Пример конфигурации PIX/ASA 7.x с тремя внутренними сетями

Пример конфигурации PIX/ASA 7.x с тремя внутренними сетями Содержание Общие сведения Предварительные условия Требования Используемые компоненты Другая продукция этого типа Условные обозначения Настройка Схема сети Конфигурации Проверка Поиск и устранение неисправностей Команды поиска и устранения неисправностей Процедура поиска и устранения неисправностей Дополнительные сведения Общие сведения В данном документе приведен пример конфигурации для PIX Security Appliance версии 7.x или Adaptive Security Appliance (ASA) 5500 с тремя внутренними сетями при помощи интерфейса командной строки (CLI) или Adaptive Security Device Manager (ASDM) версии 5.x.

Для упрощения используются статические маршруты. Примечание. Некоторые параметры в ASDM начиная с версии 5.2 могут отличаться от параметров ASDM 5.1. Дополнительные сведения см. в документе Документация ASDM. Предварительные условия Требования При добавлении более одной внутренней сети, которые находятся за брандмауэром PIX, необходимо помнить следующее:

PIX не может маршрутизировать пакеты; PIX не поддерживает вторичную адресацию; За PIX необходимо использовать маршрутизатор, который будет обеспечивать маршрутизацию между имеющейся сетью и вновь добавляемой сетью; Шлюзом по умолчанию для всех узлов должен быть внутренний маршрутизатор; На внутреннем маршрутизаторе добавьте маршрут по умолчанию, который указывает на PIX; Удалите кэш протокола разрешения адресов (ARP) на внутреннем маршрутизаторе. Чтобы позволить ASDM настроить устройство, см. Разрешение ASDM доступа по HTTPS.

Стр. 1

Используемые компоненты Сведения, содержащиеся в данном документе, приведены на основе следующих версий программного и аппаратного обеспечения: PIX Security Appliance 515E с ПО версии 7.1; ASDM 5.1; Маршрутизаторы Cisco с программным обеспечением Cisco IOS® Release 12.3(7)T. Примечание. Хотя конфигурация, описанная в данном документе, проверялась на PIX Security Appliance, она также совместима с ASA 5500. Данные для документа были получены в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с пустой (стандартной) конфигурацией. В рабочей сети необходимо изучить потенциальное воздействие всех команд.

Другая продукция этого типа Данную конфигурацию также можно использовать с Cisco ASA Security Appliance версии 7.x. Условные обозначения Дополнительные сведения об условных обозначениях в документах см. в документе Технические рекомендации Cisco. Условные обозначения. Настройка В этом разделе приводятся сведения о настройке функций, описанных в данном документе. Примечание. Для поиска дополнительной информации о командах в данном документе используйте служебную программу. Command Lookup ( только для зарегистрированных пользователей ). Схемы IP-адресации, которые использованы в данной конфигурации, не допускаются для законной маршрутизации в Интернете.

Это адреса RFC 1918 , которые использовались в лабораторной среде. Схема сети В данном документе используется следующая конфигурация сети:

Стр. 2

Шлюзом по умолчанию для узлов сети 10.1.1.0 является маршрутизатор RouterA. В маршрутизаторе RouterB добавлен маршрут по умолчанию, который указывает на RouterA. У маршрутизатора RouterA есть маршрут по умолчанию, который указывает на внутренний интерфейс PIX. Конфигурации В данном документе используются следующие конфигурации: Конфигурация RouterA; Конфигурация RouterB; Конфигурация PIX Security Appliance 7.1. Начальная загрузка и настройка PIX Security Appliance ASDM 5.1 посредством графического интерфейса пользователя Настройка PIX Security Appliance посредством интерфейса командной строки Конфигурация RouterA RouterA# show running-config Building configuration... Current configuration :

1151 bytes ! version 12.3 service config service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname RouterA ! interface Ethernet2/0 ip address 10.2.1.1 255.255.255.0 half-duplex ! interface Ethernet2/1 ip address 10.1.1.2 255.255.255.0 half-duplex ! ip classless ip route 0.0.0.0 0.0.0.0 10.1.1.1 ip route 10.3.1.0 255.255.255.0 10.1.1.3 ! ! line con 0 line aux 0 line vty 0 4 ! end RouterA# Конфигурация RouterB RouterB# show running-config Building configuration...Current configuration : 1132 bytes ! version 12.3 service config service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption

Стр. 3

! hostname RouterB ! interface FastEthernet0/0 ip address 10.1.1.3 255.255.255.0 speed auto ! interface Ethernet1/0 ip address 10.3.1.1 255.255.255.0 half-duplex ! ip classless ip route 0.0.0.0 0.0.0.0 10.1.1.2 ! control-plane ! ! line con 0 line aux 0 line vty 0 4 ! end RouterB# Если для настройки PIX Security Appliance необходимо использовать ASDM, но начальная загрузка устройства не произведена, выполните следующие действия. Войдите в консоль PIX. 1. Из очищенной конфигурации используйте интерактивные запросы, позволяющие включить ASDM для управления PIX с рабочей станции 10.1.1.5. 2. Конфигурация PIX Security Appliance 7.1 Pre-configure Firewall now through interactive prompts [yes]?

yesFirewall Mode [Routed]: Enable password [ ]: cisco Allow password recovery [yes]? Clock (UTC): Year [2005]: Month [Mar]: Day [15]: Time [05:40:35]: 14:45:00 Inside IP address: 10.1.1.1 Inside network mask: 255.255.255.0 Host name: OZ-PIX Domain name: cisco.com IP address of host running Device Manager: 10.1.1.5 The following configuration will be used: Enable password: cisco Allow password recovery: yes Clock (UTC): 14:45:00 Mar 15 2005 Firewall Mode: Routed Inside IP address: 10.1.1.1 Inside network mask: 255.255.255.0 Host name: OZ-PIX Domain name: cisco.com IP address of host running Device Manager: 10.1.1.5 Use this configuration and write to flash? yes INFO:

Security level for "inside" set to 100 by default. Cryptochecksum: a0bff9bb aa3d815f c9fd269a 3f67fef5 965 bytes copied in 0.880 secs INFO: converting 'fixup protocol dns maximum-length 512' to MPF commands INFO: converting 'fixup protocol ftp 21' to MPF commands INFO: converting 'fixup protocol h323_h225 1720' to MPF commands INFO: converting 'fixup protocol h323_ras 1718-1719' to MPF commands INFO: converting 'fixup protocol netbios 137-138' to MPF commands INFO: converting 'fixup protocol rsh 514' to MPF commands INFO: converting 'fixup protocol rtsp 554' to MPF commands

Стр. 4