Este documento fornece a informação em como estabelecer a ferramenta de segurança adaptável de Cisco (ASA) com versão 8.3(1) para o uso com três redes internas. As rotas estáticas são usadas nos roteadores por simplicidade.
Refira o PIX/ASA: Conectando três redes internas com o exemplo de configuração do Internet para a mesma configuração na ferramenta de segurança adaptável de Cisco (ASA) com versões 8.2 e anterior.
Não existem requisitos específicos para este documento.
A informação neste documento é baseada na ferramenta de segurança adaptável de Cisco (ASA) com versão 8.3(1).
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se você estiver trabalhando em uma rede ativa, certifique-se de que entende o impacto potencial de qualquer comando antes de utilizá-lo.
Refira convenções dos dicas técnicas da Cisco para obter mais informações sobre das convenções de documento.
Nesta seção, você encontrará informações para configurar os recursos descritos neste documento.
Nota: Para localizar informações adicionais sobre os comandos usados neste documento, utilize a Ferramenta Command Lookup (somente clientes registrados).
Este documento utiliza a seguinte configuração de rede.
Nota: O gateway padrão dos hosts na rede 10.1.1.0 aponta para o RoteadorA. Uma rota padrão no roteadorB é adicionada que aponte ao roteadorA. O roteadorA tem uma rota padrão esses pontos à interface interna ASA.
Nota: Os esquemas de endereçamento IP usados nesta configuração não são legalmente roteáveis na Internet. São os endereços do RFC 1918 que foram usados em um ambiente de laboratório.
Este documento utiliza estas configurações.
Configuração do Roteador A |
---|
RouterA#show running-config Building configuration... Current configuration : 1151 bytes ! version 12.4 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname RouterA ! boot-start-marker boot-end-marker ! enable password cisco ! memory-size iomem 25 no network-clock-participate slot 1 no network-clock-participate wic 0 no network-clock-participate wic 1 no network-clock-participate wic 2 no network-clock-participate aim 0 no network-clock-participate aim 1 no aaa new-model ip subnet-zero ip cef ! ! ! ! ip audit po max-events 100 no ftp-server write-enable ! ! ! ! ! no crypto isakmp enable ! ! ! interface FastEthernet0/0 ip address 10.1.1.2 255.255.255.0 duplex auto speed auto ! interface FastEthernet0/1 ip address 10.2.1.1 255.255.255.0 duplex auto speed auto ! interface IDS-Sensor1/0 no ip address shutdown hold-queue 60 out ! ip classless ip route 0.0.0.0 0.0.0.0 10.1.1.1 ip route 10.3.1.0 255.255.255.0 10.1.1.3 no ip http server no ip http secure-server ! ! ! ! ! control-plane ! ! ! line con 0 line 33 no activation-character no exec transport preferred none transport input all transport output all line aux 0 line vty 0 4 password ww login ! ! end RouterA# |
Configuração do roteador B |
---|
RouterB#show running-config Building configuration... Current configuration : 1132 bytes ! version 12.4 no service pad service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname RouterB ! boot-start-marker boot-end-marker ! ! no network-clock-participate slot 1 no network-clock-participate wic 0 no network-clock-participate wic 1 no network-clock-participate wic 2 no network-clock-participate aim 0 no network-clock-participate aim 1 no aaa new-model ip subnet-zero ip cef ! ! ! ! ip audit po max-events 100 no ip domain lookup no ftp-server write-enable ! ! ! ! ! no crypto isakmp enable ! ! ! interface FastEthernet0/0 ip address 10.1.1.3 255.255.255.0 duplex auto speed auto no cdp enable ! interface FastEthernet0/1 ip address 10.3.1.1 255.255.255.0 duplex auto speed auto ! interface IDS-Sensor1/0 no ip address shutdown hold-queue 60 out ! ip classless ip route 0.0.0.0 0.0.0.0 10.1.1.2 no ip http server no ip http secure-server ! ! ! ! ! control-plane ! ! ! line con 0 stopbits 1 line 33 no activation-character no exec transport preferred none transport input all transport output all line aux 0 line vty 0 4 password cisco login ! ! end RouterB# |
Nota: Os comandos não-padrão são mostrados em corajoso.
Configuração sendo executado ASA 8.3(1) |
---|
ASA#show run : Saved : ASA Version 8.3(1) ! hostname ASA enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted names ! interface Ethernet0 nameif outside security-level 0 ip address 10.165.200.225 255.255.255.224 ! interface Ethernet1 nameif inside security-level 100 ip address 10.1.1.1 255.255.255.0 ! boot system disk0:/asa831-k8.bin ftp mode passive !--- Output Suppressed !--- Creates an object called OBJ_GENERIC_ALL. !--- Any host IP not already matching another configured !--- object will get PAT to the outside interface IP !--- on the ASA (or 10.165.200.226) for internet bound traffic. object network OBJ_GENERIC_ALL subnet 0.0.0.0 0.0.0.0 nat (inside,outside) source dynamic OBJ_GENERIC_ALL interface !--- Output Suppressed !--- Define a default route to the ISP router. route outside 0.0.0.0 0.0.0.0 10.165.200.226 1 !--- Define a route to the INTERNAL router with network 10.2.1.0. route inside 10.2.1.0 255.255.255.0 10.1.1.2 1 !--- Define a route to the INTERNAL router with network 10.3.1.0. route inside 10.3.1.0 255.255.255.0 10.1.1.3 1 : end |
Nota: Para obter mais informações sobre da configuração do NAT e da PANCADINHA em ASA 8.3, refira a informação sobre o NAT.
Para obter mais informações sobre de como configurar Listas de acesso no PIX/ASA, refira PIX/ASA 7.x: Redirecionamento de porta (transmissão) com nat, o global, estática e comandos access-list.
No momento, não há procedimento de verificação disponível para esta configuração.
Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.
Nota: Para obter mais informações sobre de como pesquisar defeitos o PIX/ASA, consulte para pesquisar defeitos conexões com o PIX e o ASA.
A Output Interpreter Tool (apenas para clientes registrados) (OIT) suporta determinados comandos show. Use a OIT para exibir uma análise da saída do comando show.
Nota: Consulte Informações Importantes sobre Comandos de Depuração antes de usar comandos debug.
debugar mostras do do do traceâ ICMP se os pedidos ICMP dos anfitriões alcançam o PIX. Você precisa de adicionar o comando access-list permitir o ICMP em sua configuração a fim executar este debuga.
o do do debuggingâ do logging buffer mostra as conexões que estão sendo estabelecidas e negadas aos anfitriões que atravessam o PIX.? A informação é armazenada no buffer de registro PIX e a saída pode ser considerada usar o comando show log.
Refira estabelecer o Syslog PIX para obter mais informações sobre de como estabelecer o registro.