ASA第四天.pptxVIP

CCNP Security V4ASA第四天 NAT地址转换NAT简介NAT 主要为了解决和客户Internet 地址耗尽的问题1.缓解全球地址耗尽2.维持内部地址规划3.隐藏内部网络拓扑8.2 NAT配置ASA NAT 类型动态转换：NAT + Global ：动态一对一Identity NAT ：自己转换自己PAT：动态多对一Policy-NAT ：特定流量的NAT静态转换：static：静态一对一Net Static：网络静态转换static PAT：端口转换NAT bypass （NAT旁路）NAT 0 + ACL动态转换1 （动态一对一）NAT+Global ：动态一对一适用于内部上网 （互联网地址充沛）nat (inside) 1 命令介绍：nat (源接口）id 源网段 掩码id取值范围（大于等于1）global （outside） 1 00 -00 命令介绍：global (转换后接口) id 地址池起始IP-地址池结束IP注意global id 一定需要和nat id匹配，表示为一对。show xlateNAT+global 实例1nat (inside) 1 nat (inside) 2 global (outside) 1 7–2global (outside) 2 -6NAT+Global 实例2nat (inside) 1 nat (dmz) 1 global (outside) 1 0-54global (dmz) 1 0-54动态转换2 （identity nat ）NAT 0 + address （自己转换自己）nat （inside) 0 命令介绍：nat (源接口） 0 源网段 掩码--注意：只影响outbound流量在nat-control环境才有使用的必要-show xlate （注意：需要先clear xlate）PAT的特点适用于内部用户上网 （互联网地址紧缺）转换地址和端口多个session复用一个global address（互联网地址）使用端口来区分不同的session 源端口被动态转换到一个大于1023没有被使用的端口一个互联网地址最大能够承载最大的session数为64512配置实例1nat （inside） 1 global (outside) 1 01show xlate （严重注意需要clear xlate）配置实例2 （适用于DHCP,PPPOE环境）nat （inside） 1 global （outside） 1 interface配置实例3nat (inside) 1 global (outside) 1 01global (outside) 1 02---只有当101超过承载容量后才会使用102配置实例4：nat （inside）1 global （outside） 1 00-99global （outside） 1 00首先动态一对一转换，当地址池耗光以后，才复用200做动态多对一转换（PAT） ，非常类似于IOS的overloadPolicy NATNAT + ACL （特定流量的NAT）access-list matcha permit tcp host 1 eq wwwaccess-list matchb permit tcp host eq wwwnat (inside) 1 access-list matchanat (inside) 2 access-list matchbglobal (outside) 1 3global （outside) 2 9 静态转换：静态一对一static （静态一对一）适用于把内部服务器转换到一个公网地址接口：真实接口:DMZ转换后接口：Outside-IP地址：真实地址：转换后地址：01配置静态转换static （dmz，outside) 01 命令格式：static （真实接口，转换后接口） 转换后地址 真实地址第二步：access-list out per tcp any host 01 eq 23第三部配置access-groupaccess-group out in inter outside静态转换2 static PATstatic pat (端口转换）适用于把内部服务器端口转换到其它端口- /WWW 转换到01/WWW- /telnet 转换到01/2323static PAT配置第一步配置static PATstatic （DMZ,Outside）tcp 01 (interface) www wwwstatic (DMZ,outside) tcp 01 (interface) 2121 ftp第二步配置ACLaccess-list out permit t