作者aiweisen (魯‧排骨宅)
看板Network
標題[問答] cisco防火牆接法
時間Mon Aug 24 13:45:18 2015
大家好
雖本身是資訊相關 但是領域不同 最近實驗室搞了一台cisco asa5506的防火牆
設定也設好了 但老闆看了我們接法 直說我們接法接錯了 改天把它弄正確
實驗室有被分配到兩條線(從系上的switch拉進來實驗室的)
而且有分配給我們13組實體ip 其中一組ip無流量限制
此外兩條線都是直接接上實驗室的switch
我們目前的其中一台的switch接法是這樣
____________________________________________________
系上 | 實驗室內
switch---- |-----------switch------------------ (指定無流量的ip,設定為outside)
| //|||\\ |___ asa5506
| (直接在電腦上指定實體ip) //|||\\\
| (直接在電腦上設定虛擬ip或dhcp自動取得)
|_______________________________________________________
也就是說
從系上接到我們實驗室的switch後,直接拉port連接在實驗室的電腦,手動設定實體ip
此外其中一個port拉給asa5506使用,並設定outside、inside,只保護asa5506底下的電腦。
但是現在 我們老闆說 防火牆順序放反了
應該是 系上的switch給的線 要先接到實驗室內的asa5506,
接著asa5506在接到實驗室內的switch,最後再由switch給底下的電腦使用
不過我這邊有一個問題就是 但是「switch(系上)-asa5506(LAB)-switch(LAB)」的接法
不就不能從實驗室內的switch分配實體給底下的電腦了?
因為目前asa5506用的是router模式,outside ip 不是只能給一組實體ip嗎?
然後再藉由inside 連到底下的設備(使用dhcp分配ip)
我想問的是 有辦法做到
「switch(系上)-asa5506(LAB)-switch(LAB)」的架構
在我們實驗室的電腦接上switch(LAB)後 仍然是可以設定其他實體IP上網嗎?
但這邊就有問題是 那麼outside ip會怎麼設?
我自己的想法是 是不是outside ip 可以設定一組實體ip的範圍
然後在內部電腦對應到outside的各組實體ip 然後連到外面的internet?
--
作者 MicroGG (La new總冠軍) 看板 Japan_Travel
標題 [問題] 溫泉旅館的兒童人頭算法?
1F：→ robler:問問題然後自稱拎背這樣好嗎 有點禮貌ok?04/11 16:32
2F：→ penan:骨科大 XD04/11 16:34
3F：→ MicroGG:你不懂，我有苦衷，我不說拎杯會被鄉民罵..04/11 16:36
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.138.150.27
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Network/M.1440395122.A.C91.html
4F：推 zaknafein: 直接回答倒數兩行 「可以」 請搜尋 static nat 08/24 13:55
5F：→ zaknafein: 不過 outside interface 只能設一個 ip address 08/24 13:56
6F：→ zaknafein: 其他主機是透過 一對一的 ip address mapping 達成 08/24 13:56
ASA5506有八個孔
那不就變成 g 0/1為outside(接一個無限流量的實體ip) g 0/2為inside(接出去switch)
switch底下就是用dhcp方式分配ip
然後asa5506的其他孔 每兩個孔為一組( g 0/3 跟g 0/4、g 0/5跟g 0/6、g 0/7跟g 0/8),
每組做static nat，分別為唯一個實體ip對應到另一個的虛擬ip
是這樣子嗎?
7F：→ WandZarDeen: Transparent Mode? 08/24 13:59
8F：推 asdfghjklasd: 管他什麼Mode ,為什麼你們買東西只買設備不買服務? 08/24 18:13
是asd大!
是這樣子的 一年保固是還在
只是想說問代理商的工程師之前 先做點功課(因為不熟cisco)
在指導上也比較快(沒有買人力服務，只有一般電話或mail指導)
因為之前經銷商打算派來的工程師因家庭因素提出辭職 現在還在徵人
其他地區的工程師也在忙 無法支援
臨時派的工程師水準也不是很好 沒有幫我設定好基本的防火牆(是在學的勤益大學生)
最後變成我自己跑去google國外的教學 才設定好
變成是說 乾脆找代理商還比較快
※ 編輯: aiweisen (140.138.150.27), 08/24/2015 19:10:30
9F：→ deadwood: 該從何處開始吐槽...OTZ，買防火牆不用規劃一下架構? 08/24 21:20
10F：→ deadwood: 回到正題，設定static nat的公有IP不必指定到port上 08/24 21:27
11F：→ deadwood: 只需要在nat裡面設定要對應要轉換的私有IP 08/24 21:28
12F：→ deadwood: 設定正確的話，ASA自然會把IP轉換得好好的 08/24 21:29
13F：推 asdfghjklasd: 上面是好心人@@，還好你買的是思科。。 08/24 21:42
14F：→ asdfghjklasd: SMARTNET 也只有5x8NBD 電話跟Email服務。。。 08/24 21:43
15F：推 asdfghjklasd: 可能最後還是得怪我，因為是我推薦他買5506-X.. 08/24 21:46
16F：→ deadwood: 不過ASA的nat對初學者來講可能會弄到靠杯靠目.... 08/24 21:54
17F：推 asdfghjklasd: 我拿到的第一天，從晚上十點設到早上５點才把我要的 08/24 22:30
18F：→ asdfghjklasd: 弄好設好。。。 08/24 22:31
19F：→ asdfghjklasd: 要是用HP MSR ROuter 我只要５分鐘。。 08/24 22:31
20F：推 shuinedu: asdf大大要了什麼 怎麼花這麼久的時間.... 08/24 22:42
21F：推 asdfghjklasd: 基本上就是 Static NAT，開 Port，弄VPN，不小心 08/25 08:54
22F：→ asdfghjklasd: 把sfr弄到進不去，然後殺掉重新Download Image 08/25 08:55
23F：→ asdfghjklasd: 再丟進去 5506-X 重新來過，起動，更新。。 08/25 08:55
24F：推 littlecut: sfr XD我上次也是弄好久才救起來XD 08/25 09:21
25F：推 zaknafein: static nat 跟實體 port 沒有關係 08/25 12:13
26F：→ zaknafein: 應該是設定中會出現如 08/25 12:14
27F：→ zaknafein: static (inside,outside) 實體IP1 虛擬IP1 之類的對應 08/25 12:15
28F：→ zaknafein: 實際設定跟 asa version 有關 所以請上網查設定 08/25 12:16
29F：→ zaknafein: 關鍵字 asa static nat example 08/25 12:17
謝謝大家的回覆 這就去試試看
※ 編輯: aiweisen (140.138.150.27), 08/25/2015 14:27:16
30F：→ flyiii: 沒甚麼好吐槽的阿,就買硬體不買服務 XD 08/25 20:53
31F：推 asdfghjklasd: 這樣就不需要SI的存在了啊... 08/26 07:48
32F：→ asdfghjklasd: SI 就可以全部倒光光了 08/26 07:48
33F：推 b325019: 第一推就已經講完答案了，在來NAT是對IP轉換會扯到實體 08/26 09:14
34F：→ b325019: port代表你最好從nat開始學 08/26 09:14
35F：推 asdfghjklasd: 8.3 以後 obj 很好用啊.. 08/26 10:40