2. 程式人生 > >28-思科防火墻：狀態化AA

28-思科防火墻：狀態化AA

阿新 • • 發佈：2018-07-08
1.3 mod host lena pro 思科防火墻 link ip地址 let

一、實驗拓撲：
技術分享圖片
二、實驗要求：
1、2個ASA都為多模式、路由模式；
2、ASA1、ASA2打開5個接口：no shutdown；因為都要做子防火墻；
3、2個ASA的子防火墻的配置其實是一摸一樣的；
4、ASA1的配置：admin-context admin；delete flash:admin.cfg；
context c1:allocate-interface g0；allocate-interface g1；config-url flash:c1.cfg
context c2:allocate-interface g2；allocate-interface g3；config-url flash:c2.cfg
查看：show run context

changeto context c1： int g0, no shutdown,nameif outside;security-level 0; ip add 202.100.1.10 standby 202.100.1.20
int g1 no shutdown,nameif inside;security-level 100; ip add 10.1.1.10 standby 10.1.1.20
查看：show int ip bri

changeto context c2： int g2, no shutdown,nameif outside;security-level 0; ip add 202.100.2.10 standby 202.100.2.20

int g3 no shutdown,nameif inside;security-level 100; ip add 10.1.2.10 standby 10.1.2.20
查看：show int ip bri

changeto context sys
ASA1創建FO group:（ASA2相反：組1為Seconday、組2為primary）
failover group 1
primary
Preempt 默認搶占就是開啟的
failover group 2
secondary
preempt
查看show run failover
ASA2創建FO group:
failover group 1
secondary Preempt 默認搶占就是開啟的

failover group 2
primary
preempt
查看show run failover

然後組合虛擬防火墻關聯在一起
context c1
join‐failover‐group 1
context c2
join‐failover‐group 2

接下來：
查看：show run context，然後復制粘貼到ASA2，再繼續show run context驗證下是否一樣

最後在做FO的配置：
ASA1：
failover lan unit primary
failover lan interface FO G4
failover link FO G4
failover key cisco
failover interface ip FO192.168.1.10 255.255.255.0 standby
192.168.1.20
ASA2：
failover lan unit secondary
failover lan interface FO G4
failover link FO G4
failover key cisco
failover interface ip FO192.168.1.10 255.255.255.0 standby
192.168.1.20

做完以後保證ASA2所有接口保持打開狀態就可以
ASA1:failover
ASA2:failover

查看狀態：show failover
ASA2：failover active group 2 //搶過來

ASA1:changeto context c1:ping 202.100.1.1/ping 10.1.1.3
ASA2:changeto context c2:ping 202.100.2.2/ping 10.1.2.3

R3要訪問R1或者R2有相應的路由就可以搞定：
R3：ip route 0.0.0.0 0.0.0.0 10.1.1.10 //R1開啟 line vty 0 4 password aa login

在ASA1的C1子防火墻做一個端口NAT:
object network inside
subnet 10.1.1.0 255.255.255.0
nat (inside,outside) dynamic interface

R3遠程登錄R1，因為R3有默認路由到ASA，R1不需要默認路由，只需要包能到達ASA的G0口就可以了。
R3 telnet 202.100.1.1 show users 源地址為：202.100.1.10

同理：R3去訪問R2
R3 :ip route 202.100.2.0 255.255.255.0 10.1.2.10
R2:line vty 0 6 password aa login
ASA2:Changeto context c2
object network inside2
subnet 10.1.2.0
nat (inside,outside) dynamic interface
R3:telnet 202.100.2.2 show users 202.100.2.10

