实验环境：
IOS版本：12.2i防火墙模块操作系统版本：3.1防火墙模块模式：路由模式和透明模式
网络拓扑图：
我们把vlan 7 和vlan 9 分别作为内部和外部接口，而vlan 8作为DMZ接口。我们通过vlan 5 与交换机连接
步骤1.把VLAN划分到防火墙模块中
7609(config)#firewall vlan-group 1 7-9 /*把vlan7-9划分到vlan-group 1中
7609(config)#firewall module 3 vlan-group /*把 vlan-group 1 划分到 module 3中（即防火墙模块，有可能有2块）
步骤2.把SVI口划分到交换机中，如果相应的vlan需要路由的话，如果不需要路由则不需要. 7609(config)#inter vlan
自动升降器7609(config-if)#ip addr 10.1.3.2 255.255.255.0 /*这样就可以以把vlan 7的流量路由到其他VLAN中了。
步骤3.登陆到防火墙模块
7609#session slot 3 processor 1 /* 3代表防火墙模块
步骤4.选择单context或者多context模式
FWSW(config)#mode single /* 这里我选择单context模式，不管单模式还是多模式，配置文件都需要指定，但是后面的配置实例在单模式下是不需要指定的。
步骤5.配置context
/* 我这里选择是单模式，所以不需要配置。在配置多模式的时候再讨论
步骤6.在context模式和系统模式下切换
/* 我这里选择是单模式，所以不需要配置。在配置多模式的时候再讨论
FWSW配置路由模式时：
步骤7.配置路由或者透明模式
FWSW(config)#no firewall transparent /* 默认就是路由模式，所以在这里不需要修改/
步骤8.在路由模式下配置接口
FWSW(config)#inter vlan 7
FWSW(config-if)#ip addr 10.1.3.1 255.255.255.0
FWSW(config-if)#nameif inside
FWSW(config-if)#security-level
FWSW(config)#inter vlan 8
FWSW(config-if)#ip addr 192.168.1.1 255.255.255.0
FWSW(config-if)#nameif DMZ
FWSW(config-if)#security-level 50
FWSW(config)#inter vlan 9
FWSW(config-if)#ip addr 202.95.15.26 255.255.255.252
FWSW(config-if)#nameif outside
FWSW(config-if)#security-level 0
步骤9.配置路由
FWSW(config)#route 0 0 202.95.15.25
FWSW(config)#route 10.1.1.0 10.1.3.2
FWSW(config)#route 10.1.2.0 10.1.3.2
步骤10.配置NAT#
FWSW(config)#access-list to_internet permit ip 10.1.1.0 255.255.255.0 any
FWSW(config)#access-list to_internet permit ip 10.1.2.0 255.255.255.0 any
FWSW(config)#nat (inside) 1 access-list to_internet
FWSW(config)#global (outside) 1 interface0
FWSW(config)#static (inside,outside) tcp 202.95.15.26 80 192.168.1.2 80
access-list webserver permit tcp any 202.95.15.26 80
access-group webserver in interface outside
交换机配置：
7609(config)#inter vlan 5
7609(config-if)#ip addr 10.1.2.1 255.255.255.0
7609(config)#inter vlan 6
7609(config-if)#ip addr 10.1.1.1 255.255.255.0
7609(config)#inter vlan 7
7609(config-if)#ip addr 10.1.3.2 255.255.255.0 /*把SVI划到MSFC中，这样就可以就可以路由VLAN之间的流量了
7609(config)#ip route 0.0.0.0 0.0.0.0 10.1.3.1
FWSW配置透明模式时：
步骤7.配置路由或者透明模式
FWSW(config)#firewall transparent
步骤8.无焰泄爆装置在透明模式下配置接口
FWSW(config)#inter vlan 7灭蚊机
FWSW(config-if)#bridge-group 10
FWSW(config-if)#nameif inside
FWSW(config-if)#security-level 100
FWSW(config)#inter bvi 10
FWSW(config)#inter vlan 9
FWSW(config-if)#bridge-group 10
FWSW(config-if)#nameif outside
FWSW(config-if)#security-level 0
FWSW(config)#inter bvi 10 /*前面定义的组
FWSW(config-if)#ip addr 202.15.25.2 255.255.255.0 /*管理IP地址
注意：在定义group的IP地址时候不要把子网划分少于3个IP地址，因为默认防火墙会过滤这个第一个和最后一个IP地址的.
步骤9.配置路由
/*假设对端ip地址是202.15.25.1 group ip为202.15.25.2 MSFC对应IP202.15.25.3
FWSW(config)#route 0 0 202.95.15.1
/
*一般不需要访问外部网络
FWSW(config)#route 10.1.1.0 202.95.15.3 FWSW(config)#route 10.1.2.0 202.95.15.3 步骤10.放行相应的流量
交换机配置:
7609(config)#inter vlan 5
7609(config-if)#ip addr 10.1.2.1 255.255.255.023IR
7609(config)#inter vlan 6
7609(config-if)#ip addr 10.1.1.1 255.255.255.0
7609(config)#inter vlan 7
7609(config-if)#ip addr 202.95.15.3 255.255.255.0
7609(config)#ip route 0.0.0.0 0.0.0.0 202.95.15.1
gabby网友的FWSM泄洪道配置注意点以及心得：
1、FWSM与pix和ASA不同，默认FWSM不允许ping虚拟防火墙的任何端口，若想让ping,需要必须在端口上打 开(icmp permit any inside/outside)；
PS:本人吃过大亏,升级OS时死活ping不同FTP SERVER,搞了好久才发现FWSM有这特性,汗!!!
2、FWSM与pix和ASA的另一个不同是：默认FWSM不允许从安全级别高的端口到安全级别底网络的访问，除非用acl明确允许（从安全级别高到安全级别底方向的访问也需要写acl并应用到高安全 级别端口上明确允许，才能访问）；而pix和asa默认是允许许从安全级别高的端口到安全级别底网络的访问，并不需要写acl应用到高安全级别端口明确允许；
注意!!!在same-security permit打开的情况下，ASA默认允许同一安全等级访问,而不需要ACLsds聚丙烯酰胺凝胶电泳放行
3,7.0和FWSM,ACL可以写OUT方向了,6.3不可以
4.7.0和手机天线弹片FWSM允许同一安全等级的接口之间互相访问,可以通过same-security-traffic permit inter-interface解决.6.3不可以
5,FWSM默认只支持两个security context(不包括 admin context)。这和ASA一样
6,从single 转换成 multiple模式时，有时输入mode multiple防火墙模块自动重起后，使用show mode 命令查看时仍然显示为single模式，需多次输入命令mode multiple时,才能转换成multiple context模式(用show mode命令会显示)，这个现象比较怪，版本为2.3(3)。
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议