ASA多区域实验案例

需求：

要求配置ASA的接口、路由和ACL，并验证接口之间的通信

配置路由器和ASA的接口，实现网络互通

配置路由

分别配置IOU1，IOU3和IOU4模拟PC，并启用Telnet，验证在IOU1上可以Telnet到IOU3和IOU4，在IOU3上可以Telnet到IOU4但不能Telnet到IOU1，在IOU4上不能Telnet到IOU1和IOU3

使用show conn detail 命令查看Conn表

分别查看ASA和R2的路由表

配置ACL禁止在R3上Telnet到R4

实验拓扑：

实验配置1：

配置IP地址

IOU1

IOU1(config)#int e0/0
IOU1(config-if)#du fu
IOU1(config-if)#ip add 10.1.1.1 255.255.255.0
IOU1(config-if)#no shut
IOU1(config-if)#ex

IOU2

IOU2(config)#int e0/0
IOU2(config-if)#du fu
IOU2(config-if)#ip add 172.16.1.2 255.255.255.0
IOU2(config-if)#no shut
IOU2(config-if)#ex

IOU2(config)#int e0/1
IOU2(config-if)#du fu
IOU2(config-if)#ip add 172.16.2.2 255.255.255.0
IOU2(config-if)#no shut
IOU2(config-if)#ex

IOU3

IOU3(config)#int e0/0
IOU3(config-if)#du fu
IOU3(config-if)#ip add 192.168.1.1 255.255.255.0
IOU3(config-if)#no shut
IOU3(config-if)#ex

IOU4

IOU4(config)#int e0/0
IOU4(config-if)#du fu
IOU4(config-if)#ip add 172.16.2.3 255.255.255.0
IOU4(config-if)#no shut
IOU4(config-if)#ex

ASA-1

ciscoasa(config)# int g 0
ciscoasa(config-if)# nameif inside
INFO: Security level for "inside" set to 100 by default.
ciscoasa(config-if)# security-level 100
ciscoasa(config-if)# ip add 10.1.1.254 255.255.255.0
ciscoasa(config-if)# no shut
ciscoasa(config-if)# ex

ciscoasa(config)# int g 1
ciscoasa(config-if)# nameif outside
INFO: Security level for "outside" set to 0 by default.
ciscoasa(config-if)# security-level 0
ciscoasa(config-if)# ip add 172.16.1.254 255.255.255.0
ciscoasa(config-if)# no shut
ciscoasa(config-if)# ex

ciscoasa(config)# int g 2
ciscoasa(config-if)# nameif zxc
INFO: Security level for "zxc" set to 0 by default.
ciscoasa(config-if)# security-level 50
ciscoasa(config-if)# ip add 192.168.1.254 255.255.255.0
ciscoasa(config-if)# no shut
ciscoasa(config-if)# ex

​实验步骤2：

配置默认路由

IOU1

IOU1(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.254

IOU2

IOU2(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.254

IOU3

IOU3(config)#ip route 0.0.0.0 0.0.0.0 192.168.1.254

IOU4

IOU4(config)#ip route 0.0.0.0 0.0.0.0 172.16.2.2

ASA-1

ciscoasa(config)# route outside 172.16.2.0 255.255.255.0 172.16.1.2

实验步骤3：

配置telnet

IOU1

IOU1(config)#username wenzhong password 123
IOU1(config)#line vty 0 4
IOU1(config-line)#login local
IOU1(config-line)#transport input telnet 
IOU1(config-line)#exit

IOU3

IOU3(config)#username wenzhong password 123
IOU3(config)#line vty 0 4
IOU3(config-line)#login local
IOU3(config-line)#transport input telnet 
IOU3(config-line)#exit

IOU4

IOU4(config)#username wenzhong password 123
IOU4(config)#line vty 0 4
IOU4(config-line)#login local 
IOU4(config-line)#transport input telnet 
IOU4(config-line)#exit

配置完测试结果

配置ACL禁止在IOU3上telnetIOU4

ASA-1

ciscoasa(config)# access-list telnet deny tcp 192.168.1.0 255.255.255.0 172.16$
ciscoasa(config)# access-group telnet in interface zxc

最后用ping命令ping 172.16.2.3测试（ping 不通或者显示UUUUU即可）

实验结束