9.2 思科ASA：配置防火墙dhcp中继代理

9.2  思科ASA：配置防火墙dhcp中继代理

需求：

PC1所在的网段的终端设备可以自动获取ip地址，PC2所在的网段的终端设备可以自动获取ip地址。

（1）拓扑图

（2）SW3配置为dhcp服务器

vlan batch 2

#

dhcp enable

#

ip pool vlan1

 gateway-list 192.168.1.254

 network 192.168.1.0 mask 255.255.255.0

 lease day 3 hour 0 minute 1

 dns-list 223.5.5.5 223.6.6.6

#

ip pool vlan2

 gateway-list 192.168.2.254

 network 192.168.2.0 mask 255.255.255.0

 lease day 3 hour 0 minute 1

 dns-list 223.5.5.5 223.6.6.6

#

interface Vlanif1

 ip address 10.1.1.254 255.255.255.0

#

interface Vlanif2

 ip address 192.168.3.100 255.255.255.0

#

ip route-static 0.0.0.0 0.0.0.0 192.168.3.254

#

（3）ASA防火墙配置访问规则 ，只允许dhcp的流量通过

命令行方式配置：

object-group service DM_INLINE_UDP_1 udp

 port-object eq bootpc

 port-object eq bootps

access-list global_access extended permit udp any any object-group DM_INLINE_UDP_1

access-group global_access global

（4）配置dhcp relay

服务器dhcp relay server地址

接口上启用dhcp relay

信任dhcp服务器方向的接口

 dhcprelay information trusted

dhcprelay server 192.168.3.100 b

dhcprelay enable a

dhcprelay enable dmz

dhcprelay timeout 60

测试：PC1与PC2可以正常获取到ip地址

能过抓包查看：给dhcp服务器发包的为防火墙的内网口ip地址