目錄

簡介

必要條件

需求

採用元件

慣例

設定

網路圖表

ASA 8.3配置

ASA 8.3及更高版本配置

驗證

疑難排解

疑難排解指令

相關資訊

簡介

本文提供有關如何設定8.3(1)版本的思科自適應安全裝置(ASA)以與三個內部網路配合使用的資訊。為簡單起見，路由器上使用靜態路由。

請參閱PIX/ASA:使用Internet連線三個內部網路的配置示例，適用於使用版本8.2及更低版本的思科自適應安全裝置(ASA)上的相同配置。

必要條件

需求

本文件沒有特定需求。

採用元件

本檔案中的資訊是根據版本8.3(1)的思科調適型安全裝置(ASA)。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您在即時網路中工作，請確保在使用任何命令之前瞭解其潛在影響。

慣例

如需檔案慣例的詳細資訊，請參閱思科技術提示慣例。

設定

本節提供用於設定本文件中所述功能的資訊。

注意：要查詢有關本文檔中使用的命令的其他資訊，請使用命令查詢工具(僅限註冊客戶)。

網路圖表

本檔案會使用此網路設定。

註：10.1.1.0網路上主機的預設網關指向RouterA。在RouterB上新增了一條指向RouterA的預設路由。RouterA具有指向ASA內部介面的預設路由。

注意：此配置中使用的IP編址方案在Internet上不能合法路由。它們是RFC 1918 address，已在實驗室環境中使用。

ASA 8.3配置

本檔案會使用這些設定。

如果您的Cisco裝置具有write terminal命令的輸出，可以使用Output Interpreter(僅限註冊客戶)顯示潛在問題和修正程式。

- 路由器A配置

- RouterB組態

- ASA 8.3及更高版本配置

路由器A配置

RouterA#show running-config

Building configuration...

Current configuration : 1151 bytes

!

version 12.4

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname RouterA

!

boot-start-marker

boot-end-marker

!

enable password cisco

!

memory-size iomem 25

no network-clock-participate slot 1

no network-clock-participate wic 0

no network-clock-participate wic 1

no network-clock-participate wic 2

no network-clock-participate aim 0

no network-clock-participate aim 1

no aaa new-model

ip subnet-zero

ip cef

!

!

!

!

ip audit po max-events 100

no ftp-server write-enable

!

!

!

!

!

no crypto isakmp enable

!

!

!

interface FastEthernet0/0

ip address 10.1.1.2 255.255.255.0

duplex auto

speed auto

!

interface FastEthernet0/1

ip address 10.2.1.1 255.255.255.0

duplex auto

speed auto

!

interface IDS-Sensor1/0

no ip address

shutdown

hold-queue 60 out

!

ip classless

ip route 0.0.0.0 0.0.0.0 10.1.1.1

ip route 10.3.1.0 255.255.255.0 10.1.1.3

no ip http server

no ip http secure-server

!

!

!

!

!

control-plane

!

!

!

line con 0

line 33

no activation-character

no exec

transport preferred none

transport input all

transport output all

line aux 0

line vty 0 4

password ww

login

!

!

end

RouterA#

RouterB組態

RouterB#show running-config

Building configuration...

Current configuration : 1132 bytes

!

version 12.4

no service pad

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname RouterB

!

boot-start-marker

boot-end-marker

!

!

no network-clock-participate slot 1

no network-clock-participate wic 0

no network-clock-participate wic 1

no network-clock-participate wic 2

no network-clock-participate aim 0

no network-clock-participate aim 1

no aaa new-model

ip subnet-zero

ip cef

!

!

!

!

ip audit po max-events 100

no ip domain lookup

no ftp-server write-enable

!

!

!

!

!

no crypto isakmp enable

!

!

!

interface FastEthernet0/0

ip address 10.1.1.3 255.255.255.0

duplex auto

speed auto

no cdp enable

!

interface FastEthernet0/1

ip address 10.3.1.1 255.255.255.0

duplex auto

speed auto

!

interface IDS-Sensor1/0

no ip address

shutdown

hold-queue 60 out

!

ip classless

ip route 0.0.0.0 0.0.0.0 10.1.1.2

no ip http server

no ip http secure-server

!

!

!

!

!

control-plane

!

!

!

line con 0

stopbits 1

line 33

no activation-character

no exec

transport preferred none

transport input all

transport output all

line aux 0

line vty 0 4

password cisco

login

!

!

end

RouterB#

ASA 8.3及更高版本配置

注意：非預設命令以粗體顯示。

ASA 8.3(1)運行配置

ASA#show run

: Saved

:

ASA Version 8.3(1)

!

hostname ASA

enable password 8Ry2YjIyt7RRXU24 encrypted

passwd 2KFQnbNIdI.2KYOU encrypted

names

!

interface Ethernet0

nameif outside

security-level 0

ip address 10.165.200.225 255.255.255.224

!

interface Ethernet1

nameif inside

security-level 100

ip address 10.1.1.1 255.255.255.0

!

boot system disk0:/asa831-k8.bin

ftp mode passive

!--- Output Suppressed

!--- Creates an object called OBJ_GENERIC_ALL. !--- Any host IP not already matching another configured !--- object will get PAT to the outside interface IP !--- on the ASA (or 10.165.200.226) for internet bound traffic.

object network OBJ_GENERIC_ALL

subnet 0.0.0.0 0.0.0.0

nat (inside,outside) source dynamic OBJ_GENERIC_ALL interface

!--- Output Suppressed

!--- Define a default route to the ISP router.

route outside 0.0.0.0 0.0.0.0 10.165.200.226 1

!--- Define a route to the INTERNAL router with network 10.2.1.0.

route inside 10.2.1.0 255.255.255.0 10.1.1.2 1

!--- Define a route to the INTERNAL router with network 10.3.1.0.

route inside 10.3.1.0 255.255.255.0 10.1.1.3 1

: end

注意：有關ASA 8.3上的NAT和PAT配置的詳細資訊，請參閱有關NAT的資訊。

有關如何在PIX/ASA上配置訪問清單的詳細資訊，請參閱PIX/ASA 7.x:使用nat、global、static和access-list命令的埠重定向（轉發）。

驗證

目前沒有適用於此組態的驗證程序。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

注意：有關如何對PIX/ASA進行故障排除的詳細資訊，請參閱通過PIX和ASA對連線進行故障排除。

疑難排解指令

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

- debug icmp tracepingâ 顯示來自主機的ICMP請求是否到達PIX。您需要新增access-list命令來允許組態中的ICMP，才能執行此偵錯。

- logging buffer debuggingâ顯示正在建立並拒絕到通過PIX的主機的連線。?資訊儲存在PIX日誌緩衝區中，可以使用show log命令檢視輸出。

有關如何設定日誌記錄的詳細資訊，請參閱設定PIX系統日誌。

相關資訊

- 思科調適型資安裝置管理員

- Cisco ASA 5500系列調適型安全裝置

- 要求建議 (RFC)

- 技術支援與文件 - Cisco Systems