CISCO_ASA5510_防火墙配置手册.pdf

CISCO ASA5510 防火墙配置手册

一． 密码配置

1.telnet 密码

Ciscoasa(config)#passwd 123 (用于 telnet 登陆 ASA的密码 )

2.enable 密码

Ciscoasa(config)#enable password 456 (进入 enable 特权模式的密码 )

3.设备命名

Ciscoasa(config)#hostname wy-ciscoasa

二． 接口配置

2.3 配置 IP地址

Ciscoasa(config-if)#ip address 219.139.*.*

2.4 关闭 /激活接口

Ciscoasa(config-if)#shutdown/no shutdown

三． 静态路由配置

Ciscoasa(config)#route inside 192.168.3.0 255.255.255.0 192.168.10.1

意思为：在 inside 接口上创建一条到 192.168.3.0/24 网络走 192.168.10.1 的

路由， ASA会将到 192.168.3.0/24 网络的所有数据包转发给下一条

192.168.10.1

Ciscoasa(config)#route outside 0.0.0.0 0.0.0.0 219.139.50.1

是随机的，所有被授权访问 intelnet 的私有 IP 地址可随机转换为任何指定合

法 IP地址。

静态 NAT：指 IP地址一对一的转换。

PAT：指改变外出数据包的源端口并进行端口转换。内部所有网络均可以共

享一个合法外部 IP 地址实现对 intelnet 的访问，从而可以最大限度节约 IP

地址资源。同时，又可以隐藏网络内部的所有主机， 有效避免来自己 intelnet

的攻击。因此，武英项目做 NAT时推荐用 PAT。

4.2 动态 NAT的配置

Ciscoasa(config)#nat (inside) 1 192.168.3.0 255.255.0.0

将网络接口为 172.16.0.0/16 网络激活 NAT

将此地址激活 NAT

Ciscoasa(config)#global 2 219.139.*.* 255.255.255.0

将 192.168.16.254这个地址转换为 219.139.*.*

4.4 PAT配置

Ciscoasa(config)#nat (inside) 3 192.168.16.0 255.255.0.0

将此地址激活 NAT

Ciscoasa(config)#global (outside) 3 interface(这个是电信只提供了一个 IP时可

以这样做，所有内网共享一个 IP 上网)

4.5 端口映射的配置

4.5.1 什么时候要做端口映射

语法： Ciscoasa(config)#access-list list-name extended permit tcp/udp any hsot

outside_address eq port_num

tcp/udp:需要映射的协议类型

Ciscoasa(config)#static (inside,outside) tcp/udp interface port_num

local_address port_num netmask 255.255.255.255

Tcp/udp:需要映射的协议类型

local_address

：映射后的内网主机

IP

地址

port_num

：映射后的端口号

允许外网访问 219.139.*.* 的 tcp 80 端口

Ciscoasa(config)#static (inside,outside) tcp interface 80 192.168.16.254 80

外网访问 218.21.217.162的 tcp 80 端口时启用静态 PAT映射到内网

192.168.16.254的 tcp 80 端口

Ciscoasa(config)#access-group 100 in intercae outside per-user-override

访问必须调用 ACL

备注如果，只是需要将内网一个服务器映射到公网可以这样做

ciscoasa(config)#static (inside, outside) 219.139.*.* 192.168.16.254

ciscoasa(config)#static (inside, outside) 219.139.*.* 192.168.16.254 10000