思科高端防火墙介绍课件.ppt

防火墙;一、防火墙的三种类型;1、Packet filtering （包过滤）;2、Proxy server （代理服务器）;2、Proxy server （代理服务器）;3、Stateful packet filtering （状态化包过滤）;3、Stateful packet filtering （状态化包过滤）;1、 Demilitarized zone(非军事化区域)，主要用于连接服务器和VPN设备 2、 DMZ 连接的两种方式：;3、 一种典型的FW连接方式：;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;三、CISCO ASA 产品介绍;四、 Service modules ;四、 Service modules ;五、 Security level ;五、 Security level ;五、 Security level ;五、 Security level ;六、 Show conn ; 为什么PING不通？ （1）ASA 默认只对穿越的TCP和UDP流量维护状态化信息 （2）Inside发起的ICMP echo 包能抵达 outside，表示outbound流量默认放行的策略是有效的 （3）返回的ICMP echo-reply包被防火墙丢弃，因为inbound流量默认是被绝决的 （4）两种解决方案：一、ACL 放行 ；二、监控ICMP流量 命令 一： access-list out exended icmp any any Access-group out in in outside 命令 二： fixup protocol icmp ? ; 配置静态路由： （1）默认路由：ASAFW(config) # route outside 0 0 202.1.1.1 （2）静态路由： ASAFW(config)# route inside 10.1.10.0 255.255.255.0 10.1.1.1 （3）支持做多3条相同目的，相同出接口，用于负载均衡的静态路由 ? ; 关于动态路由协议： （1） ASA 8.0 支持 —RIP —OSPF —EIGRP （2）配置方式与IOS安全相同 （重分布，路由过滤） （3）ASA 8.0所有掩码都为正掩码（ACL.路由通告） ? ; 基本NET配置： Nat (inside) 1 10.1.1.0 255.255.255.0 Global (outside) 1 202.1.1.1-202.1.1.10 （1）nat 定义转换流量源地址和源接口 （2）global 定义转换目的端口和地址池 （3）ID 需要对应，并且大于等于1 ? ; Show xlate： ASAFW(config)# show xlate 1 in use ,3 most used Global 202.1.1.1 l local 10.1.1.1 Nat-control： OS7.x 默认no nat-control OS7.x 默认 nat-control nat-control 一旦启用，没有nat不能穿越FW no nat-control 在满足安??策略的前提下，无需nat也能穿越FW ? ; 配置时间： （1）手动配置 ASAFW(config) #clock timezone GMT +8 ASAFW# clock set 17:51:00 13 Apr 2010 （2）NTP配置 ntp authentication-key 1 md5 cisco ntp authenticate ntp trusted-key 1 ntp server 202.10.1.1 key 1 source outside prefer ? ;syslog： （1）logging enable （2）logging timestamp （3）logging trap warnings （4）logging host inside 10.1.1.1 Nat-control： （1）可以在任何位置使用 show