ASA上的NAT配置
一 ASA上的NAT类型
ASA上的NAT有四种类型：动态NAT、动态PAT、静态NAT、静态PAT
·动态NAT
1概念
动态NAT将一组IP地址转换为指定地址池中的IP地址，是动态一对一的轮询的关系；适合拥有多个公网IP、多个内网PC要访问互联网的环境使用（单向）
2配置步骤
a指定需要进行地址转换的内网网段
asa(config)# nat (interface_name) nat-id local-ip mask
其中nat-id这里必须大于等于1；网卡名为后面所跟地址的逻辑名称
如：asa(config)# nat (inside) 1 10.1.1.0 255.255.255.0
其中nat (inside) 1 0 0 表示转换所有内网地址
b定义全局地址池
asa(config)# global (interface_name) nat-id [global-ip]-[global-ip]
如：asa(config)# global (outside) 1 172.16.1.100-172.16.1.200
·动态PAT（常用）
1概述
动态PAT使用IP和源端口号创建一个唯一的会话，是动态多对一的关系；适合只有一个公网IP、多个内网PC要访问互联网的环境使用（单向）
2配置步骤
与动态PAT唯一不同的就是全局地址只有一个
a略
b定义全局地址池
asa(config)# global (interface_name) nat-id [global-ip]
如：asa(config)# global (outside) 1 172.16.1.100
·静态NAT
1概述
静态NAT创建了一个从真实地址到映射地址的一对一的固定转换，可用于双向通信；适合有多个公网IP且有多个内网服务器需要发布的环境使用（双向）
2配置步骤
a配置ACL
实际环境中是允许所有地址访问内网服务器的
asa(config)# access-list out_to_dmz permit ip any host global-ip
asa(config)# access-group out_to_dmz in int outside
b配置静态NAT
asa(config)# static (local_if_name,global_if_name) global-ip local-ip [netmask mask]
如：asa(config)# static (dmz,outside) 172.16.1.201 192.168.1.1
·静态PAT（常用）
1概述
静态PAT允许为真实和映射地址指定TCP或UDP端口号；适合只有一个公网IP且要发布多个内网服务器的环境使用（双向）
2配置步骤
a配置ACL
实际环境中是允许所有地址访问内网服务器的
asa(config)# access-list out_to_dmz permit ip any host global-ip
asa(config)# access-group out_to_dmz in int outside
b配置静态NAT
asa(config)# static (local_if_name,global_if_name) {tcp |udp} {global-ip | interface} global-port local-ip local-port [netmask mask]
如：
asa(config)# static (dmz,outside) tcp 172.16.1.201 http 192.168.1.1 http
asa(config)# static (dmz,outside) tcp 172.16.1.201 8080 192.168.1.1 80
二 NAT控制与豁免
如图所示
如果简单的配置完上图所有设备的IP和路由，我们知道，默认高安全级别是可以访问低安全级别的，也就是说，即使我们不做NAT，PC1也可以访问PC3；而在真实环境中，PC3相当于互联网中的PC机，PC1访问PC3时，可以通过ASA将源地址是自己IP的请求包发送出去，但是确不会接收到回应包，因为私网地址在互联网上是不合法的，因此我们还是需要做NAT，将私网地址映射为公网地址来访问互联网或被互联网访问
ASA从7.0开始提供了一个NAT控制的开关，即当我们开启NAT后，简单的配置中，PC1不能再访问PC3了，必须做NAT转换才能进行访问
·NAT控制
1概念
ASA从7.0版本开始提供了一个NAT控制的开关；在实际环境中，我们一般启用NAT控制方便管理；在启用NAT 控制时，NAT规则是必须的；即发起的每一个连接都需要一个相应的NAT规则
2配置步骤
默认情况下NAT控制是关闭的；使用一下命令启用和禁用NAT控制
启用：nat-control
禁用：no nat-control
·NAT豁免
1概念
当启用NAT控制时，每个发起的连接都需要一个相应的NAT规则，但是在某些应用场合（例如配置×××）需要绕过NAT规则；绕过NAT规则有很多种方法，NAT豁免就是其中一种
2配置步骤
NAT豁免允许双向通信
a定义一个ACL，用于指定需要绕过NAT规则的流量（地址）
如：
asa(config)# access-list nonat extended permit ip 192.168.10.0 255.255.255.0 172.16.1.0 255.255.255.0
b配置NAT豁免
asa(config)# nat (interface_name) 0 access-list acl_name
如：网段192.168.10.0/24中的主机可以访问网段172.16.1.0/24中的主机，且不做NAT转换
asa(config)# nat (inside) 0 access-list nonat
·NAT常用命令
1查看NAT转换表（包含动态和静态）
Show xlate 查看摘要
Show xlate detail 查看详细信息
Show run nat 查看指定NAT
Show run global 查看指定全局地址
2删除定义的全局地址池（使动态NAT和PAT转换失效）
在定义全局命令前加no即可；如
No global (outside) 1 172.16.1.200
3删除动态NAT和PAT（不能删除静态）
Clear xlate
4删除静态NAT
Clear configure stat
Clear configure nat
Clear configure global
四 NAT模拟实验
实验目的：配置NAT，实现企业网络需求
实验环境：如图，环境中只有一个公网IP
实验要求：
1启用NAT控制，让内网客户机可以访问互联网PC3,其中PC1使用NAT转换访问，PC2使用NAT豁免访问，并查看NAT转换表进行验证
2让互联网客户机PC3可以访问内网服务器R5
实验步骤：
1配置基础网络环境（ip、网关、路由器的路由条目）
R5和PC3开启telnet，便于测试（配置基本相似）
R5
PC3
PC1和PC2的配置相似，PC2略
R3的配置
2 ASA的基本配置（IP、逻辑名称、路由等）
3开启NAT控制，配置动态PAT，让PC1使用NAT转换后的地址访问PC3
验证（此时PC2不能访问PC3）
3配置NAT豁免，让PC2使用自己的地址访问PC3
验证，NAT表中并没有PC2的条目，但是PC2可以访问PC3了
4配置静态PAT，发布内网服务器，使PC3可以访问R5
验证（最后测试可以访问）
