(完整版)GNS3模拟ASA防火墙

基于GNS3模拟器的Cisco ASA防火墙技术应用仿真实现刘景林【摘要】利用GNS3模拟器搭建Cisco ASA防火墙应用的网络场景,仿真模拟ASA防火墙的工作过程并测试验证防火墙内部网络、外部网络以及DMZ三个区域主机间的相互通信.通过配置ASA防火墙实现内网主机可访问外部网络以及对外发布内网服务器,同时也可针对来自外网的非法访问进行拦截过滤,有效地保护内网的安全.【期刊名称】《河北软件职业技术学院学报》【年(卷),期】2018(020)003【总页数】5页(P12-16)【关键词】GNS3模拟器;ASA防火墙;内网安全【作者】刘景林【作者单位】泉州经贸职业技术学院信息技术系,福建泉州 362000【正文语种】中文【中图分类】TP393.0820 引言在网络与信息安全形势日益复杂的今天，如何更好地保护内网的安全成了网络安全技术人员研究的热点，防火墙作为保护内网安全的第一道门槛，担负着数据包的检查与过滤功能，其作用是隔离不同的网络区域，并针对不同的信任区域制定不同的限制规则[1]。

防火墙可根据预先配置好的策略和规则，来阻塞和放行试图进入网络的流量[2]。

通过配置防火墙的ACL功能，实现内网、外网以及DMZ三个区域数据包的访问控制，同时利用防火墙的NAT功能，实现内网私有地址的主机访问外部网络以及对外发布内网服务器。

利用GNS3模拟器搭建ASA防火墙的应用场景，实现内网主机可访问DMZ区域主机和外网主机，DMZ区域主机与外网主机之间也可以相互访问，同时能够针对来自外网的非法流量进行过滤，从而保障内网的安全。

1 ASA防火墙应用场景的搭建GNS3是一款具有图形化界面的网络搭建虚拟仿真软件，可以运行在Windows和Linux平台上，它通过模拟路由器和交换机来创建复杂的物理网络的模拟环境[3]。

利用GNS3模拟器搭建包含自适应安全设备（ASA）防火墙的如下网络场景的拓扑，整个网络分为内网、外网与DMZ三个区域，每个区域都有其相应的主机，如图1所示。

实验三 ASA模拟器从内网访问DMZ区服务器配置（ASA模拟器）注意：本实验配置为用模拟器来实现，用来练习防火墙命令的使用，实现的功能和“实验三asa 5505 从内网访问外网服务（真实防火墙）”相同，为了降低操作难度，我们只对ASA防火墙模拟器进行配置，完整的实验请参照“实验三asa 5505 从内网访问外网服务（真实防火墙）”。

一、实验目标在这个实验中朋友你将要完成下列任务：1．用nameif命令给接口命名2．用ip address命令给接口分配IP3．用duplex配置接口的工作模式----双工（半双工）4．配置内部转化地址池（nat）外部转换地址globla二、实验拓扑三、实验过程1. ASA 模拟器基本配置：ciscoasa>ciscoasa> enablePassword:ciscoasa#ciscoasa# configure terminalciscoasa(config)# interface e0/1 *进入e0/1接口的配置模式ciscoasa(config-if)# nameif outside *把e0/1接口的名称配置为dmzINFO: Security level for "outside" set to 0 by default.ciscoasa(config-if)# ip address 10.0.1.1 255.0.0.0 *给e0/1接口配置IP地址ciscoasa(config-if)# duplex auto *设置e0/1接口的工作模式为自动协商ciscoasa(config-if)# no shutdown *打开e0/1接口ciscoasa(config-if)# exit *退出e0/1接口的配置模式ciscoasa(config)#ciscoasa(config)# interface e0/0 *进入e0/0接口的配置模式ciscoasa(config-if)# nameif inside *把e0/0接口的名称配置为insideINFO: Security level for "inside" set to 100 by default.*安全级别取值范围为1～100，数字越大安全级别越高，在默认情况下，inside安全级别为100。

