ASA-NAT实验一
实验报告——实验一：NAT配置
实验报告——实验⼀：NAT配置实验⼀：NAT配置实验⽬的1、掌握NAT相关概念、分类和⼯作原理2、学习配置NAT的命令和步骤3、查看NAT转换配置情况4、练习配置动态NAT和PAT实验要求1、NAT拓扑与地址规划；2、NAT基本配置和PAT配置3、验证NAT和PAT配置并给出配置清单实验拓扑实验设备（环境、软件）路由器2台，交叉线3条，serial DCE线⼀条。
Pc机2台，www服务器⼀台。
实验设计到的基本概念和理论NAT技术使得⼀个私有⽹络可以通过internet注册IP连接到外部世界，位于inside⽹络和outside ⽹络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。
内部⽹络的主机不可能同时于外部⽹络通信，所以只有⼀部分内部地址需要翻译。
NAT的主要⽤途是让⽹络能使⽤私有IP地址⼀节省IP地址。
NAT将不可路由的私有内部地址转换成可路由的NAT的翻译可以采取静态翻译（static translation）和动态翻译（dynamic translation）两种。
静态翻译将内部地址和外部地址⼀对⼀对应。
当NAT需要确认哪个地址需要翻译，翻译时采⽤哪个地址pool时，就使⽤了动态翻译。
采⽤portmultiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同⼀个外部地址，这就是PAT（port address translator）。
当影射⼀个外部IP到内部地址时，可以利⽤TCP的load distribution技术。
使⽤这个特征时，内部主机基于round-robin机制，将外部进来的新连接定向到不同的主机上去。
注意：load distributiong 只有在影射外部地址到内部的时候才有效。
实验过程和主要步骤步骤⼀：主机与服务器的IP地址配置1、PC0上IP的配置192.168.3.12、PC1上IP的配置192.168.2.13、服务器IP的配置222.22.22.1步骤⼆：Router0的配置1、端⼝配置Router>enableRouter#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#interface f0/0Router(config-if)#ip address 192.168.3.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to upRouter(config-if)#exitRouter(config)#interface f1/0Router(config-if)#ip address 192.168.2.2 255.255.255.0Router(config-if)#no shutRouter(config-if)#%LINK-5-CHANGED: Interface FastEthernet1/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/0, changed state to upRouter(config-if)#exitRouter(config)#interface s2/0Router(config-if)#ip address 202.196.32.1 255.255.255.0Router(config-if)#clock rate 9600Router(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to downRouter(config-if)#end%SYS-5-CONFIG_I: Configured from console by consoleRouter#copy running-config startup-configDestination filename [startup-config]?Building configuration...[OK]Router#2、配置静态默认路由Router#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#ip route 0.0.0.0 0.0.0.0 s2/0Router(config)#endRouter#步骤三：Router1的配置1、端⼝配置Router>enableRouter#config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#interface s2/0Router(config-if)#ip address 202.196.32.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface Serial2/0, changed state to upRouter(config-if)#exitRouter(config)#interface f0%LINEPROTO-5-UPDOWN: Line protocol on Interface Serial2/0, changed state to up /0Router(config-if)#exitRouter(config)#interface f0/0Router(config-if)#ip address 222.22.22.2 255.255.255.0Router(config-if)#no shut%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed stateto upRouter(config-if)#end%SYS-5-CONFIG_I: Configured from console by consoleRouter#copy running-config startup-configDestination filename [startup-config]?Building configuration...[OK]步骤四：NAT配置把路由器Router0作为局域⽹的边界路由，在其上配置静态NAT转换，⽬的是形成如下对⽐，使得PC1可以通信，⽽PC0不能通信。
