PTT數位生活區 / Network

[問答] cisco防火牆接法

看板Network作者 (魯‧排骨宅)時間9年前 (2015/08/24 13:45), 9年前編輯推噓12(12推 0噓 20→)
留言32則, 8人參與, 最新討論串1/1
大家好 雖本身是資訊相關 但是領域不同 最近實驗室搞了一台cisco asa5506的防火牆 設定也設好了 但老闆看了我們接法 直說我們接法接錯了 改天把它弄正確 實驗室有被分配到兩條線(從系上的switch拉進來實驗室的) 而且有分配給我們13組實體ip 其中一組ip無流量限制 此外兩條線都是直接接上實驗室的switch 我們目前的其中一台的switch接法是這樣 ____________________________________________________ 系上 | 實驗室內 switch---- |-----------switch------------------ (指定無流量的ip,設定為outside) | //|||\\ |___ asa5506 | (直接在電腦上指定實體ip) //|||\\\ | (直接在電腦上設定虛擬ip或dhcp自動取得) |_______________________________________________________ 也就是說 從系上接到我們實驗室的switch後,直接拉port連接在實驗室的電腦,手動設定實體ip 此外其中一個port拉給asa5506使用,並設定outside、inside,只保護asa5506底下的電腦。 但是現在 我們老闆說 防火牆順序放反了 應該是 系上的switch給的線 要先接到實驗室內的asa5506, 接著asa5506在接到實驗室內的switch,最後再由switch給底下的電腦使用 不過我這邊有一個問題就是 但是「switch(系上)-asa5506(LAB)-switch(LAB)」的接法 不就不能從實驗室內的switch分配實體給底下的電腦了? 因為目前asa5506用的是router模式,outside ip 不是只能給一組實體ip嗎? 然後再藉由inside 連到底下的設備(使用dhcp分配ip) 我想問的是 有辦法做到 「switch(系上)-asa5506(LAB)-switch(LAB)」的架構 在我們實驗室的電腦接上switch(LAB)後 仍然是可以設定其他實體IP上網嗎? 但這邊就有問題是 那麼outside ip會怎麼設? 我自己的想法是 是不是outside ip 可以設定一組實體ip的範圍 然後在內部電腦對應到outside的各組實體ip 然後連到外面的internet? -- 作者 MicroGG (La new總冠軍) 看板 Japan_Travel 標題 [問題] 溫泉旅館的兒童人頭算法?
→
04/11 16:32,
問問題然後自稱拎背這樣好嗎 有點禮貌ok?
04/11 16:32
→
04/11 16:34,
骨科大 XD
04/11 16:34
→
04/11 16:36,
你不懂，我有苦衷，我不說拎杯會被鄉民罵..
04/11 16:36
-- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.138.150.27 ※ 文章網址: https://www.ptt.cc/bbs/Network/M.1440395122.A.C91.html
推
08/24 13:55, , 1F
直接回答倒數兩行　「可以」　請搜尋 static nat
08/24 13:55, 1F
→
08/24 13:56, , 2F
不過 outside interface 只能設一個 ip address
08/24 13:56, 2F
→
08/24 13:56, , 3F
其他主機是透過　一對一的 ip address mapping 達成
08/24 13:56, 3F
ASA5506有八個孔 那不就變成 g 0/1為outside(接一個無限流量的實體ip) g 0/2為inside(接出去switch) switch底下就是用dhcp方式分配ip 然後asa5506的其他孔 每兩個孔為一組( g 0/3 跟g 0/4、g 0/5跟g 0/6、g 0/7跟g 0/8), 每組做static nat，分別為唯一個實體ip對應到另一個的虛擬ip 是這樣子嗎?
→
08/24 13:59, , 4F
Transparent Mode?
08/24 13:59, 4F
推
08/24 18:13, , 5F
管他什麼Mode ,為什麼你們買東西只買設備不買服務?
