思科防火墙路由

• 

• 一、配置每个路由器节点的IP地址
• 二、配置路由协议
  • 静态路由配置无需在防火墙配置，三个路由器配置静态即可，没有通信的话，防火墙策略阻挡了数据包。
  • 防火墙配置rip和ospf 和路由器配置并无区别。
• 三、防火墙：
  • 1.防火墙分为三个部分（inside：内网。outside：外网。dmz ：服务器）
  • 2.内网接口配置
    • ciscoasa(config)# interface gigabitEthernet 0
    • ciscoasa(config-if)# ip address 192.168.1.2 255.255.255.0
    • ciscoasa(config-if)# nameif inside 配置为inside区域
    • INFO: Security level for "inside" set to 100 by default.
    • ciscoasa(config-if)# security-level 100 安全等级
    • ciscoasa(config-if)# no shutdown
  • 3.ouside和dmz 与 inside配置类似，只是命名不同，安全等级不同（内网为100，DMZ为50，outside为0）
• 四、防火墙策略：
  • 1.内网到外网：
    • 内网的数据到外网防火墙是放行的。
    • 外网的数据到内网防火墙是拒绝的。
    • 配置策略使数据包能从外网进入防火墙：
      • ciscoasa(config)# access-list 110 extended permit ip any any
      • ciscoasa(config)# access-group 110 in interface outside
  • 2.dmz到外网：
    • （1）：DMZ的数据到外网防火墙是放行的。
    • （2）：外网的数据到DMZ防火墙是拒绝的。
    • 配置dmz到outside的策略
    • ciscoasa(config)# access-list 119 extended permit ip any any
    • ciscoasa(config)# access-group 119 in interface outside
  • 3.内网到dmz：
    • （1）：内网的数据到DMZ防火墙是放行的。
    • （2）：DMZ的数据到内网防火墙是拒绝的。
    • 配置策略：
      • ciscoasa(config)# access-list 120 extended permit ip any any
      • ciscoasa(config)# access-group 120 in interface dmz
• 五、安全级别安的端口默认可以访问安全级别低的端口，安全级别低端口访问安全级高的端口默认拒绝的（如果要放行必须写对应策略）。