我顶 字号:  

 



 

拓扑如上(FWSMMSFC后面,此为惯用配置!)

  1. 激活

购买FWSM后,有一张纸,通过纸上的序列号,到www.cisco.com/go/license 申请license,然后通过session slot 2 pro 1登陆FWSM输入:activation-key xxxx来激活,通过sh ver查看。

 

  1. MSFC上的相应配置
    • 创建所需要的vlan

Vlan 5

Name FWSM_outside_and_MSFC

//vlan5FWSMoutside接口和MSFC连接FWSM的接口

Vlan 10

Name FWSM_DMZ

Vlan 20

Name FWSM_inside

Int g3/1

Switchport

Sw mode access

Sw access vlan 10

No shut

Int g3/3

Switchport

Sw mo access

Sw access vlan 20

No shut

Int vlan 5

Ip add 192.168.100.1 255.255.255.0

//注意,这个IPMSFCIPFWSMIPFWSM配置模式配置!

//通过MSFC上建立SVI,然后吧SVIVLAN赋予FWSM,这样就在FWSMMSFC建立的3层的通道(如这里的,在MSFC中建立vlan5SVI,然后把vlan5赋予FWSM,这样就能建立起3层通道了!)。默认时,只允许一个这样的通道,但是可以通过firewall multiple-vlan-interfaces来允许多个这样的通道

No sh

  • VLAN赋予FWSM

Firewall vlan-group 1 5,10,20

Firewall module 2 vlan-group 1

//vlan51020绑定成一个组,然后把这个组中的vlan赋予在插槽2中的FWSM

//注意,当同时将很多vlan绑定到一个组的时候,可能会提示超出vlan数,此时只需要将绑定分开,如:

firewall vlan-group 1 5,10

firewall vlan-group 2 20

 firewall module 2 vlan-group 1

 firewall module 2 vlan-group 2

  • 验证命令:

Sh ip int bri

Sh vlan bri

 

  1. 配置FWSM的连通性
    • 连入FWSM

Session slot 2 processor 1

//连接插槽2中的FWSM

//注意,FWSM可以插在任意65或者76的任意插槽中!

  • 配置IP(配置前无法看到接口)

Int vlan 5

Nameif outside

Security 5

Int vlan 10

Nameif DMZ

Security 10

Int vlan 20

Nameif inside

Security 20

//此时可以show的时候可以看到接口

Int vlan 5

Ip add 192.168.100.2 255.255.255.0

Int vlan 10

Ip add 10.1.10.1 255.255.255.0

Int vlan 20

Ip add 10.1.20.1 255.255.255.0

  • 配置路由

Route outside 0  0 192.168.100.1

  • 验证

Sh ip add

Sh nameif

Sh int ip bri

Sh int

Sh route

 

  1. 开启接口pingFWSM默认禁止PING其所有接口

Icmp permit inside

Icmp permit outside

 

  1. 配置NAT
    • 静态NAT

Static (dmz,outside) 192.168.100.100 10.x.10.10

  • PAT

Nat (inside) 1 0 0

Global (outside) 1 192.168.100.200

//各种NAT具体配置见我写的《ASA实施指南》

  • 验证:

Sh run nat

Sh run global

Sh run static

 

  1. 访问控制
    • 配置ACL

Access-list from_inside permit ip any any

//注意,FWSMinsideoutside默认也是禁止访问的!!这和ASA是不相同的

Access-list outside_to_DMZ per tcp any host 192.168.100.200 eq ftp

  • 应用接口

Access-group from_inside in int outside

Access-group outside_to_DMZ in int outside

  • 验证

Sh access-list

Sh run access-group

 

  1. 配置MPF

Policy-map global_policy

Class inspection_default

Inspect icmp

Inspect ftp

//具体配置见ASA实施指南

 

  1. 配置telnetSSHASDM
    • 允许telnet

Telnet 10.0.0.0 255.255.255.0 inside

Username tomi password ibm-tomi privilege 15

  • 允许SSH

Hostname tomi

Domain tomi.com

crypto key generate rsa modu 1024

Wr

Ssh 0 0 outside

Ssh timeout 30

//outside只允许SSH进来

  • 允许ASDM

Http server enable

Http 0 0 inside

Http 0 0 outside

 

  1. 保存配置

Copy run st