前面已經(jīng)介紹了網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）的原理和基于路由器的配置，ASA上的NAT配置相對于路由器來說要復(fù)制一些，ASA上的NAT有動(dòng)態(tài)NAT、動(dòng)態(tài)PAT、靜態(tài)NAT、靜態(tài)PAT。下面的鏈接是我以前寫的NAT原理，在路由器上配置NAT的命令http://yangshufan.blog.51cto.com/13004230/1959448

創(chuàng)新互聯(lián)堅(jiān)持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都網(wǎng)站設(shè)計(jì)、成都網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時(shí)代的閩侯網(wǎng)站設(shè)計(jì)、移動(dòng)媒體設(shè)計(jì)的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！

動(dòng)態(tài)NAT

    動(dòng)態(tài)NAT將一組IP地址轉(zhuǎn)換為指定地址池中的IP地址，是動(dòng)態(tài)一對一的輪詢的關(guān)系；適合擁有多個(gè)公網(wǎng)IP、多個(gè)內(nèi)網(wǎng)PC要訪問互聯(lián)網(wǎng)的環(huán)境使用（單向）

配置命令如下：

1.指定需要進(jìn)行地址轉(zhuǎn)換的內(nèi)網(wǎng)網(wǎng)段

asa(config)# nat (interface_name) nat-id local-ip mask
asa(config)# nat (inside) 1 0 0           //表示轉(zhuǎn)換所有內(nèi)網(wǎng)地址

    其中nat-id這里必須大于等于1

2.定義全局地址池

asa(config)# global (interface_name) nat-id [global-ip]-[global-ip]

3.使用命令查看NAT轉(zhuǎn)換表

asa# show xlate detail

案例：inside區(qū)域有兩個(gè)網(wǎng)段，要求配置動(dòng)態(tài)NAT實(shí)現(xiàn)網(wǎng)段192.168.1.0訪問Internet時(shí)，進(jìn)行地址轉(zhuǎn)換，NAT地址池為202.106.2.100-202.106.2.200

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 202.106.2.100-202.106.2.200

動(dòng)態(tài)PAT

    動(dòng)態(tài)PAT使用IP和源端口號創(chuàng)建一個(gè)唯一的會(huì)話，是動(dòng)態(tài)多對一的關(guān)系；適合只有一個(gè)公網(wǎng)IP、多個(gè)內(nèi)網(wǎng)PC要訪問互聯(lián)網(wǎng)的環(huán)境使用（單向），與動(dòng)態(tài)NAT唯一不同的就是全局地址只有一個(gè)

    在上圖的案例中，如果要配置動(dòng)態(tài)PAT，用于轉(zhuǎn)換的IP地址是202.106.2.200，則配置命令如下：

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 202.106.2.200

    如果在配置動(dòng)態(tài)PAT時(shí)直接使用outside接口的IP地址進(jìn)行轉(zhuǎn)換，則配置命令如下：

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 interface

靜態(tài)NAT

    靜態(tài)NAT創(chuàng)建了一個(gè)從真實(shí)地址到映射地址的一對一的固定轉(zhuǎn)換，可用于雙向通信；適合有多個(gè)公網(wǎng)IP且有多個(gè)內(nèi)網(wǎng)服務(wù)器需要發(fā)布的環(huán)境使用（雙向）

案例：在上圖的案例中，DMZ內(nèi)的服務(wù)器默認(rèn)可以訪問Internet，而在實(shí)際環(huán)境中，是允許所有地址訪問內(nèi)網(wǎng)服務(wù)器192.168.3.1，需要配置靜態(tài)NAT，配置命令如下：

asa(config)# static (dmz,outside) 202.106.2.111 192.168.3.1        //配置靜態(tài)NAT
asa(config)# access-list out_to_dmz permit ip any host 202.106.2.111
asa(config)# access-group out_to_dmz in int outside                //配置ACL

    注意：ACL中的目的地址應(yīng)配置為映射地址202.106.2.111，而不是真實(shí)的地址192.168.3.1

靜態(tài)PAT

    靜態(tài)PAT允許為真實(shí)和映射地址指定TCP或UDP端口號；適合只有一個(gè)公網(wǎng)IP且要發(fā)布多個(gè)內(nèi)網(wǎng)服務(wù)器的環(huán)境使用（雙向）

靜態(tài)PAT的命令語法如下：

asa(config)# static (local_if_name,global_if_name) {tcp |udp} {global-ip | interface} global-port local-ip local-port [netmask mask]

案例：如下圖所示，DMZ有兩臺(tái)服務(wù)器，要求使用一個(gè)單一的映射地址202.106.2.111提供不同的服務(wù)