【模拟环境】我所使用的GNS3版本为0.7.4，如果低于这个版本，有些版本会缺少些选项无法支持。

GNS3_0.74下的asa配置【ASA】下载地址：/data/219643ASA有2种模式的编译文件，分别为单模式和多模式，可选择使用。

我使用的是单模式，我试用过多模式，不太好用。

这里不是使用Unpack将IOS中提取出编译文件（initrd文件）和内核（vmlinuz文件）来使用，网上有使用这种方法的，但是我尝试不成功。

于是我直接使用已经编译好的.gz文件，虽然需要初始化等一些操作，但可以使用CRT 的按钮功能来弥补。

如果你们还有更好的方法，可以共享。

一、配置我将它存放到GNS3文件夹下，路径分别为：G:\GNS3\Fw\ASA\Run\asa802-k8-sing.gzG:\GNS3\Fw\ASA\Run\asa802-k8-muti.gzG:\GNS3\Fw\ASA\Run\asa802-k8.vmlinuz3、打开GNS3，编辑→首选项→Qemu→ASA；添加单模式：Identifier name：asa802-k8-sing（自己填名称，但不能是中文）RAM：256（使用默认的256）Number of NICs：6（网卡数量，默认是6）NIC model：e1000（网卡类型，默认是e1000）Qemu Options：-hdachs 980,16,32 -vnc :1（手动输入）Initrd：G:\GNS3\Fw\ASA\Run\asa802-k8-sing.gz（编译文件路径）Kernel：G:\GNS3\Fw\ASA\Run\asa802-k8.vmlinuz（内核文件路径）Kernel cmd line：auto console=ttyS0,9600n8 nousb ide1=noprobe bigphysarea=16384 hda=980,16,32（关键，否则无法telnet）输入完后，点击保存，下面列表中会出现。

GNS3模拟 Linux Microcore ，PIX ，Juniper ，ASA ，IPS【模拟环境】我所使用的GNS3版本为0.7.4，如果低于这个版本，有些版本会缺少些选项无法支持。

GNS3官方下载地址：/download【Linux Microcore 】 一、配置1、下载所需要的文件（linux-microcore-2.10.img ）； 下载地址：/file/e60l5ch9#linux-microcore-2.10.img到2011-9-7已经更新到linux-microcore-3.8.2 官网下载：/gns-3/linux-microcore-3.8.2.img?download2、将下载好的文件统一存放，文件夹和文件名必须使用英文，GNS3不识别中文路径； 我这里将它统一存放到GNS3文件夹下，路径： G:\GNS3\Qemu\linux-microcore-2.10.img3、打开GNS3，编辑→首选项→Qemu→Qemu Host ；Un Re gi st er ed按以下内容输入：Identifier name ：Linux-MicroCore-2.10（自己填写名称，但不能是中文）Binary image ：G:\GNS3\Qemu\linux-microcore-2.10.img （image 路径，就是第2步的路径） RAM ：128（内存，默认是128）Number of NICs ：6（网卡数量，默认是6） NIC model ：e1000（网卡类型，默认是e1000） Qemu Options ：-no-acpi （手动输入，默认为空）这个版本显示Qemu 窗口，不能telnet ，目前linux-microcore-3.8.2.img 可以telnet 了。

需要的可以去gns3官网下载；高级用户：root 高级密码：root 普通用户：tc切换用户命令： su root/tclinux-microcore-3.8.2版本设置： Identifier name ：linux-microcore-3.8.2Binary image ：G:\GNS3\Qemu\linux-microcore-3.8.2.img RAM ：128（内存，默认是128） Number of NICs ：6 NIC model ：e1000Qemu Options ：-no-acpi console=ttyS0,38400n8 -vnc :1（可telnet 登陆，去掉-vnc :1后，运行时显示Qemu 控制台）Qemu 窗口为Linux 的控制台，默认是登陆的是普通模式 控制台修改用户密码：sudopasswd root //修改root 用户密码 su root //切换用户为roottelnet 密码修改先用tc 登陆，再修改root 密码用户密码：tc 高级用户：root高级用户密码：root(官网发布的密码，但一直提示不正确)输入完后，点击保存，下面列表中会出现，然后点Apply （应用）/OK （确定），这样Linux Microcore 2.10就配置完成。