異步路由問題：
3.3.3.3訪問1.1.1.1的一步路由問題：經過ASA的c1，到達R1的1.1.1.1，然後經過R2、ASA2再回到R3，這樣其實也通不了：就是因為有異步路由。其實做Bypass可以，但是這樣ASA就沒意義了。
解決方法：R2到ASA2的C2後，通過內部操作到達ASA2的c1，其實c1是standby的方式。c1通過ASA2的G0口發回來，然後從ASA1的c1進來。ASA2的c1是standby沒關系，只要能把流量發給ASA1的主用c1就可以。
ASA1：route outside 1.1.1.0 255.255.255.0 202.100.1.1
R1：ip route 3.3.3.3.0 255.255.255.0 12.1.1.2
R2:ip route 3.3.3.0 255.255.255.0 202.100.2.10
ASA2 c2:route inside 3.3.3.0 255.255.255.0 10.1.2.3
ASA2 C2: access-list out extended permit ip any any
access-group out in interface outside
流量放行了，路由也有了：
R3：telnet 1.1.1.1 /source interface loopback 0
會發現這個流量通不了的：原因就是因為序列號的原因，ASA1出去的序列號和ASA2回來的序列號是一樣的
ASA2 C2:show access-list 可以看到有匹配項

解決方法：
ASR‐Group配置
C1 Active:
ASA1/c1(config)# interface G0
ASA1/c1(config‐if)# asr‐group 1
C2 Active:
ASA2/c2(config)# interface G2
ASA2/c2(config‐if)# asr‐group 1
補一條：ASA/c1 route inside 3.3.3.0 255.255.255.0 10.1.1.3
R3:telnet 1.1.1.1 show users 3.3.3.3
這時候可以刪掉ASA2/c2 的組：interface G2；no asr-group 1，再去telnet 1.1.1.1，這時候就不行了

總結：跨越虛擬防火墻、跨越物理防火墻，思科防火墻可能覺得有這個問題，所以有這種技術；華為的防火墻不可以這麽做，它的防火墻兩個虛擬防火墻完全物理隔絕的，當然思科也是物理隔絕的，只不過思科有組這個例外，華為防火墻就沒有這個例外了。
三、命令部署：
1、路由基本配置IP地址、環回口：
R1(config)#int lo0
R1(config-if)#ip add
R1(config-if)#ip add 1.1.1.1 255.255.255.0
R1(config)#int f0/0
R1(config-if)#no shutdown
R1(config-if)#ip add 202.100.1.1 255.255.255.0
R1(config)#int f1/0
R1(config-if)#no shutdown
R1(config-if)#ip add 12.1.1.1 255.255.255.0

R2(config-if)#int f0/0
R2(config-if)#no shutdown
R2(config-if)#ip add 12.1.1.2 255.255.255.0
R2(config)#int f1/0
R2(config-if)#no shutdown
R2(config-if)#ip add 202.100.2.2 255.255.255.0

R3(config)#int f0/0
R3(config-if)#no shutdown
R3(config-if)#ip add 10.1.1.3 255.255.255.0
R3(config)#int f1/0
R3(config-if)#no shutdown
R3(config-if)#ip add 10.1.2.3 255.255.255.0
R3(config)#int lo0
R3(config-if)#ip add 3.3.3.3 255.255.255.0

2、ASA基本配置：多模式、路由器等：
ASA1# show mode
Security context mode: multiple
ASA1# show firewall
Firewall mode: Router

ASA2# show mode
Security context mode: multiple
ASA2# show firewall
Firewall mode: Router

3、ASA1、ASA2打開所有接口，為接下來做子防火墻做準備：
ASA1(config)# int g0
ASA1(config-if)# no shutdown
ASA1(config-if)# int g1
ASA1(config-if)# no shutdown
ASA1(config-if)# int g2
ASA1(config-if)# no shutdown
ASA1(config-if)# int g3
ASA1(config-if)# no shutdown
ASA1(config-if)# int g4
ASA1(config-if)# no shutdown

ASA2(config)# int g0
ASA2(config-if)# no shutdown
ASA2(config-if)# int g1
ASA2(config-if)# no shutdown
ASA2(config-if)# int g2
ASA2(config-if)# no shutdown
ASA2(config-if)# int g3
ASA2(config-if)# no shutdown
ASA2(config-if)# int g4
ASA2(config-if)# no shutdown

4、2個ASA的子防火墻的配置其實是一模一樣的：
ASA1配置：
ASA1(config)# delete flash:admin.cfg
Delete filename [admin.cfg]?
Delete disk0:/admin.cfg? [confirm] //刪除之前的管理子防火墻文件admin.cfg