CiscoASA防火墙nat配置示例
ASA的NA T配置配置1.nat-control命令解释命令解释pix7.0版本前默认为nat-control,并且不可以更改并且不可以更改nat-control。
可以类似路由器一样，直接走路由；如果启用no nat-controlpix7.0版本后默认为no nat-control，那就与pix7.0版本前同。
版本前同。
2.配置动态nat 把内部网段：172.16.25.0/24 转换成为一个外部的地址池转换成为一个外部的地址池200.1.1.1-200.1.1.99 NA T配置命令配置命令ASA(config)# nat (inside) 1 172.16.25.0 255.255.255.0 (定义源网段) ASA(config)# global (outside) 1 200.1.1.1-200.1.1.99 （定义地址池）（定义地址池）注意：id必须匹配，并且大于1，这里先使用1 检测命令：检测命令：ASA(config)# show run nat ASA(config)# show run global ASA(config)# show xlate ASA(config)# show connect 3.配置P A T 把内部网段：172.16.26.0/24 转换成为一个外部的一个地址：200.1.1.149 NA T配置命令配置命令ASA(config)# nat (inside) 2 172.16.26.0 255.255.255.0 (定义源网段) ASA(config)# global (outside) 2 200.1.1.149 （定义地址）（定义地址）ASA(config)# global (outside) 2 interface（或者直接转换为外网接口地址）（或者直接转换为外网接口地址）注意：id必须匹配，并且大于2，这里先使用2 4.配置sta c NAT 把内部网段：172.16.27.27/24 转换成为一个外部的一个地址：200.1.1.100 NA T配置命令配置命令ASA(config)# sta c (inside,outside) 200.1.1.100 172.16.27.27 命令格式是内外对应的，红色的接口和红色的地址对应。
ASA-NAT配置指南
ASA配置指南,~、文档属性 文档历史； 序号 版本号修订日期 修订人 修订内容 1.郑鑫 文档初定 2. ·3.4.<）（, 属性 内容标题 思科ASA 防火墙配置指南文档传播范围发布日期目录一、文档说明 (5)二、基础配置 (6)(一)查看系统信息 (6)(二)版本区别简介 (6)《(三)接口配置与安全级别简介 (7)(四)NTP 配置 (8)(五)SNMP配置 (9)(六)telnet配置 (9)(七)SSH配置 (9)(八)配置管理 (10)(九)常用设备排错命令 (10)三、NAT静态方向写法 (12)(一)传统静态NAT配置方向写法 (12)(二)新静态NAT配置方向写法 (15)四、NAT配置举例 (16)"(一)Dynamic NAT (16)(二)Static NAT (27)(三)Identity NAT (34)(四)NAT免除 (40)(五)Twice NAT（策略NAT） (40)(六)NAT执行顺序 (52)五、状态化应用监控 (53)(一)状态化监控策略配置 (53)(二)路由、NAT、ACL、策略执行顺序 (57)六、failover (65)(一)配置failover (65)%(二)配置A/A (76)一、文档说明<本文档主要介绍思科ASA防火墙在版本之前与版本之后配置区别和常用的一些管理和运维命令，如：系统管理、防火墙策略、NAT、日志配置等。
思科ASA防火墙目前新出厂的设备都在以后，但有很多老的设备都在以前，所以本文档通过使用ASA 与这两个版本来介绍。
请读者打开文档中的显示批注功能，文档中有部分批注内容。
）二、基础配置(一)查看系统信息hostnat (inside,outside) staticobject networkhostnat (outside,inside) staticaccess-list inbound extended permit ip host host access-group inbound in interface outside@新命令的outbound和inbound流量动作是一样的：（inside,outside）针对outbound流量是源的转换，针对inbound流量是目的的转换（outside,inside）针对outbound流量是转换目的，针对inbound的是转换源。
nat实验的实施步骤
NAT实验的实施步骤简介在计算机网络中，网络地址转换（NAT）是一种将私有IP地址转换为公有IP地址的技术。
NAT技术在实际网络环境中广泛应用，它允许多台设备共享一个公网IP地址，提高了IP地址的利用率。
