ASA防火墙之global ACL配置实例

global ACL配置实例

本篇继续介绍ASA防火墙的相关配置，有关全局访问控制ACL的配置，相对于接口对的调用，全局更加的灵活。

Global ACL介绍

配置实例

需求:全局放行ICMP与telnet的流量，进行测试。再将outside接口入方向telnet流量deny掉，再进行测试。
配置命令如下
ASA(config)#access-list global extended permit icmp any any
ASA(config)#access-list global extended permit tcp any any eq telnet
ASA(config)#access-group global global //全局调用

配置完成
配置全局之后，可以发现全局都可以通过ICMP以及telnet访问，例如下面这里正常情况R2是无法telnet和pingR1的（低到高级别），但是配置之后，可以telnet以及ping。

R3pingR1也是一样的效果。

接下来配置接口调用
ASA(config)#access-list outside-in extended deny tcp any any eq telnet
ASA(config)#access-group outside-in in interface outside //接口调用

配置完成，来查看效果
很明显，R3telnetR1失败了。原因就是接口调用deny了，即使你全局上允许了。也是无法telnet的，但是却不影响ping。因为接口deny只是deny掉telnet的数据包。


当然，也可以在ASDM里面配置，配置方法如下，

最后

感谢观看！