这段时间有几位同学问我GNS3模拟器的使用方法，现将这个模拟器详细的使用方法整理成文档，希望对同学们学习企业网络高级技术这门课程有所帮助！GNS3 使用教程—安装设置篇一、软件安装1、下载软件：GNS3-0.7.2-win32-all-in-one （网上下载或与本人联系）2、GNS3 简介:GNS3是基于Dynamips开源的免费软件，（感谢作者Jeremy Grossman），GNS3可以仿真复杂网络的图形界面模拟器，可以模拟路由器、交换机、ASA防火墙、PC等，可以用来完成ATEN 课程中的实验，比小凡更直观，更方便及占用CPU更省。

3、安装过程：安装过程相当简单，直接“NEXT”就可以了，如下图所示：到此，GNS3的安装已全部完成。

二、GNS3设置：安装完成后，打开GNS3软件，第一次打开GNS3，会出现设置向导，设置具体步骤如下： 1、设置“Dynamips”：在设置向导界面中，选择“STEP1”，或选编辑—首选项如下图所示：上“简体中文(cn)”。

如下图所示：接着，我们需要设置一下“工程目录”和“IOS/PIXOS 目录”，如下图所示：工程目录----网络拓扑图保存位置IOS/PIXOS目录----Cisco IOS/PIXOS 位置选上“当添加链接默认使用手动模式”，如下图所示：GNS3 是Dynamips的图形界面，记得测试一下。

如下图所示：如下图所示：2、设置“IOS”：返回到设置向导，选择“Step 2”设置IOS ,或选编辑---IOS和Hypervisor。

在“IOS”窗口选择Cisco IOS文件，以及和IOS文件对应的“平台”和“型号”后，单击“保存”，如下图所示：在“外部Hypervisors”窗口单击保存添加主机端口，如下图所示：GNS3 使用教程—软件使用篇 1、软件界面：完成设置向导后，进入到软件界面，如下图所示：2、绘制拓扑图：拖动左边“节点类型”中的设备到中间的“拓扑图绘制区”可绘制网络拓扑图。

GNS3中的ASA防火墙如何使用ASDM关联
软件：ASDM的客户端、bin文件、JDK、3CD （TFTP）
1、设置云的桥接方式为本地物理连接，如果正使用无线，也可以选择无线连接。

如下图所示：
下拉三角选择—点击“添加”—点击“apply”—点击“OK”
2、如下图所示进行拓扑搭建
3、333333312
3、启动ASA防火墙，清空startup-config，特权下#write erase，然后write保存，最后reload一下，与配置回答NO。

4、配置接口ip，需要与本机ip处于同一个网段，并且配置完成保证互通。

首先查看本机ip：ipconfig/all
这里我的本机ip为10.255.250.46，ASA接口ip设置为10.255.250.1，如图
互通：
5、设置TFTP服务器的文件路径正确，为bin 文件的所在路径。

上传文件到ASA的flash中：
回车，根据提示输入TFTP的ip；源文件名称（就是全部的名称，加上后缀的）；目标名称（直接回车就好）
6、对ASA进行如下配置
然后安装并运行ASDM的客户端软件，输入用户名与密码
记得勾上Run in Demo Mode，某则报错，反正我的不勾就报错了。

界面如下：。

图２　设置流程
３　开始实验
将一个ASA拖到工作区不要立刻启用。

在通电之前，右键单击该设备，出现浮动菜单。

选择“配置”菜单，在打开的“节点配置”窗口中点击“ASA1”选项。

在“网卡模块”的下拉列表中把“e1000”改为“pcnet”。

点击【OK】按钮，保存设置。

如图2所示。

在设备初次通电运行，就直接右键点击“console”，会发现在CLI
然最后也能到达命令提示符，但是在实验过程中对端口进行“no shutdown”却不能成功。

４　结　语
GNS3是可以运行在多平台上的图形界面网络虚拟软件，可以通过它完成CCNA、CCNP、CCIE
实验模拟操作[3]。

只要通过以上方法配置好
比其他软件更好地模拟出ASA防火墙。

学生就能完成更多的防火墙实验，就能更深刻理解防火墙知识，就能更好掌握
图１　设置ＡＳＡ参数的流程。

注：关于如何控制CPU的使用率，请光临《如何限制GNS3中CPU的使用率（ASA）》GNS3中运行ASA详细步骤如下：备注：GNS3安装目录如下图所示:1、下载：asa802-k8.bin2、将下面压缩文件：然后将unpack文件夹复制到C盘的根目录下（即C：\unpack）。