ASA1(config)# admin-context admin //配置管理子防火墻admin
ASA1(config)# context c1 //配置子防火墻c1
ASA1(config-ctx)# allocate-interface g0
ASA1(config-ctx)# allocate-interface g1
ASA1(config-ctx)# config-url flash:c1.cfg
ASA1(config)# context c2
ASA1(config-ctx)# allocate-interface g2
ASA1(config-ctx)# allocate-interface g3
ASA1(config-ctx)# config-url flash:c2.cfg
配置完成後查看驗證：
ASA1(config)# show run context
admin-context admin
context admin
config-url disk0:/admin.cfg
context c1
allocate-interface GigabitEthernet0
allocate-interface GigabitEthernet1
config-url disk0:/c1.cfg
context c2
allocate-interface GigabitEthernet2
allocate-interface GigabitEthernet3
config-url disk0:/c2.cfg

配置子防火墻接口地址、內外、安全級別等：
ASA1(config)# changeto context c1
ASA1/c1(config)# int g0
ASA1/c1(config-if)# no shutdown
ASA1/c1(config-if)# nameif outside
ASA1/c1(config-if)# security-level 0
ASA1/c1(config-if)# ip add 202.100.1.10 255.255.255.0 standby 202.100.1.20

ASA1/c1(config)# int g1
ASA1/c1(config-if)# no shutdown
ASA1/c1(config-if)# nameif inside
ASA1/c1(config-if)# security-level 100
ASA1/c1(config-if)# ip add 10.1.1.10 255.255.255.0 standby 10.1.1.20
查看驗證：
ASA1/c1(config)# show int ip bri
Interface IP-Address OK? Method Status Protocol
GigabitEthernet0 202.100.1.10 YES manual up up
GigabitEthernet1 10.1.1.10 YES manual up up

ASA1/c1(config)# changeto context c2
ASA1/c2(config)# int g2
ASA1/c2(config-if)# no shutdown
ASA1/c2(config-if)# nameif outside
ASA1/c2(config-if)# security-level 0
ASA1/c2(config-if)# ip add 202.100.2.10 255.255.255.0 standby 202.100.2.20

ASA1/c2(config)# int g3
ASA1/c2(config-if)# no shutdown
ASA1/c2(config-if)# nameif inside
ASA1/c2(config-if)# security-level 100
ASA1/c2(config-if)# ip add 10.1.2.10 255.255.255.0 standby 10.1.2.20
查看驗證：
ASA1/c2(config)# show int ip bri
Interface IP-Address OK? Method Status Protocol
GigabitEthernet2 202.100.2.10 YES manual up up
GigabitEthernet3 10.1.2.10 YES manual up up

配置Failover Group
ASA1/c2(config)# changeto context sys
ASA1(config)# failover group 1
ASA1(config-fover-group)# primary
ASA1(config-fover-group)# preempt

ASA1(config)# failover group 2
ASA1(config-fover-group)# secondary
ASA1(config-fover-group)# preempt
查看驗證：
ASA1(config)# show run failover
no failover
failover group 1
preempt
failover group 2
secondary
preempt

ASA2(config)# failover group 1
ASA2(config-fover-group)# secondary
ASA2(config-fover-group)# preempt

ASA2(config)# failover group 2
ASA2(config-fover-group)# primary
ASA2(config-fover-group)# preempt

關聯虛擬防火墻和Failover Group：
ASA1(config)# context c1
ASA1(config-ctx)# join-failover-group 1

ASA1(config)# context c2
ASA1(config-ctx)# join-failover-group 2
查看context配置，並粘貼到ASA2：
ASA1(config)# show run context
admin-context admin
context admin
config-url disk0:/admin.cfg
context c1
allocate-interface GigabitEthernet0
allocate-interface GigabitEthernet1
config-url disk0:/c1.cfg
join-failover-group 1
context c2
allocate-interface GigabitEthernet2
allocate-interface GigabitEthernet3
config-url disk0:/c2.cfg
join-failover-group 2
ASA2粘貼後查看：
ASA2(config)# show run context
admin-context admin
context admin
config-url disk0:/admin.cfg
context c1
allocate-interface GigabitEthernet0
allocate-interface GigabitEthernet1
config-url disk0:/c1.cfg
join-failover-group 1
context c2
allocate-interface GigabitEthernet2
allocate-interface GigabitEthernet3
config-url disk0:/c2.cfg
join-failover-group 2

