(ASA) Cisco Web *** 配置詳解 [三部曲之一]注意：本文僅對Web***特性和配置作介紹，不包含SSL ***配置，SSL ***配置將在本版的後續文章中進行介紹。 首先，先來談一談ASA7.X系統中的默認隧道組和組策略。 ASA/PIX 7.x系統默認在show run時不顯示默認組策略和默認隧道組，只有使用ASDM才能看到。(感慨就兩個字: BT) 下面列出在ASDM中看到的默認值： 默認IPSec-l2l隧道組: DefaultL2LGroup 默認IPSec-ra隧道組: DefaultRAGroup 默認Web***隧道組: DefaultWEB***Group 默認組策略: DfltGrpPolicy 默認組策略的默認隧道協議: IPSec-l2l 可以在命令行中直接對以上隧道組和組策略進行編輯，ASA在加載Web***時默認採用DefaultWEB***Group，用戶自定義的Web***組必須在啓動 “tunnel-group-list”和“group-alias” 後纔會出現。 在下面的例子中，我沒有使用ASA的默認隧道組，所以會有tunel-group-list和group-alias配置出現。 1、Web***服務基本配置。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ciscoasa(config)# int e0/0 ciscoasa(config-if)# ip address 198.1.1.1 255.255.255.0 ciscoasa(config-if)# nameif outside INFO: Security level for "outside" set to 0 by default. ciscoasa(config-if)# no shut ciscoasa(config-if)# exit ! ciscoasa(config)# int e0/1 ciscoasa(config-if)# ip add 10.10.1.1 255.255.255.0 ciscoasa(config-if)# nameif inside INFO: Security level for "inside" set to 100 by default. ciscoasa(config-if)# no sh ciscoasa(config-if)# exit ! ciscoasa(config)# web*** ciscoasa(config-web***)# enable outside !在外網接口上啓動Web*** ! －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ciscoasa(config)# group-policy myweb***-group-policy ? configure mode commands/options: external Enter this keyword to specify an external group policy internal Enter this keyword to specify an internal group policy !此處需要選擇組策略的類型，因爲我們是將策略配置在ASA本地的，所以選擇Internal。 ! ciscoasa(config)# group-policy myweb***-group-policy internal !創建了一個名爲myweb***-group-policy的Internal類型Policy。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ! ciscoasa(config)# group-policy myweb***-group-policy ? configure mode commands/options: attributes Enter the attributes sub-command mode external Enter this keyword to specify an external group policy internal Enter this keyword to specify an internal group policy !組策略一旦創建，命令行參數中就會多出attributes選項，這是用於後面定義具體的組策略用的，目前可以保留爲空。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ! ciscoasa(config)# username steve6307 password cisco !創建一個本地用戶 ciscoasa(config)# username steve6307 attributes ciscoasa(config-username)# ***-group-policy myweb***-group-policy !將用戶加入剛纔創建的***策略組中 注意：ASA也支持爲每用戶定義單獨的策略，即不用將用戶加入特定的***策略組，直接賦予策略（俗曰“權限”）。 注意：不過這是不推薦的，因爲這樣配置的可擴展性太差。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ! ciscoasa(config)# tunnel-group myweb***-group type web*** !創建一個名爲myweb***-group的web***隧道組。 ! ciscoasa(config)# tunnel-group myweb***-group general-attributes ciscoasa(config-tunnel-general)# authentication-server-group LOCAL !定義該隧道組用戶使用的認證服務器，這裏爲本地認證 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ciscoasa(config)# web*** ciscoasa(config-web***)# tunnel-group-list enable !啓動組列表，讓用戶在登陸的時候可以選擇使用哪個組進行登陸 ! ciscoasa(config)# tunnel-group myweb***-group web***-attributes ciscoasa(config-tunnel-web***)# group-alias group1 enable !爲改組定義別名，用於顯示給用戶進行選擇。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ ! !到此爲止，Web***基本配置完畢，可以開始讓外網用戶使用瀏覽器測試了。 2、Web***測試。 本例中使用FireFox瀏覽器進行測試（測試功能嘛，最好不要用IE）。 在瀏覽器中輸入[url]https://198.1.1.1[/url]即可訪問到Web***主頁。 由於只定義了一個Web***隧道組，因此，在group列表的下拉菜單中只有一個選擇：group1。 Web***擴展功能在實現Web***的基本功能以後，我們來看看Web***的擴展功能。