3、win + R → cmd 回车→cd \unpack回车→4、运行上面的命令后生成了下面2个文件！具体如下图所示：5、GNS3的详细配置如下：(1)General setting：(3)最关键的Qemu核心配置：请看仔细！General Setting:请按照上面所有图的红框中配置好后，下面我们就用SecureCRT连上ASA防火墙：6、在SecureCRT上的设置，如下图所示：至此，GNS3中模拟ASA详细教程完毕！备注：上面所有要用到的软件在51CTO下载中心下载：1、上传权限所限，故共分2部分：/data/171628（第1部分）/data/171626（第2部分）*解惑：1、有朋友问端口是否up?释疑如下，请sailory博友看下面：谢谢sailory博友，欢迎再次光临本博客，谢谢！如何限制GNS3中CPU的使用率（ASA）1、请看下图所示，如果CPU使用100%，那我们还能干么呀？：）办法总比问题多！请继续往下看：2、双击BES.exe，如下图：2、限制CPU使用率：如果不限制qemu，将意味着CPU占用率非常高，限制某个进程的CPU 使用率很简单，安装BES软件，然后运行，把qemu进程的CPU使用率控制一下就OK ^_^，点击“Target…”，选择防火墙模拟器的进程“qemu.exe”点击“Limit this” ，如下图所示：点击“Control…”，限制CPU使用率，如下图所示：例如：将滑块向右移动到下图所示位置，请观察之！思考：举一反三，如果要开启2个ASA呢？^_^BES限制CPU的使用率暂毕！。

Gns3+ASA安装说明1 、进入GNS3设置，首选项--》Qemu-->General Settings2 、进入GNS3设置，首选项--》Qemu-->ASA3 、创建拓扑4 、启动ASA，出面如下界面不要关闭，最小化就可以了4 、SecureCRT登录，端口为3000。

4 、回到命令提示符后，请等大概1 分钟左右，等待FLASH文件的初始化，此时去看相应的工作目录下的FLASH 文件，会发现FLASH 文件的大小开始变化，大概到24.9M 时，就OK 了，在FLASH 文件初始化的时候，你会发现硬盘灯开始狂闪了。

执行/mnt/disk0/lina_monitorPS:再次运行ASA 的时候，将直接启动到ciscoasa>的状态下，不用再执行上面的命令了5、上面的步骤中格式化了FLASH 文件等等，但是在ASA中还是没有加载了FLASH，所以执行show flash:后可用空间为05、停止所有的ASA，然后重新启动ASA，再执show flash:,FLASH 文件已经被加载了基本命令练习1、接口配置Interface E 0/0Ip address 192.168.0.254 255.255.255.0Nameif inside //设置内接口名字Security-level 100 //设置内接口安全级别No shutdownInterface E 0/1Ip add 192.168.1.254 255.255.255.0Nameif dmz //设置接口为DMZSecurity-level 50 //设置DMZ接口的安全级别No shutdownInterface E 0/2Ip address 200.0.0.2 255.255.255.252Nameif outside //设置外接口名字Security-level 0 //设置外接口安全级别No shutdown2、ASA路由配置：静态路由方式(config)#Route outside 0.0.0.0 0.0.0.0 200.0.0.1（二）只能通过PC1 telnet 或SSH访问ASA1）telnet的密码配置Passwd 1232) 特权模式密码Enable password 12341、telnettelnet 0 0 inside //允许来自内网的所有用户telnet 登录，外网拒绝telnet 192.168.0.0 255.255.255.255 inside //只允许这台机telnet 登录passwd 1234 //telnet 登录密码who //查哪些用户已登录kill //断开连接的用户2、SSHDomain-name //配置域名，在生成密钥时要用到Crypto key generate rsa modulus 1024Ssh 192.168.0.0 255.255.255.0 insideShow ssh测试：在PC1开SecureCRT.exe测试,默认用户名pix6、为了保证使用命令wr、copy run start 时不出现错误，重新启动ASA 后，在全局配置模式下执行：boot config disk0:/.private/startup-configcopy running-config disk0:/.private/startup-config遇到错误提示不用理睬它就可以了。