5、最後在做Failover的配置：
ASA1(config)# failover lan unit primary
ASA1(config)# failover lan interface FO g4
ASA1(config)# failover link FO g4
ASA1(config)# failover key cisco
ASA1(config)# failover interface ip FO 192.168.1.10 255.255.255.0 standby 192.168.1.20

ASA2(config)# failover lan unit secondary
ASA2(config)# failover lan interface FO g4
ASA2(config)# failover link FO g4
ASA2(config)# failover key cisco
ASA2(config)# failover interface ip FO 192.168.1.10 255.255.255.0 standby 192.168.1.20
確保ASA2的接口處於打開狀態後，開啟Failover功能：
ASA1(config)# failover
ASA2(config)# show failover
查看驗證：
ASA1(config)# show failover
ASA2(config)# show failover

自動協商有問題，手動調整：
ASA1(config)# failover active group 1
ASA2(config)# failover active group 2

測試：
ASA1(config)# changeto context c1
ASA1/c1(config)# ping 202.100.1.1 //可以Ping通
ASA1/c1(config)# ping 10.1.1.3 //可以Ping通

ASA2(config)# changeto context c2
ASA2/c2(config)# ping 202.100.2.2 //不能Ping通，和剛剛的Failover失敗有關系
ASA2/c2(config)# ping 10.1.2.3 //不能Ping通，和剛剛的Failover失敗有關系

測試1：
R3要訪問R1或者R2有相應的路由就可以搞定：
R3(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.10 //默認路由到ASA1的c1接口地址
R1(config)#line vty 0 4
R1(config-line)#password aa
R1(config-line)#login

在ASA1的C1子防火墻做一個端口NAT:
ASA1/c1(config)# object network inside
ASA1/c1(config-network-object)# subnet 10.1.1.0 255.255.255.0
ASA1/c1(config-network-object)# nat (inside,outside) dynamic interface

R3遠程登錄R1，因為R3有默認路由到ASA，R1不需要默認路由，只需要包能到達ASA的G0口就可以：
R3#telnet 202.100.1.1
Trying 202.100.1.1 ... Open
User Access Verification
Password:
R1>show users
Line User Host(s) Idle Location
0 con 0 idle 00:01:53
*130 vty 0 idle 00:00:00 202.100.1.10

同理：R3去訪問R2
R3(config)#ip route 202.100.2.0 255.255.255.0 10.1.2.10 //靜態路由到ASA2的c2子防火墻地址
R2(config)#line vty 0 6
R2(config-line)#password aa
R2(config-line)#login

ASA2/c2(config)# object network inside2
ASA2/c2(config-network-object)# subnet 10.1.2.0 255.255.255.0
ASA2/c2(config-network-object)# nat (inside,outside) dynamic interface
R3#telnet 202.100.2.10 //？？？
R2> show users //202.100.2.10 ？？？

異步路由問題：
3.3.3.3訪問1.1.1.1的一步路由問題：經過ASA的c1，到達R1的1.1.1.1，然後經過R2、ASA2再回到R3。
這樣其實也通不了：就是因為有異步路由。其實做Bypass可以，但是這樣ASA就沒意義了。
命令部署：
ASA1/c1(config)# route outside 1.1.1.0 255.255.255.0 202.100.1.1 //ASA1中的c1子防火墻去往1.1.1.1的路由
R1(config)#ip route 3.3.3.0 255.255.255.0 12.1.1.2 //R1去往3.3.3.3的路由，下一跳為R2連接的接口地址
R2(config)#ip route 3.3.3.0 255.255.255.0 202.100.2.10 //R2去往3.3.3.3的路由，下一跳為ASA2中的c2子防火墻地址；
ASA2/c2(config)# route inside 3.3.3.0 255.255.255.0 10.1.2.3 //ASA2中的c2去往3.3.3.3的路由，下一跳為R3連接的接口地址

ASA2/c2(config)# access-list out extended permit ip any any
ASA2/c2(config)# access-group out in interface outside

