接口管理0/0

 仅管理
  名字  management
 安全级别100
 ip address 10.9.200.31 255.255.255.0 
 no 关掉

HTTP服务器启用
http 10.9.200.0 255.255.255.128 management

ssh 10.9.200.0 255.255.255.128 management

浏览网页 //10.9.200.31/admin ，然后安装ASDM启动器。

4.基本设置和示例

• 名字
• ciscoasa（config）＃接口vlan1
  ciscoasa（config-if）＃nameif inside
  信息：“内部”的安全级别默认设置为100。
• 安全级别
• ciscoasa（config-if）＃接口vlan3
  ciscoasa（config-if）＃nameif dmz
  ciscoasa（config-if）＃安全级别 50
• 接口或VLAN IP地址
• ciscoasa(config-if)# interface VLAN 1
  ciscoasa（config-if）＃IP地址 192.168.106.1
• ciscoasa（config-if）＃接口以太网0/1
  ciscoasa（config-if）＃交换机端口访问 vlan 1
  ciscoasa（config-if）＃没有关闭
• 路线
• ciscoasa（config-if）＃路由 outside 0 0 1.1.1.1
• 测试Configuration with Packet Tracer Feature
• 模拟一个 TCP协议 协议 数据包进入 内 IP地址接口 192.168.0.125 在源端口上 12345 定位到的IP地址 203.0.113.1 在港口 80  
• 在TCP 192.168.0.125 12345 203.0.113.1中输入ciscoasa＃packet-tracer 8
•   模拟一个 TCP协议 协议 数据包进入 外 IP地址接口 192.0.2.123 在源端口上 12345 定位到的IP地址 198.51.100.101 在港口 80
• 在TCP 192.0.2.123之外的ciscoasa＃数据包跟踪器输入12345 98.51.100.101 80

5. Transparent or 已路由Firewall 

广播和多播流量可以使用访问规则进行传递。

通过透明防火墙允许以下目标MAC地址。任何
不在此列表中的MAC地址被删除。
•等于FFFF.FFFF.FFFF的TRUE广播目标MAC地址
•从0100.5E00.0000到0100.5EFE.FFFF的IPv4组播MAC地址
•IPv6组播MAC地址从3333.0000.0000到3333.FFFF.FFFF
•BPDU组播地址等于0100.0CCC.CCCD
•AppleTalk组播MAC地址从0900.0700.0000到0900.07FF.FFFF

透明模式ASA不传递CDP数据包数据包，也不传递不具有大于或等于0x600的有效EtherType的任何数据包。支持的BPDU和IS-IS例外。

为了防止使用生成树协议的环路，默认情况下会传递BPDU。要阻止BPDU，您需要配置一个EtherType ACL来拒绝它们。如果使用故障转移，则可能需要阻止BPDU，以防止拓扑结构更改时交换机端口进入阻止状态。

当ASA在透明模式下运行时，数据包的传出接口是通过执行MAC地址查找而不是路由查找来确定的。但是，对于以下流量类型，必须进行路由查找：
•来自ASA的流量
•与启用了NAT的ASA至少相距一跳的流量
启用检查的IP语音（VoIP）和DNS流量，并且端点至少为一跳
离开ASA。

默认情况下，所有ARP数据包都允许通过ASA。您可以通过启用ARP检查来控制ARP数据包的流。

因为ASA是防火墙，所以如果表中没有数据包的目标MAC地址，则ASA
不会像普通网桥那样在所有接口上泛洪原始数据包。相反，它会生成
直接连接的设备或远程设备的以下数据包：
•直接连接的设备的数据包—
•远程设备的数据包—

透明模式默认设置–默认模式是路由模式。
•默认情况下，所有ARP数据包都允许通过ASA。
•如果启用ARP检查，则默认设置是泛洪不匹配的数据包。
•动态MAC地址表条目的默认超时值为5分钟。
•默认情况下，每个接口都会自动学习输入流量的MAC地址和ASA
将相应的条目添加到MAC地址表。

6.多上下文模式

7.从ASA内部接口向外部ping

注意：11.11.11.11是本地LAN接口，而1.1.1.2是另一个ASA的WAN接口。从本地ASA LAN接口到外部的ping失败，因为ASA默认情况下维护TCP的状态表&仅限UDP连接。并不是说ping操作不成功，仅仅是ASA不允许来自配置了较低安全级别的接口的回显回复。解决方案将在这里 使用ASDM发布信息后，请在全局策略中打开icmp检查.

对于到ASA本身的icmp通信，命令如下：

注意：如果从内部到外部启用了NAT，则可能需要添加访问列表以允许icmp echo-r​​eply数据包进入外部接口。

8.启用日志记录

9.  NAT  

• 自动NAT –进行NAT时，仅将源用作匹配条件。
• 手动NAT – NAT `时，将源和目标用作匹配条件。

自动NAT

手动NAT

• 第1节–手动NAT
• 第2节-自动NAT
• 第三节–手动Nat After-Auto

10.访问规则

入站和出站规则
您可以根据流量方向配置访问规则：
•入站-入站访问规则适用于进入接口的流量。全球和管理访问
规则总是入站的。
•出站-出站规则适用于退出接口的流量。
“入站”和“出站”是指接口上的ACL应用程序，用于进入ACL的流量。
接口上的ASA或接口上退出ASA的流量。这些术语不指流量从较低安全性接口到较高安全性接口（通常称为入站）或从较高安全性至较低接口（通常称为出站）的移动。
注意
例如，如果要仅允许内部网络上的某些主机访问外部网络上的Web服务器，则出站ACL很有用。与其创建多个入站ACL来限制访问，

• 访问列表（ACL）
• 来自的流量  降低  安全接口是  被拒绝  when going to a  更高  security interface
• 来自的流量  更高  安全接口是  允许的  when going to a  降低  安全介面
•  范例1：

  access-list 外_acl extended permit tcp any object webserver eq www
  !
  access-group 外_acl in interface 外

•  范例2：

• 对象网络 dns-server
   主办  192.168.0.53
  !
  access-list dmz_acl extended permit udp any object dns-server eq domain
  access-list dmz_acl extended deny ip any object 内-subnet
  access-list dmz_acl extended permit ip any any
  !
  access-group dmz_acl in interface dmz

11.访问规则示例

ASA示例拓扑

12.备份和还原配置

将配置备份到本地磁盘。

恢复配置

13. ICMP / SSH / ASDM到一个接口后面的另一个接口

我遇到了与帖子相同的问题 “找不到出口接口… ”。
拓扑结构：

症状：
IP计算机1可以访问IP计算机2，但不能访问防火墙ASA的IP 内2，即使它与IP Computer2位于同一网段。

来自帖子的解决方案：

“

HTTP服务器启用

http 10.50.2.0 255.255.255.0 Mgmt
http 172.17.0.0 255.255.255.0 MGMT

ssh 10.50.2.0 255.255.255.0 MGMT
ssh 172.17.0.0 255.255.255.0 MGMT

管理访问 MGMT