网络安全篇 ASA的初始化-03

目录

一、实验原理

1.思科 ASDM特性

2.安全级别security level介绍

3.相同安全级别接口之间的通信

4.同一接口内的通讯

5.运行路由协议

二、实验拓扑

三、实验步骤

四、实验过程

总结

---

 

实验难度	3
实验复杂度	2

 

 

一、实验原理

1.思科 ASDM特性

（1）可以运行在不同的平台

（2）运行java来提供强大的实时监控

（3）使用SSL来确保和ASA的安全通讯

（4）在新的思科ASA中预安装到flash

（5）能够在同一时间同时管理多个ASA

（6）思科ASDM会话：

---------五个思科ASDM会话单元（单模）或者虚拟防火墙（多模）

---------32个会话单元（多模式）

（7）支持所有的思科ASA

（8）ASA软件版本要的ASDM版本兼容

（9）硬件型号要兼容思科ASCM软件版本

2.安全级别security level介绍

（1）从高级安全级别接口到低安全级别接口的流量叫outbound流量，这种流量默认是允许通过的。

（2）从低级安全级别接口到高安全级别接口的流量叫inbound流量，这种流量默认是不允许的，但是可以使用ACL来放行inbound流量。

（3）相同安全级别接口之间的流量默认是不允许通信的，但是可以使用命令放行。

（4）安全级别的范围为0-100。

（5）默认inside安全级别为100，其实接口默认为0.

3.相同安全级别接口之间的通信

（1）ASA支持101个安全级别和多于101个子接口

（2）可以为不同的接口指定相同的安全级别

（3）默认相同安全级别接口间的流量是不允许的

（4）需要激活inter-interface之间的通讯。

具体的命令：same-security-traffic permit inter-interface

4.同一接口内的通讯

（1）在Hub-and-Spoke VPN的环境中，流量需要从同一个子接口进入和离开防火墙。

（2）默认情况下，这种流量是不被允许通信的。

（3）可以使用命令来激活intra-interface之间的通讯。

具体的命令：same-security-traffic permit intra-interface

5.运行路由协议

ASA支持：RIP/OSPF/EIGRP

它的配置方式与IOS是相同的（重分布、路由过滤等）

ASA 8.0所有的掩码都为正掩码（ACL，路由通告等）

 

二、实验拓扑

三、实验步骤

1.搭建如图所示的网络拓扑；

2.初始化路由器，配置好相应的IP地址；

3.命令防火墙的名字为ASA，定义相应的三个区域接口（inside/outside/dmz）,并配置相应的IP地址;

4.设置ASA的三个接口的安全级别，inside:100，outside:0，dmz:50; 

5.在各个路由器上配置默认路由，然后在inside路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：inside

（3）登陆的密码为：ccie

在outside路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：outside

（3）登陆的密码为：ccie

在dmz路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：dmz

（3）登陆的密码为：ccie

6.使用ping与telnet测试手段来测试各个路由器之间的网络连通性；

7.ASA的一些常用查看命令；

四、实验过程

1.搭建如图所示的网络拓扑；

略。

2.初始化路由器，配置好相应的IP地址；

inside:

outside:

dmz:

3.命令防火墙的名字为ASA，定义相应的三个区域接口（inside/outside/dmz）,并配置相应的IP地址;

4.设置ASA的三个接口的安全级别，inside:100，outside:0，dmz:50; 

测试直连网络的连通性：

现在直连网络是可以相互通信的。

5.在各个路由器上配置默认路由，然后在inside路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：inside

（3）登陆的密码为：ccie

在outside路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：outside

（3）登陆的密码为：ccie

在dmz路由器上配置远程登陆信息为：

（1）特权密码：ccie

（2）登陆用户名为：dmz

（3）登陆的密码为：ccie

inside:

outside:

dmz:

6.使用ping与telnet测试手段来测试各个路由器之间的网络连通性；

(1)ping

(2)telnet

inside路由器:

outside路由器：

DMZ路由器：

以上的实验说明，在默认情况下，ICMP协议是无法穿越防火墙的，因为默认防火墙会把穿越防火墙的ICMP报文丢弃，防火墙它不会维护ICMP的状态表项。防火墙它是可以实现高安全级别到低安全级别的通信的，这种流量是可以被防火墙监控的TCP/UDP流量，若是低安全级别的接口流量的话，默认是不可以与高级安全级别的接口区域通信。

7.ASA的一些常用查看命令；

代码解析：

ASA(config)# show nameif   //查看已经命令的接口名称及相应的安全级别信息

ASA(config-if)# nameif inside  //命令这个接口的名称为inside，这个inside是可以被防火墙直接调用的

ASA(config-if)# security-level 100   //设定防火墙的安全级别，这个范围为0-100

ASA(config)#show run all     //用于查看隐藏的配置 后接关键字可以查找对应的条目
ASA(config)#show cpu usage   //查看设备的CPU占用情况
ASA(config)#show memory  //查看内存等相关的信息
ASA(config)#show perfmon 可以查看到连接数等信息
ASA(config)#show conn 可以查看连接表，这个的状态表项是针对TCP/UDP协议的

ASA(config)# show interface ip brief   //查看防火墙的接口简要信息，这个命令与在路由器、交换机上有点不一样哈，注意

注意：

思科ASA的密码默认为空的，所以当看到未初始化的防火墙需要输入特权密码时，可以直接回车。

总结

本章节介绍了ASA的一些基本的术语、初始化ASA与相关的一些查看命令，为了让大家看得明白，这个防火墙我会尽可能地把相关联的内容分开写这个篇章，也就是细分实验，不然很多朋友都会被那些综合实验搞懵的。好了，我们在下一个章节再见，加油！

网络安全的相关工具都在下面的这个百度网盘中，需要的自行下载哈

链接：https://pan.baidu.com/s/1-tR-KaUbimKALZNf5SRB8w 
提取码：8ghc