基于ASA防火墙的SSL ×××配置
基于ASA防火墙的SSL ×××配置
实验拓扑图
实验目的,PC2通过SSL×××能够访问到PC1
SSL×××服务端配置全在ASA上面,下面为配置步骤:
第一步:建立RSA密钥证书,名称为ssl***keypair
crypto key generate rsa label ssl***keypair
第二步:建立自我信任点CA,名称为localtrust。加载RSA密钥证书
crypto ca trustpoint localtrust
enrollment self
fqdn ssl***.luotao.com
subject-name CN=ssl***.luotao.com
keypair ssl***keypair
crypto ca enroll localtrust noconfirm
exit
第三步:将CA信任点localtrust应用到OUTSIDE口
ssl trust-point localtrust outside
第四步:将客户端上传到ASA并安装,开启SVC在outside口。
copy tftp disk0:
web***
svc p_w_picpath disk0:/sslclient.pkg 1
svc outside
svc enable
exit
第五步:建立clientpool,给客户端分配IP
ip local pool sslclientpool 10.10.10.10-10.10.10.50 mask 255.255.255.0
第六步:创建组策略名为sslclientpolicy,设置类型;组策略属性包括设置DNS,指定隧道协议SVC,设置域名,加载客户端pool
group-policy sslclientpolicy internal
group-policy sslclientpolicy attributes
dns-server value 202.96.134.133
***-tunnel-protocol svc
default-domain value luotao.com
address-pools value sslclientpool
exit
第七步:设计访问列表旁路,×××流量不受outside口ACL限制。
sysopt connection permit-***
第八步:创建tunnel-group隧道组sslclientprofile,组属性包括加载组策略sslclientpolicy,以及设置登陆时看到的组名称ssl***client
tunnel-group sslclientprofile type remote-access
tunnel-group sslclientprofile general-attributes
default-group-policy sslclientpolicy
tunnel-group sslclientprofile web***-attributes
group-alias ssl***client enable
exit
第九步:开启tunnel-group列表功能,开启则在SSL客户端显示GROUP名称,否则不显示。
web***
tunnel-group-list enable
exit
第十步:配置NAT免除,不让SSL×××的流量经过NAT
access-list nat0 extended permit ip 192.168.1.0 255.255.255.0 10.10.10.0 255.255.255.0
nat (inside) 0 access-list nat0
第十一步:建立本地用户,供SSLCLIENT登陆时使用。
username cisco password cisco
username cisco attributes
service-type remote-access
exit
第十二步:配置隧道分离,用ACL匹配流量,应用到组策略中。作用是在访问SSL×××的同时,还可以访问internet与其它网络。
access-list splitssltunnel standard permit 192.168.1.0 255.255.255.0
group-policy sslclientpolicy attributes
split-tunnel-policy tunnelspecified
split-tunnel-network-list value splitssltunnel
exit
第十三步:保存配置
save
在PC2上输入 https://1.1.1.1 按照步骤配置客户端
客户端状态
隧道分离
测试:
ping 192.168.1.2 OK
访问PC1上的FTP OK
最后上全部配置文件:
ciscoasa(config)# sh run
: Saved
:
ASA Version 8.0(2)
!
hostname ciscoasa
enable password 8Ry2YjIyt7RRXU24 encrypted
names
!
interface Ethernet0/0
nameif inside
security-level 100
ip address 192.168.1.1 255.255.255.0
!
interface Ethernet0/1
nameif outside
security-level 0
ip address 1.1.1.1 255.255.255.0
!
interface Ethernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/3
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/4
shutdown
no nameif
no security-level
no ip address
!
interface Ethernet0/5
shutdown
no nameif
no security-level
no ip address
!
passwd 2KFQnbNIdI.2KYOU encrypted
ftp mode passive
access-list nat0 extended permit ip 192.168.1.0 255.255.255.0 10.10.10.0 255.255.255.0
access-list splitssltunnel standard permit 192.168.1.0 255.255.255.0
pager lines 24
mtu inside 1500
mtu outside 1500
ip local pool sslclientpool 10.10.10.10-10.10.10.50 mask 255.255.255.0
no failover
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
nat (inside) 0 access-list nat0
route outside 0.0.0.0 0.0.0.0 1.1.1.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
dynamic-access-policy-record DfltAccessPolicy
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ca trustpoint localtrust
enrollment self
fqdn ssl***.luotao.com
subject-name CN=ssl***.luotao.com
keypair ssl***keypair
crl configure
crypto ca certificate chain localtrust
certificate 31
308201f0 30820159 a0030201 02020131 300d0609 2a864886 f70d0101 04050030
3e311a30 18060355 04031311 73736c76 706e2e6c 756f7461 6f2e636f 6d312030
1e06092a 864886f7 0d010902 16117373 6c76706e 2e6c756f 74616f2e 636f6d30