本文档将介绍NAT实验的实施步骤，帮助读者理解和掌握NAT技术的原理和实际应用。
实验环境准备在进行NAT实验之前，需要准备以下实验环境： - 一台路由器设备（如：Cisco路由器、Juniper路由器等） - 两台主机设备（如：PC、服务器等） - 连接路由器和主机的网络线缆实验步骤下面是进行NAT实验的具体步骤：1.连接实验设备–将路由器和主机设备通过网络线缆进行连接，确保物理连接正常。
2.配置路由器接口–在路由器上配置连接主机的接口，分配IP地址和子网掩码。
–配置默认路由，将数据包转发到公网接口。
3.配置NAT规则–在路由器上配置NAT规则，将私有IP地址映射为公有IP地址。
–配置端口转发规则，将特定端口的数据包转发到内部主机。
4.配置访问控制策略–配置访问控制列表（ACL），实现对数据包的过滤和安全控制。
–限制特定主机或IP地址的访问权限。
5.测试NAT功能–在主机上使用ping命令测试与公网的连通性。
–在主机上使用telnet或SSH等工具测试端口转发功能。
6.监控和故障排除–使用网络监控工具（如：Wireshark）监控数据包的流动。
–根据监控结果，进行故障排除和网络优化。
7.实验总结和分析–总结本次实验的结果和经验，分析NAT技术的优缺点。
–探讨NAT技术在实际网络中的应用场景和未来发展方向。
注意事项进行NAT实验时，需要注意以下事项： - 确保实验设备的硬件和软件配置符合NAT实验的需求。
- 依据实验目的和具体环境，合理安排IP地址的分配和子网划分。
- 遵守实验守则，不干扰他人网络和数据通信。
- 在实验过程中记录实验结果和问题，及时解决故障和疑问。
结论NAT技术是计算机网络中常用的一种技术，通过将私有IP地址转换为公有IP 地址，提高了IP地址的利用率。
思科ASA系列防火墙NAT解析
思科ASA系列防火墙NAT解析网络地址转换(NAT, Network Address Translation)属接入广域网(WAN)技术，是一种将私有(保留)地址转化为合法IP地址的转换技术，它被广泛应用于各种类型Internet接入方式和各种类型的网络中。
防火墙都运行NAT，主要原因是：公网地址不够使用；隐藏内部IP 地址，增加安全性；允许外网主机访问DMZ。
动态NAT和PAT在图1中，内部主机访问外网和DMZ时，都需要转换源地址，配置方法如下：FW(config)# nat (inside) 1 10.0.1.0 255.255.255.0指定需要转换的源地址。
其NAT ID为1。
用于匹配global命令中的NAT ID。
FW(config)# global (outside) 1 61.136.150.10-61.136.150.20指定用于替代源地址的地址池。
其NAT ID为“1”，表明内口NAT ID为1的地址将被替换为地址池中的地址。
该方式即为动态NAT。
FW(config)# global (dmz) 1 10.0.2.20指定用于替代源地址的唯一地址。
其NAT ID为“1”，表明内口NAT ID为1的地址都将被替换为同一地址(10.0.2.20)。
该方式即为动态PAT。
收到来自内网的IP包后，防火墙首先根据路由表确定应将包发往哪个接口，然后执行地址转换。
静态NAT在图1中，为使外部用户可访问DMZ中的服务器，除适当应用ACL外，还需将服务器的IP地址(10.0.2.1)映射(静态转换)为公网地址(如61.136.151.1)，静态转换命令如下：FW (config)# static (dmz,outside) 61.136.151.1 10.0.2.1 netmask255.255.255.255本例中子网掩码为255.255.255.255，表示只转换一个IP地址。
若参数形如“10.0.2.0 61.136.151.0 netmask 255.255.255.0”，则表示要完成一个子网到另一个子网的静态转换。
ASA配置实例
基本思路如图所示1、配置DNS外网那个服务器注意网关是为了实验方便，实际不会设置防火墙outside口的IP地址的2、DMZ区的web服务器IP地址192.168.202.2 网关为192.168.202.13、inside 区则放了一台PC机，pc机的IP：192.168.201.2网关为192.168.201.1DNS就用拓扑图中的DNS地址4、首先要将防火墙的主机名域名路由配置好这样才可以PC机ping通192.168.201.1通过三个配置你会发现DNS PC DMZ去ping自己所在的网关都是通的但是如果想pc 想pingDmz会发现无法ping通的这个是时候要做一个ACL 让他们两两ping通其中111是一个扩展访问ACL 但因为后面接了一个permit 所以不写extend也可以这个时候你用netstat -an 你会发现在outside的DNS 可以看到内网的IP 这个就不符合要求了。
也就是防火墙现在单单是一个路由器的功能所以这个时候要做的是1、将DNS服务器的网关去掉因为实际就这样不可能配置好网关的。
2、为内网的出站做一个网络地址转换----NAT 做一个PAT 其中命令中的1表示一个标记这个时候你会发现PC机又可以重新ping通外网了。
用netstat –an 可以看到地址已转换3、新问题：这时你会发现内网访问DMZ区不行也就是说如果要访问DMZ区要做一个针对DMZ区的地址转换这个时候你去DMZ区用netstat –an 可以看到地址已转换。
3、以上就是NAT的DMZ与outside的做好了要求：外网的DNS 可以访问到内网的DMZ区:这个时候做一个静态NAT 将DMZ区的服务器发布出去这个时候要考虑与前面的111extended想对应这个时候最好show run 看看。
