Benet3.0 ASA基本配置及高级应用

 

实验配置步骤参考：
1、初始化ASA设备
ASA(config)# hostname ASA
ASA(config)# domain-name cisco.com
ASA(config)#interface e0/0
ASA(config-if)#nameif outside
ASA(config-if)#sec 0
ASA(config-if)#ip address 172.16.11.11 255.255.0.0
ASA(config-if)#no shutdown
ASA(config)#interface e0/1
ASA(config-if)#nameif inside
ASA(config-if)#sec 100
ASA(config-if)#ip address 192.168.10.254 255.255.255.0
ASA(config-if)#no shutdown
ASA(config)#interface e0/2
ASA(config-if)#nameif dmz
ASA(config-if)#ip address 192.168.20.2 255.255.255.0
ASA(config-if)#sec 50
ASA(config-if)#no shutdown
2、配置ASA静态路由
ASA(config)#route outside 0.0.0.0 0.0.0.0 172.16.1.1
3、配置ASA的telnet、SSH远程管理接入
ASA(config)#telnet 192.168.10.0 255.255.255.0 inside
ASA(config)#crypto key  generate rsa modulus 1024
ASA(config)#ssh 0 0 outside
4、配置PAT与Static NAT
ASA(config)#nat (inside) 1 192.168.10.0 255.255.255.0
ASA(config)#global (outside) 1 interface
ASA(config)#static (dmz,outside) tcp interface www 192.168.20.1 www
5、通过配置ACL放行WWW、ICMP流量
ASA(config)#access-list OUT extended permit icmp any any
ASA(config)#access-list OUT extended permit tcp any interface outside eq www
6、配置日志服务器(192.168.10.1)
ASA(config)# logging enable
ASA(config)# logging trap informational
ASA(config)# logging host inside 192.168.10.1
7、ASA启用URL过滤
ASA(config)# regex url1 "\.sohu\.com"---".sohu.com"
----------------------------------------------------------------------------------
ASA(config)# access-list tcp_filter permit tcp 192.168.10.0 255.255.255.0 any eq www
ASA(config)# class-map tcp_filter_class
ASA(config-cmap)# match access-list tcp_filter 
-------------------------------------------------------------------------
ASA(config)# class-map type inspect http http_class--------把字符串划分类
ASA(config-cmap)# match request header host regex url1
-------------------------------------------------------------------------
ASA(config)# policy-map type inspect http http_url_policy-----带http检测类型的策略映射
ASA(config-pmap)# class http_class
ASA(config-pmap-c)# drop-connection log
----------------------------------------------------------------------------
ASAconfig)# policy-map inside_http_url_policy ---标准的策略映射  
ASA(config-pmap)# class tcp_filter_class
ASA(config-pmap-c)# inspect http http_url_policy
ASA(config)# service-policy inside_http_url_policy interface inside
8、测试
--------------------------------------------------------------------
Cisco ASA命令介绍:
一、基本配置
1、显示ASA版本信息
     ciscoasa# show version
2、配置主机名
      ciscoasa(config)# hostname asa802
3、配置域名
    asa802(config)# domain-name asadomain.com
4、配置密码
      a、配置特权密码
      asa802(config)# enable password asa802
      b、配置远程登陆(telnet、SSH）密码
      asa802(config)# passwd cisco
5、配置接口
      a、配置接口IP地址
      asa802(config-if)# ip address 192.168.1.1 255.255.255.0
      b、配置接口名字
      asa802(config-if)# nameif name
      c、配置接口安级级别
     asa802(config-if)# security-level number
6、查看接口信息
   asa802(config-if)# show run interface(不必要在特权下)
7、查看IP信息
   asa802(config-if)# show ip address(show ip)
8、配置静态路由
   asa802(config)# route interface-name network mask next-hop-address
9、查看路由表
   asa802# show route
10、配置远程管理接入
       a、配置Telnet接入----明文传输
      asa802(config)# telnet {network|ip-address} mask interface-name
            注：ASA不允许telnet流量从安全级别为0的接口进入
       b、配置SSH(安全的telnet加密传输)接入(3个步骤)
            步骤1：配置主机名和域名
            步骤2：生成RSA密钥对(公钥和私钥)
            asa802(config)# crypto key generate rsa modulus 1024
            步骤3：配置防火墙允许SSH接入
      asa802(config)# ssh 192.168.0.0 255.255.255.0 inside
            asa802(config)# ssh 0 0 outside
            配置空闲超时时间与版本(可选)
      asa802(config)# ssh timeout 30
            asa802(config)# ssh version 2
   c、配置ASDM(ASA安全设备管理器)接入
            asa802(config)# http server enable
            asa802(config)# http 192.168.0.0 255.255.255.0 inside
            asa802(config)# asdm image disk0:/asdm-602.bin
            asa802(config)# username benet password cisco privilege 15
11、配置网络地址转换(NAT)
       a、配置PAT(2个步骤）---把多个私网地址转换成1个公网地址,多对少的转换
            步骤1：定义什么流量需要被转换
      asa802(config)# nat （interface_name） nat-id  local-ip  mask
            步骤2:定义全局地址池(也可转到外部接口)
      asa802(config)# global （interface_name） nat-id  {global-ip [-global-ip] |interface}
       b、配置Static
            asa802(config)# static (real_interface,mapped_interface) mapped_ip real_ip 
            注:从低到高需要通过ACL放行相应的流量
   c、查看NAT的转换条目
            asa802(config)#show xlate
12、配置ACL
       a、标准ACL
            asa802(config)#access-list acl_name standard {permit | deny} ip_addr mask
       b、扩展ACL 
             asa802(config)# access-list acl_name extended {permit | deny} protocol    src_ip_addr src_mask dst_ip_addr    dst_mask [operator port] 
       c、将ACL应用到接口
           asa802(config)# access-group acl_name {in | out} interface interface_name 
 12、清空当前ASA相关协议配置 
     asa802(config)#clear config route|static|nat|global
 13、清空当前ASA所有配置
     asa802(config)#clear config all
 
