一、设备登录

登录方式：

内网协议：telnet

内网登录IP地址：192.168.201.6

网络协议：ssh

登录Internet的IP地址：XXX.XXX.XXX.XXX

用户名：思科

密码：123456

特权密码：123456

二、安全区域及IP地址

interface GigabitEthernet0/1 //表示接口

nameif outside1 //配置安全区域名称(可写入该参数)

security -level 0 //配置安全区域的安全级别。(默认情况下，outside为0,inside为100。高安全级别可以访问低安全级别，低安全级别不能访问高安全级别，除非使用ACL permit。)

ip address 218.246.213.75 255.255.255.240 //设置接口的ip地址

DMZ也是一个安全区域。创建安全区域的目的是实现安全区域之间的访问控制、攻击检测和隔离。从outside1到inside区域需要进行攻击检测。内网划分为DMZ vlan和内部vlan。这样就可以在DMZ vlan和vlan内部应用访问控制策略。

DMZ区域举例如下：

interface GigabitEthernet0/7 //输入接口

namif DMZ //配置安全区域名称(可配置)

security -level 50 //配置安全区域的安全级别。(默认情况下，outside为0,inside为100。高安全级别可以访问低安全级别，低安全级别不能访问高安全级别，除非使用ACL permit。)

ip address 172.16.50.1 //配置接口ip地址

三、配置路由（路由冗余）

路由优先级数字越小优先级越高

route outside2 0.0.0.0 0.0.0.0 181.12.111.1 2 //outside2安全区域缺省路由

route outside1 0.0.0.0 0.0.0.0 238.201.237.1 3 //outside1安全区域的缺省路由

route inside 172.16.1.0 255.255.255.0 192.168.202.25 1

//内网访问172.16.1.0网段的详细路由信息。下一个路由是192.168.202.25(核心交换机)。

四、配置上网NAT

object network internet1 //创建允许访问Internet的网段

subnet 0.0.0.0 0.0.0.0

object network internet2

subnet 0.0.0.0 0.0.0.0

object network internet1

nat (inside,outside1) dynamic interface //允许所有网段访问Internet

object network internet2

nat (inside,outside2) dynamic interface

不能通过ACL限制网段

五、端口映射

object network mailowa110 //创建映射内网地址的object项。名称是可选的。

host 192.168.203.12 //添加需要映射的内网服务器的IP地址

nat (inside,outside1) static 238.106.237.19 service tcp pop3 pop3

//配置端口映射。外部网络可以通过238.106.237.19访问192.168.203.12服务器的pop3(110)端口

打开相关的访问控制(需要在拒绝进入前添加)

access-list outside1-inside extended permit permit tcp any host 238.106.237.19 eq 110

access-list outside1-inside extended deny ip any any

缺省ACL中所有的IP地址都被禁用。完成端口映射后，需要将其加入ACL中

六、反向映射（用于内网访问外网端口）

same-security-traffic permit inter-interface

same-security-traffic permit intra-interface //开启反向映射功能

object network oa_outside-inside //创建一个映射Intranet地址的object项。名称是可选的。

host 192.168.202.53 //添加需要映射的内网服务器的IP地址

object network oa-outside //创建映射外部网络地址的对象项。名称是可选的。

host 238.106.237.19 //添加待映射的外网服务器IP地址

object service tcp80 //创建映射的服务的对象项。名称是可选的。

service tcp destination eq www //添加80端口

nat (inside,inside) source static any interface destination static oa-outside oa_outside-inside service tcp80 tcp80

//映射服务：调用上面创建的对象，使访问inside zone和outside zone端口映射的主机直接访问内网服务器的端口

示例

七、访问控制列表

:内网172.16.110.0网段(用于扫描出厂码)无法访问Internet

access-list inside-outside extended deny ip 172.16.110.0 255.255.255.0 any

//创建一个名为'inside-outside'的表项，禁止172.16.110.0段访问任何网络

access-list inside-outside extended permit ip any any

//创建所有网段都允许的表项

access-group inside-outside in interface inside

//应用于防火墙的'inside' zone 'in'方向

八、双联路负载（策略路由）

access-list yidong1 extended permit ip 172.16.200.0 255.255.255.0 any

access-list yidong1 extended permit ip 172.16.30.0 255.255.254.0 any

access-list yidong1 extended permit ip 172.16.100.0 255.255.254.0 any

access-list yidong1 extended permit ip 172.16.110.0 255.255.255.0 any

access-list yidong1 extended permit ip 172.16.111.0 255.255.255.0 any

access-list yidong1 extended permit ip 172.16.120.0 255.255.255.0 any

//创建名为“yidong1”的ACL。在ACL中指定要访问的网段

route-map yidong permit 10 //创建策略yidong

match ip address yidong1 //匹配上面创建的'yidong1'列表

set ip default next-hop 238.106.237.19 //指定匹配'yiding1'的下一跳为'238.106.237.19'(移动ip)

interface GigabitEthernet0/0 //内部接口

Policy-route route-map yidong //调用'yidong'策略，这是好的

九、DHCP配置

防火墙配置DHCP时不能配置网关。配置网关为对应安全区域的接口地址

dhcpd address 192.168.1.2-192.168.1.254 management

//为管理安全区域分配“192.168.1.2 ~ 192.168.1.254”网段。

dhcpd enable management

//开启管理安全区域的DHCP功能

dhcpd dns 114.114.114.114 8.8.8.8 interface management

0