安全环境（Security Context）
1、安全环境概述
ASA从7.0版本开始支持虚拟防火墙，也称为单一设备内的安全环境。多环境与含有多个独立设备相似，每个环境具有自己的一套安全策略（NAT、ACL、路由等）。多环境模式几乎支持在独立设备上可配置的所有选项，但不支持某些特性，如VPN、动态路由选择协议等。
ASA 5505不支持多环境，5510及以上型号才支持多环境，但仅免费提供2个环境。
ASA默认处于单模式，要使用多环境需要切换到多模式。
（1）系统执行空间
当切换到多模式时，就进入了系统执行空间。系统执行空间用来进行一些全局性的配置，例如接口的物理特性、配置TRUNK、限制资源使用、创建环境等。
（2）环境特性
每个环境需要有一个名字、接口分配、配置文件用于存储配置和环境自身的配置。ASA会自动创建一个环境，叫做admin context，用于管理特性。
2 安全环境的配置
(1)切换到多模式
ciscoasa(config)# mode multiple
WARNING: This command will change the behavior of the device
WARNING: This command will initiate a Reboot
Proceed with change mode? [confirm] <ENTER>
Convert the system configuration? [confirm] <ENTER>
The old running configuration file will be written to disk0
The admin context configuration will be written to disk0
The new running configuration file was written to disk0
Security context mode: multiple
…………………………………………………….
切换到多模式后ASA需要重新启动。
重新启动后的默认配置如下。
ciscoasa# show run
: Saved
:
ASA Version 8.0(2) <system>
hostname ciscoasa
enable password 8Ry2YjIyt7RRXU24 encrypted
no mac-address auto
interface Ethernet0/0
shutdown
interface Ethernet0/1
shutdown
interface Ethernet0/2
shutdown
interface Ethernet0/3
shutdown
interface Management0/0
shutdown
class default
limit-resource All 0
limit-resource ASDM 5
limit-resource SSH 5
limit-resource Telnet 5
ftp mode passive
pager lines 24
no failover
asdm image disk0:/asdm-602.bin
no asdm history enable
arp timeout 14400
console timeout 0
admin-context admin
context admin
config-url disk0:/admin.cfg
prompt hostname context
Cryptochecksum:410be16e875b7302990a831a5d91aefd
: end
查看当前的模式
ciscoasa# show mode
Security context mode: multiple
(2)系统执行空间的配置
1）配置接口
接口是物理接口或子接口。从6.3版本开始支持TRUNK，但只支持802.1q封装。ASA 5510及以上型号配置TRUNK是通过子接口来实现的，ASA 5505不支持子接口。
配置示例
ciscoasa(config)# interface ethernet0/1
ciscoasa(config-subif)# no shutdown
ciscoasa(config)# interface ethernet0/1.10
ciscoasa(config-subif)# vlan 10
ciscoasa(config)# interface ethernet0/1.20
ciscoasa(config-subif)# vlan 20
2）共享接口的MAC地址
多环境可以共享同一个接口（物理接口或子接口），在这种情况下，每个环境应该为共享接口分配不同的MAC地址，可以手工分配也可以自动分配。
路由模式的多环境可以共享接口，透明模式不允许共享接口。
自动分配MAC地址的命令
ciscoasa(config)# mac-address auto
3）创建环境
切换到多模式后ASA自动创建admin context，在之前所述的默认配置中可以看到。根据需要，管理员可以创建其他的环境。
n 创建名为context_name的环境
ciscoasa(config)# context context_name
n 给环境分配接口
ciscoasa(confix-ctx)# allocate-interface physical_if_name[.subif] [map_name]
参数map_name允许为接口配置别名，用于在环境中使用。
n 指定配置文件
ciscoasa(config-ctx)# config-url URL
配置示例
ciscoasa(config)# context CTX1
ciscoasa(config-ctx)# allocate-interface ethernet0/1.10 int1
ciscoasa(config-ctx)# allocate-interface ethernet0/1.20 int2
ciscoasa(config-ctx)# config-url disk0:/CTX1.cfg
n 查看环境配置
ciscoasa# show context
4）限制资源使用
所有的环境都共享设备的资源，可以限制每个环境对资源的使用，防止各个环境相互影响。
资源限制使用类来定义，所有的环境都使用默认类，但可以为某个环境定义一个特定的类，它将覆盖默认类。
n 定义并配置类
ciscoasa(config)# class {default | resource_class_name}
ciscoasa(config-class)# limit-resource all 0
ciscoasa(config-class)# limit-resource asdm sessions
ciscoasa(config-class)# limit-resource ssh sessions
ciscoasa(config-class)# limit-resource telnet sessions
ciscoasa(config-class)# limit-resource hosts hosts
ciscoasa(config-class)# limit-resource mac-addresses addresses
