防火墙原理
ASA原理与基本配置
防火墙厂商：（国内：山石，天融信，神州数码，深信服，飞塔，华为防火墙； 国外：cisco—asa，Juniper， alo alto，mcafee）
站在用户的角度思考问题，与客户深入沟通，找到顺昌网站设计与顺昌网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：成都网站制作、网站设计、
外贸网站建设、企业官网、英文网站、手机端网站、网站推广、域名与空间、
网站空间、企业邮箱。业务覆盖顺昌地区。
Cisco：PIX——》ASA（V8.4）——————》下一代防火墙（NGFP next-generation fire power）
Asa with firepower service
www.cisco.com
www.huawei.com
防火墙管理：
命令行——telnet/ssh
Web界面——http/https
Asa——asdm：安全设备管理器
WSA——web 防火墙
ESA——邮件防火墙
NG——FMC:firepower manage center
未来的安全市场：
IOT IOE：Internet of
硬件与SOFTware防火墙
software防火墙：IOS
硬件防火墙：PIX,ASA,防火墙模块
接口名称
物理名称
逻辑名称：用来
GNS3安装：
1.按照步骤安装软件：
2.更改语言
重启软件
3.添加设备
同上，选择QEMU
Tips：路径要全英文，参数默认不要更改
安装好GNS3环境下的ASA模拟器，启动后
要删除预先配置的 “启动配置文件”
Ciscosa>
Ciscosa>enable
Password:
Ciscosa#write erase(清除预先配置)
Initrd和kernel索引文件如下
启动时弹出命令框
不要关闭，最小化处理
Asa重启后
选择no，interactive （交互式）prompts（提醒，提示）
不小心进入，用ctrl+z退出
ASA防火墙：
作用：
是在网络中用于隔离尾纤流量的。
原理：
通过安全级别（0-100）区分不同的区域（内部，外部，非军事化区域）；
默认情况下，高级别的流量可以去往低级别，反之不行（暂时），同级别优先级也不能通信。
部署：
在网路边界或者网络内部等需要进行流量隔离的地方
经典的部署模型：
ISP——FW——GW——CORE-ROUTER——core switch
ISP——GW—outside—FW—inside—CORE-ROUTER——core switch
|
DMZ（server）
ISP——GW—outside—FW——FW——CORE-ROUTER——core switch |
DMZ（server）
配置：
- 防火墙的接口，有不同类型的名字：
a) 物理名字
b) 逻辑名字：用来描述安全区域列入inside
i. 如果不配置逻辑名字，那么该端口是不可以使用（比如配置的IP地址）
c) 如何配置端口逻辑名字：
i. ASA#configure terminal
ii. ASA（config）#interface gi 0
iii. ASA（config-gi0） nameif XX 安全级别默认为0
iv. 配置IP地址：ip address X.x.x.x 255.255.255.0
v. 检测：show interface ip brief；show running-configuration interface 1/0
vi. Show route 查看路由表
Vii. Show conn 查看conn表
Tips：有防火墙的拓扑网络中，无法用ping命令测试，可用telnet测试（内网可以telnet外网，外网不行）
在全局配置模式下Clear configure all 清除所有running配置
逻辑名字配置为inside时安全级会默认为100；outside安全级别默认0
ASA流量默认转发方向
允许出站：从高安全级别去往低安全级别
禁止入站：从低安全级别去往高安全级别
ASA内部处理流量的方式（这是为什么“ping”不可行的原因）
1、 asa设备仅仅对TCP和UDP流量感兴趣，其他协议流量，默认情况下，全部丢弃
2、 当流量从低级别端口发出时候，如果向高级别发送，直接丢弃
3、 当流量从高级别端口收到后，可以向低级别端口发送
a) 首先将数据包与ASA本地的路由表进行匹配（匹配转发，反之丢弃）
b) 然后在ASA本地的核心工作表（conn表）中形成一个转发条目
4、当流量从低优先级到高安全级别时先查看conn表
ASA工作原理：状态化防火墙维护一个连接表，称为CONN表（控制流量的筛选）
默认情况下，AS对TCP和UDP协议提供状态化连接，icmp协议是非状态化的
类比NAT工作过程
Conn表中关键信息（五元组）：
源IP地址
目的IP地址
Ip协议（TCP/UDP ）
Ip协议信息（tcp/udp端口号，TCP序列号，tcp控制位）
配置：
另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。
网站标题：ASA-创新互联
本文来源：
http://cdkjz.cn/article/gposs.html
