ASA内网无法telnet外网端口分析.docxVIP

ASA内网无法telnet公网端口分析如上图由于没有ASA图标这里用1841路由图标代替首先配置ip并将ASA接口启用asa5510(config)# show run: Saved:ASA Version 7.0(7)!hostname asa5510 ?/主机名domain-name /域名namesdns-guard!interface Ethernet0/0? /外部接口nameif outside? /接口名security-level 0ip address 48? /公网IP地址!interface Ethernet0/1 /内部接口nameif insidesecurity-level 100ip address ? /ip地址内部电脑的网关配置内网机器pc0 ip地址为启用ASA的telnettelnet inside/启用内部的TELNETtelnet outside /启用外部的TELNET然后我们用这台机器去telnet ASA5510首先telnet内网接口telnet Ok没有问题下面我们telnet外网端口试试无法telnet到外网接口上这个问题纠结了一晚终于纠结出来了如下分析：首先我们要对内网和公网理论、接入方式上有一定的认识，概念要清晰。内网：Intranet接入方式：上网的计算机得到的IP地址是Inetnet上的保留地址,内网的计算机以NAT（网络地址转换）协议，通过一个公共的网关访问Internet。内网的计算机可向Internet上的其他计算机发送连接请求，但Internet上其他的计算机无法向内网的计算机发送连接请求。公网：Internet接入方式：上网的计算机得到的IP地址是Inetnet上的非保留地址。公网的计算机和Internet上的其他计算机可随意互相访问。其次我们要知道nat及其工作原理。NAT：网络地址转换(NAT,Network Address Translation)属接入广域网(WAN)技术，是一种将私有（保留）地址转化为合法IP地址的转换技术，它被广泛应用于各种类型Internet接入方式和各种类型的网络中。静态转换：是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备（如服务器）的访问。动态转换：是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。PAT（Port address Translation,PAT):是指改变外出数据包的源端口并进行端口转换，即端口地址转换（PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。以上2个问题搞清楚了这个就不难了；不是任何设备都存在此问题，拿cisco的设备来说，中低端系列就有问题，据说juniper的防火墙没有这个问题。还是拿这个图来讲：一个普遍的架构假设内网/24内网网关：asa5510的内网接口/24PC0：/24我们从isp得到一个地址段/29那么我们将有6个地址-其中是我ASA的公网接口地址，是电信提供的网关地址，本地路由器一条缺省路由到isp对端本地pc全部通过PAT方式共享公网IP地址共享上网，我们把的telnet端口映射到这个ip，相信这是一个很普遍的拓扑。假设内网一台pc0 ip地址 ；发出ping （服务器的公网地址）请求；源地址，目地址；路由器收到包后，首先检查路由表；发现就位于自己的出口；所以直接通过arp广播请求的mac地址；问题出现了，谁会应答这个arp请求呢？没有，因为是公网所以没有，这种情况下当然不会通。不但内网访问服务器不行，服务器之间通过公网地址访问也不会通；解：出口地址和服务器映射的公网地址在同网段就不灵；内网一台pc0 ip地址 ；发出telnet 请求；源地址，目的地址；路由器收到这个包后，检查路由表，这一次，发现不在本地的任何接口；所以走了缺省路由，将包发给了isp对端口，并在本地nat表中生成一条项目，记录内网地址被转换成公网地址加上端口号（假设端口号是1234