配置命令如下：

asa(config)# static (dmz,outside) tcp 202.106.2.111 http 192.168.3.1 http     //配置靜態(tài)PAT
asa(config)# static (dmz,outside) tcp 202.106.2.111 smtp 192.168.3.2 smtp
asa(config)# access-list out_to_dmz permit ip any host 202.106.2.111
asa(config)# access-group out_to_dmz in int outside                //配置ACL

NAT控制

   我們知道，默認(rèn)高安全級別是可以訪問低安全級別的，也就是說，即使我們不做NAT，PC1也可以訪問Internet；而在真實(shí)環(huán)境中，PC1訪問Internet時(shí)，可以通過ASA將源地址是自己IP的請求包發(fā)送出去，但是確不會(huì)接收到回應(yīng)包，因?yàn)樗骄W(wǎng)地址在互聯(lián)網(wǎng)上是不合法的，因此我們還是需要做NAT，將私網(wǎng)地址映射為公網(wǎng)地址來訪問互聯(lián)網(wǎng)或被互聯(lián)網(wǎng)訪問

    ASA從7.0開始提供了一個(gè)NAT控制的開關(guān)，即nat-control命令，當(dāng)我們開啟NAT后，簡單的配置中，PC1不能再訪問Internet了，必須做NAT轉(zhuǎn)換才能進(jìn)行訪問

   默認(rèn)情況下，是禁用NAT控制（no nat-control）,但在實(shí)際環(huán)境中，我們一般啟用NAT控制方便管理；在啟用NAT控制時(shí)，NAT規(guī)則是必須的；即發(fā)起的每一個(gè)連接都需要一個(gè)相應(yīng)的NAT規(guī)則

禁用NAT控制：no nat-control

    這是默認(rèn)的情況，在禁用NAT控制是，NAT規(guī)則并不是必須的：它允許匹配NAT規(guī)則的網(wǎng)段進(jìn)行地址轉(zhuǎn)換通信；也允許不匹配NAT規(guī)則的網(wǎng)段通信，只是不經(jīng)過地址轉(zhuǎn)換

啟用NAT控制：nat-control

    如果啟用了NAT控制，NAT的規(guī)則就是必須的：它允許匹配NAT規(guī)則的網(wǎng)段進(jìn)行地址轉(zhuǎn)換通信；禁止不匹配NAT規(guī)則的網(wǎng)段通信

NAT豁免

    當(dāng)啟用NAT控制時(shí)，每個(gè)發(fā)起的連接都需要一個(gè)相應(yīng)的NAT規(guī)則，但是在某些應(yīng)用場合（例如配置×××）需要繞過NAT規(guī)則。繞過NAT規(guī)則有很多種方法，NAT豁免就是其中一種，NAT豁免允許雙向通信

   配置NAT豁免首先需要定義一個(gè)ACL，用于指定需要繞過NAT規(guī)則的流量，然后進(jìn)行配置，配置命令如下：

asa(config)# nat (interface_name) 0 access-list acl_name

案例：如下圖所示，在ASA上啟用NAT控制，要求為192.168.1.0網(wǎng)段配置動(dòng)態(tài)PAT，映射地址為outside接口地址，為192.168.2.0網(wǎng)段配置NAT豁免

配置命令如下：

asa(config)# nat-control            //啟用NAT控制
asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0        //配置動(dòng)態(tài)PAT
asa(config)# global (outside) 1 interface

asa(config)# access-list nonat extended permit ip 192.168.2.0 255.255.255.0 202.106.2.0 255.255.255.0
asa(config)# nat (inside) 0 access-list nonat           //啟用NAT豁免

查看和刪除NAT的命令

asa# show xlate           //查看NAT轉(zhuǎn)換表摘要
asa#show xlate detail          //查看NAT轉(zhuǎn)換表詳細(xì)信息
asa#show run nat           // 查看指定NAT
asa#show run global           //查看指定全局地址
asa(config)# no global (outside) 1 172.16.1.200      //刪除指定的全局地址池，在定義全局命令前加no
asa(config)# clear xlate         //清除NAT轉(zhuǎn)換表
asa(config)# clear configure stat         //刪除靜態(tài)NAT
asa(config)# clear configure nat           //刪除動(dòng)態(tài)NAT
asa(config)# clear configure global        //清空全局地址池

分享標(biāo)題：在防火墻（ASA）上配置四種類型的NAT
文章鏈接：http://jinyejixie.com/article12/ppehgc.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供手機(jī)網(wǎng)站建設(shè)、企業(yè)建站、小程序開發(fā)、移動(dòng)網(wǎng)站建設(shè)、響應(yīng)式網(wǎng)站、建站公司

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)