防火墙 FIREWALL

实验   

思路与配置

               1.配置g0

                    interface g0

                         no shutdown

                         nameif inside

                         ip address 192.168.1.254 255.255.255.0

                         security-level 100

                    配置g1

                         interface g1

                              no shutdown

                              nameif outside

                              ip address 192.168.8.254 255.255.255.0

                              security-level 0

                    配置g2

                    interface g2

                              no shutdown

                              nameif DMZ

                              ip address 192.168.3.254 255.255.255.0

                              security-level 50

          2.配置AR1

                    配置0端口 ip  192.168.1.1 255.255.255.0

                    配置1端口 ip  10.1.1.254 255.255.255.0

                    配置2端口 ip  10.2.2.254 255.255.255.0

               配置静态浮动路由

                    ip route-static 0.0.0.0 0.0.0.0 192.168.1.254

          3.配置云

                access-list out-to-in permit ip host 192.168.8.1  host 192.168.3.100

                access-group out-to-in in interface outside                                                          

        此时

               DMZ发布Web服务器，client2可以访问server3

          可以实现 

       配置 路由条目

                        route inside 10.1.1.0 255.255.255.0 192.168.1.1

                        route inside 10.2.2.0 255.255.255.0 192.168.1.1

       使用命令show conn detail  查看conn

     配置server2的FTP

 配置server3的FTP   

配置client1   FTP

  配置client1   FTP    

  查看 show conn detail

           分别查看ASA和AR的路由表

          ASA:

         AR1：

------------------------------------------------------------

配置云

     access-list 111 deny tcp any host 192.168.3.1 eq 80

     access-group 111 in interface DMZ

配置ACL禁止client3访问server2

=======================================================================================================================

实验：1

思路与配置：

          1.

 进入crt

connect进入  先清除以前配置：

          clear configuration all

          配置进口安全等级及ip

               interface g0

                    nameif inside

                    no shutdown

                    ip address 192.168.1.254

                    securty-level 100

               interface g1

                    nameif outside

                    no shutdown

                    ip address 192.168.8.254

                    securty-level 0

          此时可以达到实验要求

  如需要client2 访问server1   则可以配置ACL

               access-list out-to-in permit ip host 192.168.8.1 host 192.168.1.100

                                                                           仅为源ip

               access-list out-to-in permit ip host 192.168.8.0 host 192.168.1.100

                                                                           为一个网段

               access-group out-to-in in interface outside

实验2

               pc1ping通server 2/client 2

配置ACL

               access-list ICMP permit icmp any any

               access-group ICMP in interface outside

实验3  配置静态和默认路由

配置  R1

               0端口：ip 192.168.1.1 24

               1端口：ip 10.1.1.254 24

               2端口：ip 10.2.2.254 24

          配置云

                    route inside 10.1.1.0 255.255.255.0 192.168.1.1

                    route inside 20.1.1.0 255.255.255.0 192.168.1.1

          R1配置静态路由

               ip route-static 0.0.0.0 0.0.0.0  192.168.1.254

          此时可以ping通

实验5  控制出站链接流量   禁止10.1.1.0/24 的流量出站

          配置ACL

                    access-list in-to-out deny ip 10.1.1.0 255.255.55.0 any

                    access-list in-to-out permit ip any any

                    acess-group in-to-out in interface inside

      此时10.1.1.0网段流量出不去

PC机可以访问服务机

          先删除防火墙中的dhcp配置

               no dhcp auto-config outside

               no dhcp address 192.168.1.5-192.168.1.35 inside

               no dhcp enable inside

               no ip address dhcp

          在vlan2 中配置ip 200.1.1.254 255.255.255.0

          配置0端口为vlan1    1端口为vlan2

               配置ACL

                       access-list 111 permit tcp any host 192.168.1.1 eq 80

                       access-group 111 in interface outside

实验  多区域防火墙

          在实验1的配置基础上在进行配置

               配置

                    interface g2

                    nameif DMZ

                    no shutdown

                    ip address 192.168.3.254 255.255.255.0

                    security-level 50

               高级可以访问低级     低级不能访问高级

               client1 可以访问 server2  server3

               client3 可以访问 server3