防火墙基本介绍及实验（GNS）（ASA的两种工作模式、DMZ隔离区）

Cisco防火墙简介

硬件与软件防火墙

软件

硬件

ASA安全设备

ASA 5500系列

常见型号 5505、5510、5520、5540、5550、5580

 

状态化防火墙

状态化防火墙维护一个关于用户信息的连接表，称为Conn表

Conn表中的关键信息

源IP地址

目的IP地址

IP协议(例如TCP或UDP )

IP协议信息(例如TCP/UDP端口号，TCP序列号，TCP控制位)

默认情况下，ASA对TCP和UDP协议提供状态化连接，但ICMP协议是非状态化的

 

安全算法的原理

ASA使用安全算法执行以下三项基本操作

访问控制列表

基于特定的网络、主机和服务(TCP/UDP端口号)控制网络

连接表

维护每个连接的状态信息

安全算法使用此信息在已建立的连接中有效转发流量

检测引擎

执行状态检测和应用层检测

检测规则集是预先定义的，来验证应用是否遵从每个RFC和其他标准

 

ASA对原始报文的处理

1.一个新来的TCP SYN报文到达ASA，试图建立一个新的连接

2.ASA检查访问列表，确定是否允许连接

3.ASA执行路由查询，如果路由正确，ASA使用必要的会话信息在连接表(xlate和conn 表)中创建一个新条目

4.ASA在检测引擎中检查预定义的一套规则，如果是已知应用，则进一步执行应用层检 测

5.ASA根据检测引擎确定是否转发或丢弃报文。如果允许转发，则将报文转发到目的主 机

6.目的主机响应该报文

7.ASA接收返回报文并进行检测，查询连接确定会话信息与现有连接是否匹配

8.ASA转发属于已建立的现有会话的报文

 

ASA的接口名称

物理名称

逻辑名称(用来描述安全区域 例如inside 安全级别高、outside 安全级别低、dmz)

 

不同安全级别的接口之间访问时，遵从的默认规则

允许出站(outbound)连接

禁止入站(inbound)连接

禁止相同安全级别的接口之间通信(默认允许高级别到低级别 不允许低级别到高级别)

 

ASA的基本配置主机名和密码

配置主机名

ciscoasa(config)# hostname asa配置密码

配置特权密码

asa(config)# enable password asa802

配直远程登陆密码

asa(config)# passwd cisco

 

ASA接口的配置

配置接口的名称

asa(config-if)# nameif name

配置接口的安全级别(0-100 0级别最低)

asa(config-if)# security-level number

 

R1 能telnet R2  R2不能telnet R1 ( inside可以到outside )