Cisco ASA 5500防火墙案例配置

给还在为配置ASA防火墙而烦恼的兄弟，简单没什么深层次的技术，以后会慢慢加上。此文档是个人总结，也算是实践经验吧！！把以前做过的案例又在模拟器上做了一边。看完以后简单的配置防火墙就没什么问题了！！ 

二、实验环境

ASA 防火墙 eth0 接口定义为 outside 区，Security-Level:0，接 Router F0/0；ASA 防火墙 eth1 接口定义为 insdie 区，Security-Level:100，接 Switch 的上联口；ASA 防火墙 Eth2 接口定义为 DMZ 区，Security-Level:60，接 Mail Server。

三、实验目的

实现 inside 区域能够访问 outside，即 Switch 能够 ping 通 Router 的 F0/0（202.100.10.2）；dmz 区能够访问 outside，即 Mail Server 能够 ping 通 Router 的 F0/0（202.100.10.2）；outside 能够访问 insdie 区的 Web Server 的 http 端口(80)和 dmz 区的 Mail Server 的 pop3 端口（110）、smtp 端口（25）. 

四、详细配置步骤

1、端口配置

CiscoASA(config)# interface ethernet 0 

CiscoASA(config)#nameif ouside 

CiscoASA(config-if)# security-level 0 

CiscoASA(config-if)# ip address 202.100.10.1 255.255.255.0 

CiscoASA(config-if)# no shut 

CiscoASA(config)# interface ethernet 1 

CiscoASA(config)#nameif inside 

CiscoASA(config-if)# security-level 100 

CiscoASA(config-if)# ip address 192.168.1.1 255.255.255.0 

CiscoASA(config-if)# no shut 

CiscoASA(config)# interface ethernet 2 

CiscoASA(config)#nameif dmz 

CiscoASA(config-if)# security-level 50 

CiscoASA(config-if)# ip address 172.16.1.1 255.255.255.0 

CiscoASA(config-if)# no shut 

-----------------------------------------------------------------------------------------------------------------------------------

2、路由配置

CiscoASA(config)# route outside 0.0.0.0 0.0.0.0 202.100.10.2 1 

//默认路由

CiscoASA(config)# route inside 10.0.0.0 255.0.0.0 192.168.1.2 1 

//访问内网服务器的路由

-----------------------------------------------------------------------------------------------------------------------------------------------

3、定义高安全接口区域需要进行地址转换的IP范围

CiscoASA(config)# nat (inside) 1 0 0 

CiscoASA(config)# nat (dmz) 1 0 0 

=====================================================================================================================================

4、定义低安全接口区域用于高安全接口区域进行IP转换的地址范围

CiscoASA(config)# global (outside) 1 interface 

CiscoASA(config)# global (dmz) 1 interface 

============================================================================================================================

5、定义静态IP映射（也称一对一映射）

CiscoASA(config)# static (inside,outside) tcp 202.100.10.1 www 10.1.1.1 www netmask 255.255.255.255 

//实现从 outside 区访问 inside 区 10.1.1.1 的 80 端口时，就直接访问 10.1.1.1:80 对 outside 区的映射202.100.10.1:80 

CiscoASA(config)# static (dmz,outside) tcp 202.100.10.1 pop3 172.16.1.2 pop3 netmask 255.255.255.255 

//实现从 outside 区访问 dmz 区 172.16.1.2 的 110 时，就直接访问 172.16.1.2:110 对 outside 区的映射202.100.10.1:110 

CiscoASA(config)# static (dmz,outside) tcp 202.100.10.1 smtp 172.16.1.2 smtp netmask 255.255.255.255 

//实现从 outside 区访问 dmz 区 172.16.1.2 的 25 时，就直接访问 172.16.1.2:25 对 outside 区的映射202.100.10.1:25 

==============================================================================================================

6、定义 access-list 

CiscoASA(config)# access-list 101 extended permit ip any any 

CiscoASA(config)# access-list 101 extended permit icmp any any 

CiscoASA(config)# access-list 102 extended permit tcp any host 10.1.1.1 eq www 

CiscoASA(config)# access-list 102 extended permit icmp any any 

CiscoASA(config)# access-list 103 extended permit tcp any host 172.16.1.2 eq pop3 

CiscoASA(config)# access-list 103 extended permit tcp any host 172.16.1.2 eq smtp 

============================================================================================================================

7、在接口上应用 access-list 

CiscoASA(config)# access-group 101 in interface outside 

CiscoASA(config)#access-group 102 in interface inside 

CiscoASA(config)#access-group 103 in interface dmz 

===========================================================================================================================

五、实验总结

1、当流量从高权限区域流向低权限区域时

1、只要路由配通了，无须配置 nat/global，也无须配置 access-list，就可以直接 telnet 低权限区域主机;

2、只要路由配通了，同时配置了 access-list，无须配置 nat/global，就可以直接 ping 通低权限区域主机；

3、只要路由配通了，同时配置了 nat/global/access-list，此时 telnet/ping 均会执行地址转换

2、当流量从低权限区域流向高权限区域时

1、即使路由已经配通了，也不能成功访问；

2、路由已经配通了，同时必须正确配置了 static IP 地址映射及 access-list，才能成功访问；

3、调通路由是基础，同时只跟 static/access-list 有关，而跟 nat/global 毫无关系。