جدول العناوين

Device	Interface	IP Address	Subnet Mask	Default Gateway
R1	G0/0	209.165.200.225	255.255.255.248	N/A
R1	S0/0/0 (DCE)	10.1.1.1	255.255.255.252	N/A
R2	S0/0/0	10.1.1.2	255.255.255.252	N/A
R2	S0/0/1 (DCE)	10.2.2.2	255.255.255.252	N/A
R3	G0/1	172.16.3.1	255.255.255.0	N/A
R3	S0/0/1	10.2.2.1	255.255.255.252	N/A
ASA	G1/1	209.165.200.226	255.255.255.248	N/A
	G1/2	192.168.1.1	255.255.255.0	N/A
	G1/3	192.168.2.1	255.255.255.0	N/A
DMZ Server	NIC	192.168.2.3	255.255.255.0	192.168.2.1
PC-B	NIC	192.168.1.3	255.255.255.0	192.168.1.1
PC-C	NIC	172.16.3.3	255.255.255.0	172.16.3.1

الأهداف

الجزء 1: التحقق من الاتصال واستكشاف جهاز ASA
الجزء 2: الإعدادات الأساسية ومستويات أمن الواجهات
الجزء 3: التوجيه وترجمة العناوين وسياسة الفحص
الجزء 4: DHCP وAAA وSSH
الجزء 5: منطقة DMZ وStatic NAT وقوائم ACL

السيناريو

لشركتك موقع واحد متصل بمزود خدمة الإنترنت (ISP). يمثل R1 جهاز العميل الذي يديره المزود، وR2 راوترًا وسيطًا في الإنترنت، وR3 مزودًا يصل منه مسؤول شركة إدارة شبكات خارجية (PC-C) لإدارة شبكتك عن بُعد.

جهاز ASA 5506-X هو جهاز الأمن على حافة الشبكة: يربط الشبكة الداخلية ومنطقة DMZ بالمزود، ويقدّم NAT وDHCP للأجهزة الداخلية. خصّص المزود نطاق العناوين العامة 209.165.200.224/29.

مستويات الأمن: يسمح ASA افتراضيًا بالحركة من واجهة مستواها أعلى إلى واجهة أقل (INSIDE 100 → OUTSIDE 0)، ويمنع العكس إلا بقائمة ACL. ويتتبّع الاتصالات فيسمح بالردود العائدة تلقائيًا (TCP وUDP، وICMP عند تفعيل inspect icmp).

الراوترات: كلمة enable ciscoenpa55 · console ciscoconpa55 · المستخدم admin / adminpa55

الجزء 1: التحقق من الاتصال واستكشاف ASA

الخطوة 1: التحقق من الاتصال

ASA غير مضبوط بعد، أما الراوترات والحواسيب والخادم فمضبوطة. تحقق أن PC-C يصل بـ ping إلى أي واجهة راوتر، ولا يصل إلى ASA أو PC-B أو خادم DMZ.

الخطوة 2: الإصدار والواجهات والترخيص

ciscoasa> show version

الخطوة 3: نظام الملفات ومحتوى الذاكرة

ادخل إلى الوضع المميز. لم تُضبط كلمة مرور بعد، فاضغط Enter عند طلبها.

ciscoasa> enable
Password:
ciscoasa# show file system
ciscoasa# show flash:

الجزء 2: الإعدادات الأساسية ومستويات أمن الواجهات

أوامر ASA قريبة جدًا من IOS، والتنقل بين أوضاع الإعداد مماثل. ويمكن تنفيذ أغلب أوامر show وping من أي وضع إعداد دون do.

الخطوة 1: اسم الجهاز واسم المجال

ciscoasa# configure terminal
ciscoasa(config)# hostname NETSEC-ASA
NETSEC-ASA(config)# domain-name netsec.com

الخطوة 2: كلمة مرور الوضع المميز

NETSEC-ASA(config)# enable password ciscoenpa55

الخطوة 3: التاريخ والوقت (غير مقيّم)

NETSEC-ASA# clock set 14:25:00 oct 22 2026

الخطوة 4: واجهتا INSIDE وOUTSIDE

اضبط الآن G1/1 (OUTSIDE) وG1/2 (INSIDE) فقط، وتُضبط G1/3 (DMZ) في الجزء 5.

NETSEC-ASA(config)# interface g1/1
NETSEC-ASA(config-if)# nameif OUTSIDE
NETSEC-ASA(config-if)# ip address 209.165.200.226 255.255.255.248
NETSEC-ASA(config-if)# security-level 0
NETSEC-ASA(config-if)# no shutdown
NETSEC-ASA(config-if)# interface g1/2
NETSEC-ASA(config-if)# nameif INSIDE
NETSEC-ASA(config-if)# ip address 192.168.1.1 255.255.255.0
NETSEC-ASA(config-if)# security-level 100
NETSEC-ASA(config-if)# no shutdown
NETSEC-ASA(config-if)# exit
NETSEC-ASA(config)# show interface ip brief
NETSEC-ASA(config)# show ip address

الأمر show interface ip brief في ASA يختلف عن show ip interface brief في IOS.

الخطوة 5: اختبار الاتصال بـ ASA

من PC-B نفّذ ping إلى واجهة INSIDE (192.168.1.1): يجب أن ينجح.
من PC-B نفّذ ping إلى واجهة OUTSIDE (209.165.200.226): يجب أن يفشل، فـ ASA لا يرد إلا على عنوان الواجهة التي وصلت منها الحزمة.

