Cisco ASA 应用NAT配置详解

梦里梦外; 2021-11-10 11:12 709阅读 0赞

ASA 防火墙上NAT的基本原理与路由器上一样，只不过只用定义一下内网地址和进行转换后的地址就可以了，不需要进入接口再应用了。基本上两条命令即可完成一种NAT的配置。ASA上的NAT有**动态NAT、动态PAT、静态NAT和静态**PAT四种类型。

**1、动态NAT（可以说是一对一，但不是静态的，一般不使用动态NAT）的配置步骤如下：**

**将内网10.0.0.0/8进行NAT转换为170.16.1.100~172.16.1.200：**

ciscoasa(config)# nat (inside) 1 10.0.0.0 255.0.0.0                 #定义需要进行NAT的内网地址
    
    ciscoasa(config)# global (outside) 1 172.16.1.100-172.16.1.200           #定义全局地址池，
    OK了。
    
    ciscoasa(config)# show xlate detail                     #在进行第一次通信后，
    即可通过该命令来查看NAT转换信息

上述配置中的**1**为nat-id，定义NAT转换时，需要nat-id匹配，才可进行转换。

若是要为inside区域内的所有网段实施动态NAT，配置命令如下：

`ciscoasa(config)# nat (inside) 1 0 0 #0 0 表示任意网段`

**2、动态PAT（多对一，节省公网IP）的配置步骤如下：**

**动态PAT与路由器上的PAT相同，即可以多个私网地址转换为一个公网地址，也可直接使用outside接口。配置如下：**

将20.0.0.0/8网段使用动态PAT转换为172.17.10.10

ciscoasa(config)# nat (inside) 2 20.0.0.0 255.0.0.0          #定义需要进行NAT的内网地址
    
    ciscoasa(config)# global (outside) 2 172.17.10.10             #定义全局地址，OK了

**也可以将20.0.0.0/8这个网段直接使用outside接口的IP地址进行转换，配置命令如下：**

`ciscoasa(config)# global (outside) 2 interface`

**3、静态NAT（一对一，常用来对DMZ区域的服务器实施这种NAT）的配置步骤如下：**

ciscoasa(config)# static (dmz,outside) 172.16.1.201 192.168.1.1        #当DMZ区域
    的192.168.1.1与outside通信时，
    使用的地址是172.16.1.201，也就是说，想在外网访问192.168.1.1这个服务器上的服务，
    那么需要使用172.16.1.201作为目的地址。

需要注意的是，在进行NAT转换时，不止需要配置地址转换，ACL也会影响是否能够通信成功。

下面配置一下ACL，使外网可以成功访问到192.168.1.1的服务。

ciscoasa(config)# access-list out_to_dmz permit ip any host 172.16.1.201          
    #允许所有主机访问映射地址172.16.1.201
    
    ciscoasa(config)# access-group  out_to_dmz in int outside   #应用到outside接口

**个人在实验过程中，在进行以上的ACL配置后，会出现访问不成功的时候，再继续配置一条允许所有主机访问服务器的真实IP即可，两条ACL名称一样，同样应用到outside接口。**

**4、配置静态PAT（与路由器上的端口映射类似），配置如下：**

ciscoasa(config)# static (dmz,outside) tcp 172.16.1.201 http 192.168.1.1 http
    #DMZ区域的192.168.1.1服务器80端口与outside进行通信时，
    使用172.16.1.201的HTTP端口
    
    ciscoasa(config)# static (dmz,outside) tcp 172.16.1.201 23 192.168.1.10 23
    #当DMZ区域的192.168.1.10服务器23端口与外网进行通信，
    使用的是172.16.1.201地址的23端口
    
    ciscoasa(config)# access-list out_to_dmz permit ip any host 172.16.1.201    
    #配置ACL，若对安全要求比较高，由于上述两个服务都是使用TCP协议，
    这里ACL规则中的ip命令字，可以改为tcp。
    
    ciscoasa(config)# access-group out_to_dmz in int outside

静态PAT已经配置好了，现在外网用户在不同的软件平台，使用172.16.1.201作为目的地，即可访问到不同的服务。（同理，若是无法访问成功，那么就再加一条ACL：允许所有主机访问服务器的真实IP即可，两条ACL名称一样，同样应用到outside接口。）

**经过以上配置可以看出，需要注意配置的语法，顺序有些变化，而且，在配置静态PAT时，可以指定服务名称，也可以直接指定端口号，个人建议还是直接指定端口号靠谱些**

**5、NAT控制与NAT豁免**

ASA从7.0版本开始提供了一个NAT控制开关，即**nat-control**命令，但默认是禁用NAT控制（no nat-control）。若在全局模式下执行命令**nat-control**，则代表开启了NAT控制，开启nat控制的作用大概就是只允许进行过nat转换的地址发送报文通过防火墙，没有配置NAT转换的则不允许穿越防火墙，个人感觉并不太实用，还是写下来，做个笔记吧。

那么开启NAT控制后，没有配置NAT的地址想要通过防火墙来进行通行，那么还可以配置NAT豁免。  
NAT豁免的大概意思就是经过豁免的地址不必经过nat地址转换即可通过防火墙进行通信。

举个栗子：

在ASA开启了NAT控制时，DMZ区域有192.168.1.0网段，当inside区域的10.0.0.0网段没有配置nat，还要与DMZ区域的192.168.1.0进行通信，那么，就需要用到了NAT豁免，配置命令如下：

ciscoasa(config)#access-list nonat extended permit ip 10.0.0.0 255.0.0.0 192.168.1.0 255.255.255.0
    
    ciscoasa(config)#nat (inside) 0 access-list nonat