国家高等职业教育网络技术专业教学资源库PIX防火墙PIX防火墙安全典型案例实验二ASA防火墙配置实验二ASA防火墙配置一、实验目的通过该实验了解ASA防火墙的软硬件组成结构，掌握ASA防火墙的工作模式，熟悉ASA 防火墙的基本指令，掌握ASA防火墙的动态、静态地址映射技术，掌握ASA防火墙的访问控制列表配置，熟悉ASA防火墙在小型局域网中的应用。

二、实验任务●观察ASA防火墙的硬件结构，掌握硬件连线方法●查看ASA防火墙的软件信息，掌握软件的配置模式●了解ASA防火墙的基本指令，实现内网主机访问外网主机，外网访问DMZ区三、实验设备ASA5505防火墙一台，CISCO 2950交换机两台，控制线一根，网络连接线若干，PC机若干四、实验拓扑图及内容详细配置：内网R6：R1>enR1#R1#conf tEnter configuration commands, one per line. End with CNTL/Z.R1(config)#int f0/0R1(config-if)#ip add 10.1.1.2 255.255.255.0R1(config-if)#no shutR1(config-if)#*Mar 1 00:01:32.115: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up *Mar 1 00:01:33.115: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR1(config-if)#exitR1(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.3R1(config)#exitR1#DMZ区R3:R2>enR2#conf tEnter configuration commands, one per line. End with CNTL/Z.R2(config)#int f0/0R2(config-if)#ip add 20.1.1.2 255.255.255.0R2(config-if)#no shutR2(config-if)#*Mar 1 00:01:28.895: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up *Mar 1 00:01:29.895: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR2(config-if)#exitR2(config)#ip route 0.0.0.0 0.0.0.0 20.1.1.3R2(config)#exitR2#*Mar 1 00:03:11.227: %SYS-5-CONFIG_I: Configured from console by consoleR2#外网R4：R4#conf tEnter configuration commands, one per line. End with CNTL/Z.R4(config)#int f0/0R4(config-if)#ip add 192.168.1.2 255.255.255.0R4(config-if)#no shutR4(config-if)#*Mar 1 00:00:45.559: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up *Mar 1 00:00:46.559: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upR4(config-if)#exitR4(config)# ip route 0.0.0.0 0.0.0.0 192.168.1.3R4(config)#exitR4#PIX防火墙上的配置：pixfirewall# conf tpixfirewall(config)# hostname pixpix(config)# int e0pix(config-if)# ip add 10.1.1.3 255.255.255.0pix(config-if)# nameif insideINFO: Security level for "inside" set to 100 by default.pix(config-if)# no shutpix(config-if)# int e1pix(config-if)# nameif outsideINFO: Security level for "outside" set to 0 by default.pix(config-if)# ip add 192.168.1.3 255.255.255.0pix(config-if)# no shutpix(config-if)# int e2pix(config-if)# nameif dmzINFO: Security level for "dmz" set to 0 by default.pix(config-if)# secpix(config-if)# security-level 50pix(config-if)# ip add 20.1.1.3 255.255.255.0pix(config-if)# no shutpix(config-if)# nat (inside) 11 10.1.1.0 255.255.255.0pix(config)# nat (inside) 11 10.1.1.0 255.255.255.0Duplicate NAT entrypix(config)# global (outside) 11 20.1.1.74 netmask 255.255.255.255INFO: Global 20.1.1.74 will be Port Address Translatedpix(config)# access-list 100 permit icmp any anypix(config)# access-grpix(config)# access-group 100 in interface outsidepix(config)# static (dmz,outside) 192.168.1.5 20.1.1.5 netmask 255.255.255.255 pix(config)# access-group 100 in interface dmzpix(config)#五、实验结果内网PING外网：外网PING DMZ:外网PING内网：总结：比起上次试验，这次是多添加了一个DMZ区，在DMZ和outside之间配置static命令。

