Как настроить ACL на Cisco ASA5508-X ?

[alex3110]

Всем привет!

Может кто с таким уже сталкивался.

Есть Cisco ASA5508-X Threat Defense.
Есть Интрасеть предприятия, к которой подключен CISCO_1 (не «наш») далее этот Cisco ASA5508-X («наш») далее ещё один CISCO_2 («наш») к которому подключено 9 шт. сетевых устройств.
Непосредственно на 2 порта самого Cisco ASA5508-X подключены ещё 2 шт. ПК.

Задача : настроить Cisco ASA5508-X так, чтобы ко всем сетевым устройствам, подключенным как к CISCO_2, так и непосредственно к портам Cisco ASA5508-X (а это 2 шт. ПК) был доступ только с определённых ПК (по IP – адресу), находящихся в Интрасети.
Т.е. должен быть настроен межсетевой экран между «нашей» и другими внутренними подсетями предприятия.

«Наш» Cisco ASA5508-X должен пропускать во внутреннюю подсеть только несколько «внешних» ПК с определёнными IP – адресами.
При этом должны быть разрешены :
- запросы от «внешних» ПК на "пинги" и ответы на них ;
- запросы от «внешних» ПК на установление связи с «внутренними» ПК по протоколу приложения Radmin.

Подскажите, плз, как это делается на данном Cisco ASA5508-X ?
Ранее никогда ни делали таких настроек ни на каких Cisco.
Хотя бы что делать по пунктам.
И желательно «как» по каждому из пунктов.

Заранее благодарен.

[VADR]

Вообще-то с таким количеством такого оборудования и в таком применении вам бы надо приглашать подрядчика, умеющего с этим делом работать. И/или своих специалистов обучать. На пальцах вряд ли кто это сможет объяснить. Там количество строк в конфигурации исчисляется в сотнях.

[alex3110]

Да вобщем-то задача не такая уж и сложная (если знать :) ). У нас на другом участке её решили сами. Правда уже давненько и делал это один человек, который щас в отпуске. И если он не записывал как и что делал, то дело швах. Но там, правда, был другой CISCO. А с таким новым, как у нас, ещё даже далеко не все спецы из соотв-щей "сетевой" службы имели дело.

[VADR]

Если надо настроить не на подсеть, а на несколько конкретных хостов по ip-адресам, смотрите в сторону object-group и внутри них - network-object. Мануал здесь.