ASA防火墙NAT转换方法.docVIP

nat-control命令在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不 需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时 代一样必须要有转换项才能穿越防火墙了。7.0以后开始 nat-control 是默认关闭的，关闭的时候允许没有配置NAT规则的前提下和外部主机通信，相当于路由器一样，启用NAT开关后内外网就必须通过NAT转换才能通信1、定义外口interface Ethernet0/0? ?进入端口nameif outside? ? 定义端口为外口security-level 0? ? 定义安全等级为0no shut 激活端口ip address ×.×.×.× 48??设置IP2、定义内口interface Ethernet0/1? ?nameif inside? ? 定义端口为内security-level 100? ?定义端口安去昂等级为100no shutip address 3、定义内部NAT范围。nat inside 1 ? ? 任何IP都可以NAT，可以自由设置范围。4、定义外网地址池global outside 1 0-4 netmask 40或global outside 1 interface??当ISP只分配给一个IP是，直接使用分配给外口的IP地址。5、设置默认路由route outside 0 0 4??指定下一条为IPS指定的网关地址查看NAT转换情况show xlate要想配置思科的防火墙得先了解这些命令： 常用命令有：nameif、interface、ip address、nat、global、route、static等。global 指定公网地址范围：定义地址池。 Global命令的配置语法： global if_name nat_id ip_address-ip_address [netmark global_mask] 其中： if_name ：表示外网接口名称，一般为outside。 nat_id：建立的地址池标识 nat要引用 。 ip_address-ip_address：表示一段ip地址范围。 [netmark global_mask]：表示全局ip地址的网络掩码。nat 地址转换命令，将内网的私有ip转换为外网公网ip。 nat命令配置语法：nat if_name nat_id local_ip [netmark] 其中： if_name ：表示接口名称，一般为inside. nat_id：? ? 表示地址池，由global命令定义。 local_ip： 表示内网的ip地址。对于表示内网所有主机。 [netmark]：表示内网ip地址的子网掩码。route route命令定义静态路由。 语法： route if_name 0 0 gateway_ip [metric] 其中： if_name ：表示接口名称。 0 0 ：表示所有主机 Gateway_ip：表示网关路由器的ip地址或下一跳。 [metric]：路由花费。缺省值是1。static 配置静态IP地址翻译，使内部地址与外部地址一一对应。 语法： static internal_if_name,external_if_name outside_ip_addr inside_ ip_address 其中： internal_if_name表示内部网络接口，安全级别较高，如inside。 external_if_name表示外部网络接口，安全级别较低，如outside。 outside_ip_address表示外部网络的公有ip地址。 inside_ ip_address表示内部网络的本地ip地址。 括号内序顺是先内后外，外边的顺序是先外后内 例如： asa config #static inside，outside 表示内部ip地址，访问外部时被翻译成全局地址************************************************************************** asa#conf t asa config # hostname asa? ? //设置主机名 asa config #enable password cisco //设置密码 配置外网的接口，名字是outside，安全级别0，输入ISP给您提供的地址就行了。 asa config #interface GigabitEthern