如有CISCO 5520防火墙配置实例

cisco防火墙  时间:2021-02-09  阅读:()

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。

CISCO 5520防火墙配置实例

本人在项目中已经两次接触到思科5500系列防火墙的配置应用了,根据项目的需求不同,详细的配置也不一样, 因此汇总了一个通用版本的思科5500系列防火墙的配置,不详之处,请各位大虾给予指点,谢谢!

CD-ASA5520# show run

: Saved

:

ASA Version 7.2(2)

!hostname CD-ASA5520 &nb sp; //给防火墙命名domain-name default.domain. invalid //定义工作域enable password 9jNfZuG3TC5tCVH0 encrypted //进入特权模式的密码namesdns-guard

!interface GigabitEthernet0/0 //内网接口:duplex full //接口作工模式:全双工,半双,自适应nameif inside //为端口命名: 内部接口insidesecurity-level 100 //设置安全级别0~100值越大越安全ip address 192. 168. 1. 1 255.255.255.0 //设置本端口的IP地址!interface GigabitEthernet0/1 //外网接口

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。nameif outside //为外部端口命名:外部接口outsidesecurity-level 0ip address 202.98. 131. 122 255.255.255.0 //IP地址配置

!interface GigabitEthernet0/2nameif dmzsecurity-level 50ip address 192. 168.2. 1 255.255.255.0

!interface GigabitEthernet0/3shutdownno nameifno security-levelno ip address

!interface Management0/0 //防火墙管理地址shutdownno nameifno security-levelno ip address

!passwd 2KFQnbNIdI.2KYOU encryptedftp mode passiveclock timezone CST 8dns server-group DefaultDNSdomain-name default.domain. invalid

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。access-list outside_permit extended permit tcp any interface outside eq

3389

//访问控制列表access-list outside_permit extended permit tcp any interface outsiderange 30000 30010

//允许外部任何用户能够访问outside接口的30000-30010的端口。pager lines 24logging enable //启动日志功能logging asdm informationalmtu inside 1500 内部最大传输单元为1500字节mtu outside 1500mtu dmz 1500ip localpool vpnclient 192. 168.200. 1-192. 168.200.200mask255.255.255.0//定义一个命名为vpnclient的IP地址池,为remote用户分配IP地址no failovericmp unreachable rate-limit 1 burst-size 1asdm image disk0:/asdm-522.binno asdm history enablearp timeout 14400 //arp空闲时间为14400秒global (outside) 1 interface //由于没有配置NAT故这里是不允许内部用户上INTERNETstatic (dmz,outside) tcp interface 30000 192. 168.2.2 30000 netmask

255.255.255.255

//端口映射 能够解决内部要公布的服务太多,而申请公网IP少问题。static (dmz,outside) tcp interface 30001 192. 168.2.2 30001 netmask

255.255.255.255

//把dmz区192. 168.2.2 30002映射给外部30002端口上。

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。static (dmz,outside) tcp interface 30002 192. 168.2.2 30002 netmask

255.255.255.255static (dmz,outside) tcp interface 30003 192. 168.2.2 30003 netmask

255.255.255.255static (dmz,outside) tcp interface 30004 192. 168.2.2 30004 netmask

255.255.255.255static (dmz,outside) tcp interface 30005 192. 168.2.2 30005 netmask

255.255.255.255static (dmz,outside) tcp interface 30006 192. 168.2.2 30006 netmask

255.255.255.255static (dmz,outside) tcp interface 30007 192. 168.2.2 30007 netmask

255.255.255.255static (dmz,outside) tcp interface 30008 192. 168.2.2 30008 netmask

255.255.255.255static (dmz,outside) tcp interface 30009 192. 168.2.2 30009 netmask

255.255.255.255static (dmz,outside) tcp interface 30010 192. 168.2.2 30010 netmask

255.255.255.255static (dmz,outside) tcp interface 3389 192. 168.2.2 3389 netmask

255.255.255.255access-group outside_permit in interface outside

//把outside_permit控制列表运用在外部接口的入口方向。route outside 0.0.0.0 0.0.0.0 202.98. 131. 126 1 //定义一个默认路由。timeout conn 1 :00:00 half-closed 0: 10:00 udp 0:02:00 icmp 0:00:02timeout sunrpc 0: 10:00 h323 0:05:00 h225 1 :00:00 mgcp 0:05:00 mgcp-pat

0:05:00

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect

0:02:00timeout uauth 0:05:00 absolute

------------定义一个命名为vpnclient的组策略-------------------------group-policy vpnclient internal //创立一个内部的组策略。group-policy vpnclient attributes //设置vpnclient组策略的参数wins-server value 192. 168. 1. 10 //定义WINS-SERVER的IP地址。dns-servervalue 192. 168. 1. 1061. 139.2.69 //定义dns-server的IP地址。vpn-idle-timeout none //终止连接时间设为默认值vpn-session-timeout none //会话超时采用默认值vpn-tunnel-protocol IPSec //定义通道使用协议为IPSEC。split-tunnel-policy tunnelspecified //定义。default-domain value cisco.com //定义默认域名为cisco.com------------定义一个命名为l2lvpn的组策略-------------------------group-policy l2lvpn internalgroup-policy l2lvpn attributeswins-server value 192. 168. 1. 10dns-server value 192. 168. 1. 10 61. 139.2.69vpn-simultaneous-logins 3vpn-idle-timeout nonevpn-session-timeout nonevpn-tunnel-protocol IPSecusername test password P4ttSyrm33SV8TYp encrypted privilege 0//创立一个远程访问用户来访问安全应用username cisco password 3USUcOPFUiMCO4Jk encrypted

