Cisco ASA. Base config. Практика
2021.08.19. Kurapov Alexey.
Cisco ASA. Base config.
Рассмотрим
топологию:
На Cisco
ASA
проверим
модель и версию Software:
Выполним
сброс настроек, настроим имя устройства и интерфейсы:
Где security-level - уровень доверия к зоне безопасности, чем он
выше, тем доверенней зона.
Пропишем
маршрут по умолчанию:
В
команде указывается nameif интерфейса.
Проверяем доступность интернета с ASA:
Сейчас
у ПК нет доступа к подсети 172.16.0.0.100, а соответственно к интернету:
Настроим
static
NAT
на
Cisco
ASA
для
доступа ПК в интернет:
Будем
натить один внутренний ip (подсеть
192.168.1.0/24) в один внешний (172.16.0.0/24)
1. object network
h192.168.1.98 - создаем объект типа network,
с именем h192.168.1.98,
2. host 192.168.1.98 - указываем внутренний ip адрес, который хотим пронатить – 192.168.1.98,
3. nat (inside,internet) static
172.16.0.201 – натим пакеты с интерфейса
inside
на
интерфейс internet, тип nat – static, натим внутренний ip 192.168.1.98 во внешний ip 172.16.0.201.
Проверяем на ПК – сайты доступны, ping в интернет – не успешен:
Видим увеличение untranslated_hits
для
адреса 192.168.1.98:
translate_hits – количество
соединений проначенных с помощью данного правила nat,
untranslated_hits – количество
соединений, которые не были проначены с помощью этого правила.
Почему
сайты открываются, но ping
не проходит?
1. 1. Все пакеты с интерфейса с бОльшим security-level
– inside, проходят
на на интерфейс с меньшим значением security-level –
internet, обратно – нет. Поэтому ping не успешен.
2. 2. Сайты в браузере открываются, т.к. TCP/UDP
ответы от web серверов
на TCP/UDP
запросы внутренних ПК проходят через ASA.
3. 3. Для исправления ситуации требуется ACL разрешающий проходить входящим icmp-replay с
интерфейса internet.
Создадим ACL:
и применим его на интерфейс internet
Проверка:
Смотрим соединения на ASA – sh conn, до, во время и после ping-a:
Смотрим на ASA – sh nat, до, во время и после ping-a:
Смотрим на ASA – sh access-list, до, во время и после ping-a:
Комментарии
Отправить комментарий