Cisco ASA5520 配置說明

CD-ASA5520# show run
: Saved
:
ASA Version 7.2(2)
!
hostname CD-ASA5520                         //給防火墻命名
domain-name default.domain.invalid                  //定義工作域   
enable password 9jNfZuG3TC5tCVH0 encrypted    // 進(jìn)入特權(quán)模式的密碼
names
dns-guard
!
interface GigabitEthernet0/0             //內(nèi)網(wǎng)接口：
duplex full                             //接口作工模式：全雙工，半雙，自適應(yīng)        
nameif inside                        //為端口命名 ：內(nèi)部接口inside
security-level 100                     //設(shè)置安全級別 0~100 值越大越安全
ip address 192.168.1.1 255.255.255.0     //設(shè)置本端口的IP地址
!
interface GigabitEthernet0/1             //外網(wǎng)接口
nameif outside                       //為外部端口命名 ：外部接口outside
security-level 0
ip address 202.98.131.122 255.255.255.0 //IP地址配置
!
interface GigabitEthernet0/2
nameif dmz
security-level 50
ip address 192.168.2.1 255.255.255.0
!            
interface GigabitEthernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Management0/0               //防火墻管理地址
shutdown
no nameif
no security-level
no ip address
!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive        
clock timezone CST 8
dns server-group DefaultDNS
domain-name default.domain.invalid
access-list outside_permit extended permit tcp any interface outside eq 3389   
//訪問控制列表
access-list outside_permit extended permit tcp any interface outside range 30000 30010
//允許外部任何用戶可以訪問outside 接口的30000-30010的端口。
pager lines 24
logging enable             //啟動日志功能
logging asdm informational
mtu inside 1500            內(nèi)部最大傳輸單元為1500字節(jié)
mtu outside 1500
mtu dmz 1500
ip local pool ***client 192.168.200.1-192.168.200.200 mask 255.255.255.0
//定義一個命名為***client的IP地址池,為remote用戶分配IP地址
no failover
icmp unreachable rate-limit 1 burst-size 1
asdm p_w_picpath disk0:/asdm-522.bin
no asdm history enable
arp timeout 14400         //arp空閑時間為14400秒
global (outside) 1 interface //由于沒有配置NAT 故這里是不允許內(nèi)部用戶上INTERNET
static (dmz,outside) tcp interface 30000 192.168.2.2 30000 netmask 255.255.255.255
//端口映射 可以解決內(nèi)部要公布的服務(wù)太多，而申請公網(wǎng)IP少問題。
static (dmz,outside) tcp interface 30001 192.168.2.2 30001 netmask 255.255.255.255
//把dmz區(qū)192.168.2.2 30002 映射給外部30002端口上。
static (dmz,outside) tcp interface 30002 192.168.2.2 30002 netmask 255.255.255.255
static (dmz,outside) tcp interface 30003 192.168.2.2 30003 netmask 255.255.255.255
static (dmz,outside) tcp interface 30004 192.168.2.2 30004 netmask 255.255.255.255
static (dmz,outside) tcp interface 30005 192.168.2.2 30005 netmask 255.255.255.255
static (dmz,outside) tcp interface 30006 192.168.2.2 30006 netmask 255.255.255.255
static (dmz,outside) tcp interface 30007 192.168.2.2 30007 netmask 255.255.255.255
static (dmz,outside) tcp interface 30008 192.168.2.2 3008 netmask 255.255.255.255
static (dmz,outside) tcp interface 30009 192.168.2.2 30009 netmask 255.255.255.255
static (dmz,outside) tcp interface 30010 192.168.2.2 30010 netmask 255.255.255.255
static (dmz,outside) tcp interface 3389 192.168.2.2 3389 netmask 255.255.255.255
access-group outside_permit in interface outside   
//把outside_permit控制列表運用在外部接口的入口方向。
route outside 0.0.0.0 0.0.0.0 202.98.131.126 1 //定義一個默認(rèn)路由。

