實驗10思科ASA防火墻的NAT配置一、實驗?zāi)繕?biāo)1、掌握思科ASA防火墻的NAT規(guī)則的基本原理；2、掌握常見的思科ASA防火墻的NAT規(guī)則的配置方法。二、實驗拓?fù)涓鶕?jù)下圖搭建拓?fù)渫ㄟ^配置ASA防火墻上的NAT規(guī)則，使得inside區(qū)能單向訪問DMZ區(qū)和outside區(qū)，DMZ區(qū)和outside區(qū)能夠互訪。三、實驗配置1、路由器基本網(wǎng)絡(luò)配置，配置IP地址和默認(rèn)網(wǎng)關(guān)R1#conftR1(config)#intf0/0R1(config-if)#noshutdownR1(config-if)#exit//配置默認(rèn)網(wǎng)關(guān)//添加默認(rèn)路由R1(config)#exitR1#writeR2#conftR2(config)#intf0/0R2(config-if)#noshutdownR2(config-if)#exitR2(config)#exitR2#writeServer#conftServer(config)#noiprouting//用路由器模擬服務(wù)器，關(guān)閉路由功能Server(config)#intf0/0Server(config-if)#noshutdownServer(config-if)#exitServer(config)#exitServer#write*說明：實際配置中最好在三臺路由器上都添加一條通往防火墻的默認(rèn)路由，但在本實驗中Server和R2不配置不影響實驗效果。2、防火墻基本配置，配置端口IP地址和定義區(qū)域ciscoasa#conftciscoasa(config)#intg0ciscoasa(config-if)#nameifinsideciscoasa(config-if)#noshutdownciscoasa(config-if)#exitciscoasa(config)#intg1ciscoasa(config-if)#nameifdmzciscoasa(config-if)#security-level50ciscoasa(config-if)#noshutdownciscoasa(config-if)#exitciscoasa(config)#intg2ciscoasa(config-if)#nameifoutsideciscoasa(config-if)#noshutdownciscoasa(config-if)#exit3、防火墻NAT規(guī)則配置*說明：思科ASA8.3版本以后，NAT配置的方法發(fā)生了很大的改變。本文檔會對改版前后的命令作比較，便于讀者的理解和運用。*可以通過showversion命令來查看防火墻當(dāng)前的版本。（1）配置協(xié)議類型放行//狀態(tài)化icmp流量，讓icmp包能回包。fixup命令作用是啟用、禁止、改變一個服務(wù)或協(xié)議通過防火墻。ciscoasa(config)#fixupprotocolicmp（2）配置動態(tài)NAT規(guī)則8.3版本后推出了兩個概念：一個是networkobject，代表一個主機或者子網(wǎng)的訪問；另外一個是serviceobject，代表服務(wù)。先定義兩個object，一個用于代表轉(zhuǎn)換前的地址范圍，一個是轉(zhuǎn)化后的地址范圍，最后在轉(zhuǎn)換前的object進(jìn)行調(diào)用轉(zhuǎn)化后的object。●舊版本配置：●新版本配置：ciscoasa(config)#objectnetworkinsideciscoasa(config-network-object)#exitciscoasa(config)#objectnetworkoutside-poolciscoasa(config-network-object)#exitciscoasa(config)#objectnetworkinsideciscoasa(config-network-object)#nat(inside,outside)dynamicoutside-poolciscoasa(config-network-object)#exit（3）定義DMZ區(qū)的objectciscoasa(config)#objectnetworkobjciscoasa(config-network-object)#exit（4）配置NAT豁免NAT豁免即決定哪些流量不進(jìn)行NAT轉(zhuǎn)換，no-proxy-arp表示關(guān)閉ARP代理功能。●舊版本配置：●新版本配置：ciscoasa(config)#nat(inside,dmz)sourcestaticinsideinsidedestinationstaticobjobjno-proxy-arp（5）配置靜態(tài)NAT●舊版本配置：●新版本配置：ciscoasa(config)#objectnetworkdmzciscoasa(config-network-object)#exit//用ACL實現(xiàn)允許外網(wǎng)訪問DMZ區(qū)的服務(wù)器ciscoasa(config)#access-listoutside-to-dmzpermitiphostciscoasa(config)#access-groupoutside-to-dmzininterfaceoutsideciscoasa(config)#exitciscoasa#write四、實驗驗證1、查看NAT轉(zhuǎn)換規(guī)則。●命令：showrunnat2、ping測試?！馬1、，均可ping通?！馬2ping202.1.1.20可通，但ping