实验目的监测防火墙的默认安全控制1、思考默认从内部到外部ping测不通，但是Telnet可以，为什么？2、如何用访问控制列表实现ICMP流量的放行？一、构建实验拓扑2、规划IP地址如图3、配置outside和inside的路由器接口地址和静态路由先配置内部路由器Router>enRouter#conf tRouter(config)#interface f0/0Router(config-if)#ip add 192.168.1.1 255.255.255.0 配置接口地址Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#ip route 200.1.1.0 255.255.255.0 192.168.1.254 配置到外部的静态路由Router(config)#endRouter#第二步：Outside路由器配置Router>enRouter#conf tRouter(config)#interface f0/0Router(config-if)#ip address 200.1.1.1 255.255.255.0 接口地址Router(config-if)#no shutdownRouter(config-if)#exitRouter(config)#ip route 192.168.1.0 255.255.255.0 200.1.1.254 配置到内部的静态路由Router(config)#endRouter(config)#hostname outside 修改路由器的名字outside(config)#outside(config)#line vty 0 4 开启线程通道outside(config-line)#login% Login disabled on line 194, until 'password' is set% Login disabled on line 195, until 'password' is set% Login disabled on line 196, until 'password' is set% Login disabled on line 197, until 'password' is set% Login disabled on line 198, until 'password' is setoutside(config-line)#password 666 设置远程密码outside(config-line)#exoutside(config-line)#exitoutside(config)#enable password 888 设置路由器的特权密码第三步： ASA配置ciscoasa#ciscoasa#conf tciscoasa(config)#interface vlan 1 进入虚接口ciscoasa(config-if)#ip address 192.168.1.254 255.255.255.0 虚接口地址ciscoasa(config-if)#no shutdown^ciscoasa(config-if)#nameif inside 命名为insideciscoasa(config-if)#security-level 100 设置接口安全级别为100ciscoasa(config-if)#exitciscoasa(config)#interface e0/1 把物理接口e0/1划入vlan1 ciscoasa(config-if)#switchport access vlan 1ciscoasa(config-if)#exitciscoasa(config)#interface vlan 2 进入虚接口vlan2ciscoasa(config-if)#nameif outside 命名为outsideciscoasa(config-if)#security-level 0 安全级别为 0ciscoasa(config-if)#ip add 200.1.1.254 255.255.255.0 配置虚接口地址ciscoasa(config-if)#no shutdownciscoasa(config-if)#exitciscoasa(config)#interface e0/0 把物理接口e0/0 划入到vlan2 ciscoasa(config-if)#switchport access vlan 2ciscoasa(config-if)#endciscoasa#ciscoasa#第四步监测防火墙ping内部和外部可以通ciscoasa#ping 192.168.1.1Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:.Success rate is 80 percent (4/5), round-trip min/avg/max = 0/2/5 msciscoasa#ping 200.1.1.1Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 200.1.1.1, timeout is 2 seconds:.Success rate is 80 percent (4/5), round-trip min/avg/max = 0/2/8 msciscoasa#show routeCodes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGPi - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default, U - per-user static route, o - ODRP - periodic downloaded static routeGateway of last resort is not setC 192.168.1.0 255.255.255.0 is directly connected, insideC 200.1.1.0 255.255.255.0 is directly connected, outside（学会在防火墙上创建路由，本题没有用此路由）创建路由ciscoasa(config)#route inside 0.0.0.0 0.0.0.0 192.168.1.1ciscoasa(config)#route outside 0.0.0.0 0.0.0.0 200.1.1.1检查内网ping测外部Router#ping 200.1.1.1 //监测网络连通性Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 200.1.1.1, timeout is 2 seconds: .....Success rate is 0 percent (0/5)Ping命令不通防火墙拦截来自外部的ＩＣＭＰ包内部Ｔｅｌｎｅｔ外部Router#telnet 200.1.1.1Trying 200.1.1.1 ...OpenUser Access VerificationPassword:outside>enPassword:outside#outside#outside#exi可以Telnet成功，说明防火墙的状态监测机制起到作用第五步：放行来自外部的ICMP流量ASA用ACL放行icpm流量ciscoasa(config)#access-list out permit icmp any anyciscoasa(config)#access-group out in interface outsideciscoasa(config)#检查实验结果从内部的路由ping外部的outside路由，结果可以通说明放行成功。