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h423 0:05:00 h325 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
------------定義一個命名為***client的組策略-------------------------
group-policy ***client internal             //創(chuàng)建一個內(nèi)部的組策略。   
group-policy ***client attributes           //設(shè)置***client組策略的參數(shù)
wins-server value 192.168.1.10           //定義WINS-SERVER 的IP地址。
dns-server value 192.168.1.10 61.139.2.69 //定義dns-server的IP地址。
***-idle-timeout none                  //終止連接時間設(shè)為默認(rèn)值
***-session-timeout none               //會話超時采用默認(rèn)值
***-tunnel-protocol IPSec              //定義通道使用協(xié)議為IPSEC。
split-tunnel-policy tunnelspecified        //定義。
default-domain value cisco.com          //定義默認(rèn)域名為cisco.com
------------定義一個命名為l2l***的組策略-------------------------
group-policy l2l*** internal   
group-policy l2l*** attributes
wins-server value 192.168.1.10
dns-server value 192.168.1.10 61.139.2.69
***-simultaneous-logins 3
***-idle-timeout none
***-session-timeout none
***-tunnel-protocol IPSec

username test password P4ttSyrm33SV8TYp encrypted privilege 0
//創(chuàng)建一個遠(yuǎn)程訪問用戶來訪問安全應(yīng)用
username cisco password 3USUcOPFUiMCO4Jk encrypted
http server enable            //啟動HTTP服務(wù)
http 0.0.0.0 0.0.0.0 inside      //允許內(nèi)部主機HTTP連接
no snmp-server location
no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart
//snmp的默認(rèn)配置
crypto ipsec transform-set ESP-DES-MD5 esp-des esp-md5-hmac
//配置轉(zhuǎn)集（定義了IPSC隧道使用的加密和信息完整性算法集合）
crypto dynamic-map ***_dyn_map 10 set transform-set ESP-DES-MD5
//為動態(tài)加密圖條目定義傳換集
crypto map outside_map 10 ipsec-isakmp dynamic ***_dyn_map
//創(chuàng)建一個使用動態(tài)加密條目的加密圖
crypto map outside_map interface outside
//將 outside_map加密圖應(yīng)用到outside端口
------------配置IKE--------------
crypto isakmp enable outside    //在ostside 接口啟動ISAKMP
crypto isakmp policy 20        //isakmmp權(quán)值，值越小權(quán)值越高
authentication pre-share       //指定同位體認(rèn)證方法是共享密鑰
encryption des               //指定加密算法
hash md5                   //指定使用MD5散列算法
group 2                    //指定diffie-hellman組2
lifetime 86400              //指定SA（協(xié)商安全關(guān)聯(lián)）的生存時間

crypto isakmp policy 65535
authentication pre-share
encryption des
hash md5
group 2
lifetime 86400
-------------調(diào)用組策略-----------------
crypto isakmp nat-traversal 20   
tunnel-group DefaultL2LGroup general-attributes //配置這個通道組的認(rèn)證方法
default-group-policy l2l***                 //指定默認(rèn)組策略名稱。
tunnel-group DefaultL2LGroup ipsec-attributes //配置認(rèn)證方法為IPSEC
pre-shared-key *                               //提供IKE連接的預(yù)共享密鑰

tunnel-group ***client type ipsec-ra          //設(shè)置連接類型為遠(yuǎn)程訪問。                           
tunnel-group ***client general-attributes      //配置這個通道組的認(rèn)證方法
address-pool ***client                            //定義所用的地址池
default-group-policy ***client             //定義默認(rèn)組策略
-----設(shè)置認(rèn)證方式和共享密鑰-------------
tunnel-group ***client ipsec-attributes       //配置認(rèn)證方法為IPSEC
pre-shared-key *                       //提供IKE連接的預(yù)共享密鑰


telnet timeout 5                         //telnet 超時設(shè)置
ssh 0.0.0.0 0.0.0.0 outside                 //允許外部通SSH訪問防火墻
ssh timeout 60                            //SSH連接超時設(shè)置
console timeout 0                                 //控制臺超時設(shè)置     

dhcp-client update dns server both
dhcpd dns 61.139.2.69 202.98.96.68                 //dhcp 發(fā)布的DNS
!
dhcpd address 192.168.1.10-192.168.1.254 inside      //向內(nèi)網(wǎng)發(fā)布的地址池
dhcpd enable inside                              //啟動DHCP服務(wù)。
!
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns migrated_dns_map_1
parameters   
message-length maximum 512
policy-map global_policy
class inspection_default　
inspect dns migrated_dns_map_1
inspect ftp
inspect h423 h325
inspect h423 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
prompt hostname context
Cryptochecksum:25e66339116f52e443124a23fef3d373
: end