ASA 5505 là firewall Cisco rẻ nhất để học CCNA Security hoặc làm tường lửa cho văn phòng rất nhỏ. Khác các dòng ASA lớn, 8 cổng của 5505 là cổng switch: địa chỉ IP đặt trên VLAN, còn cổng vật lý chỉ được gán vào VLAN. Cấu hình dưới đây đưa LAN ra internet với NAT, cấp DHCP và cho quản trị qua SSH.

Ba điều cần biết về ASA 5505

Phiên bản phần mềm: từ ASA 8.3, cú pháp NAT đổi hoàn toàn sang dạng object network. Máy chạy 8.2 trở xuống dùng cú pháp cũ nat/global (có ở cuối file). Bản cao nhất cho 5505 là 9.2.
License số máy: bản cơ bản chỉ cho 10 máy bên trong, ngoài ra có 50 máy và không giới hạn. Xem dòng Inside Hosts trong show version. Máy thứ 11 trở đi với license 10 sẽ không ra được internet.
VLAN thứ ba: license Base chỉ cho VLAN thứ ba (ví dụ DMZ) liên lạc một chiều; muốn dùng đủ cần license Security Plus.

Cấu hình đầy đủ

! =====================================================================
! CAU HINH MAU: Cisco ASA 5505 (phan mem ASA 8.3 tro len, ke ca 9.x)
! LAN ra internet: NAT, DHCP, SSH quan ly
! Nguon: https://thietbimangcu.com/cau-hinh-mau/
! - Ethernet0/0 = WAN, Ethernet0/1-0/7 = LAN.
! - ASA 8.2 tro xuong dung cu phap NAT cu (xem cuoi file). Kiem tra: show version
! - Doi MAT_KHAU_... truoc khi dan.
! =====================================================================
enable
configure terminal
!
hostname ASA-5505
enable password MAT_KHAU_ENABLE
username admin password MAT_KHAU_ADMIN privilege 15
!
! --- VLAN 1 = inside (LAN), VLAN 2 = outside (WAN) ---
interface Vlan1
 nameif inside
 security-level 100
 ip address 192.168.10.1 255.255.255.0
!
interface Vlan2
 nameif outside
 security-level 0
 ip address dhcp setroute
!
! (WAN la PPPoE thi thay dong "ip address dhcp setroute" bang:
!  vpdn group NHA-MANG request dialout pppoe
!  vpdn group NHA-MANG localname TEN_DANG_NHAP_PPPOE
!  vpdn group NHA-MANG ppp authentication pap
!  vpdn username TEN_DANG_NHAP_PPPOE password MAT_KHAU_PPPOE
!  interface Vlan2
!   pppoe client vpdn group NHA-MANG
!   ip address pppoe setroute )
!
interface Ethernet0/0
 switchport access vlan 2
 no shutdown
interface Ethernet0/1
 no shutdown
interface Ethernet0/2
 no shutdown
interface Ethernet0/3
 no shutdown
!
! --- NAT: LAN ra internet bang IP cong outside ---
object network LAN-NOI-BO
 subnet 192.168.10.0 255.255.255.0
 nat (inside,outside) dynamic interface
!
! --- DHCP cho LAN ---
! License 10 may chi cho dai DHCP toi da 32 dia chi; license 50 may la 128.
dhcpd address 192.168.10.100-192.168.10.131 inside
dhcpd dns 8.8.8.8 1.1.1.1
dhcpd enable inside
!
! --- Cho phep goi ping tra ve tu internet ---
policy-map global_policy
 class inspection_default
  inspect icmp
!
! --- SSH quan ly tu LAN ---
crypto key generate rsa modulus 2048
aaa authentication ssh console LOCAL
ssh 192.168.10.0 255.255.255.0 inside
ssh version 2
ssh timeout 30
!
end
write memory
!
! --- ASA 8.2 tro xuong: thay khoi "object network" bang ---
! nat (inside) 1 192.168.10.0 255.255.255.0
! global (outside) 1 interface
!
! --- Kiem tra ---
! show interface ip brief
! show route
! show xlate
! show dhcpd binding
! show version   (dong "Inside Hosts" cho biet license 10 / 50 / Unlimited)

Giải thích

security-level

ASA cho phép lưu lượng đi từ mức bảo mật cao xuống thấp (inside 100 ra outside 0) và tự cho phần trả lời quay về. Chiều ngược lại bị chặn trừ khi có ACL cho phép.

ip address dhcp setroute

Cổng WAN nhận IP từ modem và tự thêm đường mặc định. WAN là PPPoE thì dùng khối vpdn trong phần chú thích của file.

NAT bằng object network

Khai dải LAN thành một đối tượng và gắn luôn quy tắc NAT động theo IP cổng outside: cả LAN dùng chung một IP công cộng.

inspect icmp

Mặc định ASA không cho gói trả lời ping từ internet quay về, nên ping ra ngoài sẽ báo hết thời gian dù internet vẫn chạy. Bật inspect icmp để kiểm tra dễ hơn.

Dải DHCP

Với license 10 máy, ASA chỉ cho dải DHCP tối đa 32 địa chỉ, nên file mẫu dùng .100 đến .131.

Kiểm tra

show interface ip brief và show route: cổng outside có IP, có đường mặc định.
show xlate: thấy bản dịch NAT khi máy trong LAN truy cập web.
show dhcpd binding: các máy đã nhận địa chỉ.

Bài liên quan

Firewall đang có sẵn: Cisco ASA 5505, Cisco ASA 5520, Cisco ASA 5545-X. Xem thêm firewall cũ.

Nhận bảng giá và tin hàng mới về

Kiến thức mạng

Cấu hình mẫu Cisco ASA 5505 cơ bản: NAT, DHCP, SSH (ASA 8.3 trở lên)