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。http server enable //启动HTTP服务http 0.0.0.0 0.0.0.0 inside //允许内部主机HTTP连接no snmp-server locationno snmp-server contactsnmp-server enable traps snmp authentication linkup linkdown coldstart//snmp的默认配置crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac

//配置转集(定义了IPSC隧道使用的加密和信息完整性算法集合)crypto dynamic-map vpn_dyn_map 10 set transform-set ESP-DES-MD5//为动态加密图条目定义传换集crypto map outside_map 10 ipsec-isakmp dynamic vpn_dyn_map

//创立一个使用动态加密条目的加密图crypto map outside_map interface outside

//将outside_map加密图应用到outside端口

------------配置IKE--------------crypto isakmp enable outside //在ostside接口启动ISAKMPcrypto isakmp policy 20 //isakmmp权值,值越小权值越高authentication pre-share //指定同位体认证方法是共享密钥encryption des //指定加密算法hash md5 //指定使用MD5散列算法group 2 //指定diffie-hellman组2lifetime 86400 //指定SA(协商安全关联) 的生存时间crypto isakmp policy 65535authentication pre-shareencryption des

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。hash md5group 2lifetime 86400

-------------调用组策略-----------------crypto isakmp nat-traversal 20tunnel-group DefaultL2LGroup general-attributes //配置这个通道组的认证方法default-group-policy l2lvpn //指定默认组策略名称。tunnel-group DefaultL2LGroup ipsec-attributes //配置认证方法为IPSECpre-shared-key * //提供IKE连接的预共享密钥tunnel-group vpnclient type ipsec-ra //设置连接类型为远程访问。tunnel-group vpnclient general-attributes //配置这个通道组的认证方法address-pool vpnclient //定义所用的地址池default-group-policy vpnclient //定义默认组策略

-----设置认证方式和共享密钥-------------tunnel-group vpnclient ipsec-attributes //配置认证方法为IPSECpre-shared-key * //提供IKE连接的预共享密钥telnet timeout 5 //telnet超时设置ssh 0.0.0.0 0.0.0.0 outside //允许外部通SSH访问防火墙ssh timeout 60 //SSH连接超时设置console timeout 0 //控制台超时设置

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。dhcp-client update dns server bothdhcpd dns 61. 139.2.69 202.98.96.68 //dhcp发布的DNS!dhcpd address 192. 168. 1. 10-192. 168. 1.254 inside //向内网发布的地址池dhcpd enable inside //启动DHCP服务。!

!class-map inspection_defaultmatch default-inspection-traffic

!

!policy-map type inspect dns migrated_dns_map_1parametersmessage-length maximum 512policy-map global_policyclass inspection_defaultinspect dns migrated_dns_map_1inspect ftpinspect h323 h225inspect h323 rasinspect netbiosinspect rshinspect rtspinspect skinnyinspect esmtpinspect sqlnet

资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。inspect sunrpcinspect tftpinspect sipinspect xdmcp

!service-policy global_policy globalprompt hostname context

Cryptochecksum:25e66339116f52e443124a23fef3d373

: end

妮妮云,美国cera CN2线路,VPS享3折优惠

近期联通CUVIP的线路(AS4837线路)非常火热,妮妮云也推出了这类线路的套餐以及优惠,目前到国内优质线路排行大致如下:电信CN2 GIA>联通AS9929>联通AS4837>电信CN2 GT>普通线路,AS4837线路比起前两的优势就是带宽比较大,相对便宜一些,所以大家才能看到这个线路的带宽都非常高。妮妮云互联目前云服务器开放抽奖活动,每天开通前10台享3折优惠,另外...

DiyVM(50元起)老牌商家,香港沙田CN2直连vps/不限流量/五折终身优惠

diyvm怎么样?diyvm是一家国内成立时间比较久的主机商家了,大约在6年前站长曾经用过他家的美国机房的套餐,非常稳定,适合做站,目前商家正在针对香港沙田机房的VPS进行促销,给的是五折优惠,续费同价,香港沙田机房走的是CN2直连的线路,到大陆地区的速度非常好,DiyVM商家采用小带宽不限流量的形式,带宽2Mbps起步,做站完全够用,有需要的朋友可以入手。diyvm优惠码:五折优惠码:OFF50...

Hostio€5/月KVM-2GB/25GB/5TB/荷兰机房

Hostio是一家成立于2006年的国外主机商,提供基于KVM架构的VPS主机,AMD EPYC CPU,NVMe硬盘,1-10Gbps带宽,最低月付5欧元起。商家采用自己的网络AS208258,宿主机采用2 x AMD Epyc 7452 32C/64T 2.3Ghz CPU,16*32GB内存,4个Samsung PM983 NVMe SSD,提供IPv4+IPv6。下面列出几款主机配置信息。...

cisco防火墙为你推荐
简体翻译成繁体有什么将简体中文翻译成繁体中文的网站啊免费开通黄钻花钱开通黄钻和免费开通有什么区别?打开网页出现错误网页出现错误怎么解决?要最简单的那种依赖注入什么是依赖注入依赖注入的作用是什么意思安装迅雷看看播放器怎样安装迅雷看看播放器安装迅雷看看播放器迅雷看看播放器安装安全漏洞什么是安全漏洞攻击??分词技术怎么在SEO中学会运用关键词分词技术域名库电脑上文件有多少域名?各什么意思?网站排名靠前如何优化网站 如何让网站排名靠前
北京域名注册 手机域名注册 windows虚机 l5520 美国便宜货网站 permitrootlogin 外国空间 xfce 云主机51web 私有云存储 中国特价网 最好的空间 台湾谷歌地址 qq对话框 带宽租赁 云营销系统 监控服务器 国内域名 免费网络 卡巴斯基试用版下载 更多