Cisco ASA 8.4.2 NAT配置之基于network object

原创作品，允许转载，转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。http://zhangjie26699.blog.51cto.com/626361/972696

 

关于network object nat的配置 

动态NAT的配置

1.配置network object和network object group------用来匹配网络中需要转化的地址（这里包括需要转换的以及地址池的配置）

     object network cisco1

     range 100.100.100.0 100.100.100.100

     object network cisco2

     subnet 2.2.2.0 255.255.255.0

这里可以先配置2个network object

然后配置network object-group来进行相应的匹配，把各种object进行叠加

object-group network cisco

     network-object object cisco1

     network-object object cisco2

     network-object host 101.101.101.1

这个时候可以调用

2.再次定义一个object network 用来定义转化后的地址，在这里就是所谓的配置地址池

Object network my-host-obj1

3.在2中定义一个subnet的10.1.1.0 255.255.255.0用来定义真实的地址，注意subnet参数不能用在定义地址池中

4.配置NAT来配置

nat (inside,outside) source dynamic cisco mapped

实际配置和文档有一定出入，在配置中source dynamic是关键字

cisco指的是你要进行转换的地址

mapped指的是你要转化后的地址

5.NAT转化后XLATE的输出

ASA# show xlate

1 in use, 1 most used

Flags: D - DNS, i - dynamic, r - portmap, s - static, I - identity, T - twice

NAT from inside:2.2.2.2 to outside:1.1.1.56 flags i idle 0:00:04 timeout 3:00:00

6.特例，配置动态NAT，使用完地址后进行PAT，PAT再用完用outside接口的ip地址

     object network mapped2

     range 1.1.1.1 1.1.1.2

     object network mapped3

     host 1.1.1.9

     object-group network mapped4

     network-object object mapped2

     network-object object mapped3

------------------------------------------------------------定义地址池 1.1.1.1 1.1.1.2 先使用，用完把1.1.1.9进行PAT

     object network zhangjie

     subnet 2.2.2.0 255.255.255.0

-----------------------------------------------------------定义要转换的地址

nat (inside,outside) source dynamic zhangjie mapped4 interface-----------------------定义NAT转换，interface指 用完PAT后使用outside的地址

ASA# show xlate

4 in use, 4 most used

Flags: D - DNS, i - dynamic, r - portmap, s - static, I - identity, T - twice

NAT from inside:2.2.2.2 to outside:1.1.1.1 flags i idle 0:01:09 timeout 3:00:00

NAT from inside:2.2.2.100 to outside:1.1.1.2 flags i idle 0:00:27 timeout 3:00:00

ICMP PAT from inside:2.2.2.101/25 to outside:1.1.1.9/37539 flags ri idle 0:00:03 timeout 0:00:30

可以发现最后实际效果

PAT的配置和使用

 

1.和之前的ASA版本不同，在使用NAT的时候如果对于1-1023端口流量很多的时候，你可以专门一个端口范围用来对应一些特定的应用。

 

2.如果一个PAT的地址池被使用于2个rule，那个这2个rule的必须相同的选项。

 

3.如果使用了一个接口作为PAT，那么就不可以使用extended pat

 

4.配置

object network PAT------定义PAT的地址池

range 1.1.1.11 1.1.1.100

object network PATUSE------定义要转化的接口的IP地址

subnet 2.2.2.0 255.255.255.0

nat (inside,outside) source dynamic PATUSE pat-pool PAT-----这个时候定义

静态NAT的配置

 

静态NAT包括Ip地址；还包括ip地址和端口的静态转换

传统静态NAT的配置

object network static

host 1.1.1.101

object network staticx

host 2.2.2.101

nat (inside,outside) source static staticx static

 

基于端口的静态NAT

object network staticx

host 2.2.2.101

object service tcp21

service tcp destination eq telnet

object service tcp23use

service tcp destination eq telnet

定义service来确定要转化的端口

nat (inside,outside) source static staticx interface service tcp21 tcp23use

定义了端口（服务）的转换

Identity NAT

定义要转换的ip地址

object network staticx

host 2.2.2.101

定义转换后的ip地址

object network static112

host 2.2.2.101

nat (inside,outside) source static staticx static112