思科5505防火墻配置.doc

asa 5505 常用配置2009-06-01 16:13asa 55051.配置防火墻名 ciscoasa enable ciscoasa# configure terminal ciscoasa(config)# hostname asa5505 2.配置telnet asa5505(config)#telnet inside /允許內(nèi)部接口網(wǎng)段telnet防火墻 3.配置密碼 asa5505(config)# password cisco /遠(yuǎn)程密碼 asa5505(config)# enable password cisco /特權(quán)模式密碼 4.配置IP asa5505(config)# interface vlan 2 /進(jìn)入vlan2 asa5505(config-if)# ip address 218.xxx.37.222 92 /vlan2配置IP asa5505(config)#show ip address vlan2 /驗(yàn)證配置 5.端口加入vlan asa5505(config)# interface e0/3 /進(jìn)入接口e0/3 asa5505(config-if)# switchport access vlan 3 /接口e0/3加入vlan3 asa5505(config)# interface vlan 3 /進(jìn)入vlan3 asa5505(config-if)# ip address 6 24 /vlan3配置IP asa5505(config-if)# nameif dmz /vlan3名 asa5505(config-if)# no shutdown /開(kāi)啟 asa5505(config-if)# show switch vlan /驗(yàn)證配置 6.最大傳輸單元MTU asa5505(config)#mtu inside 1500 /inside最大傳輸單元1500字節(jié) asa5505(config)#mtu outside 1500 /outside最大傳輸單元1500字節(jié) asa5505(config)#mtu dmz 1500 /dmz最大傳輸單元1500字節(jié) 7.配置arp表的超時(shí)時(shí)間 asa5505(config)#arp timeout 14400 /arp表的超時(shí)時(shí)間14400秒 8.FTP模式 asa5505(config)#ftp mode passive /FTP被動(dòng)模式 9.配置域名 asa5505(config)#domain-name C 10.啟動(dòng)日志 asa5505(config)#logging enable /啟動(dòng)日志 asa5505(config)#logging asdm informational /啟動(dòng)asdm報(bào)告日志 asa5505(config)#Show logging /驗(yàn)證配置 11.啟用http服務(wù) asa5505(config)#http server enable /啟動(dòng)HTTP server,便于ASDM連接。 asa5505(config)#http outside /對(duì)外啟用ASDM連接 asa5505(config)#http inside /對(duì)內(nèi)啟用ASDM連接 12.控制列表 access-list acl_out extended permit tcp any any eq www /允許tcp協(xié)議80端口入站 access-list acl_out extended permit tcp any any eq https /允許tcp協(xié)議443端口入站 access-list acl_out extended permit tcp any host 218.xxx.37.223 eq ftp /允許tcp協(xié)議21端口到218.xxx.37.223主機(jī) access-list acl_out extended permit tcp any host 218.xxx.37.224 eq 3389 /允許tcp協(xié)議3389端口到218.xxx.37.224主機(jī) access-list acl_out extended permit tcp any host 218.xxx.37.225 eq 1433 /允許tcp協(xié)議1433端口到218.xxx.37.225主機(jī) access-list acl_out extended permit tcp any host 218.xxx.37.226 eq 8080 /允許tcp協(xié)議8080端口到218.xxx.37.226主機(jī) asa5505(config)#show access-list /驗(yàn)證配置 13.設(shè)置路由 asa5505(config)#route dmz 3 1 /靜態(tài)路由到網(wǎng)段經(jīng)過(guò)3網(wǎng)關(guān)跳數(shù)為1 asa5505(config)#route outside 93 1 /默認(rèn)路由到所有網(wǎng)段經(jīng)過(guò)218.xxx.37.193網(wǎng)關(guān)跳數(shù)為1 asa5505# show route /顯示路由信息 14.靜態(tài)NAT asa5505(config)# static (inside,outside) 218.xxx.37.223 netmask 55 /外網(wǎng)218.xxx.37.223映射到內(nèi)網(wǎng) asa5505(config)#access-list acl_out extended permit icmp any any /控制列表名acl_out允許ICMP協(xié)議 asa5505(config)#access-group acl_out in interface outside /控制列表acl_out應(yīng)用到outside接口 asa5505(config)#static (inside,dmz) 7 6 netmask 55 /dmz7映射到內(nèi)網(wǎng)6 asa5505(config)#access-list acl_dmz extended permit icmp any any /控制列表名acl_dmz允許ICMP協(xié)議 asa5505(config)#access-group acl_dmz in interface dmz /控制列表acl_out應(yīng)用到dmz接口 asa5505(config)#Show nat /驗(yàn)證配置 15.動(dòng)態(tài)NAT asa5505(config)#global(outside) 1 24-26 /定義全局地址池 asa5505(config)#nat(inside) 1 0-2 /內(nèi)部轉(zhuǎn)換地址池 asa5505(config)# show xlate /驗(yàn)證配置 16.基于端口NAT（PAT） asa5505(config)#global (outside) 2 interface /定義全局地址即outside地址：218.xxx.37.222 asa5505(config)#nat (inside) 2 /內(nèi)部轉(zhuǎn)換地址池 asa5505(config)# show xlate /驗(yàn)證配置 17.基于LAN故障倒換（failover） 1).主防火墻配置 asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12 /故障倒換虛擬MAC地址 asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22 /故障倒換虛擬MAC地址 asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32 /故障倒換虛擬MAC地址 asa5505(config)#failover /啟動(dòng)故障倒換 asa5505(config)#failover lan unit primary /設(shè)置主要防火墻 asa5505(config)#failover lan interface standby Vlan4 /故障倒換接口名standby asa5505(config)#failover interface ip standby 52 standby /配置主防火墻IP：,備用防火墻IP： asa5505# show failover /驗(yàn)證配置 2).備防火墻配置 asa5505(config)#failover mac addr outside 001a.2b3c.4d11 001a.2b3c.4w12 /故障倒換虛擬MAC地址 asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w22 /故障倒換虛擬MAC地址 asa5505(config)#failover mac addr inside 001a.2b3c.4d21 001a.2b3c.4w32 /故障倒換虛擬MAC地址 asa5505(config)#failover /啟動(dòng)故障倒換 asa5505(config)#failover lan unit secondary /設(shè)置備用防火墻 asa5505(config)#failover lan interface standby Vlan4 /故障倒換接口名standby asa5505(config)#failover interface ip standby 52 standby /配置主防火墻IP：,備用防火墻IP： asa5505# show failover /驗(yàn)證配置 18.顯示mac地址 asa5505# show