[series firewall scada ] lab 2 – lab cấu hình cơ bản trên asa

[Trần Mộc Cát Tường]

Mô tả: Mô hình gồm 1 firewall kết nối với internet qua cổng Gi0/1, vùng DMZ có subnet là 172.16.0.0/24 chứa một máy linux, Vùng client là vùng có subnet 192.168.1.0/24 gồm 1 switch và 1 máy window.

Phần thực hành

1. Làm quen với các chế độ trên ASA.
Khi khởi động lên asa sẽ ở chế độ EXEC Mode. Để vào chế độ Privileged EXEC Mode dùng lệnh

ciscoasa> enable Password: # Nhấn enter khi chưa đặt mật khẩu

Để vào chế độ Global Configuration Mode dùng lệnh

ciscoasa# configure terminal

Để trở về chế độ trước đó sử dụng lệnh

ciscoasa(config)# exit ciscoasa#exit

2. Thực hành đặt tên(hostname) cho asa.

ciscoasa> en Password: ciscoasa# conf t ciscoasa(config)# hostname asa

3. Cấu hình password cho ASA

asa# conf t asa(config)# enable password VnPro@123 asa(config)# exit asa# exit

4.Cấu hình IP trên các interface của Firewall ASA.
Cấu hình ip trên interface gigabitEthernet0/2

asa(config)# interface g0/2 asa(config-if)# security-level 100 asa(config-if)# nameif Inside asa(config-if)# ip address 192.168.1.1 255.255.255.0 asa(config-if)# no shut asa(config-if)# exit

Làm tương tự vớiinterface gigabitEthernet0/3

asa(config)# interface g0/3 asa(config-if)# ip address 172.16.0.1 255.255.255.0 asa(config-if)# security-level 50 asa(config-if)# nameif DMZ asa(config-if)# no shut asa(config-if)# exit

Kiểm tra lại kết quả sau khi cấu hình:

asa# show interface ip brief

Kiểm tra nameif và security-level

asa# show nameif

Kiểm tra kết nối trên các thiết bị đầu cuối window và linux nếu ping được đến gateway là thành công.

5. Cấu hình cho phép ICMP từ vùng Inside tới vùng DMZ.

asa(config)# class-map inspection_default asa(config-cmap)# match default-inspection-traffic asa(config-cmap)# exit asa(config)# policy-map global_policy asa(config-pmap)# class inspection_default asa(config-pmap-c)# inspect icmp asa(config-pmap-c)# exit asa(config-pmap)# exit asa(config)# service-policy global_policy global

Kiểm tra kết quả: Trên máy window ping được vùng DMZ

6. Cấu hình cấp DHCP vùng Inside.

asa(config)# dhcpd address 192.168.1.2-192.168.1.254 Inside asa(config)# dhcpd option 3 ip 192.168.1.1 interface Inside asa(config)# dhcpd option 6 ip 8.8.8.8 interface Inside asa(config)# dhcpd enable Inside

Trên máy window đổi sang nhận ip dhcp, vào cmd gõ ipconfig để xem địa chỉ được cấp

7. Nhận DHCP từ vùng Outside.

asa(config)# int g0/1 asa(config-if)# nameif Outside INFO: Security level for "Outside" set to 0 by default. asa(config-if)# security-level 0 asa(config-if)# ip address dhcp setroute asa(config-if)# no shut

Kiểm tra lại bằng lệnh

show ip address outside dhcp lease

Sau khi nhận IP chúng ta có thể ping firewall ra internet

8. Cấu hình NAT overload.

asa(config)# object network Inside.Zone asa(config-network-object)# subnet 192.168.1.0 255.255.255.0 asa(config-network-object)# nat (Inside,Outside) dynamic interface asa(config-network-object)# exit

Kiểm tra lại bằng cách ping đến 8.8.8.8 trên máy window.

9. Lưu lại cấu hình

asa# write memory