浅谈Cisco ASA的基础

Posted 2021-11-27

软件防火墙和硬件防火墙
1）软件防火墙
系统防火墙，TMG防火墙，IP tables防火墙，处理数据速度慢，稳定性差
2）硬件防火墙
ASA，深信服，华为都属于硬件防火墙，稳定性强，处理数据速度快

ASA5500系列的安全设备
ASA 5505小型企业使用，ASA 5510中型企业使用，ASA 5520中型企业使用，具有模块化， ASA 5540大中型企业使用， ASA 5550大型企业和服务提供商使用， ASA 5580用于大型企业，数据中心，运营商使用

防火墙功能分类
1）应用防火墙
代理使用
2）网络防火墙
识别网络传输的数据包
3）状态化防火墙
硬件防火墙都属于状态化防火墙，自动识别传输的数据包

状态化防火墙的原理




1）状态化防火墙的conn表包含的信息
源IP或者网络
目标IP或者网络
协议 端口号
2）icmp的特点
icmp协议不属于状态化防火墙
默认不能穿越防火墙通信
3）conn表的特点
conn表支持的协议可以转发
不支持不能被防火墙转发

ASA安全算法原理

1)查询ACL
访问控制列表是否允许
2)查询conn表
检查conn表是否允许
3）操作引擎
引擎不需要管理员配置
引擎能够识别传输的数据包‘
不识别无法执行操作指令

简单配置ASA
1.配置主机名
ciscoasa#config t
ciscoasa#hostname ASA
ASA(config)#
2.配置密码
1）配置特权密码
ASA(config)#enable password [email protected]
2）配置远程登录密码
ASA(config)#password [email protected]

接口的概念与配置
1）物理接口
协商工作模式，协商通信速率
2）逻辑接口
配置命令
3）常见的逻辑接口
inside 内部接口，优先级默认100
outside 外部接口，优先级默认为0
dmz 非军事化区，保存对外提供服务的服务器，安全级别在inside和outside之间，优先级低于inside，高于outside
4）不同优先级遵循的规则
低不能访问高，低安全级别不能访问高安全级别
高可以访问低，高安全级别可以访问低
相同安全级别不能访问，端口优先级相同不能访问
低访问高，需要配置访问控制列表

简单配置接口
ASA(config)#int et 0/0， 进入物理接口
ASA(config-if)#nameif inside ，配置逻辑名称inside

ASA(config-if)#security-level 100	修改接口优先级100
ASA(config-if)#ip add 192.168.10.254 255.255.255.0	ASA(config-if)#no shut

ASA#show interface ip brief ，查看接口信息
ASA#show conn detail ，查看conn表

• 配置静态和默认
  ASA（config）#route inside 192.168.10.0 255.255.255.0 192.168.20.1 配置静态
  ASA（config）#route outside 0.0.0.0 0.0.0.0 192.168.30.1 配置默认，默认只能有一条
  ASA#show route 查看路由表
  ASA（config）#fixup protocol icmp 添加状态化连接
• 配置ACL（访问控制列表）
  ASA（config）#access-list out-to-in permit tcp 192.168.40.0 255.255.255.0 host 192.168.20.1 eq 23 允许主机访问telnet
  ASA（config）#int et 0/1 进入接口
  ASA（config）#access-group out-to-in in interface outside ACL应用在outside接口为进方向
• ASA远程管理的方式
  1）telnet
  内部管理使用，没有被加密，Cisco设备直接支持，安全性差
  2）ssh
  安全性强，适合广域网管理，传输数据加密，需要配置AAA认证
  3）ASDM
  Cisco提供的图形化配置设备使用，使用的是HTTPS协议加密
• 简单配置telnet远程管理
  1）配置允许192.168.10.0网络通过inside远程管理设备
  ASA（config）#telnet 192.168.10.0 255.255.255.0 inside
  2）允许任意网络通过inside访问
  ASA（config）#telnet 0 0 inside
  3）telnet保持时间5分钟
  ASA（config）#telnet timeout 5
• 简单配置SSH远程管理
  1）创建域名
  ASA（config）#domain-name benet.com
  2）使用加密算法rsa长度为1024
  ASA（config）#crypto key generate rsa modulus 1024
  3)允许192.168.20.0通过outside接口ssh远程管理
  ASA（config）#ssh 192.168.20.0 255.255.255.0 outside
  4）修改版本
  ASA（config）#ssh version 2
  5）创建ssh账户和密码
  ASA（config）#username cisco password [email protected] privilege 15
  6)开启AAA验证
  ASA（config）#aaa authentication ssh console LOCAL
  7)配置ssh保持时间
  ASA（config）#ssh timeout 10
• 配置ASDM图形化工具管理
  1）开启http功能
  ASA（config）#http server enable
  2）指定asdm客户端位置
  ASA（config）#asdm image disk0:/asdm - 649.bin
  3）允许外网使用asdm管理
  ASA（config）#http 192.168.20.0 255.255.255.0 outside
  4)创建asdm账户和密码
  ASA（config）#username cisco password [email protected] privilege 15