ASA如何配置网络对象组？

在Cisco ASA（Adaptive Security Appliance）防火墙配置中，网络对象组（Network Object Groups）是简化访问控制列表（ACL）管理的重要工具，通过将多个网络对象（如IP地址、子网、端口、协议等）组织成逻辑组，管理员可以避免在ACL中重复输入大量条目，降低配置复杂度，同时提高规则的可读性和维护效率，本文将详细说明ASA网络对象组的类型、创建方法、配置步骤及应用场景,帮助用户掌握这一核心功能的实践应用。

网络对象组的类型及用途

ASA中的网络对象组主要分为五类，每类针对不同的管理需求设计,具体如下表所示：

对象组类型	描述	配置命令示例（CLI）	适用场景
主机对象组	包含单个IPv4或IPv6地址	object-group network HOST_GROUP host 192.168.1.10 exit	管理需要单独控制的终端设备（如服务器、打印机）
网络对象组	包含IP子网或地址范围	object-group network NETWORK_GROUP network 192.168.10.0 255.255.255.0 exit	献管理部门子网、VLAN网段等连续IP范围
端口对象组	包含TCP/UDP端口号或端口范围	object-group port PORT_GROUP tcp port-object eq 80 port-object range 8080 8089 exit	统一管理常用服务端口（如HTTP、HTTPS、自定义应用端口）
服务对象组	结合协议与端口，定义完整的服务类型	object-group service SERVICE_GROUP tcp port-object eq 443 exit	简化ACL中服务规则的引用（如允许“HTTPS服务访问”）
FQDN对象组	包含完全限定域名（需启用DNS解析）	object-group network FQDN_GROUP fqdn www.example.com exit	基于域名控制流量（适用于ASA 9.x及以上版本）

网络对象组的创建方法

通过CLI创建（推荐批量操作）

CLI方式适合熟悉命令行的管理员，步骤清晰且可脚本化，以创建“允许内网访问Web服务器”的网络对象组为例：

1. 创建主机对象组（服务器组）

   ASA(config)# object-group network SERVERS  # 定义网络对象组，名称为SERVERS
   ASA(config-network)# host 192.168.100.10  # 添加Web服务器1
   ASA(config-network)# host 192.168.100.11  # 添加Web服务器2
   ASA(config-network)# exit

2. 创建网络对象组（内网部门组）

   ASA(config)# object-group network DEPT_A  # 定义部门A网段
   ASA(config-network)# network 192.168.20.0 255.255.255.0  # 添加部门A子网
   ASA(config-network)# exit

3. 创建端口对象组（Web服务端口）

   

   ASA(config)# object-group port WEB_PORTS tcp  # 定义TCP端口组
   ASA(config-port)# port-object eq 80         # HTTP端口
   ASA(config-port)# port-object eq 443        # HTTPS端口
   ASA(config-port)# exit

通过ASDM图形界面创建（适合新手）

1. 登录ASDM，选择“Configuration” > “Firewall” > “Object Groups” > “Network”或“Port”；
2. 点击“Add”，输入对象组名称（如“SERVERS”），选择类型（“Network”）；
3. 在“Members”中点击“Add”，选择“Host”并输入IP地址，或选择“Network”输入子网和掩码；
4. 点击“OK”保存，重复步骤添加多个成员后，点击“Apply”配置到ASA。

网络对象组在ACL中的应用

创建对象组后，可在ACL中通过object-group关键字引用，简化规则编写，允许部门A访问Web服务器的80/443端口,同时拒绝其他内网访问：

ASA(config)# access-list OUTSIDE extended permit tcp object-group DEPT_A object-group SERVERS object-group WEB_PORTS
ASA(config)# access-list OUTSIDE extended deny ip any any  # 默认拒绝其他流量
ASA(config)# access-group OUTSIDE in interface outside   # 将ACL应用到outside接口

说明：

• object-group DEPT_A：引用部门A网段组；
• object-group SERVERS：引用服务器IP组；
• object-group WEB_PORTS：引用端口组，等价于eq 80 or eq 443。

高级应用：嵌套对象组与动态组

嵌套对象组

ASA支持将对象组嵌套到其他对象组中，实现分层管理，将“研发部”和“市场部”两个网络组合并为“内网允许组”：

ASA(config)# object-group network ALLOW_DEPTS  # 创建允许部门组
ASA(config-network)# group-object DEPT_A      # 嵌套部门A
ASA(config-network)# group-object DEPT_B      # 嵌套部门B
ASA(config-network)# exit

动态对象组（ASA 9.x+）

结合身份认证（如Cisco ISE）动态更新成员，例如根据用户登录状态将设备加入“可信设备组”：

ASA(config)# object-group network DYNAMIC_TRUSTED
ASA(config-network)# enable dynamic-user-group  # 启用动态用户组
ASA(config-network)# exit

注意事项

1. 名称唯一性：对象组名称在ASA中必须唯一，不区分大小写（如“SERVERS”与“servers”视为同一名称）；
2. 版本兼容性：FQDN对象组需ASA 9.x及以上版本且启用DNS（dns server命令）；
3. 数量限制：低端型号（如ASA 5505）支持对象组数量较少（约50个），高端型号（如ASA 5585-X）支持数百个；
4. ACL顺序：ASA自上而下匹配ACL规则，建议将精确规则（如主机组）放在通用规则（如网络组）之前。

相关问答FAQs

Q1: 如何删除已配置的网络对象组？
A: 在CLI中使用no object-group [类型] [组名]命令删除，例如删除“SERVERS”组：

ASA(config)# no object-group network SERVERS

若组已被ACL引用，需先移除ACL中的引用（no access-list [ACL名]），否则删除会失败。

Q2: 对象组是否支持混合类型（如同时包含IP和端口）？
A: 不支持，不同类型的对象组需分开创建：网络对象组（IP/子网）仅包含网络对象，端口对象组仅包含端口/协议，服务对象组需结合协议和端口，若需控制“允许访问192.168.1.10的80端口”，需分别创建“主机组”和“端口组”,然后在ACL中同时引用两者。