思科防火墻 PIX ASA 配置總結(jié)一（基礎(chǔ)）：
思科防火墻已經(jīng)從PIX發(fā)展到ASA了，IOS也已經(jīng)從早期的6.0發(fā)展到7.2。但總體的配置思路并沒有多少變化。只是更加人性化，更加容易配置和管理了。
下面是我工作以來的配置總結(jié)，有些東西是6.3版本的，但不影響在7.＊版本的配置。
一：6個(gè)基本命令： nameif、 interface、 ip address 、nat、 global、 route。
二：基本配置步驟：
step1: 命名接口名字
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
＊＊7版本的配置是先進(jìn)入接口再命名。
step2：配置接口速率
interface ethernet0 10full auto
interface ethernet1 10full auto
interface ethernet2 10full
step3：配置接口地址
ip address outside 218.106.185.82
ip address inside 192.168.100.1 255.255.255.0
ip address dmz 192.168.200.1 255.255.255.0
step4：地址轉(zhuǎn)換（必須）
* 安全高的區(qū)域訪問安全低的區(qū)域（即內(nèi)部到外部）需NAT和global;
nat(inside) 1 192.168.1.1 255.255.255.0
global(outside) 1 222.240.254.193 255.255.255.248
＊＊＊ nat (inside) 0 192.168.1.1 255.255.255.255 表示192.168.1.1這個(gè)地址不需要轉(zhuǎn)換。直接轉(zhuǎn)發(fā)出去。
* 如果內(nèi)部有服務(wù)器需要映射到公網(wǎng)地址(外網(wǎng)訪問內(nèi)網(wǎng))則需要static和conduit或者acl.
static (inside, outside) 222.240.254.194 192.168.1.240
static (inside, outside) 222.240.254.194 192.168.1.240 10000 10
后面的10000為限制連接數(shù)，10為限制的半開連接數(shù)。
conduit permit tcp host 222.240.254.194 eq www any
conduit permit icmp any any (這個(gè)命令在做測(cè)試期間可以配置，測(cè)試完之后要關(guān)掉，防止不必要的漏洞)
ACL實(shí)現(xiàn)的功能和conduit一樣都可實(shí)現(xiàn)策略訪問，只是ACL稍微麻煩點(diǎn)。conduit現(xiàn)在在7版本已經(jīng)不能用了。
Access-list 101 permit tcp any host 222.240.254.194 eq www
Access-group 101 in interface outside (綁定到接口)
＊＊＊允許任何地址到主機(jī)地址為222.240.254.194的www的tcp訪問。
Step5：路由定義：
Route outside 0 0 222.240.254.193 1
Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
＊＊如果內(nèi)部網(wǎng)段不是直接接在防火墻內(nèi)口，則需要配置到內(nèi)部的路由。
Step6：基礎(chǔ)配置完成，保存配置。
Write memory write erase 清空配置
reload
思科防火墻已經(jīng)從PIX發(fā)展到ASA了，IOS也已經(jīng)從早期的6.0發(fā)展到7.2。但總體的配置思路并沒有多少變化。只是更加人性化，更加容易配置和管理了。
下面是我工作以來的配置總結(jié)，有些東西是6.3版本的，但不影響在7.＊版本的配置。
一：6個(gè)基本命令： nameif、 interface、 ip address 、nat、 global、 route。
二：基本配置步驟：
step1: 命名接口名字
nameif ethernet0 outside security0
nameif ethernet1 inside security100
nameif ethernet2 dmz security50
＊＊7版本的配置是先進(jìn)入接口再命名。
step2：配置接口速率
interface ethernet0 10full auto
interface ethernet1 10full auto
interface ethernet2 10full
step3：配置接口地址
ip address outside 218.106.185.82
ip address inside 192.168.100.1 255.255.255.0
ip address dmz 192.168.200.1 255.255.255.0
step4：地址轉(zhuǎn)換（必須）
* 安全高的區(qū)域訪問安全低的區(qū)域（即內(nèi)部到外部）需NAT和global;
nat(inside) 1 192.168.1.1 255.255.255.0
global(outside) 1 222.240.254.193 255.255.255.248
＊＊＊ nat (inside) 0 192.168.1.1 255.255.255.255 表示192.168.1.1這個(gè)地址不需要轉(zhuǎn)換。直接轉(zhuǎn)發(fā)出去。
* 如果內(nèi)部有服務(wù)器需要映射到公網(wǎng)地址(外網(wǎng)訪問內(nèi)網(wǎng))則需要static和conduit或者acl.
static (inside, outside) 222.240.254.194 192.168.1.240
static (inside, outside) 222.240.254.194 192.168.1.240 10000 10
后面的10000為限制連接數(shù)，10為限制的半開連接數(shù)。
conduit permit tcp host 222.240.254.194 eq www any
conduit permit icmp any any (這個(gè)命令在做測(cè)試期間可以配置，測(cè)試完之后要關(guān)掉，防止不必要的漏洞)
ACL實(shí)現(xiàn)的功能和conduit一樣都可實(shí)現(xiàn)策略訪問，只是ACL稍微麻煩點(diǎn)。conduit現(xiàn)在在7版本已經(jīng)不能用了。
Access-list 101 permit tcp any host 222.240.254.194 eq www
Access-group 101 in interface outside (綁定到接口)
＊＊＊允許任何地址到主機(jī)地址為222.240.254.194的www的tcp訪問。
Step5：路由定義：
Route outside 0 0 222.240.254.193 1
Route inside 192.168.10.0 255.255.255.0 192.168.1.1 1
＊＊如果內(nèi)部網(wǎng)段不是直接接在防火墻內(nèi)口，則需要配置到內(nèi)部的路由。
Step6：基礎(chǔ)配置完成，保存配置。
Write memory write erase 清空配置
reload