- 软件防火墙和硬件防火墙
1)软件防火墙
系统防火墙,TMG防火墙,IP tables防火墙,处理数据速度慢,稳定性差
2)硬件防火墙
ASA,深信服,华为都属于硬件防火墙,稳定性强,处理数据速度快 - ASA5500系列的安全设备
ASA 5505小型企业使用,ASA 5510中型企业使用,ASA 5520中型企业使用,具有模块化, ASA 5540大中型企业使用, ASA 5550大型企业和服务提供商使用, ASA 5580用于大型企业,数据中心,运营商使用 - 防火墙功能分类
1)应用防火墙
代理使用
2)网络防火墙
识别网络传输的数据包
3)状态化防火墙
硬件防火墙都属于状态化防火墙,自动识别传输的数据包 - 状态化防火墙的原理
1)状态化防火墙的conn表包含的信息
源IP或者网络
目标IP或者网络
协议 端口号
2)icmp的特点
icmp协议不属于状态化防火墙
默认不能穿越防火墙通信
3)conn表的特点
conn表支持的协议可以转发
不支持不能被防火墙转发 - ASA安全算法原理
1)查询ACL
访问控制列表是否允许
2)查询conn表
检查conn表是否允许
3)操作引擎
引擎不需要管理员配置
引擎能够识别传输的数据包‘
不识别无法执行操作指令 - 简单配置ASA
1.配置主机名
ciscoasa#config t
ciscoasa#hostname ASA
ASA(config)#
2.配置密码
1)配置特权密码
ASA(config)#enable password pwd@123
2)配置远程登录密码
ASA(config)#password pwd@123 - 接口的概念与配置
1)物理接口
协商工作模式,协商通信速率
2)逻辑接口
配置命令
3)常见的逻辑接口
inside 内部接口,优先级默认100
outside 外部接口,优先级默认为0
dmz 非军事化区,保存对外提供服务的服务器,安全级别在inside和outside之间,优先级低于inside,高于outside
4)不同优先级遵循的规则
低不能访问高,低安全级别不能访问高安全级别
高可以访问低,高安全级别可以访问低
相同安全级别不能访问,端口优先级相同不能访问
低访问高,需要配置访问控制列表 - 简单配置接口
ASA(config)#int et 0/0, 进入物理接口
ASA(config-if)#nameif inside ,配置逻辑名称inside
ASA(config-if)#security-level 100 | 修改接口优先级100 |
---|---|
ASA(config-if)#ip add 192.168.10.254 255.255.255.0 | ASA(config-if)#no shut |
ASA#show interface ip brief ,查看接口信息
ASA#show conn detail ,查看conn表
- 配置静态和默认
ASA(config)#route inside 192.168.10.0 255.255.255.0 192.168.20.1 配置静态
ASA(config)#route outside 0.0.0.0 0.0.0.0 192.168.30.1 配置默认,默认只能有一条
ASA#show route 查看路由表
ASA(config)#fixup protocol icmp 添加状态化连接 - 配置ACL(访问控制列表)
ASA(config)#access-list out-to-in permit tcp 192.168.40.0 255.255.255.0 host 192.168.20.1 eq 23 允许主机访问telnet
ASA(config)#int et 0/1 进入接口
ASA(config)#access-group out-to-in in interface outside ACL应用在outside接口为进方向 - ASA远程管理的方式
1)telnet
内部管理使用,没有被加密,Cisco设备直接支持,安全性差
2)ssh
安全性强,适合广域网管理,传输数据加密,需要配置AAA认证
3)ASDM
Cisco提供的图形化配置设备使用,使用的是HTTPS协议加密 - 简单配置telnet远程管理
1)配置允许192.168.10.0网络通过inside远程管理设备
ASA(config)#telnet 192.168.10.0 255.255.255.0 inside
2)允许任意网络通过inside访问
ASA(config)#telnet 0 0 inside
3)telnet保持时间5分钟
ASA(config)#telnet timeout 5 - 简单配置SSH远程管理
1)创建域名
ASA(config)#domain-name benet.com
2)使用加密算法rsa长度为1024
ASA(config)#crypto key generate rsa modulus 1024
3)允许192.168.20.0通过outside接口ssh远程管理
ASA(config)#ssh 192.168.20.0 255.255.255.0 outside
4)修改版本
ASA(config)#ssh version 2
5)创建ssh账户和密码
ASA(config)#username cisco password pwd@123 privilege 15
6)开启AAA验证
ASA(config)#aaa authentication ssh console LOCAL
7)配置ssh保持时间
ASA(config)#ssh timeout 10 - 配置ASDM图形化工具管理
1)开启http功能
ASA(config)#http server enable
2)指定asdm客户端位置
ASA(config)#asdm image disk0:/asdm - 649.bin
3)允许外网使用asdm管理
ASA(config)#http 192.168.20.0 255.255.255.0 outside
4)创建asdm账户和密码
ASA(config)#username cisco password pwd@123 privilege 15
转载于:https://blog.51cto.com/14156658/2390272