18-思科防火墙：ASA动态NAT：实验二

Posted 2020-12-02

一、实验拓扑：

二、实验要求：
1、配置动态PAT，转换Inside网段到DMZ地址10.1.2.100
2、配置动态NAT，转换Inside网络到Outside地址池202.100.1.200-299，当地址池耗尽PAT转换到Outside接口地址
3、配置动态PAT，转换DMZ网络到Outside网络的PAT地址池202.100.1.50-60(循环使用地址)

三、命令部署：
1、清除上个实验的Object，查看Object、nat、R1查看用户登录地址：
ASA(config)# clear configure object //清除上个实验Object
ASA(config)# show run object //查看是否还有Object
ASA(config)# show run nat //查看是否还有NAT

R2#telnet 202.100.1.1
Trying 202.100.1.1 ... Open
User Access Verification
Username: aa
Password:
R1>

R1#show user
Line User Host(s) Idle Location

• 0 con 0 idle 00:00:00
  67 vty 1 aa idle 00:00:22 10.1.1.2
  Interface User Mode Idle Peer Address
  2、配置动态PAT，转换Inside网段到DMZ地址10.1.2.100，并在R3上查看用户登录地址：
  ASA(config)# object network abc
  ASA(config-network-object)# subnet 10.1.1.0 255.255.255.0
  ASA(config-network-object)# nat (inside,dmz) dynamic 10.1.2.100

验证：
R2#telnet 10.1.2.3
Trying 10.1.2.3 ... Open
User Access Verification
Username: cc
Password:
R3>

R3#show users
Line User Host(s) Idle Location

• 0 con 0 idle 00:00:00
  130 vty 0 cc idle 00:00:28 10.1.2.100

  Interface User Mode Idle Peer Address

ASA# show xlate
TCP PAT from inside:10.1.1.2/36583 to dmz:10.1.2.100/46920 flags ri idle 0:00:05 timeout 0:00:30
//PAT转换的话，超时时间是30s；动态NAT和PAT转换槽位都不会永久存在的。

3、配置动态NAT，转换Inside网络到Outside地址池202.100.1.100-199；当地址池耗尽PAT转换到Outside接口地址：
ASA(config)# object network outpool
ASA(config-network-object)# range 202.100.1.100 202.100.1.199

ASA(config)# object network neibu
ASA(config-network-object)# subnet 10.1.1.0 255.255.255.0
ASA(config-network-object)# nat (inside,outside) dynamic outpool interface
结论：因为没有那么多主机，所以地址池耗尽，转换到接口地址不好验证，其实把地址池设为2个地址，多加几台电脑也能做，暂时先不做。

4、配置动态PAT，转换DMZ网络到Outside网络的PAT地址池202.100.1.50-60(循环使用地址)
ASA(config)# object network dizhichi
ASA(config-network-object)# range 202.100.1.50 202.100.1.60

ASA(config)# object network dmzquyu
ASA(config-network-object)# subnet 10.1.2.0 255.255.255.0
ASA(config-network-object)# nat (dmz,outside) dynamic pat-pool dizhichi round-robin
结论：动态PAT：一共可以转换65535-1024（知名端口号）×11，每个地址可以被11个主机使用。