Cisco ASA 5500 系列防火墙
产品介绍
Cisco®ASA 5500 系列自适应安全设备是思科专门设计的解决方案，将最高的安全性和出色VPN服务与创新的可扩展服务架构有机地结合在一起。作为思科自防御网络的核心组件，Cisco ASA 5500系列能够提供主动威胁防御，在网络受到威胁之前就能及时阻挡攻击，控制网络行为和应用流量，并提供灵活的VPN连接。思科强大的多功能网络安全设备系列不但能为保护家庭办公室、分支机构、中小企业和大型企业网络提供广泛而深入的安全功能，还能降低实现这种新安全性相关的总体部署和运营成本及复杂性。
Cisco ASA 5500 系列在一个平台中有力地提供了多种已经获得市场验证的技术，无论从运营角度还是从经济角度看，都能够为多个地点部署各种安全服务。利用其多功能安全组件，企业几乎不需要作任何两难选择，也不会面临任何风险，既可以提供强有力的安全保护，又可以降低在多个地点部署多台设备的运营成本。Cisco ASA 5500系列包含全面的服务，通过为中小企业和大型企业定制的产品版本，能满足各种部署环境的特定需求。这些版本为各地点提供了相应的服务，从而达到出色的保护效果。每个版本都综合了一套Cisco ASA 5500系列的重点服务（如防火墙、IPSec和SSL VPN、IPS，以及Anti-X服务），以符合企业网络中特定环境的需要。通过确保满足每个地点的安全需求，网络整体安全性也得到了提升。
Cisco ASA 5500系列自适应安全设备
Cisco ASA 5500 系列能够通过以下关键组件帮助企业更有效地管理网络并提供出色的投资保护：
经过市场验证的安全与VPN功能 - 全特性、高性能的防火墙，入侵防御系统 (IPS), Anti-X和IPSec/SSL VPN 技术提供了强大的应用安全性、基于用户和应用的访问控制、蠕虫与病毒防御、恶意软件防护、内容过滤以及远程用户/站点连接。
思科PIX防火墙的基本配置
【项目目标】
掌握PIX防火墙基本配置方法。
【项目背景】
某公司使用Cisco PIX 515防火墙连接到internet，ISP分配给该公司一段公网IP地址。公司具有Web服务器和Ftp服务器，要求让内网用户和外网用户都能够访问其web服务和FTP服务，但外部网络用户不可以访问内网。
【方案设计】
1.总体设计
ISP分配给该公司一段公网IP地址为61.1.1.2—61.1.1.254。在DMZ区域放置一台Web服务器和一台Ftp服务器，使用61.1.1.3和61.1.1.4这两个全局IP地址分别将Web服务器和Ftp服务器发布到Internet。利用访问控制列表来控制外网用户的访问。
2.任务分解
任务1：防火墙基本配置。
任务2：接口基本配置。
任务3：配置防火墙默认路由。
任务4：配置内网用户访问外网规则。
任务5：发布DMZ区域的服务器。
任务6：配置访问控制列表。
任务7：查看与保存配置。
3.知识准备
所有的防火墙都是按以下两种情况配置的：
（1）拒绝所有的流量，这需要在网络中特殊指定能够进入和出去的流量的一些类型。
（2）允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。
不过大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的内部用户能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP的进程。
4.拓扑结构：如图8-17所示。
图8-17 项目拓扑结构
5.设备说明 PIX515
dmzoutsidinside
File Server Web 192.168.1.Interne
以PIX515防火墙7.X版本的操作系统为例，介绍其配置过程。在配置之前先假设pix515防火墙的ethernet0接口作为外网接口(命名为outside)，并分配全局IP地址为61.1.1.2；ethernet1接口作为内网接口(命名为inside)，并分配私有IP地址为192.168.1.1；ethernet2接口作为DMZ接口，并分配私有IP地址为192.168.2.1。内网的私有IP地址使用范围为192.168.1.1-192.168.1.254，子网掩码为255.255.255.0。防火墙的下一跳路由器地址假设为61.1.1.1；dmz区域中Web服务器IP地址取192.168.2.3，Ftp服务器IP地址取192.168.2.4。
C. 配置fixup协议
fixup命令作用是启用，禁止，改变一个服务或协议通过pix防火墙，由fixup命令指定的端口是pix防火墙要侦听的服务。见下面例子：
例1． Pix525(config)#fixup protocol ftp 21
启用ftp协议，并指定ftp的端口号为21
例2． Pix525(config)#fixup protocol http 80
Pix525(config)#fixup protocol http 1080 为http协议指定80和1080两个端口。
例3． Pix525(config)#no fixup protocol smtp 80
禁用smtp协议。
D. 设置telnet
telnet有一个版本的变化。在pix OS 5.0（pix操作系统的版本号）之前，只能从内部网络上的主机通过telnet访问pix。在pix OS 5.0及后续版本中，可以在所有的接口上启用telnet到pix的访问。当从外部接口要telnet到pix防火墙时，telnet数据流需要用ipsec提供保护，也就是说用户必须配置pix来建立一条到另外一台pix，路由器或vpn客户端的ipsec隧道。另外就是在PIX上配置SSH，然后用SSH client从外部telnet到PIX防火墙，PIX支持SSH1和SSH2，不过SSH1是免费软件，SSH2是商业软件。相比之下cisco路由器的telnet就作的不怎么样了。
telnet配置语法：telnet local_ip [netmask] local_ip 表示被授权通过telnet访问到pix的ip地址。如果不设此项，pix的配置方式只能由console进行。
说了这么多，下面给出一个配置实例供大家参考。
Welcome to the PIX firewall
文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.
不支持故障切换
global (outside) 1
global (outside) 1
global (outside) 1
定义内部网络地址将要翻 译成的全局地址或地址范围
nat (inside) 0 access-list 101
使得符合访问列表为101地址不通过翻译，对外部网络是可见的
nat (inside) 1 0 0
内部网络地址翻译成外部地址
nat (dmz) 1 0 0
DMZ区网络地址翻译成外部地址
static (inside,outside) netmask 0 0
static (inside,outside) netmask 0 0
static (inside,outside) netmask 0 0
设定固定主机与外网固定IP之间的一对一静态转换
static (dmz,outside) netmask 0 0
设定DMZ区固定主机与外网固定IP之间的一对一静态转换
static (inside,dmz) netmask 0 0
设定内网固定主机与DMZ IP之间的一对一静态转换
static (dmz,outside) netmask 0 0
设定DMZ区固定主机与外网固定IP之间的一对一静态转换
access-group 120 in interface outside
access-group 120 in interface inside 文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.
access-group 120 in interface dmz
将访问列表应用于端口
conduit permit tcp host any
