在防火墻（ASA）上配置四種類型的NAT

    前面已經(jīng)介紹了網(wǎng)絡地址轉換（NAT）的原理和基于路由器的配置，ASA上的NAT配置相對于路由器來說要復制一些，ASA上的NAT有動態(tài)NAT、動態(tài)PAT、靜態(tài)NAT、靜態(tài)PAT。下面的鏈接是我以前寫的NAT原理，在路由器上配置NAT的命令http://yangshufan.blog.51cto.com/13004230/1959448

動態(tài)NAT

    動態(tài)NAT將一組IP地址轉換為指定地址池中的IP地址，是動態(tài)一對一的輪詢的關系；適合擁有多個公網(wǎng)IP、多個內網(wǎng)PC要訪問互聯(lián)網(wǎng)的環(huán)境使用（單向）

配置命令如下：

1.指定需要進行地址轉換的內網(wǎng)網(wǎng)段

asa(config)# nat (interface_name) nat-id local-ip mask
asa(config)# nat (inside) 1 0 0           //表示轉換所有內網(wǎng)地址

    其中nat-id這里必須大于等于1

2.定義全局地址池

asa(config)# global (interface_name) nat-id [global-ip]-[global-ip]

3.使用命令查看NAT轉換表

asa# show xlate detail

案例：inside區(qū)域有兩個網(wǎng)段，要求配置動態(tài)NAT實現(xiàn)網(wǎng)段192.168.1.0訪問Internet時，進行地址轉換，NAT地址池為202.106.2.100-202.106.2.200

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 202.106.2.100-202.106.2.200

動態(tài)PAT

    動態(tài)PAT使用IP和源端口號創(chuàng)建一個唯一的會話，是動態(tài)多對一的關系；適合只有一個公網(wǎng)IP、多個內網(wǎng)PC要訪問互聯(lián)網(wǎng)的環(huán)境使用（單向），與動態(tài)NAT唯一不同的就是全局地址只有一個

    在上圖的案例中，如果要配置動態(tài)PAT，用于轉換的IP地址是202.106.2.200，則配置命令如下：

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 202.106.2.200

    如果在配置動態(tài)PAT時直接使用outside接口的IP地址進行轉換，則配置命令如下：

asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0
asa(config)# global (outside) 1 interface

靜態(tài)NAT

    靜態(tài)NAT創(chuàng)建了一個從真實地址到映射地址的一對一的固定轉換，可用于雙向通信；適合有多個公網(wǎng)IP且有多個內網(wǎng)服務器需要發(fā)布的環(huán)境使用（雙向）

案例：在上圖的案例中，DMZ內的服務器默認可以訪問Internet，而在實際環(huán)境中，是允許所有地址訪問內網(wǎng)服務器192.168.3.1，需要配置靜態(tài)NAT，配置命令如下：

asa(config)# static (dmz,outside) 202.106.2.111 192.168.3.1        //配置靜態(tài)NAT
asa(config)# access-list out_to_dmz permit ip any host 202.106.2.111
asa(config)# access-group out_to_dmz in int outside                //配置ACL

    注意：ACL中的目的地址應配置為映射地址202.106.2.111，而不是真實的地址192.168.3.1

靜態(tài)PAT

    靜態(tài)PAT允許為真實和映射地址指定TCP或UDP端口號；適合只有一個公網(wǎng)IP且要發(fā)布多個內網(wǎng)服務器的環(huán)境使用（雙向）

靜態(tài)PAT的命令語法如下：

asa(config)# static (local_if_name,global_if_name) {tcp |udp} {global-ip | interface} global-port local-ip local-port [netmask mask]

案例：如下圖所示，DMZ有兩臺服務器，要求使用一個單一的映射地址202.106.2.111提供不同的服務

配置命令如下：

asa(config)# static (dmz,outside) tcp 202.106.2.111 http 192.168.3.1 http     //配置靜態(tài)PAT
asa(config)# static (dmz,outside) tcp 202.106.2.111 smtp 192.168.3.2 smtp
asa(config)# access-list out_to_dmz permit ip any host 202.106.2.111
asa(config)# access-group out_to_dmz in int outside                //配置ACL

NAT控制

   我們知道，默認高安全級別是可以訪問低安全級別的，也就是說，即使我們不做NAT，PC1也可以訪問Internet；而在真實環(huán)境中，PC1訪問Internet時，可以通過ASA將源地址是自己IP的請求包發(fā)送出去，但是確不會接收到回應包，因為私網(wǎng)地址在互聯(lián)網(wǎng)上是不合法的，因此我們還是需要做NAT，將私網(wǎng)地址映射為公網(wǎng)地址來訪問互聯(lián)網(wǎng)或被互聯(lián)網(wǎng)訪問

    ASA從7.0開始提供了一個NAT控制的開關，即nat-control命令，當我們開啟NAT后，簡單的配置中，PC1不能再訪問Internet了，必須做NAT轉換才能進行訪問

   默認情況下，是禁用NAT控制（no nat-control）,但在實際環(huán)境中，我們一般啟用NAT控制方便管理；在啟用NAT控制時，NAT規(guī)則是必須的；即發(fā)起的每一個連接都需要一個相應的NAT規(guī)則

禁用NAT控制：no nat-control

    這是默認的情況，在禁用NAT控制是，NAT規(guī)則并不是必須的：它允許匹配NAT規(guī)則的網(wǎng)段進行地址轉換通信；也允許不匹配NAT規(guī)則的網(wǎng)段通信，只是不經(jīng)過地址轉換

啟用NAT控制：nat-control

    如果啟用了NAT控制，NAT的規(guī)則就是必須的：它允許匹配NAT規(guī)則的網(wǎng)段進行地址轉換通信；禁止不匹配NAT規(guī)則的網(wǎng)段通信

NAT豁免

    當啟用NAT控制時，每個發(fā)起的連接都需要一個相應的NAT規(guī)則，但是在某些應用場合（例如配置×××）需要繞過NAT規(guī)則。繞過NAT規(guī)則有很多種方法，NAT豁免就是其中一種，NAT豁免允許雙向通信

    配置NAT豁免首先需要定義一個ACL，用于指定需要繞過NAT規(guī)則的流量，然后進行配置，配置命令如下：

asa(config)# nat (interface_name) 0 access-list acl_name

案例：如下圖所示，在ASA上啟用NAT控制，要求為192.168.1.0網(wǎng)段配置動態(tài)PAT，映射地址為outside接口地址，為192.168.2.0網(wǎng)段配置NAT豁免

配置命令如下：

asa(config)# nat-control            //啟用NAT控制
asa(config)# nat (inside) 1 192.168.1.0 255.255.255.0        //配置動態(tài)PAT
asa(config)# global (outside) 1 interface

asa(config)# access-list nonat extended permit ip 192.168.2.0 255.255.255.0 202.106.2.0 255.255.255.0
asa(config)# nat (inside) 0 access-list nonat           //啟用NAT豁免

查看和刪除NAT的命令

asa# show xlate           //查看NAT轉換表摘要
asa#show xlate detail          //查看NAT轉換表詳細信息
asa#show run nat           // 查看指定NAT
asa#show run global           //查看指定全局地址
asa(config)# no global (outside) 1 172.16.1.200      //刪除指定的全局地址池，在定義全局命令前加no
asa(config)# clear xlate         //清除NAT轉換表
asa(config)# clear configure stat         //刪除靜態(tài)NAT
asa(config)# clear configure nat           //刪除動態(tài)NAT
asa(config)# clear configure global        //清空全局地址池