ASA内网无法telnet外网端口分析.docxVIP

ASA内网无法telnet公网端口分析 如上图 由于没有ASA图标这里用1841路由图标代替 首先配置ip并将ASA接口启用 asa5510(config)# show run : Saved : ASA Version 7.0(7) ! hostname asa5510 ?/主机名 domain-name /域名 names dns-guard ! interface Ethernet0/0? /外部接口 nameif outside? /接口名 security-level 0 ip address 48? /公网IP地址 ! interface Ethernet0/1 /内部接口 nameif inside security-level 100 ip address ? / ip地址内部电脑的网关 配置内网机器pc0 ip地址为 启用ASA的telnet telnet inside /启用内部的TELNET telnet outside /启用外部的TELNET 然后我们用这台机器去telnet ASA5510 首先telnet内网接口 telnet Ok没有问题 下面我们telnet外网端口试试 无法telnet到外网接口上 这个问题纠结了一晚终于纠结出来了如下 分析： 首先我们要对内网和公网理论、接入方式上有一定的认识，概念要清晰。 内网：Intranet 接入方式：上网的计算机得到的IP地址是Inetnet上的保留地址,内网的计算机以NAT（网络地址转换）协议，通过一个公共的网关访问Internet。 内网的计算机可向Internet上的其他计算机发送连接请求，但Internet上其他的计算机无法向内网的计算机发送连接请求。 公网：Internet 接入方式：上网的计算机得到的IP地址是Inetnet上的非保留地址。公网的计算机和Internet上的其他计算机可随意互相访问。 其次我们要知道nat及其工作原理。 NAT：网络地址转换(NAT,Network Address Translation)属接入广域网(WAN)技术，是一种将私有（保留）地址转化为合法IP地址的转换技术，它被广泛应用于各种类型Internet接入方式和各种类型的网络中。 静态转换： 是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。 动态转换： 是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。 PAT（Port address Translation,PAT): 是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。 以上2个问题搞清楚了这个就不难了； 不是任何设备都存在此问题，拿cisco的设备来说，中低端系列就有问题，据说juniper的防火墙没有这个问题。 还是拿这个图来讲： 一个普遍的架构 假设内网/24 内网网关：asa5510的内网接口/24 PC0：/24 我们从isp得到一个地址段/29 那么我们将有6个地址 - 其中是我ASA的公网接口地址，是电信提供的网关地址，本地路由器一条缺省路由到isp对端本地pc全部通过PAT方式共享公网IP地址共享上网，我们把的telnet端口映射到这个ip，相信这是一个很普遍的拓扑。 假设内网一台pc0 ip地址 ； 发出ping （服务器的公网地址）请求； 源地址，目地址； 路由器收到包后，首先检查路由表； 发现就位于自己的出口； 所以直接通过arp广播请求的mac地址； 问题出现了，谁会应答这个arp请求呢？ 没有，因为是公网所以没有，这种情况下当然不会通。不但内网访问服务器不行，服务器之间通过公网地址访问也不会通； 解：出口地址和服务器映射的公网地址在同网段就不灵； 内网一台pc0 ip地址 ； 发出telnet 请求； 源地址，目的地址； 路由器收到这个包后，检查路由表，这一次，发现不