防火墙nat实验步骤.docVIP

一：基本网络top搭建 配置动态nat，实现网段进行地址转换后访问 注意：Host1和Host2都要设置网管，其中Host2设置网管是为了后续的测试。 1：r1路由器端口ip的配置 R1#configure terminal R1(config)#interface loop0 R1(config-if)#ip address R1(config-if)#no shutdown R1(config-if)#exit R1(config)#int loop1 R1(config-if)#ip address R1(config-if)#no shutdown R1(config-if)#exit R1(config)#interface fastEthernet 0/0 R1(config-if)#ip address R1(config-if)#no shutdown R1(config-if)#exit 2：配置asa各个端口 ciscoasa enable Password: ciscoasa# configure terminal ciscoasa(config)# interface ethernet 0/0 ciscoasa(config-if)# ip address ciscoasa(config-if)# no shutdown ciscoasa(config-if)# nameif inside ciscoasa(config-if)# security-level 100 ciscoasa(config-if)# exit ciscoasa(config)# interface ethernet 0/1 ciscoasa(config-if)# ip address ciscoasa(config-if)# no shutdown ciscoasa(config-if)# nameif outside ciscoasa(config-if)# security-level 0 ciscoasa(config-if)# exit ciscoasa(config)# interface ethernet 0/2 ciscoasa(config-if)# ip address ciscoasa(config-if)# no shutdown ciscoasa(config-if)# nameif dmz ciscoasa(config-if)# security-level 50 ciscoasa(config-if)# exit ciscoasa(config)# 3：配置各个主机的ip地址 在R1上的loop0和loop1模拟两台主机PC1和PC2， 使用两个虚拟机PC3做dmz区域的主机，PC4做internet中的主机 在PC3上部署web服务 4：配置r1的路由 R1(config)#ip route 5：配置asa的路由 ciscoasa(config)# route inside 0 0 6：允许ping报文 ciscoasa(config)# access-list 110 permit icmp any any ciscoasa(config)# access-group 110 in int outside ciscoasa(config)# access-group 110 in int dmz 一：在asa上配置动态nat，对网段的地址进行转换 ciscoasa(config)# nat (inside) 1 ciscoasa(config)# global (outside) 1 00-00 再用1访问4（能ping通，被nat转换了源ip地址） ciscoasa(config)# show xlate detail 发现有地址映射条目 将1的ip改为0，再访问 ciscoasa(config)# show xlate detail 发现多出一项地址映射条目 如果要求配置动态NAT实现网段/24访问DMZ区的主机PC3时也进行地址转换，NAT地址池为00－00 ，则配置方法如下： ASA(config)#access-list in-dmz extended permit ip ASA(config)# nat (inside) 2 access-list in-dmz ASA(config)# global (dmz) 2 00-00 ####开始####动态NAT#########以下是新版本ASA（8.4及以后）防火墙的配置############################ ciscoasa(config)# objec