الجزء 3: التوجيه وترجمة العناوين وسياسة الفحص

الخطوة 1: مسار افتراضي

NETSEC-ASA(config)# route OUTSIDE 0.0.0.0 0.0.0.0 209.165.200.225
NETSEC-ASA(config)# show route
NETSEC-ASA(config)# ping 10.1.1.1

الخطوة 2: ترجمة PAT باستخدام كائن شبكة

يفصل ASA الإعداد إلى جزء الكائن الذي يحدد الشبكة المترجمة، وجزء أمر nat، ويظهران في مكانين مختلفين من الإعدادات الجارية.

NETSEC-ASA(config)# object network INSIDE-NET
NETSEC-ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0
NETSEC-ASA(config-network-object)# nat (INSIDE,OUTSIDE) dynamic interface
NETSEC-ASA(config-network-object)# exit
NETSEC-ASA(config)# show running-config

من PC-B نفّذ ping إلى 209.165.200.225 (R1 G0/0): سيفشل. ثم نفّذ على ASA:

NETSEC-ASA# show nat
NETSEC-ASA# show xlate

لماذا فشل ping رغم أن الطلبات تُرجمت وخرجت؟

الإجابة النموذجية

خرجت طلبات Echo مترجمة إلى عنوان واجهة OUTSIDE، لكن ردود Echo Reply القادمة من واجهة أقل أمنًا منعتها سياسة ASA، لأن ICMP لا يُتتبّع افتراضيًا (لا يوجد inspect icmp في global_policy).

لو أضفت inspect icmp إلى policy-map global_policy تحت class inspection_default لنجح ping، لأن ASA سيتتبع طلبات ICMP ويسمح بردودها. هذا اختياري وغير مقيّم.

الجزء 4: DHCP وAAA وSSH

الخطوة 1: ASA خادم DHCP

NETSEC-ASA(config)# dhcpd address 192.168.1.5-192.168.1.36 INSIDE
NETSEC-ASA(config)# dhcpd dns 209.165.201.2 interface INSIDE
NETSEC-ASA(config)# dhcpd enable INSIDE

غيّر إعداد PC-B من عنوان ثابت إلى DHCP، وتحقق أنه حصل على عنوان من النطاق.

الخطوة 2: AAA بقاعدة البيانات المحلية

NETSEC-ASA(config)# username admin password adminpa55
NETSEC-ASA(config)# aaa authentication ssh console LOCAL

الخطوة 3: الوصول البعيد إلى ASA

المفاتيح موجودة مسبقًا على ASA، فأجب بـ no عند السؤال عن استبدالها:

NETSEC-ASA(config)# crypto key generate rsa modulus 1024
WARNING: You have a RSA keypair already defined named <Default-RSA-Key>.
Do you really want to replace them? [yes/no]: no
ERROR: Failed to create new RSA keys named <Default-RSA-Key>

اسمح بـ SSH من كل الشبكة الداخلية، ومن مضيف الإدارة البعيد 172.16.3.3 على OUTSIDE، واجعل مهلة SSH عشر دقائق:

NETSEC-ASA(config)# ssh 192.168.1.0 255.255.255.0 INSIDE
NETSEC-ASA(config)# ssh 172.16.3.3 255.255.255.255 OUTSIDE
NETSEC-ASA(config)# ssh timeout 10

جرّب الاتصال:

PC-C> ssh -l admin 209.165.200.226
PC-B> ssh -l admin 192.168.1.1

الجزء 5: منطقة DMZ وStatic NAT وقوائم ACL

العنوانان 209.165.200.225 و.226 مستخدمان لـ R1 وواجهة OUTSIDE، فسيُستخدم العنوان العام 209.165.200.227 مع Static NAT للوصول إلى الخادم.

الخطوة 1: واجهة DMZ

NETSEC-ASA(config)# interface g1/3
NETSEC-ASA(config-if)# ip address 192.168.2.1 255.255.255.0
NETSEC-ASA(config-if)# nameif DMZ
INFO: Security level for "DMZ" set to 0 by default.
NETSEC-ASA(config-if)# security-level 70
NETSEC-ASA(config-if)# no shutdown
NETSEC-ASA(config-if)# exit

الخطوة 2: Static NAT لخادم DMZ

NETSEC-ASA(config)# object network DMZ-SERVER
NETSEC-ASA(config-network-object)# host 192.168.2.3
NETSEC-ASA(config-network-object)# nat (DMZ,OUTSIDE) static 209.165.200.227
NETSEC-ASA(config-network-object)# exit

الخطوة 3: قائمة ACL للوصول إلى الخادم من الإنترنت

NETSEC-ASA(config)# access-list OUTSIDE-DMZ permit icmp any host 192.168.2.3
NETSEC-ASA(config)# access-list OUTSIDE-DMZ permit tcp any host 192.168.2.3 eq 80
NETSEC-ASA(config)# access-group OUTSIDE-DMZ in interface OUTSIDE

بخلاف قوائم IOS، تسمح قائمة ASA بالعنوان الداخلي الخاص للخادم: يصل المستخدم الخارجي إلى العنوان العام، فيترجمه ASA إلى العنوان الداخلي ثم يطبق القائمة.

الخطوة 4: اختبار الوصول

من متصفح PC-C افتح 209.165.200.227، ونفّذ ping إلى العنوان نفسه.

NETSEC-ASA# show access-list

اضغط «تحقق من النتائج» لمعرفة تقدّمك.