ASA个人学习笔记.pdf

ASA 个人学习笔记 一、ASA 简介 个人感觉吧，学习ASA 的时候，有点难以下手。因为并不像之前那些协议的 时候都是一块一块的，而且相互之间是联系在一起的，学习起来容易很多。而 ASA 是一个设备，接触到ASA 的技术都要学，所以就会乱了，不知学哪些好。怎 么样才能入门等等。在我学习了ASA 之后做了此笔记，慢慢从入门开始一直到各 个技术学习。 1.1 初始化配置 开启设备这些步骤就不说啦，如果连设备都不懂开启真不必学了。直接就开 始我们的配置吧 interface GigabitEthernet0 no shutdown nameif outside !!給接口配置一个区域名字。当然可以配置另的名字， 最好根据区域定制合适的名字，知名知其义。在ASA5505 里是根据VLAN 来 配置区域名字的。 security-level 0 ！！默认除了inside 区域的其它都为0 ip address interface GigabitEthernet1 no shutdown nameif inside security-level 100 ip address 配置远程登录： telnet 0 0 inside ！！这意思是开启telnet，并且允许inside 区域所有 的网络都可以telnet 上来。也可以配置某个主机IP。注意：telnet 功能只 能应用在inside，outside 就算开启了也没用的。 SSH 0 0 outside !!开启ASA 的SSH 登录。在outside 接口上启用。 Ssh ve 2 ！！SSH 的版本 Authentication ssh console LOCAL ！！SSH 认证用本地数据库 Username admin password admin ！！用户名和密码 ASA 个人学习笔记 crypto key generate rsa modulus 1024 ！！产生一对密钥用来做SSH 加 密用，注意：ASA 默认不会产生密钥的。比如做PKI 等公钥的时候也要手动 创建密钥 开启ASDM: http server enable 500 !!开启ASDM，后面的500 是端口，默认是443. 为了考虑如果在ASA 中布置SSL 的时候，所以修改一下ASDM 的端口 http inside ！！允许inside 可以访问SSH username admin password admin privilege 15 ！！配置用户名和密码以 及用户名的等级 二、访问控制 在ASA 的世界里，有很多地方是与路由器不一样的，很多地方学习的时候是 需要注意的，就比如从INSIDE 访问OUTSIDE 的时候，TELNET 成功连接了，可ping 就是死活都不过来。这其实都是ASA 本身的一些特性引起的，状态化信息检查等 等。下面就由我来带领大家进入ASA 吧，狠狠的进入„„ 2.1 访问控制列表 ASA 上的访问控制列表其实与路由器的配置没啥区别的，道理一个样，可是 在应用中会有所不同，而且功能也会有些小区别的。如下图： 这命令相当于把telnet 功能直接全部拒绝掉了。換个角度说，也就是不仅 穿越这个路由器的telnet 流量被拒绝了，而且抵达路由器的telnet 流量也拒绝 了。又或者当如果是内部telnet 外部的时候，也一样是不行的。为什么呢？因 为虽然telnet 流量是可以从右往左通过，但是回来的流量则又被干掉了。所以 说路由器上的访问控制列表，不仅对抵达本身的流量会干掉，也会把穿越的流量 ASA 个人学习笔记 全部干掉。 如上图，在ASA 里，只会把穿越的telnet 流量給拒绝掉了，但是对于抵达 ASA 本身的流量不关心，可以正常到达的。当如果telnet 流量是从右往左的时 候，会发生什么事情呢？事实是会正常能 telnet 成功。因为当从右往左访问 telnet 的时候，穿越ASA 的时候，会建立一个状态的表。当ASA 收到返回的流