主要包含以下三部分： 1、文件服務器瀏覽 2、自定義url-list 3、port-forward 1、文件服務器瀏覽 File-access功能可以讓Web***用戶使用windows共享來訪問內網的Windows文件服務器。 用戶要使用File-access功能，必須具備file-access file-entry file-browsing權限。 注意：用戶默認具備url-entry權限，即可以用url訪問內網的web網頁。 ciscoasa(config)# group-policy myweb***-group-policy attributes ciscoasa(config-group-policy)# web*** ciscoasa(config-group-web***)# functions url-entry file-access file-entry file-browsing 測試： 重新登陸Web***，可以看到以下界面： 輸入\\10.10.1.2以後可以訪問到內網的共享資源。 2、自定義url-list ciscoasa(config)# url-list mylist "Test Home Page" [url]http://10.10.1.2[/url] ciscoasa(config)# url-list mylist "Test Site 2" [url]http://10.10.1.3[/url] ! ciscoasa(config)# group-policy myweb***-group-policy attributes ciscoasa(config-group-web***)# url-list value mylist 測試： 重新登陸Web***，可以在首頁上看到預定義的url列表。 3、自定義port-forward port-forward可以讓Web***用戶在外網通過Web***使用內網的非HTTP服務。 ciscoasa(config)# port-forward port-forward-list 2323 10.10.1.2 23 ciscoasa(config)# group-policy myweb***-group-policy attributes ciscoasa(config-group-policy)# web*** ciscoasa(config-group-web***)# functions url-entry file-access file-entry file-browsing port-forward ciscoasa(config-group-web***)# port-forward value port-forward-list 經過上面的配置以後，Web***用戶加載Web***提供的JAVA App，就可以通過telnet到自身的2323端口登陸到內網服務器的23端口。 測試： 重新登陸Web***，界面如下： 最後給出show run，全文完。 ciscoasa# sh run : Saved : ASA Version 7.2(1)24 ! hostname ciscoasa enable password 8Ry2YjIyt7RRXU24 encrypted names ! interface Ethernet0/0 nameif outside security-level 0 ip address 198.1.1.1 255.255.255.0 ! interface Ethernet0/1 nameif inside security-level 100 ip address 10.10.1.1 255.255.255.0 ! interface Ethernet0/2 shutdown no nameif no security-level no ip address ! interface Management0/0 shutdown no nameif no security-level no ip address ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive pager lines 24 mtu outside 1500 mtu inside 1500 asdm image disk0:/asdm521-54.bin no asdm history enable arp timeout 14400 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00 timeout uauth 0:05:00 absolute port-forward port-forward-list 2323 10.10.1.2 telnet group-policy myweb***-group-policy internal group-policy myweb***-group-policy attributes web*** functions url-entry file-access file-entry file-browsing port-forward url-list value mylist port-forward value port-forward-list username steve6307 password Dt4qNrv3ojM/D.Cn encrypted username steve6307 attributes ***-group-policy myweb***-group-policy no snmp-server location no snmp-server contact snmp-server enable traps snmp authentication linkup linkdown coldstart tunnel-group myweb***-group type web*** tunnel-group myweb***-group web***-attributes group-alias group1 enable telnet timeout 5 ssh timeout 5 console timeout 0 ! ! web*** enable outside url-list mylist "Test Home Page" [url]http://10.10.1.2[/url] 1 url-list mylist "Test Site 2" [url]http://10.10.1.3[/url] 2 port-forward port-forward-list 2323 10.10.1.2 telnet tunnel-group-list enable prompt hostname context Cryptochecksum:00000000000000000000000000000000 |
(ASA) Cisco Web *** 配置詳解 [三部曲之一]
(ASA) Cisco Web *** 配置詳解 [三部曲之一]注意：本文僅對Web***特性和配置作介紹，不包含SSL ***配置，SSL ***配置將在本版的後續文章中進行介紹。 |
發表評論
所有評論
還沒有人評論，想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.