????????? 前段時間因為工作的需要，要配置Cisco ASA 5510查看了很多資料，現(xiàn)在把一些常用命令總結如下：

要想配置思科的防火墻得先了解這些命令：
　　常用命令有：nameif、interface、ip address、nat、global、route、static等。
　　global
　　指定公網(wǎng)地址范圍：定義地址池。
　　Global命令的配置語法：
　　global (if_name) nat_id ip_address-ip_address [netmark global_mask]
　　其中：
　　(if_name)：表示外網(wǎng)接口名稱，一般為outside。
　　nat_id：建立的地址池標識(nat要引用)。
　　ip_address-ip_address：表示一段ip地址范圍。
　　[netmark global_mask]：表示全局ip地址的網(wǎng)絡掩碼。
　　nat
　　地址轉換命令，將內網(wǎng)的私有ip轉換為外網(wǎng)公網(wǎng)ip。
　　nat命令配置語法：nat (if_name) nat_id local_ip [netmark]
　　其中：
　　(if_name)：表示接口名稱，一般為inside.
　　nat_id： 表示地址池，由global命令定義。
　　local_ip： 表示內網(wǎng)的ip地址。對于0.0.0.0表示內網(wǎng)所有主機。
　　[netmark]：表示內網(wǎng)ip地址的子網(wǎng)掩碼。
　　route
　　route命令定義靜態(tài)路由。
　　語法：
　　route (if_name) 0 0 gateway_ip [metric]
　　其中：
　　(if_name)：表示接口名稱。
　　0 0 ：表示所有主機
　　Gateway_ip：表示網(wǎng)關路由器的ip地址或下一跳。
　　[metric]：路由花費。缺省值是1。
　　static
　　配置靜態(tài)IP地址翻譯，使內部地址與外部地址一一對應。
　　語法：
　　static(internal_if_name,external_if_name) outside_ip_addr inside_ ip_address
　　其中：
　　internal_if_name表示內部網(wǎng)絡接口，安全級別較高，如inside。
　　external_if_name表示外部網(wǎng)絡接口，安全級別較低，如outside。
　　outside_ip_address表示外部網(wǎng)絡的公有ip地址。
　　inside_ ip_address表示內部網(wǎng)絡的本地ip地址。
　　(括號內序順是先內后外，外邊的順序是先外后內)
　　例如：
　　asa(config)#static (inside，outside) 133.0.0.1 192.168.0.8
　　表示內部ip地址192.168.0.8，訪問外部時被翻譯成133.0.0.1全局地址
?

　　asa#conf t
　　asa(config)# hostname asa //設置主機名
　　asa(config)#enable password cisco //設置密碼

　　配置外網(wǎng)的接口，名字是outside，安全級別0，輸入ISP給您提供的地址就行了。
　　asa(config)#interface GigabitEthernet0/0
　　asa(config)#nameif outside
　　asa(config)#ip address 61.189.153.33 255.255.255.248 asa(config)#securit-level 0
　　asa(config)#duplex full asa(config)#speed 100
　　asa(config)#no shutdown
　　配置內網(wǎng)的接口，名字是inside，安全級別100
　　asa(config)#interface GigabitEthernet0/1
　　asa(config)#nameif inside asa(config)#ip address 192.168.1.1 asa(config)#securit-level 100 asa(config)#duplex full
　　asa(config)#speed 100
　　asa(config)#no shutdown
　　配置DMZ的接口,名字是dmz，安全級別50
　　asa(config)#interface GigabitEthernet0/2
　　asa(config)#nameif dmz
　　asa(config)#securit-level 50
　　asa(config)#duplex full
　　asa(config)# speed 100
　　asa(config)#no shutdown
　　動態(tài)網(wǎng)絡地址轉換： asa(config)#global(outside) 1 61.189.153.33 - 161.189.153.38?//定義內網(wǎng)訪問外網(wǎng)地址池
　　asa(config)#nat(inside) 1 0.0.0.0 0 0.0.0.0 0?//需要轉換的內網(wǎng)IP地址
　　asa(config)#nat (inside) 0 192.168.1.1 255.255.255.255 //表示192.168.1.1這個地址不需要轉換,直接轉發(fā)出去。 靜態(tài)網(wǎng)絡地址轉換：使內部地址與外部地址一一對應。
　　asa(config)#static (dmz，outside) 61.189.153.34 192.168.1.11 ?　　
　　如果內部有服務器需要映射到公網(wǎng)地址(外網(wǎng)訪問內網(wǎng))則需要static：
　　asa(config)#static (inside, dmz) 192.168.1.12 192.168.1.12?//當內部主機訪問中間區(qū)域dmz時，將自己映射成自己訪問服務器，否則內部主機將會映射成地址池的IP，到外部去找。
　　asa(config)#static (inside, outside) 61.189.153.35 192.168.1.12 ?10000 10 //后面的10000為限制連接數(shù)，10為限制的半開連接數(shù) asa(config)#static (inside, outside) 61.189.153.35 192.168.1.12 配置靜態(tài)路由：
　　asa(config)#route outside 0 0 61.189.153.38 ?//設置默認路由61.189.153.38為下一跳 如果內部網(wǎng)段不是直接接在防火墻內口，則需要配置到內部的路由。
　　asa(config)#route inside 192.168.10.0 255.255.255.0 192.168.1.1

　　ACL實現(xiàn)策略訪問
　　asa(config)#access-list 101 permit ip any host 61.189.153.35 eq www
　　asa(config)#access-list 101 permit ip any host 61.189.153.35 eq ftp
　　asa(config)#access-list 101 deny ip any any
　　asa(config)#access-group 101 in interface outside ;將ACL應用在outside端口

注意：
　　當內部主機訪問外部主機時，通過nat轉換成公網(wǎng)IP，訪問internet。
　　當內部主機訪問中間區(qū)域dmz時，將自己映射成自己訪問服務器，否則內部主機將會映射成地址池的IP，到外部去找。
　　當外部主機訪問中間區(qū)域dmz時，對133.0.0.1映射成10.65.1.101，static是雙向的。
　　PIX的所有端口默認是關閉的，進入PIX要經(jīng)過acl入口過濾。
　　靜態(tài)路由指示內部的主機和dmz的數(shù)據(jù)包從outside口出去。

然而在8.3版本的NAT用的是下面命令：

?

hostname(config)# object network my-outside-net?//目標網(wǎng)絡命名 名為“我的外網(wǎng)地址” hostname(config-network-object)# range 10.2.2.1 10.2.2.10?//外網(wǎng)地址池范圍 hostname(config)# object network my-inside-net//目標網(wǎng)絡命名 名為“我的內網(wǎng)地址” hostname(config-network-object)# subnet 192.168.2.0 255.255.255.0?//內網(wǎng)地址

hostname(config-network-object)# nat (inside,outside) dynamic my-range-obj?//轉換（內網(wǎng)，外網(wǎng)）動態(tài) my-outside-net

因為技術的原因寫的有限，希望給大家?guī)韼椭?#xff0c;有不足的地方也希望有人能指證。相互幫助，助人為樂。

轉載于:https://blog.51cto.com/deihc/491756

總結

以上是生活随笔為你收集整理的Cisco ASA防火墙常用命令的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內容還不錯，歡迎將生活随笔推薦給好友。