ASA 5505 思科 防火墻

1、實驗目的：
inside路由器可以Telnet到outside路由器，反過來outside到inside因為是inbound流量被拒絕。
但是inside路由器不可以Tping通outside路由器，請思考為什麽？

原因：默認情況下，ASA只對穿越的TCP和UDP流量維護狀態化信息。所有Telnet流量可以出去再穿越防火墻回來，ICMP的流量出去就回不來了。

具體配置
1、ASA（5505的網絡區域基於虛接口）
ciscoasa>en
ciscoasa#conf t
ciscoasa(config)#
ciscoasa(config)#hostname ASA
ASA(config)#interface vlan 2 vlan2虛接口

ASA(config-if)#nameif outside 定義outside接口
ASA(config-if)#security-level 0 安全級別0
ASA(config-if)#ip address 200.1.1.1 255.255.255.0
ASA(config-if)#no shutdown
ASA(config-if)#exit

ASA(config)#interface vlan 1 vlan1虛接口
ASA(config-if)#nameif inside 定義inside接口
ASA(config-if)#security-level 100 安全級別100

ASA(config-if)#ip address 192.168.1.1 255.255.255.0
ASA(config-if)#no sh
ASA(config-if)#no shutdown
ASA(config-if)#

outside路由器配置

Router>en
Router#conf t
Router(config)#hostname outside
outside(config)#interface f0/0
outside(config-if)#ip add 200.1.1.2 255.255.255.0
outside(config-if)#no shutdown
outside(config-if)#exit

outside(config)#line vty 0 4
outside(config-line)#password 666
outside(config-line)#login
outside(config-line)#exit

outside(config)#enable password 888

outside(config)#ip route 0.0.0.0 0.0.0.0 200.1.1.1
outside(config)#

inside路由器配置

Router>en
Router#conf t
Router(config)#hostname inside
inside(config)#interface f0/0
inside(config-if)#ip add 192.168.1.2 255.255.255.0
inside(config-if)#no shutdown
inside(config-if)#exit

inside(config)#line vty 0 1
inside(config-line)#password 666
inside(config-line)#login
inside(config-line)#exit

inside(config)#enable password 888

inside(config)#ip route 200.1.1.0 255.255.255.0 192.168.1.1

驗證inside到outside的Telnet流量

可以Telnet成功！！！！
再測試ping 命令

inside#ping 200.1.1.2

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 200.1.1.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

inside#
可以看到結果是不通！！！！！！！！！！！！！！

從外outside去測試tellnet和ping結果都是不通的！！！

體會原因！（如果不理解請在留言區留言）

最後再防火墻上放行Telnet流量和ICMP的流量
ASA(config)#access-list 100 permit tcp host 200.1.1.2 host 192.168.1.2 eq 23 放行Telnet的23號端口流量
ASA(config)#access-list 100 permit icmp host 200.1.1.2 host 192.168.1.2
放行ICMP的流量進來
ASA(config)#access-group 100 in interface outside
應用列表在outside口的in方向

測試結果
inside#ping 200.1.1.2

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 200.1.1.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 0/0/0 ms

outside>ping 192.168.1.2

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 0/1/5 ms

outside>telnet 192.168.1.2
Trying 192.168.1.2 ...Open

User Access Verification

Password:
inside>

經過驗證，Telnet流量和ICMP流量被防火墻放行

---

我的課程首頁http://edu.51cto.com/lecturer/1025688.html
加群學習討論：32307012

思科ASA5505防火墻放行流量實驗