cisco ASA 防火墙安全算法原理和基本配置 （一）

一，ASA的安全算法

1）ASA就是一个状态化防火墙，其中有一个关于用户信息的连接表，称为conn表，表中的关键信息如

源ip地址

目的ip地址

ip协议（只针对Tcp和UDP，不对ICMP进行状态化检测，）

ip协议信息（tcp、udp的端口号，tcp序列号，tcp控制位）

2）安全算法的原理

原始报文--------ACL-----------XLATE、conn----------应用层检测--------返回报文

一个新来的报文到达ASA，ASA先检查ACL，确认是否允许，允许则通过，到达连接表conn，并在其中创建一个新条目，然后进行应用层检测，如果允许，则将报文转发给目的主机，这时目的主机进行响应，ASA接受到返回报文并进行检测，确定于conn表的信息匹配，则通过。

二，ASA的基本配置

1）连接防火墙登陆

与其他的 Cisco 设备一样，用 Console 线连接到防火墙，初始特权密码为空（配置了远程，则可以远程连接）

2）配置内部接口和 IP 地址

分别划分inside（内网）、outside（外网）、dmz（安全区）三个区域。

内网可访问外网及dmz内服务器（web），外网可访问dmz内服务器（web）

Dmz服务器分别开放80、21、3389端口。

3）配置路由和pc的远程连接

每个pc都配置vty，方便下面测试

默认是允许从高安全级别接口访问低安全级别接口的

禁止从低安全级别访问高安全级别的，例如 outside不能访问inside，因为outside级别最低，要 访问inside需要配置ACL。

禁止相同安全级别的接口之间通信。

用inside区域的pc1访问outside的pc3

用outside区域的pc3访问inside的pc1

不能访问吧，因为默认禁止低级别访问高级别，下面设置ACL后，就可以访问了

这下pc3接上了pc1

查看conn表

总结：ASA上配置ACL有连个作用：一是允许入站连接，二是控制出站连接的流量

3）动态NAT（使用于客户端）

指定需要进行地址转换的网段

asa（config）# nat （inside) 1 10.0.0.0 255.255.255.0

定义全局地址池

asa(config)# global (outside) 1 200.0.0.1-200.0.0.10

inside区域内的所有网段实施动态NAT 命令

asa（config）nat （inside) 1 0 0

4)动态PAT

指定需要进行地址转换的网段

asa（config）# nat （inside) 1 10.0.0.0 255.255.255.0

asa（config）# global （outside） 1 202.106.1.1

有是直接使用outside的接口ip地址进行转换

asa（config）# global （outside） 1 interface

5）静态NAT(发布内网的服务器，dmz区存放的是服务器，）

格式：static(源端口，目标端口）目标地址，源地址

static （dmz，outside） 201.10.10.10 192.168.2.2

access-list out_to_dmz permit ip host 172.16.16.2 host 201.10.10.10

access-group out_to_dmz in int outside

需要主意的是acl配置命令中的目的地址为映射的地址201.10.10.10 ，而不是真实的ip192.168.2.2，是一对一的固定转换，静态NAT发布到公网的服务器可以响应Internet客户端的连接，internet也可以向其发起连接。

6）静态PAT（多个服务器使用不同端口共享一个公网IP发布到Internet.

格式：static(源端口，目标端口）[tcp|upd] 目标地址 目标端口 源地址 源端口

static (dmz,outside) tcp 201.10.10.10 80 192.168.2.2 80

access-list out_to_dmz permit ip host 172.16.16.2 host 201.10.10.10

access-group out_to_dmz in int outside

转载于:https://blog.51cto.com/xiaoxiao1001/1300161