PIX防火墙NAT设置.docVIP

1.普通NAT： nat(inside) 1 global(outside) 1 0-54 netmask 如果第一上网的地址是，那么其转化为0 第二个上网的地址是00，那么转化为1 如果外网地址耗尽，就不能上网了。这叫做动态的转化。 nat(inside) 1 global(outside) 1 00 目的端口号从1024到65535个。可以有65535-1024个会话 清掉原来的nat clear config nat clear config global clear xlate 没有多余地址，只有物理接口的地址，甚至物理接口的地址还是dhcp或者pppoe来的。 fw(config)#nat (inside) 1 fw(config)#global (outside) 1 interface 这样在网管show user时，虽不知道是哪个网段telnet上来的。但是最少知道是内部的。 2. 用ID来区分同是inside到outside的不同网段的地址转换 nat(inside) 1 nat(inside) 2 global (outside) 1 -6 netmask global(outside) 2 7-2 netmask nat (inside) 1 nat (inside) 2 global (outside) 1 netmask 55 global (outside) 2 netmask 55 3. 三接口nat（3个NAT只用了4句话） nat (inside) 1 nat(dmz) 1 global (outside) 1 0-54 netmast global (dmz) 1 0-54 netmast 4.backing up PAT fw1(config)#nat (inside) 1 fw1(config)#global (outside) 1 netmast 55 fw1(config)#global (outside) 1 netmast 55 先用地址8，后用地址9 5.nat和pat共存 fw1(config)#nat (inside) 1 fw1(config)# global (outside) 1 0-53 netmast fw1(config)#global (outside) 1 54 netmast 55 6.identity nat fw1(config)#nat(dmz) 0 55 nat +源接口+ 0 +源IP地址 来自于dmz去往其他低于其安全等级的流量不进行转换。 默认情况下也是不进行转化，但是这种配置是看的见转换槽位的 7. 端口转换： 端口转换适用的条件是： 内部或者DMZ区域有为外网服务的服务器，必须是inbound的流量。 条件：外部物理接口地址0 内部有的www server和的ftp server static (dmz,outside) tcp interface 80 80 static (dmz,outside) tcp interface 21 21 access-list out permit tcp any host 0 eq 21 access-list out permit tcp any host 0 eq 80 access-group out in interface outside 8. 转换顺序： 1.nat 0 access-list (nat exemption) access-list匹配流量，匹配以后不转换 2.static nat 3.static pat（端口转换） 4nat 1 access-list 5.regular nat 9.解决不进行转换的流量问题 nat (inside) 1 global (outside) 1 interface 因为没有写转换项。结果telnet outside 通，telnet dmz不通。 因为我们不需要转换地址，但是要能够远程网管的。这个时候要补一个命令： nat (inside) 0 access-list nonat access-list nonat permit ip --------这个acl必须是ip的 这样telnet outside 转换地址并且通，telnet dmz，不转换但是通 10.一个PIX内的配置实例。 inside-outside :nat (inside) 1 global (outside) 1 0-54 netmask dmz-outside :static (dmz, outside) 1 network 55 insid