流量放行了，路由也有了：
R3#telnet 1.1.1.1 /source-interface loopback 0
Trying 1.1.1.1 ...
% Connection timed out; remote host not responding

結果：這個流量通不了的：原因就是因為序列號的原因，ASA1出去的序列號和ASA2回來的序列號是一樣的
ASA2/c2(config)# show access-list // 可以看到有匹配項，但是就是不通的。

解決方法：
R2到ASA2的C2後，通過內部操作到達ASA2的c1，其實c1是standby的方式。c1通過ASA2的G0口發回來，然後從ASA1的c1進來。ASA2的c1是standby沒關系，只要能把流量發給ASA1的主用c1就可以。

ASR‐Group配置
C1 Active:
ASA1/c1(config)# interface g0
ASA1/c1(config-if)# asr-group 1
C2 Active:
ASA2/c2(config)# interface g2
ASA2/c2(config-if)# asr-group 1

補一條：ASA1/c1(config)# route inside 3.3.3.0 255.255.255.0 10.1.1.3
R3#telnet 1.1.1.1 show users 3.3.3.3
這時候可以刪掉ASA2/c2 的組：interface G2；no asr-group 1，再去telnet 1.1.1.1，這時候就不行了

總結：跨越虛擬防火墻、跨越物理防火墻，思科防火墻可能覺得有這個問題，所以有這種技術；華為的防火墻不可以這麽做，它的防火墻兩個虛擬防火墻完全物理隔絕的，當然思科也是物理隔絕的，只不過思科有組這個例外，華為防火墻就沒有這個例外了。

28-思科防火墻：狀態化AA

相關推薦

28-思科防火墻：狀態化AA

1.3 mod host lena pro 思科防火墻 link ip地址 let 一、實驗拓撲：二、實驗要求：1、2個ASA都為多模式、路由模式；2、ASA1、ASA2打開5個接口：no shutdown；因為都要做子防火墻；3、2個ASA的子防火墻的配置其實是一摸一樣的

11-思科防火墻：MPF基本狀態監控特性

net oba 路由 cmp sid clas eset escape ffffff 一、實驗拓撲：二、實驗要求：ICMP默認是沒有監控的，所以R2 Ping R1不通（註意：R1、R2分別有默認路由下一跳為對應的ASA接口地址）；原因：有很多原因，R1開啟Debug，查看

23-思科防火墻：ASA Twice NAT

not ica hab -m esp log bject password nag 一、實驗拓撲：Twice NAT好處：可以節省主機或者路由器的配置，R1可以不需要有默認路由，R2（PC）可以不寫網關；二、實驗要求：1、當Inside網絡10.1.1.0/24，去往Out

6-思科防火墻：ASA中Object-group在ACL中的應用

sha 在一起 access 5.0 實驗 服務組 alt inter color 一、實驗拓撲：二、實驗要求：先定義幾個小的，然後用大的包在一起；打包在一起，這就是所謂的嵌套，嵌套在編程裏是很長用的東西，叫做Object-group；Object-group比較強大，可以

9-思科防火墻：Cut Through：Telnet穿越認證

cat img seconds 服務 tcp term second .com toc 一、實驗拓撲：二、實驗要求：ASA聯動外部產品ACS做一個認證，通過這種方式控制內部用戶的流量；其實還可以做授權、審計。有時候單單抓流量控制是不方便的，因為可能該網絡有很多用戶連接，比如

7-思科防火墻：ASA配置:Global ACL（CLI）

color vpd ima dac fig net shadow out pro 一、實驗拓撲：二、實驗要求：1、ACL抓取Telnet、ICMP流量並放行，在全局下應用：2、做完以後，R1去telnetR2、R3看是否可行？3、ACL抓取Telnet流量並拒絕；在接口Ou

8-思科防火墻：Cisco ASA uRPF運用

path 屬於 -o log 防火墻 51cto shadow ima ext 一、實驗拓撲：二、實驗要求：1、面試：怎樣有效的去防止地址欺騙技術？配URPF三、命令部署：ASA(config)# ip verify reverse-path interface outsi