ciscoasa(config-class)# limit-resource rate inspect inspects/second
ciscoasa(config-class)# limit-resource [rate] conns {conns | xx%}
ciscoasa(config-class)# limit-resource rate syslogs logs/second
ciscoasa(config-class)# limit-resource xlates {xlates | xx%}
limit-resource all 0表示所有资源不做限制。
Telnet和SSH默认最大的会话数为5个，MAC address默认最多65,535条目。
n 将自定义的类分配给某个环境
ciscoasa(config)# context context_name
ciscoasa(config-ctx)# member resource_class_name
配置示例
ciscoasa(config)# class resource-CTX1
ciscoasa(config-class)# limit-resource asdm 3
ciscoasa(config-class)# limit-resource ssh 3
ciscoasa(config-class)# limit-resource conns 40%
ciscoasa(config)# context CTX1
ciscoasa(config-ctx)# member resource-CTX1
(3)环境管理
一旦创建了环境，就可以切换到环境进行配置。
1）在系统执行空间和环境之间切换
ciscoasa# changeto {system | context context_name}
配置示例
ciscoasa# changeto context CTX1
ciscoasa/CTX1#
ciscoasa/CTX1# changeto system
ciscoasa#
2）保存配置
在特定环境中使用命令write memory或copy running-config startup-config只能保存当前环境的配置，要保存所有环境及系统执行空间的配置，需要在系统执行空间中使用以下命令。
ciscoasa# write memory all
3）删除环境
删除某个特定环境，需要在系统执行空间中使用以下命令。
ciscoasa(config)# no context context_name
要删除所有环境，可以使用命令clear configure context。
3 安全环境的配置案例
如图5.3所示，将ASA 5510配置为路由模式下的多环境，不同环境配置不同的策略。用于NAT转换的地址池为209.165.201.0/29。
图5.3 ASA多环境网络拓扑图
ASA 5510的配置步骤如下。
(1)切换到多模式
ciscoasa(config)# mode multiple
(2) 配置接口
ciscoasa(config)# interface e0/0
ciscoasa(config-if)# no shutdown
ciscoasa(config)# interface e0/1
ciscoasa(config-if)# no shutdown
ciscoasa(config)# interface e0/0.1
ciscoasa(config-subif)# vlan 2
ciscoasa(config)# interface e0/0.2
ciscoasa(config-subif)# vlan 4
ciscoasa(config)# interface e0/0.3
ciscoasa(config-subif)# vlan 6
ciscoasa(config)# interface e0/1.1
ciscoasa(config-subif)# vlan 3
ciscoasa(config)# interface e0/1.2
ciscoasa(config-subif)# vlan 5
ciscoasa(config)# interface e0/1.3
ciscoasa(config-subif)# vlan 7
ciscoasa(config-subif)# exit
(3) 创建环境
需要创建context1和context2，admin context已自动创建，只需分配接口。
ciscoasa(config)# context context1
ciscoasa(config?ctx)# allocate?interface Ethernet0/0.1 outside_context1
ciscoasa(config?ctx)# allocate?interface Ethernet0/1.1 inside_context1
ciscoasa(config?ctx)# config?url disk0:/context1.cfg
ciscoasa(config?ctx)# exit
ciscoasa(config)# context context2
ciscoasa(config?ctx)# allocate?interface Ethernet0/0.2 outside_context2
ciscoasa(config?ctx)# allocate?interface Ethernet0/1.2 inside_context2
ciscoasa(config?ctx)# config?url disk0:/context2.cfg
ciscoasa(config)# context admin
ciscoasa(config?ctx)# allocate?interface Ethernet0/0.3 outside_admin
ciscoasa(config?ctx)# allocate?interface Ethernet0/1.3 inside_admin
(4)配置Admin Context
ciscoasa(config)# changeto context admin
ciscoasa/admin(config)# interface outside_admin
ciscoasa/admin(config-if)# nameif outside
ciscoasa/admin(config-if)# security-level 0
ciscoasa/admin(config-if)# ip address 192.168.6.1 255.255.255.0
ciscoasa/admin(config-if)# no shutdown
ciscoasa/admin(config-if)# exit
ciscoasa/admin(config)# interface inside_admin
ciscoasa/admin(config-if)# nameif inside
ciscoasa/admin(config-if)# security-level 100
ciscoasa/admin(config-if)# ip address 192.168.7.1 255.255.255.0