--------------------------------------------------------
二、ASA的高级应用
1、配置URL(统一资源定位符）过滤(4个步骤)
     步骤1：定义Regex(正则表达式)-定义URL匹配的字符串
   asa802(config)# regex url1 "\.sohu\.com"---".sohu.com"
     步骤2：创建class-map(类映射)-识别传输流量，分类流量
      asa802(config)# access-list tcp_filter permit tcp 192.168.10.0 255.255.255.0 any eq www
      asa802(config)# class-map tcp_filter_class
      asa 802(config-cmap)# match access-list tcp_filter 
-------------------------------------------------------------------------------------------------
      asa802(config)# class-map type inspect http http_class--------把字符串划分类
      asa802(config-cmap)# match request header host regex url1 
      步骤3：创建policy-map(策略映射)-针对不同的类执行不同的操作
      asa802(config)# policy-map type inspect http http_url_policy-----带http检测类型的策略映射
      asa802(config-pmap)# class http_class
      asa802(config-pmap-c)# drop-connection log  ---同时产生日志信息
-----------------------------------------------------------------------------------------------------
      asa802(config)# policy-map inside_http_url_policy ---标准的策略映射  
      asa802(config-pmap)# class tcp_filter_class
      asa802(config-pmap-c)# inspect http http_url_policy
      步骤4：应用policy-map应用接口上
      asa802(config)# service-policy inside_http_url_policy interface inside
2、配置日志管理服务器(三种方式）
      第一种：本地Buffer保存日志
      asa802(config)# logging enable
      asa802(config)# logging buffered informational 
      第二种：配置ASDM日志
      asa802(config)# logging enable
      asa802(config)# logging asdm informational 
      第三种：配置日志服务器
      asa802(config)# logging enable
      asa802(config)# logging trap informational
      asa802(config)# logging host inside 192.168.10.1
3、配置ASA安全特性
   a、基本威胁检测
   asa802(config)# threat-detection basic-threat 
   b、防范IP分攻击
   asa802(config)# fragment chain 1 
   c、启用IDS(入侵检测系统)功能(可选)