Cisco ASA web*** 配置
一，实验环境
Vmware 上模拟Cisco ASA 防火墙
网络环境 外部网络192.168.1.0
内部网络 10.80.1.0
二 配置Cisco ASA
ciscoasa(config)#confg t
ciscoasa(config)#int ethernet 0/0
ciscoasa(config-if)#ip add 192.168.1.200 255.255.255.0
ciscoasa(config-if) #nameif outside
ciscoasa(config-if)# security-level 0
ciscoasa(config-if)#no shutdown
ciscoasa(config-if)#int ethernet 0/1
ciscoasa(config-if)# ip add 10.80.1.254 255.255.255.0
ciscoasa(config-if)#nameif inside
ciscoasa(config-if)# security-level 100
ciscoasa(config-if)# no shutdown
ciscoasa(config)# route outside 0 0 192.168.1.1
三 配置 ×××书
生成一个ssl***keypait 的字签证书，并将这个自签证书应用在“outside”接口上面。默认情况下，安装设备每次重新启动以后，都要重新生成我们的证书，这个证书可以从厂商购买自己的证书，这个证书即使我们的网络设备重启了它仍然存在
1 生成一个RSA密钥的证书，该名称是唯一的
ciscoasa(config)#crypto key generate rsa label ssl***keypair
2 建立一个自我信任点颁发证书
ciscoasa(config)#crypto ca trustpoint localtrust
ciscoasa(config-ca-trustpoint)#enrollment self
ciscoasa(config-ca-trustpoint)#fqdn ssl***.frank.org
ciscoasa(config-ca-trustpoint)#subject-name CN=ssl***.frank.com
ciscoasa(config-ca-trustpoint)#keypair ssl***keypair
ciscoasa(config-ca-trustpoint)# crypto ca enroll localtrust noconfirm
ciscoasa(config)#ssl trust-point localtrust outside
2将SSL ××× 客户端镜像上传到ASA 中，如果没有的话可以去官方网站上下载。下载完成后并将其放到本地的ftp 上，并登录到asa 中并把其拷贝到ASA中
ciscoasa(config)# copy ftp://Frank:Frank@IP/ASA/ anyconnect-win-2.2.0133-k9.pkg disk0:/
ciscoasa(config)# web***
ciscoasa(config-web***)# svc p_w_picpath disk0:/ anyconnect-win-2.2.0133-k9.pkg
3 启用SSL ××× 访问
如果不启用的话，在浏览器中打不开SSL ××× 的页面
ciscoasa(config-web***)#enable outside
ciscoasa(config-web***)# svc enable
ciscoasa(config-web***)# exit
4 建立SSL ××× 拨号地址池
远程访问客户端需要在登录期间分配一个IP地址，所以还需要为这写客户端建立一个DHCP地址池，不过如果有DHCP服务器，还可以使用DHCP服务器
ciscoasa(config# ip local pool SSLClientPool 10.80.1.245-10.80.1.250 mask 255.255.255.0
5 创建组策略
组策略用于指定应用于所连接客户端的参数，
ciscoasa(config)#group-policy SSLClientPolicy internal
ciscoasa(config)#group-policy SSLClientPolicy attribute
ciscoasa(config-group-policy)#***-tunnel-protocol svc
ciscoasa(config-group-policy)#default-domain value frank.org
ciscoasa(config-group-policy)#address-pools value SSLClientPool
ciscoasa(config-group-policy)# exit
6 配置访问列表旁路
通过使用sysopt connect 命令，我们告诉ASA准许SSL/IPsec 客户端绕过接口的访问列表
ciscoasa(config)#sysopt connection permit-***
7 创建连接配置文件和隧道组
在远程访问的客户端连接ASA时，也就连接到了connection profile 连接配置文件，也称为隧道组，将用这个隧道组来定义其使用的特定连接参数。
首先，创建隧道组SSL 客户端
ciscoasa(config)#tunnel-group SSLClientProfile type remote-access
下一步是创建SSL ×××隧道分配特定的属性
ciscoasa(config)#tunnel-group SSLClientProfile general-attribute
ciscoasa(config-tunnel-genral)#default-group-policy SSLClientPolicy
ciscoasa(config-tunnel-genral)#tunnel-group SSLClientProfile web***-attributes
ciscoasa(config-tunnel-genral)#group-alias SSL×××Client enable
ciscoasa(config-tunnel-genral)# exit
8 将隧道组列表在web*** 中开启
开启之后， 在登录时候会有GROUP,否则就没有GROUP这个列表
ciscoasa(config)#web***
ciscoasa(config-web***)# tunnel-group-list enable
ciscoasa(config-web***)#exit
9 配置NAT 免除
在告诉ASA不要对远程访问客户端和要访问的内部网络之间的通信进行网络地址转换
首先，要创建一个可定义通信的访问列表，然后，将此列表用于接口的NAT语句
ciscoasa(config)#access-list inside_nat0_outboud extended permit ip 10.80.1.0 255.255.255.0 192.168.1.0 255.255.255.0
ciscoasa(config)#nat （inside）0 access-list inside_nat0_outbound
10 配置用户
创建用户并将该用户指排给SSLK ×××
ciscoasa(config)#username Frank password Frank
ciscoasa(config-username)#username Frank attributes
ciscoasa(config-username)#exit
11保存
ciscoasa(config)# write memory
12 用客户端连接
在IE 浏览器中通过https 浏览
13 配置实用隧道分离配置
ciscoasa(config)#access-list ***client——splitTunnelAcl standard permit 10.80.1.0 255.255.255.0
ciscoasa(config)#group-policy SSLClientPolicy attributes
ciscoasa(config-group-policy)#split-tunnel-policy tunnelspecified
ciscoasa(config-group-policy)#split-tunnel-networ-list value ***client_splitTunnelAcl
ciscoasa(config-group-policy)#exit
ciscoasa(config)#write memory
从，上面看去往10.80.1.0/24 这个网段的才走SSL ×××，其他的数据还是走默认的网络出去