Cisco ASA基础

目录

一、Cisco防火墙简介

1.1、软件和硬件防火墙

1.1.1、软件防火墙

1.1.2、硬件防火墙

1.2、ASA安全设备

二、ASA的安全算法

2.1、状态化防火墙

2.2、安全算法的原理

三、ASA的基本配置

3.1、配置主机名和密码

3.2、配置ASA

---

一、Cisco防火墙简介

1.1、软件和硬件防火墙

1.1.1、软件防火墙

Cisco新版本的iOS软件提供了iOS防火墙特性集，它具有应用层只能状态检测防火墙引擎。Cisco iOS防火墙特性集提供了一个综合的，内部的安全解决方案，它被广泛使用在基于iOS软件的设备上。

1.1.2、硬件防火墙

硬件防火墙比软件防火墙更有优势，原因有以下两个方面。
1、硬件防火墙功能强大，且明确是为抵御威胁而设计的。
2、硬件防火墙比软件防火墙的漏洞少。
Cisco硬件防火墙技术应用与以下三个领域。
1、PIX 500 系列安全设备
2、ASA 5500 系列自适应安全设备
3、Catalyst 6500 系列交换机和 Cisco 7600 系列路由器的防火墙服务模块。（Firewall Services Module, FWSM）
 

1.2、ASA安全设备

Cisco ASA 5500 系列自适应安全设备提供了整合防火墙，入侵保护系统，高级自适应威胁防御服务，其中包括应用安全和简化网络安全解决方案的VPN服务

二、ASA的安全算法

2.1、状态化防火墙

ASA首先是一个状态化防火墙，用于维护一个关于用户信息的连接表，称为Conn表.
1、源IP地址
2、目的IP地址
3、IP协议（如TCP或UDP）
4、 IP协议信息（如TCP/UDP端口号，TCP序列号，TCP控制位）
默认情况下，ASA对TCP和UDP协议提供状态化连接，但ICMP协议是非状态化的。
 

2.2、安全算法的原理

ASA使用安全算法执行以下三项基本操作
1、访问控制列表。基于特定的网络，主机和服务（TCP/UDP端口号）控制网络访问。
2、连接表。维护每个连接的状态信息。安全算法使用此信息在已建立的连接中有效转发流量。
3、检测引擎。执行状态检测和应用层检测。检测规则集是预先定义的，来验证应用是否尊崇每个RFC和其他标准。
 

三、ASA的基本配置

3.1、配置主机名和密码

配置主机名

ASA初始化启动后默认的主机名是ciscoasa,可以通过以下命令将主机名配置为asa

ciscoasa# config terminal
ciscoasa(config)# hostname asa
asa(config)#

配置密码

配置特权密码为asa123

asa(config)# enable password asa111

3.2、配置ASA

配置R1

R1#conf t进入全局模式
R1(config)#no ip routing关闭路由功能，将此路由器作为客户机使用
R1(config)#interface FastEthernet0/0进入接口
R1(config-if)#ip address 10.1.1.1 255.255.255.0配置接口IP
R1(config)#no shut开启此接口
R1(config-if)#exit退出
R1(config)#ip default-gateway 10.1.1.254配置网关

配置R2

R2(config-if)#int f1/0进入此接口
R2(config-if)#ip add 10.1.3.2 255.255.255.0配置接口IP
R2(config-if)#no shutdown开启此接口
R2(config-if)#exit退出
R2(config)#no ip routing关闭路由功能
R2(config)#enable password 111设置特权密码
R2(config)#line vty 0 4进入虚拟终端
R2(config-line)#password 1111配置密码
R2(config-line)#exit退出
R2(config)#ip default-gateway 10.1.2.254配置网关

 配置ASA

ASA(config)# int g0进入此接口
ASA(config-if)# ip add 10.1.1.254 255.255.255.0配置接口IP
ASA(config-if)# no shut开启此接口
ASA(config-if)# nameif inside修改名称
ASA(config-if)# int g1进入此接口
ASA(config-if)# ip add 10.1.2.254 255.255.255.0配置接口IP
ASA(config-if)# no shut开启此接口
ASA(config-if)# nameif outside修改接口名称为outside
ASA(config-if)# exit退出
ASA(config)# access-list 100 permit ip host 10.1.2.10 host 10.1.1.10配置ACL
ASA(config)# access-group 100 in int outside将此配置应用在outside口的入接口
 

验证