[問答] cisco防火牆接法

[aiweisen (魯‧排骨宅)]

大家好

雖本身是資訊相關 但是領域不同 最近實驗室搞了一台cisco asa5506的防火牆

設定也設好了 但老闆看了我們接法 直說我們接法接錯了 改天把它弄正確


實驗室有被分配到兩條線(從系上的switch拉進來實驗室的)

而且有分配給我們13組實體ip 其中一組ip無流量限制

此外兩條線都是直接接上實驗室的switch

我們目前的其中一台的switch接法是這樣
           ____________________________________________________
系上       | 實驗室內
switch---- |-----------switch------------------ (指定無流量的ip,設定為outside)
           |          //|||\\                 |___  asa5506
           |       (直接在電腦上指定實體ip)         //|||\\\
           |                            (直接在電腦上設定虛擬ip或dhcp自動取得)
           |_______________________________________________________

也就是說

從系上接到我們實驗室的switch後,直接拉port連接在實驗室的電腦,手動設定實體ip

此外其中一個port拉給asa5506使用,並設定outside、inside,只保護asa5506底下的電腦。


但是現在 我們老闆說 防火牆順序放反了

應該是 系上的switch給的線 要先接到實驗室內的asa5506,

接著asa5506在接到實驗室內的switch,最後再由switch給底下的電腦使用


不過我這邊有一個問題就是 但是「switch(系上)-asa5506(LAB)-switch(LAB)」的接法

不就不能從實驗室內的switch分配實體給底下的電腦了?

因為目前asa5506用的是router模式,outside ip 不是只能給一組實體ip嗎?

然後再藉由inside 連到底下的設備(使用dhcp分配ip)


我想問的是 有辦法做到

「switch(系上)-asa5506(LAB)-switch(LAB)」的架構

在我們實驗室的電腦接上switch(LAB)後 仍然是可以設定其他實體IP上網嗎?

但這邊就有問題是 那麼outside ip會怎麼設?

我自己的想法是 是不是outside ip 可以設定一組實體ip的範圍

然後在內部電腦對應到outside的各組實體ip 然後連到外面的internet?




--
 作者  MicroGG (La new總冠軍)                              看板  Japan_Travel 
 標題  [問題] 溫泉旅館的兒童人頭算法?                                         
→ robler:問問題然後自稱拎背這樣好嗎 有點禮貌ok?
→ penan:骨科大 XD
→ MicroGG:你不懂，我有苦衷，我不說拎杯會被鄉民罵..
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.138.150.27
※ 文章網址: https://www.ptt.cc/bbs/Network/M.1440395122.A.C91.html
推 zaknafein: 直接回答倒數兩行　「可以」　請搜尋 static nat
→ zaknafein: 不過 outside interface 只能設一個 ip address
→ zaknafein: 其他主機是透過　一對一的 ip address mapping 達成
ASA5506有八個孔
那不就變成 g 0/1為outside(接一個無限流量的實體ip) g 0/2為inside(接出去switch)
switch底下就是用dhcp方式分配ip
然後asa5506的其他孔 每兩個孔為一組( g 0/3 跟g 0/4、g 0/5跟g 0/6、g 0/7跟g 0/8),
每組做static nat，分別為唯一個實體ip對應到另一個的虛擬ip

是這樣子嗎?
→ WandZarDeen: Transparent Mode?
推 asdfghjklasd: 管他什麼Mode ,為什麼你們買東西只買設備不買服務?
是asd大!
是這樣子的 一年保固是還在
只是想說問代理商的工程師之前 先做點功課(因為不熟cisco)
在指導上也比較快(沒有買人力服務，只有一般電話或mail指導)

因為之前經銷商打算派來的工程師因家庭因素提出辭職 現在還在徵人
其他地區的工程師也在忙 無法支援
臨時派的工程師水準也不是很好 沒有幫我設定好基本的防火牆(是在學的勤益大學生)
最後變成我自己跑去google國外的教學 才設定好

變成是說 乾脆找代理商還比較快
※ 編輯: aiweisen (140.138.150.27), 08/24/2015 19:10:30
→ deadwood: 該從何處開始吐槽...OTZ，買防火牆不用規劃一下架構?
→ deadwood: 回到正題，設定static nat的公有IP不必指定到port上
→ deadwood: 只需要在nat裡面設定要對應要轉換的私有IP
→ deadwood: 設定正確的話，ASA自然會把IP轉換得好好的
推 asdfghjklasd: 上面是好心人@@，還好你買的是思科。。
→ asdfghjklasd: SMARTNET 也只有5x8NBD 電話跟Email服務。。。
推 asdfghjklasd: 可能最後還是得怪我，因為是我推薦他買5506-X..
→ deadwood: 不過ASA的nat對初學者來講可能會弄到靠杯靠目....
推 asdfghjklasd: 我拿到的第一天，從晚上十點設到早上５點才把我要的
→ asdfghjklasd: 弄好設好。。。
→ asdfghjklasd: 要是用HP MSR ROuter 我只要５分鐘。。
推 shuinedu: asdf大大要了什麼   怎麼花這麼久的時間....
推 asdfghjklasd: 基本上就是 Static NAT，開 Port，弄VPN，不小心
→ asdfghjklasd: 把sfr弄到進不去，然後殺掉重新Download Image
→ asdfghjklasd: 再丟進去 5506-X 重新來過，起動，更新。。
推 littlecut: sfr XD我上次也是弄好久才救起來XD
推 zaknafein: static nat 跟實體 port 沒有關係
→ zaknafein: 應該是設定中會出現如
→ zaknafein: static (inside,outside) 實體IP1 虛擬IP1 之類的對應
→ zaknafein: 實際設定跟 asa version 有關　所以請上網查設定
→ zaknafein: 關鍵字　asa static nat example
謝謝大家的回覆 這就去試試看
※ 編輯: aiweisen (140.138.150.27), 08/25/2015 14:27:16
→ flyiii: 沒甚麼好吐槽的阿,就買硬體不買服務 XD
推 asdfghjklasd: 這樣就不需要SI的存在了啊...
→ asdfghjklasd: SI 就可以全部倒光光了
推 b325019: 第一推就已經講完答案了，在來NAT是對IP轉換會扯到實體
→ b325019: port代表你最好從nat開始學
推 asdfghjklasd: 8.3 以後 obj 很好用啊..