Cisco防火墙配置

帮朋友调试一台ASA，做一下记录（很久没动手了）

 

三个区：

vlan10: inside: 192.168.1.1

vlan20: outside: 202.102.1.1

vlan30: dmz:   172.16.1.1

需求：内网可以上网/内网可以访问DMZ/外网可以访问DMZ的主机

 

配置：

1）设置端口IP 地址，并设置优先级

interface vlan10

    nameif inside

    security-level  100

    ip address x.x.x.x

 

2) 配置默认路由，保证可以路由出网

     route outside 0 0 x.x.x.x

3）配置NAT，可以保证内网可以访问外网，可以访问DMZ

     nat-control

      nat (inside) 1  192.168.1.0 255.255.255.0

      global (outside) 1 interface

      global (dmz)      1 interface

 

4) 配置静态NAT，可以让外网访问DMZ

      static (dmz,outside) interface 172.16.100.251(主机) netmask 255.255.255.255 dns  //dns项如果不加，内网可以用172地址访问，但不能用公网地址访问

5) 配置安全策略，应用到OUTSIDE上, 允许外网访问DMZ服务器

    access-list xxxx  extended permit tcp any host 202.102.x.x eq www

    access-group xxxx  in  interface outside