19-思科防火墻：ASA靜態NAT

思科防火墻 net 51cto flag 遠程管理 extend show user roc face 一、實驗拓撲：二、實驗要求：前提：R1、R2、R3分別有默認路由指向ASA對應的接口地址1、R1直接Telnet R3轉化後的地址，就可以成功進入R3界面；2、這時候流量

27-思科防火墻：A/S實驗

firewall 同步 拓撲 sco process 鏈路 信息 proc wall 一、實驗拓撲：二、實驗要求：1、2個ASA模式都為單模式、路由模式； 三、命令部署：1、基本配置：路由器基本配置：R1(config)#int f0/0R1(config-if)#no s

24-思科防火墻：ASA透明防火墻實驗

分享 防火墻 sin out 三層 router cisco gns 會有 一、實驗拓撲：二、實驗要求：1、show mode：單模式；show firewall：路由模式——>firewall transparent；ASA清除所有配置；切換透明模式是不需要重啟的；

18-思科防火墻：ASA動態NAT：實驗二

config acc 臺電腦 water outside 登錄 存在 sub password 一、實驗拓撲：二、實驗要求：1、配置動態PAT，轉換Inside網段到DMZ地址10.1.2.1002、配置動態NAT，轉換Inside網絡到Outside地址池202.100.

16-思科防火墻：MPF運用層策略

ive 圖片 show www cisc 技術 http out 技術分享 一、實驗拓撲：二、實驗要求：1、R1開啟http服務；2、W7輸入R1的IP地址，更改文件地址就可以；3、文件地址在：C-Windows-System32-drivers-etc-host；屬性可以

22-思科防火墻：Dynamic Identity NAT、Static Identity NAT

size com ... ear http in use password term sed 一、實驗拓撲：二、實驗要求：實驗一：Dinamic Identity NATR1、R2都有默認路由，下一跳為ASA對應的接口地址。實驗二：Static Identity NAT三、

14-思科防火墻：ASA對IP分片的處理

方式 acc trying sha 遠程 bcf 分片 images 通過 一、實驗拓撲：二、實驗要求：1、R2開啟80的流量；2、R1采用http方式遠程登錄R2；R1#telnet 10.1.1.2 80：本來應該是Telnet流量，然後變成了80流量；3、抓包驗證：是

21-思科防火墻：ASA端口PAT

-o mark tin http static 遠程 cati password 技術 一、實驗拓撲：二、實驗要求：1、外網去訪問內網，只需要訪問相應的NAT帶上端口號，就可以訪問相應的主機。2、將InsideR2主機轉換為Outside地址202.100.1.101並攜帶

26-思科防火墻：多模式防火墻實驗

glob seq 是否 cte echo cati disk 我們 percent 一、實驗拓撲： 二、實驗要求：1、切換到多模式、路由模式，ASA多模式在接口下沒法配IP地址（同理透明模式也一樣），只能在子防火墻下配置；2、ASA接口no shutdown，然後創建子防火

思科防火墻基本配置思路及命令

3.0 主機 11.2 shu 註意事項 tcp 登陸 開啟 使用 修改防火墻名稱 config# hostname xxxx 配置特權密碼 config# enable password xxxx 遠程登陸密碼 config# password xxxx 配置接口名稱

飛塔防火墻快速初始化管理員密碼

我們 賬號 crt tex 停止位 電腦圖標 bcp 登錄 波特率 1. 準備好串口線和Secure-CRT軟件，下圖為串口線的圖片：USB接口轉RJ45(水晶頭)2. 打開Secure-CRT軟件，設置好相應的連接參數，具體如下console的端口可以通過右鍵我的電腦圖標

Linux防火墻：iptables禁IP與解封IP常用命令

for ip訪問 如果 攻擊 AD table cto dos mac地址 在Linux下，使用ipteables來維護IP規則表。要封停或者是解封IP，其實就是在IP規則表中對入站部分的規則進行添加操作。 要封停一個IP，使用下面這條命令： iptables -I INP

3-華為防火墻：公共地址集、安全策略匹配順序

-m -o cef water splay 優先 實驗 inter sort 一、實驗拓撲：二、實驗要求： 三、命令部署：1、手工調整策略之間的優先級：[SRG-policy-interzone-trust-untrust-outbound]policy 0[SRG-pol