墙支持Security conte数量CiscoCiscoCiscoCiscoCiscoCisco ASA 5580ASAASAASAASAASA55055510552055405550Securitycontext-虚拟防火墙(内建/最大)0/02/52/202/502/502/50CISCO ASA防火墙具有强大处理能力最高可达四百万最小封包每秒，最大联机 数两百万个(ASA5580)，ASA 防火墙型号有 ASA5505，ASA551

7、0，ASA5520， ASA5540，ASA5550， ASA5580-20，ASA5580-40，适用于家庭、中小企业到大型 Service provide客户可依网络环境需求作调度配置，且具备备援机制，提供可 靠的网络安全。也具备方便灵活的图形化管理接口(ASDM)，让管理者轻易上手。二、Multiple context 架构规划ISP能够利用ASA Multiple context是将一个实体防火墙分割成多个虚拟 防火墙，再搭配SWITCH(CISCO 7600)的IEEE 802.1Q功能，将多个客户都 接到SWITCH上，就可以节省线路成本、电力成本、设备成本。配合 SWITCH(C

8、ISCO 7600) MPLS功能可以规划客户设备IP都使用相同网段，将 网段规则一致化，可以简化网管，由ISP统一管理所有虚拟防火墙的policy 如下列两个比较图。图一：建置个别客户防火墙图二：DataCente以ASA5580 multi-conte为客户建置防火墙CustomerA /24CustomerC/24优化后，只需要两台ASA5580做实体设备备援的架构，相较于旧架构三组防火 墙共六部实体防火墙来的省钱，而且收容客户数越多，ASA5580就更加节省整体 建置成本。三、ASA 5580 Multi-conte建置启动 Multi-context将两台备援使用的ASA5580启动

9、multi-contex指令为mode multiple example : ASA(config)# mode multiple系统在指令下完以后，会自动重开机。系统开机后会自动建立一个 admin context . admin co是一个独立context，他的配置文件储存路 径为flash:/admin.，cf|g认没有任何接口配置于admin，但可手动加入 网络接口。若防火墙管理是由DataCente集中管理时，建议将admin context当做管理性质的平台。建立新的context命名 指令：pixfirewall(config)# coise区别每一个 context配置文件位

10、置 指令：pixfirewall(config)# config-urlcolash:/ 指定配置文件路径，待登入cisco这个contex做存盘动作时，会写 入到此路径档案。系统搬迁时，也会用到。例如客户A从实体防火 墙搬到另外一个实体防火墙时，只要搬动此配置文件到对应的ASA 防火墙，客户A设定即可回复。配置网络接口新增网络接口，并设定好vlan ID因为实体接口与 其他context共享，所以用不同vlan I区隔开。例：pixfirewall(config-subif)# interface gigabitethernet 0.101 pixfirewall(config-subif)

11、# vlan 101(4)将网络接口指定给context例：pixfirewall(config)# context ciscopixfirewall(config-ctx)# allocate-interface GigabitEthernet0/0.101此时，进入context cis可以看到多出网络接口GigabitEthernet0/0.可以设定 1?及使用。在system模式底下以指令show contex可以检视系统目前所有context及其配置的网络接口。3. 配置系统资源ASA5580需要配置各项资源到每一个虚拟防火墙单位(context)包括ASDM 联机数、connect

12、ion数量、telne联机数、ssh联机数、使用者数量及NAT数量。指令：pixfirewall(config)#class testpixfirewall(config-class)# limit-resource ASDM 5pixfirewall(config-class)#limit-resource Conns 1000pixfirewall(config-class)#limit-resource Hosts 10pixfirewall(config-class)#limit-resource SSH 5pixfirewall(config-class)#limit-resourc

13、e Telnet 5pixfirewall(config-class)#limit-resource Xlates 50套用到指定的context指令：pixfirewall(config)#context ciscopixfirewall(config-ctx)#member test配置接口范例如下，其中有multi-context fai的设定ASA# show running-config:Saved:ASA Version 8.0(4) ! system密码，个别context!勺密码设定需要到contex底下去设定 enable password !interface Gigabi

14、tEthernet0/0.101description Customer1 insidevlan 101 !interface GigabitEthernet0/0.102description Customer2 insidevlan 102 ! !interface GigabitEthernet0/1.501description Customer1 outsidevlan 501网络技术应用网 HYPERLINK !interface GigabitEthernet0/1.502description Customer2 outsidevlan 502!指定failove界面inter

15、face GigabitEthernet0/2description LAN Failover Interface!指定 stateful fail界Mirinterface GigabitEthernet0/3description STATE Failover Interface !系统资源分配class ciscolimit-resource All 0limit-resource ASDM 5limit-resource SSH 5limit-resource Telnet 5 !boot system disk0:/asa804-k8.binftp mode passiveclock

16、 timezone TPE 8pager lines 24!以下是 active active faifllOiVe定failoverfailover lan unit primaryfailover lan interface failover GigabitEthernet0/2failover polltime unit 1 holdtime 3failover polltime interface 3 holdtime 15failover replication httpfailover link stateful GigabitEthernet0/3failover interfa

17、ce ip failover 52 standby failover interface ip stateful 52 standby failover group 1preempt 10replication httpfailover group 2secondarypreempt 10replication http!以下是图形管理接口档案位置asdm image disk0:/asdm-615.bin!虚拟防火墙adminadmin-context admincontext adminconfig-url disk0:/admin.cfg!虚拟防火墙Customer!设定为Failove

18、r group1 context Customer!description Customer!allocate-interface GigabitEthernet0/0.101 visibleallocate-interface GigabitEthernet0/1.501 visibleconfig-url disk0:/Customer1 join-failover-group 1!虚拟防火墙Customer?设定为Failover group2 context Customer?description Customer2allocate-interface GigabitEthernet

19、0/0.102 visibleallocate-interface GigabitEthernet0/1.502 visibleconfig-url disk0:/Customer2 join-failover-group 2!username cisco password passwordprompt hostname contextCryptochecksum:3f8df13b36f2850f49d8b29b66ccabe2:end4. 个别 context设定与 Active/Active failover个别context设定与single mode没有差异，步骤是设定interfac

20、e nameifsecurity leve接口 ip地址、远程管理、密码、路由信息、NAT、防 火墙策略等等。以上 failove设定，将 PRIMARY ASA 设定为 failover group1,SECONDARY ASA 设定为 failover grou而 Customerl预设为 failovergroup 1 群组，Customer2预设为 failover group群组，并启动 statefulfailover两个客户封包路径如下图：Customerl/24当ASA primary故障时，流量集中到良好设备线路上，此时session 不会中断，服务保持正常，达到failov

21、er预期效果。Customer!/24failover GigafciitEthernet0/2 (up) frequency 1 seconds, holdtime 3 seconds Poll frequency 3 seconds, holdtline 15 seconds Policy 1 Interfaces 5 of 250 inaxiinuin检视 ASA failover 信息，指令:show failover ASA# show failover Failover On Failover unit Primary Failover LAN Interface: Unit Poll Interface Interface Monitoredfailover replication http Version: Ours S. (4)f Hate 8.0 (4)Group 1lastfailover at: 10:04:37 PHSTNov 20200SGroup 2lastfailover at: 10:04:37 PHSTNov 20200SThishost:Pri