ASA应用NAT（动态NAT+PAT+静态NAT）（静态nat和动态nat的原理）

ASA应用NAT（动态NAT+PAT+静态NAT）（静态nat和动态nat的原理）

实验需求：

• 配置动态NAT

• 配置PAT，多内网架构，多个网段，多个zone，直接使用外网接口

• 配置PAT，多内网架构使用一个指定外网IP

• 配置先动态NAT。最后用指定IP做PAT

• 配置静态NAT（一对一）

• 配置端口一对一

实验拓扑：

IP地址规划：

实验步骤：

一、 配置动态NAT

1.配置ASA接口IP、路由接口IP、以及路由配置

IOU1配置

IOU1(config)#interface ethernet 0/0

IOU1(config-if)#duplex full

IOU1(config-if)#ip address 200.1.1.2 255.255.255.0

IOU1(config-if)#no shutdown

IOU1(config-if)#exit

IOU1(config)#interface loopback 0

IOU1(config-if)#ip address 218.86.152.99 255.255.255.0

IOU1(config-if)#no shutdown

IOU1(config-if)#exit

查看接口配置和路由表

IOU2配置

IOU2(config)#interface ethernet 0/0

IOU2(config-if)#duplex full

IOU2(config-if)#ip address 192.168.0.11 255.255.255.0

IOU2(config-if)#no shutdown

IOU2(config-if)#exit

IOU2(config)#interface loopback 0

IOU2(config-if)#ip address 192.168.1.11 255.255.255.0

IOU2(config-if)#no shutdown

IOU2(config-if)#exit

IOU2(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.254

查看接口配置和路由表

IOU3配置

IOU3(config)#interface ethernet 0/0

IOU3(config-if)#duplex full

IOU3(config-if)#ip address 172.16.1.1 255.255.255.0

IOU3(config-if)#no shutdown

IOU3(config-if)#exit

IOU3(config)#interface loopback 0

IOU3(config-if)#ip address 172.16.88.11 255.255.255.0

IOU3(config-if)#no shutdown

IOU3(config-if)#exit

IOU3(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.254

查看接口配置和路由表

ASA配置

ASA(config)# interface gigabitEthernet 0

ASA(config-if)# nameif outside

ASA(config-if)# security-level 0

ASA(config-if)# ip address 200.1.1.1 255.255.255.0

ASA(config-if)# no shutdown

ASA(config-if)# exit

ASA(config)# interface gigabitEthernet 1

ASA(config-if)# nameif dmz

ASA(config-if)# security-level 50

ASA(config-if)# ip address 192.168.0.254 255.255.255.0

ASA(config-if)# no shutdown

ASA(config-if)# exit

ASA(config)# interface gigabitEthernet 2

ASA(config-if)# nameif inside

ASA(config-if)# security-level 100

ASA(config-if)# ip address 172.16.1.254 255.255.255.0

ASA(config-if)# no shutdown

ASA(config-if)# exit

ASA(config)# route outside 0 0 200.1.1.2

ASA(config)# route inside 172.16.88.0 255.255.255.0 172.16.1.1

ASA(config)# route dmz 192.168.1.0 255.255.255.0 192.168.0.11

查看接口配置和路由表

2.配置telnet服务，用于测试网络

IOU1配置

IOU1(config)#username bdqn privilege 15 password bdqn

IOU1(config)#line vty 0 4

IOU1(config-line)#login local

IOU1(config-line)#transport input telnet

IOU1(config-line)#exit

IOU2配置

IOU2(config)#username bdqn privilege 15 password bdqn

IOU2(config)#line vty 0 4

IOU2(config-line)#login local

IOU2(config-line)#transport input telnet

IOU2(config-line)#exit

IOU3配置

IOU3(config)#username bdqn privilege 15 password bdqn

IOU3(config)#line vty 0 4

IOU3(config-line)#login local

IOU3(config-line)#transport input telnet

IOU3(config-line)#exit

3.配置动态NAT地址池

ASA(config)# object network out-pool

ASA(config-network-object)# range 200.1.1.10 200.1.1.20

ASA(config-network-object)# exit

4.定义内网网段

ASA(config)# object network   in-ld

ASA(config-network-object)# subnet 172.16.88.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network in-xd

ASA(config-network-object)# subnet 172.16.1.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network dmz-1

ASA(config-network-object)# subnet 192.168.0.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network dmz-2

ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0

ASA(config-network-object)# exit

5.创建内网地址组

ASA(config)# object-group network in-lan

ASA(config-network-object-group)# network-object object in-ld

ASA(config-network-object-group)# network-object object in-xd

ASA(config-network-object-group)# exit

ASA(config)# object-group network dmz-lan

ASA(config-network-object-group)# network-object object dmz-1

ASA(config-network-object-group)# network-object object dmz-2

ASA(config-network-object-group)# exit

6.将内网地址组内的地址转换成动态NAT地址池内的地址

ASA(config)# nat (inside,outside) source dynamic in-lan out-pool

ASA(config)# nat (dmz,outside) source dynamic dmz-lan out-pool

telnet测试

使用show xlate 命令查看地址转换信息，已使用动态NAT地址池内地址

二、配置PAT，多内网架构，多个网段，多个zone，直接使用外网接口

ASA配置

先NO掉动态NAT配置

ASA(config)# no nat (inside,outside) source dynamic in-lan out-pool

ASA(config)# no nat (dmz,outside) source dynamic dmz-lan out-pool

配置使用外网接口

ASA(config)# nat (inside,outside) source dynamic in-lan interface

ASA(config)# nat (dmz,outside) source dynamic dmz-lan interface

telnet测试

使用show xlate 命令查看地址转换信息，已使用外网接口转换

三、 配置PAT，多内网架构使用一个指定外网IP

ASA配置

先NO掉外网接口配置

ASA(config)# no nat (inside,outside) source dynamic in-lan interface

ASA(config)# no nat (dmz,outside) source dynamic dmz-lan interface

定义外网指定IP

ASA(config)# object network out-pat3

ASA(config-network-object)# host 200.1.1.3

ASA(config-network-object)# exit

配置使用指定IP

ASA(config)# nat (inside,outside) source dynamic in-ld pat-pool out-pat3

定义外网指定IP

ASA(config)# object network out-pat4

ASA(config-network-object)# host 200.1.1.4

ASA(config-network-object)# exit

配置使用指定IP

ASA(config)# nat (inside,outside) source dynamic in-xd pat-pool out-pat4

telnet测试

使用show xlate 命令查看地址转换信息，已使用指定IP

四、先动态NAT，最后用指定IP做PAT

ASA配置

先NO掉指定外网IP配置

ASA(config)# no nat (inside,outside) source dynamic in-ld pat-pool out-pat3

ASA(config)# no nat (inside,outside) source dynamic in-xd pat-pool out-pat4

定义动态NAT地址池

ASA(config)# object network out-pool

ASA(config-network-object)# range 200.1.1.10 200.1.1.20

ASA(config-network-object)# exit

定义指定IP

ASA(config)# object network out-pat3

ASA(config-network-object)# host 200.1.1.3

ASA(config-network-object)# exit

定义地址组

ASA(config)# object-group network out-nat

ASA(config-network-object-group)# network-object object out-pat3

ASA(config-network-object-group)# network-object object out-pool

ASA(config-network-object-group)# exit

配置先使用动态NAT，当动态地址池用完后用指定IP

ASA(config)# nat (inside,outside) source dynamic in-lan out-nat

telnet测试

使用show xlate 命令查看地址转换信息，已经使用动态NAT地址池内地址

五、配置静态NAT（一对一）

ASA配置

先NO掉之前配置​

ASA(config)# no nat (inside,outside) source dynamic in-lan out-nat

定义外网指定IP

ASA(config)# object network web

ASA(config-network-object)# host 200.1.1.21

ASA(config-network-object)# exit

定义内网指定IP

ASA(config)# object network dmz-web

ASA(config-network-object)# host 192.168.1.11

ASA(config-network-object)# exit

配置扩展ACL允许外网流量通过防火墙访问192.168.1.11

ASA(config)# access-list web extended permit tcp any host 192.168.1.11

ASA(config)# access-group web in interface outside

配置使用静态NAT

ASA(config)#  nat (dmz,outside) source static dmz-web web

telnet测试

使用show xlate 命令查看地址转换信息，已使用指定IP

6、端口一对一

ASA配置

先NO掉之前配置​

ASA(config)# no nat (dmz,outside) source static dmz-web web

定义内网指定IP

ASA(config)# object network dmz-web

ASA(config-network-object)# host 192.168.1.11

ASA(config-network-object)# exit

定义外网指定IP

ASA(config)# object network teldmz

ASA(config-network-object)# host 200.1.1.22

ASA(config-network-object)# exit

定义转换的端口

ASA(config)# object service telnet

ASA(config-service-object)# service tcp source eq telnet

ASA(config-service-object)# exit

配置使用端口一对一

ASA(config)# nat (dmz,outside) source static dmz-web teldmz service telnet telnet

telnet测试

使用show xlate 命令查看地址转换信息

配 置 完 成 ！

​

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。