ciscoasa/admin(config-if)# no shutdown
ciscoasa/admin(config-if)# exit
ciscoasa/admin(config)# route outside 0 0 192.168.6.2
ciscoasa/admin(config)# nat-control
ciscoasa/admin(config)# nat (inside) 1 0 0
ciscoasa/admin(config)# global (outside) 1 209.165.201.1
ciscoasa/admin(config)# access-list ACLoutside permit icmp any any
ciscoasa/admin(config)# access-group ACLoutside in interface outside
（5） 配置Context1 Context
ciscoasa/admin(config)# changeto context context1
ciscoasa/context1(config)# interface outside_context1
ciscoasa/context1(config-if)# nameif outside
ciscoasa/context1(config-if)# security-level 0
ciscoasa/context1(config-if)# ip address 192.168.2.1 255.255.255.0
ciscoasa/context1(config-if)# no shutdown
ciscoasa/context1(config-if)# exit
ciscoasa/context1(config)# interface inside_context1
ciscoasa/context1(config-if)# nameif inside
ciscoasa/context1(config-if)# security-level 100
ciscoasa/context1(config-if)# ip address 192.168.3.1 255.255.255.0
ciscoasa/context1(config-if)# no shutdown
ciscoasa/context1(config-if)# exit
ciscoasa/context1(config)# route outside 0 0 192.168.2.2
ciscoasa/context1(config)# nat-control
ciscoasa/context1(config)# nat (inside) 1 0 0
ciscoasa/context1(config)# global (outside) 1 209.165.201.2-209.165.201.4
（6）配置Context2 Context
ciscoasa/context1(config)# changeto context context2
ciscoasa/context2(config)# interface outside_context2
ciscoasa/context2(config-if)# nameif outside
ciscoasa/context2(config-if)# security-level 0
ciscoasa/context2(config-if)# ip address 192.168.4.1 255.255.255.0
ciscoasa/context2(config-if)# no shutdown
ciscoasa/context2(config-if)# exit
ciscoasa/context2(config)# interface inside_context2
ciscoasa/context2(config-if)# nameif inside
ciscoasa/context2(config-if)# security-level 100
ciscoasa/context2(config-if)# ip address 192.168.5.1 255.255.255.0
ciscoasa/context2(config-if)# no shutdown
ciscoasa/context2(config-if)# exit
ciscoasa/context2(config)# route outside 0 0 192.168.4.2
ciscoasa/context2(config)# nat-control
ciscoasa/context2(config)# nat (inside) 1 0 0
ciscoasa/context2(config)# global (outside) 1 209.165.201.5-209.165.201.6
ciscoasa/context2(config)# access-list INTERNET remark Inside users only access HTTP and HTTPS servers on the outside
ciscoasa/context2(config)# access-list INTERNET permit tcp any any eq http
ciscoasa/context2(config)# access-list INTERNET permit tcp any any eq https
ciscoasa/context2(config)# access-group INTERNET in interface inside
(7)保存配置
ciscoasa/context2(config)# changeto system
ciscoasa(config)# write memory all
(8) 其他配置及验证
1）边缘路由器的TRUNK接口也是通过配置子接口实现的，还需要分别配置指向地址池209.165.201.0/29的明细路由及访问Internet的默认路由。
2）验证在3台主机上均可访问Internet。
3）在ASA的系统执行空间中查看FLASH
ciscoasa# sh flash
………………………………………………
11 -rw- 1973 00:42:03 Sep 16 2009 old_running.cfg
12 -rw- 1733 07:52:20 Sep 16 2009 admin.cfg
15 -rw- 1680 07:52:21 Sep 16 2009 context1.cfg
18 -rw- 1680 07:52:23 Sep 16 2009 context2.cfg
可以看到每个环境保存的配置文件。其中old_running.cfg为自动保存的原单模式下的配置文件。
4）恢复到单模式
ciscoasa(config)# copy flash:old_running.cfg startup-config
ciscoasa(config)# mode single
然后ASA会重新启动。