GNS3 模拟ASA防火墙配置（详细教程）设计目标：信息安全，使用ASA防火墙，网络拓扑如下图。

要求内部局域网用户共享NAT上网，DNS使用ISP 的DNS服务器，Web服务器放在DMZ区域。

拓扑图如下：1.DMZ区域Web服务器上安装Windows2003系统（虚拟网卡为VNet1），启用IIS6.0搭建。

2.OutSide区域Web_DNS服务器上安装Windows2003系统（虚拟网卡为VNet2），启用IIS使用不同主机头搭建、、，并配置DNS服务器(由于内存有限配置在同一台服务器)，负责解析（IP地址为200.1.1.253/29），、、 (IP地址为200.2.2.1/24）。

3.在PC1（虚拟网卡为VNet3）安装Windows2003系统，配置DNS指向200.2.2.1。

4. ASA开启Telnet、SSH服务器，允许InSide区域内PC1（IP：192.168.0.1）访问管理设备。

5. ASA配置ASDM（自适应安全设备管理器），允许InSide区域内192.168.0.0/24网段使用HTTPS 接入。

6. ASA配置Inside用户共享NAT上网，配置ACL策略限制192.168.0.200-254/24访问外网。

7.ASA配置静态NAT使Outside用户访问DMZ区域的WebSrv8.ASA配置URL访问策略，IP地址范围在192.168.0.1-192.168.0.15中的主机只能访问和，不能访问其它任何网站。

9.禁止所有主机访问。

（注：红色部分将提供详细的实验步骤,并在步骤中提供相应的软件下载链接）实施步骤:一、使用虚拟机搭建IIS网站，配置网站的DNS解析（如会搭建可跳第二步-P10）1.首先是安装配置2003的IIS应用程序和DNS服务器2.搭建Inside和Outside区域的Web服务器后面的设置使用默认设置完成就可以了，接下来肯定就是新建网页文件，和配置网站的默认启用的文档。

gns3 asa防火墙怎么样设置gns3 asa 防火墙设置方法一：模拟支持不太完美保存会出错是正常的执行下列 cli报错正常 gns3重启asa 看看配置boot config disk0:/.private/startup-configcopy running-config disk0:/.private/startup-configwrgns3 asa 防火墙设置方法二：第一步：管理接口配置ip地址，即为其配置命令：1、命令语句：#interface management0/0 //进入管理接口2、命令语句：# nameif guanli //接口名3、命令语句：#ip address 192.168.1.1 255.255.255.0 //ip 地址第二步：安全级别等参数命令语句：# security-level 100 //安全级别通过以上两步参数设置，即可成功添加防火墙设备。

gns3 asa 防火墙设置方法三：web服务器置于防火墙之内：将web服务器放在防火墙内部的好处是它得到了很好的安全保护，不容易被黑客所入侵，但缺点是，不容易被外界所应用。

举个例子，如果web服务器是对外宣传自己的，那么这样配置显然是不合理的，这样客户就不能很好的去访问web服务器，所以具体情况还要具体的分析。

web服务器置于防火墙之外：这个的好处是解决了上述所说的这个问题。

这样配置的好处是内部网被很好的保护，就算是黑客入侵了web服务器，内部网络还是安全的。

缺点就是这种配置对web服务器起不到任何防护作用。

web服务器置于防火墙之上：一些管理者为了提高web服务器的安全性能，将防火墙加在web服务器上，以增强web服务器的安全性能，这样做的缺点就是，一旦web服务器出现问题，整个组织网络就暴露在危险之中了。