1e170d39 39313133 30303030 3630375a 170d3039 31313237 30303036 30375a30
3e311a30 18060355 04031311 73736c76 706e2e6c 756f7461 6f2e636f 6d312030
1e06092a 864886f7 0d010902 16117373 6c76706e 2e6c756f 74616f2e 636f6d30
819f300d 06092a86 4886f70d 01010105 0003818d 00308189 02818100 89432e7b
bde8efe4 c6bff55e 19dd1827 35004897 100afd21 dd0a975c 2c909111 1aca7622
d384dca2 ee5634de 40809693 d62c0b91 c5992176 791dd02e 33bbd56f d09ccb4c
b39f8d74 1edff436 51f9f759 2c01cb26 b2a70592 a7bbc4c2 793c2132 24d21e2d
94c87c76 487b8c76 c4c02696 f63a2758 abece6ff 47e9c4a5 d194e9cf 02030100
01300d06 092a8648 86f70d01 01040500 03818100 57296309 1982e43e 45185e2e
33768095 a30c414c ae6ad9d6 45f16bbc 728b0fd0 60185281 15a3226e 654ca746
d810ded1 5727fb17 808ef178 afa72a99 a1ed4863 99cf1356 a65574c7 3eecef34
6c99d087 04233074 26517e3d 48b838c6 9f0cb782 06d740cd 794aaa32 124f910f
095cdab1 66f1b848 f0285f1f 5a08b012 fb2f3815
quit
no crypto isakmp nat-traversal
telnet timeout 5
ssh timeout 5
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
ssl trust-point localtrust outside
web***
enable outside
svc p_w_picpath disk0:/sslclient.pkg 1
svc enable
tunnel-group-list enable
group-policy sslclientpolicy internal
group-policy sslclientpolicy attributes
dns-server value 202.96.134.133
***-tunnel-protocol svc
split-tunnel-policy tunnelspecified
split-tunnel-network-list value splitssltunnel
default-domain value luotao.com
address-pools value sslclientpool
username cisco password 3USUcOPFUiMCO4Jk encrypted
username cisco attributes
service-type remote-access
tunnel-group sslclientprofile type remote-access
tunnel-group sslclientprofile general-attributes
default-group-policy sslclientpolicy
tunnel-group sslclientprofile web***-attributes
group-alias ssl***client enable
prompt hostname context
Cryptochecksum:3aee551f153ae30800bfb0ef4362cac8
: end
转载于:https://blog.51cto.com/ljl2013/1346678
基于ASA防火墙的SSL ×××配置相关推荐
- ASA防火墙16 SSL/×××
1.ASA的基本配置: Archasa(config)# int e0/0 Archasa(config-if)# ip add 192.168.0.1 255.255.255.0 Archa ...
- ASA防火墙之MPF配置监控流量
MPF配置监控流量 本篇继续讲解ASA防火墙,关于使用MPF的方式来配置监控流量,使得流量可以正常的回包. 配置命令如下 配置ICMP监控流量 ASA(config)#policy-map globa ...
- 思科ASA防火墙: 接口配置名称 安全等级 acl防控列表
环境:上图环境 win10 内 ip:192.168.1.1 /24 网关 : 192.168.1.254 win10 外 ip: 172.12.12.1 /24 网关 :172. ...
- 图解思科ASA防火墙K8升级至K9
哎--,差不多一个月都没有来写博客了呀!这段时间比较忙呀!今天还是来发一篇文章吧!<?xml:namespace prefix = o ns = "urn:schemas-micros ...
- ASA防火墙之基于用户MPF配置实例
ASA防火墙之基于用户MPF 本篇继续介绍ASA防火墙,上篇我们讲了URL的过滤,那么本篇我们在这个基础下设置不同的用户,来控制一个可以访问,一个过滤掉. 配置实例 需求: ASA本地有两个用户:分别 ...
- ASA 防火墙 工作原理与配置实例
ASA是状态化防火墙,会建立一个用户信息连接表(Conn),连接表中包含的相关信息有源IP地址.目的IP地址.IP协议(如TCP或UDP).IP协议信息(如TCP/UDP的端口号.TCP序列号和TCP ...
- 防火墙(ASA)的基本配置与远程管理
在目前大多数安全解决方案中,防火墙的实施是最为重要的需求,它是每个网络基础设施必要且不可分割的组成部分.这篇博客主要介绍防火墙安全算法的原理与基本配置以及远程管理防火墙的几种方式 硬件与软件防火墙 1 ...
- asa 防火墙拦截了https_防火墙(ASA)的基本配置与远程管理
在目前大多数安全解决方案中,防火墙的实施是最为重要的需求,它是每个网络基础设施必要且不可分割的组成部分.这篇博客主要介绍防火墙安全算法的原理与基本配置以及远程管理防火墙的几种方式 硬件与软件防火墙 1 ...
- Cisco ASA(防火墙)基本配置
Cisco ASA 分为软件防火墙和硬件防火墙. 其中,硬件防火墙比软件防火墙更有优势: 1).硬件防火墙功能强大,且明确是为抵御威胁而设计的. 2).硬件防火墙比软件防火墙的漏洞少. Cisco 硬 ...
最新文章
- JavaWeb手机短信实现前台利用JS获取随机验证码,倒计时效果
- python 数组写txt_python txt文件常用读写操作
- stripe pay_J2Pay –简介
- WorldWind源码剖析系列:可渲染对象类RenderableObject
- IIS出现The specified module could not be found解决方法
- c++引用另一个类的方法_转:关于A类,B类,C类IP地址的网段和主机数的计算方法...
- 操作系统————P1 概念、功能和目标
- Ruby Numeric
- Unity文件操作路径
- java 反编译 报错_java反编译后再编译成class时提示缺少包
- Flash Builder实用快捷键集锦
- Kernel wmb/mb宏的作用
- 游戏模型制作的注意事项——模型规范
- 点击按钮显示和隐藏图片
- 03-body标签中相关标签-2
- 单因素方差分析和多因素方差分析的差异是什么?
- 触宝今日纽交所上市,从全球化走向融合发展!
- c语言实现家谱(孩子兄弟树)数据结构
- win10php环境配置教程,Windows10系统下如何去配置PHP开发环境
- asp毕业设计——基于asp+sqlserver的在线手机销售系统设计与实现(毕业论文+程序源码)——在线手机销售系统