08/24 18:13, 5F
是asd大! 是這樣子的 一年保固是還在 只是想說問代理商的工程師之前 先做點功課(因為不熟cisco) 在指導上也比較快(沒有買人力服務，只有一般電話或mail指導) 因為之前經銷商打算派來的工程師因家庭因素提出辭職 現在還在徵人 其他地區的工程師也在忙 無法支援 臨時派的工程師水準也不是很好 沒有幫我設定好基本的防火牆(是在學的勤益大學生) 最後變成我自己跑去google國外的教學 才設定好 變成是說 乾脆找代理商還比較快 ※ 編輯: aiweisen (140.138.150.27), 08/24/2015 19:10:30
→
08/24 21:20, , 6F
該從何處開始吐槽...OTZ，買防火牆不用規劃一下架構?
08/24 21:20, 6F
→
08/24 21:27, , 7F
回到正題，設定static nat的公有IP不必指定到port上
08/24 21:27, 7F
→
08/24 21:28, , 8F
只需要在nat裡面設定要對應要轉換的私有IP
08/24 21:28, 8F
→
08/24 21:29, , 9F
設定正確的話，ASA自然會把IP轉換得好好的
08/24 21:29, 9F
推
08/24 21:42, , 10F
上面是好心人@@，還好你買的是思科。。
08/24 21:42, 10F
→
08/24 21:43, , 11F
SMARTNET 也只有5x8NBD 電話跟Email服務。。。
08/24 21:43, 11F
推
08/24 21:46, , 12F
可能最後還是得怪我，因為是我推薦他買5506-X..
08/24 21:46, 12F
→
08/24 21:54, , 13F
不過ASA的nat對初學者來講可能會弄到靠杯靠目....
08/24 21:54, 13F
推
08/24 22:30, , 14F
我拿到的第一天，從晚上十點設到早上５點才把我要的
08/24 22:30, 14F
→
08/24 22:31, , 15F
弄好設好。。。
08/24 22:31, 15F
→
08/24 22:31, , 16F
要是用HP MSR ROuter 我只要５分鐘。。
08/24 22:31, 16F
推
08/24 22:42, , 17F
asdf大大要了什麼 怎麼花這麼久的時間....
08/24 22:42, 17F
推
08/25 08:54, , 18F
基本上就是 Static NAT，開 Port，弄VPN，不小心
08/25 08:54, 18F
→
08/25 08:55, , 19F
把sfr弄到進不去，然後殺掉重新Download Image
08/25 08:55, 19F
→
08/25 08:55, , 20F
再丟進去 5506-X 重新來過，起動，更新。。
08/25 08:55, 20F
推
08/25 09:21, , 21F
sfr XD我上次也是弄好久才救起來XD
08/25 09:21, 21F
推
08/25 12:13, , 22F
static nat 跟實體 port 沒有關係
08/25 12:13, 22F
→
08/25 12:14, , 23F
應該是設定中會出現如
08/25 12:14, 23F
→
08/25 12:15, , 24F
static (inside,outside) 實體IP1 虛擬IP1 之類的對應
08/25 12:15, 24F
→
08/25 12:16, , 25F
實際設定跟 asa version 有關　所以請上網查設定
08/25 12:16, 25F
→
08/25 12:17, , 26F
關鍵字　asa static nat example
08/25 12:17, 26F
謝謝大家的回覆 這就去試試看 ※ 編輯: aiweisen (140.138.150.27), 08/25/2015 14:27:16
→
08/25 20:53, , 27F
沒甚麼好吐槽的阿,就買硬體不買服務 XD
08/25 20:53, 27F
推
08/26 07:48, , 28F
這樣就不需要SI的存在了啊...
08/26 07:48, 28F
→
08/26 07:48, , 29F
SI 就可以全部倒光光了
08/26 07:48, 29F
推
08/26 09:14, , 30F
第一推就已經講完答案了，在來NAT是對IP轉換會扯到實體
08/26 09:14, 30F
→
08/26 09:14, , 31F
port代表你最好從nat開始學
08/26 09:14, 31F
推
08/26 10:40, , 32F
8.3 以後 obj 很好用啊..
08/26 10:40, 32F
‣ 更多 aiweisen 的文章
文章代碼(AID): #1LsgzooH (Network)
Network 近期熱門文章
更多 近期熱門文章 >>
PTT數位生活區 即時熱門文章
更多 即時熱門文章 >>
‣ 更多 aiweisen 的文章
文章代碼(AID): #1LsgzooH (Network)