所有的防火墙配置都要根据实际情况来操作，不能一概而论，也可以综合多种情况出一个合理的规划。

看了“gns3 asa 防火墙怎么样设置”文章的。

思科基于GNS3模拟器的防⽕墙配置实验案例分析本⽂实例讲述了思科基于GNS3模拟器的防⽕墙配置实验。

分享给⼤家供⼤家参考，具体如下：⾃反ACL实验配置拓扑图R4为外⽹，R2和R3为内⽹。

地址表Device Interface IP addressR1 F 0/010.1.65.1F 0/114.1.65.1R2 F 0/010.1.65.2R3 F 0/010.1.65.3R4 F 0/014.1.65.4先在R2、R3与R4上配置配置静态路由R2(config)#ip route 14.1.65.0 255.255.255.0 10.1.65.1R3(config)#ip route 14.1.65.0 255.255.255.0 10.1.65.1R4(config)#ip route 10.1.65.0 255.255.255.0 14.1.65.1配置静态路由完成，路由之间互通，即可做⾃反ACL1.配置拒绝外⽹主动访问内⽹说明：拒绝外⽹主动访问内⽹，但是ICMP可以不受限制（1）配置允许ICMP可以不⽤标记就进⼊内⽹，其它的必须被标记才返回R1(config)#ip access-list extended comeR1(config-ext-nacl)#permit icmp any anyR1(config-ext-nacl)#evaluate abc（2）应⽤ACLR1(config)#int f0/1R1(config-if)#ip access-group come in2.测试结果（1）测试外⽹R4的ICMP访问内⽹说明：可以看到，ICMP是可以任意访问的（2）测试外⽹R4 telnet内⽹说明：可以看到，除ICMP之外，其它流量是不能进⼊内⽹的。

（1）测试内⽹R2的ICMP访问外⽹说明：可以看到，内⽹发ICMP到外⽹，也正常返回了（2）测试内⽹R2发起telnet到外⽹说明：可以看到，除ICMP之外，其它流量是不能通过的。

一、Cisco防火墙简介1、硬件与软件防火墙1>软件防火墙Cisco新版本的IOS软件提供了IOS防火墙特性集，它具备应用层只能状态检测防火墙引擎。

2>硬件防火墙硬件防火墙更具有优势：→功能更强大，且明确是为了抵御威胁而设计的→硬件防火墙比软件防火墙的漏洞少Cisco硬件防火墙技术应用与以下三个领域→PIX 500系列安全设备→ASA 5500系列自适应安全设备→Catalyst 6500系列交换机和Cisco 7600系列路由器的防火墙服务模块（FWSM）2、ASA安全设备Cisco ASA 5500系列自适应安全设备提供了整合防火墙、入侵保护系统（IPS）、高级自适应威胁防御服务。

其中包括应用安全和简化网络安全解决方案的VPN服务。

二、ASA的安全算法1、状态化防火墙ASA首先是一个状态化防火墙，状态化防火墙维护一个关于用户信息的连接表，称为conn表，表中信息如下→源IP地址→目的IP地址→IP协议→IP协议信息（例如TCP序列号，TCP控制位等）默认情况下，ASA对TCP和UDP协议提供状态化连接，但ICMP协议是非状态化的2、安全算法的原理ASA使用安全算法执行以下三步基本操作→访问控制列表：基于特定的网络、主机和服务控制网络访问→连接表（conn）：维护每个连接的状态信息。

安全算法使用此信息在已建立的连接中有效转发流量→检测引擎：执行状态检测和应用层检测。

检测规则集是预先定义的，来验证应用是否遵从每个RFC和其他标准数据的检测过程：首先检查访问控制列表，确定是否允许连接；然后执行路由查询，如果路由正确，将会在conn表中创建相应信息；然后在检测引擎中检查预定义的一套规则，如果已应用，则进一步执行应用层检测；目的主机相应服务；ASA防火墙查看conn连接表，如果表中存在，则执行放行，如果不存在，则检测引擎检查，然后访问控制列表检查。

三、ASA的基本配置1、使用GNS3模拟ASA防火墙需要的文件：→GNS3软件（可以去其官网下载）→asa802-k8.gz镜像文件→vmlinuz内核文件所有的东西也可以去/s/1u9eFW（我的百度云下载，GNS3压缩包里面有所有的东西）打开GNS3后，单击编辑，选择首选项（或者直接按Ctrl+Shift+P）填写以下几项其他默认即可使用ASA防火墙的时候，拽一个防火墙，然后将防火墙的网络改为pcnet，这时的防火墙就可以使用了2、配置主机名和密码1>配置主机名可以使用以下命令配置主机名：(config)#hostname 名字2>配置密码（1）配置特权密码(config)#enable password 密码（2）配置远程登录密码(config)#passwd 密码3、接口的概念与配置1>接口的名称ASA的一个接口通常有两种名称，即物理名称和逻辑名称1)物理名称物理名称与路由器的名称类似，如E0/0，E0/1等ASA 5510及以上的型号还有专门的管理接口，例如management0/02)逻辑名称逻辑名称用户大多数的配置命令，用来描述安全区域。