ASA防火墙疑难杂症与Cisco ASA5520防火墙配置

《ASA防火墙疑难杂症与Cisco ASA5520防火墙配置》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ASA防火墙疑难杂症解答ASA防火墙疑难杂症解答1...............................内部网络不能ping通internet2........................内部网络不能使用pptp拨入vpn服务器3....................内部网络不能通过被动Mode访问ftp服务器4.................................内部网络不能进行ipsecNAT5...................................内网不能访问DMZ区服务器6...............................

2、.内网用户不能pingweb服务器1.内部网络不能ping通internet对于ASA5510，只要策略允许，则是可以Ping通的，对于ASA550，部分IOS可以ping，如果所以流量都允许还是不能Ping的话，则需要做inspect，对icmp协议进行检查即可2.内部网络不能使用pptp拨入vpn服务器因pptp需要连接TCP1723端口，同时还需要GRE协议，如果防火墙是linux的Iptables，则需要加载：modprobeip_nat_pptpmodprobeip_conntrack_proto_gre如果防火墙是ASA，则需要inspectpptp。3.内部网络不能通

3、过被动Mode访问ftp服务器同样需要inspectftp，有些还需要检查相关参数policy-maptypeinspectftpftpaccessparametersmatchrequest-commandappecduphelpgetrnfrrntoputstousitedelemkdrmd4.内部网络不能进行ipsecNAT这种情况不多用，如查进行ipsect：IPSecPassThrough5.内网不能访问DMZ区服务器增加NAT规则，即DMZ到内网的规则6.内网用户不能pingweb服务器如果内网中有一台web服务器，且已经配置了NAT，使用internet用户可以通过外

4、部IP访问这台web服务器。这时如果内网中的机器不能ping这台web服务器，则在配置NAT时，进行DNSrewrite即可，如果故障依然，可以试着关闭arp代理。7.待续CiscoASA5520防火墙配置前言l主要从防火墙穿越的角度，描述CiscoASA5520防火墙的配置l对PixASA系列防火墙配置具有参考意义内容l防火墙与NAT介绍l基本介绍l基本配置l高级配置l其它l案例防火墙与NAT介绍l防火墙Ø门卫lNATØ过道l区别Ø两者可以分别使用ØWindows有个人防火墙ØWindows有InternetConnectsharing服务Ø一般防火墙产品，同时带有NAT基本介绍

5、l配置连接l工作模式l常用命令lASA5520介绍配置连接l初次连接Ø使用超级终端登陆Console口ØCicso的波特率设置为9600lTelnet连接Ø默认不打开，在使用Console配置后，可以选择开启Ø开启命令：telnetip_addressnetmaskif_nameØ连接命令：telnet192.168.1.1ØASA5520默认不允许外网telnet,开启比较麻烦lASDM连接Ø图形界面配置方式lSSH连接工作模式l普通模式Ø连接上去后模式Ø进入普通模式需要有普通模式密码ØEnable进入特权模式，需要特权密码l特权模式ØConfigterminal进入配置模式l配

6、置模式l模式转换Øexit或者ctrl-z退出当前模式，到前一模式Ø也适用于嵌套配置下退出当前配置常用命令l命令支持缩写，只要前写到与其它命令不同的地方即可Øconfigterminal=confterm=conftØTab键盘补全命令Ø？Orhelp获取帮助l取消配置Øno命令取消以前的配置ØClear取消一组配置，具体请查看帮助l查看配置ØShowversionØshowrun[all],writeterminalØShowxlatØShowrunnatØShowrungloball保存配置ØWritememoryASA5520介绍l硬件配置：ASA5520,512MBRAM,

7、CPUPentium4Celeron2000MHzl1个Console口，一个Aux口，4个千兆网口l支持并发：280000个l支持VPN个数：150l支持双机热备、负载均衡l可以通过showversion查看硬件信息基本配置l接口配置lNAT配置lACL访问控制接口配置l四个以太网口ØGigabitEthernet0/0、gig0/1、gig0/2、gig0/3Ø进入接口配置:interfaceif_namel配置IPØipaddressip_address[net