做一个远程管理接入：开启telnet ssh 等SSH这里弄了一个钥匙对。
NAT实验报告
实验报告17静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。
借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。
动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址是不确定的，是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。
也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。
动态转换可以使用多个合法外部地址集。
当ISP提供的合法IP地址略少于网络内部的计算机数量时。
可以采用动态转换的方式。
端口多路复用(Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PA T，Port Address Translation).采用端口多路复用方式。
内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。
同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。
因此，目前网络中应用最多的就是端口多路复用方式。
【注意事项】1.在配置的时候不要把inside和outside应用接口弄错2.要加上能能使数据包外发的路由协议。
该实验所需要的简单实验拓扑。
请用模拟器拓扑替换此图。
实验拓扑图实验步骤及命令清单本次实验步骤对锐捷机架真实设备和思科模拟器均可。
本节实验报告由三个实验组成。
注意：PC机和路由器之间用交叉线相连。
实验步骤:参看电子书——CCNA实验指导实验。
实验二十：静态地址转换实验二十一：动态地址转换实验二十二：PAT一、静态地址转换：通过实验掌握静态NAT的配置方法及实际应用。
根据需要将内部主机PC1:192.168.1.1和PC2:192.168.1.2私有地址转为能上外网的公有地址。
通过NAT解决网段冲突!（该实例加深你对NAT运行机制的理解）[修订]
![通过NAT解决网段冲突!（该实例加深你对NAT运行机制的理解）[修订]](https://img.taocdn.com/s3/m/0a7ce954a9956bec0975f46527d3240c8447a1cd.png)
通过NAT解决网段冲突!(该实例加深你对NAT运行机制的理解)TOP图如下：ASA的Inside区域和DMZ区域都有一个冲突网段192.168.100.0/24，现在要实现两个冲突网段都能互通，配置如下：ASA配置：interface ethernet0/0nameif insidesecurity-level 100ip address 192.168.100.1 255.255.255.0!interface ethernet0/1nameif dmzsecurity-level 50ip address 10.1.1.1 255.255.255.0!static (inside,dmz) 10.1.2.0 192.168.100.0 netmask255.255.255.0 //把inside端的192.168.100.0/24网段映射到dmz 区域的10.1.2.0/24网段。
static (dmz,inside) 10.1.3.0 192.168.100.0 netmask255.255.255.0 //把dmz端的192.168.100.0/24网段映射到inside 区域的10.1.3.0/24网段。
route dmz 192.168.100.128 255.255.255.128 10.1.1.2 1//192.168.100.0/24网段拆分成两个更明细网段，把流量抛向路由器，因自己有个192.168.100.0/24直连网段。
route dmz 192.168.100.0 255.255.255.128 10.1.1.2 1 //把192.168.100.0/24网段拆分成两个更明细网段，把流量抛向路由器，因自己有个192.168.100.0/24直连网段。
路由器配置：interface f0/0ip address 10.1.1.2 255.255.255.0!interface f0/1ip address 192.168.100.1 255.255.255.0!ip route 10.0.2.0 255.255.255.0 10.1.1.1 //把10.0.2.0/24流量抛向ASA测试：ASA的inside端口连接PC1，IP是192.168.100.2/24。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第6单元NAT实验：
1.R1和ASA之间配置OSPF，R2和ASA上分别之间配置EIGRP，ASA上配置去往outside
方向的缺省路由并且将缺省路由引入到OSPF和EIGRP。
2.ASA上配置动态PAT，将1.1.1.0/24转换到outside接口，从R1上分别带源接口loopback
1和loopback 2去telnet 3.3.3.1进行测试，查看ASA上的转换项。
3.ASA上再配置策略NAT，当源1.1.1.1访问3.3.3.2时，将1.1.1.1转换到202.100.1.10，从
R1上带源接口loopback 1去telnet 3.3.3.2进行测试，查看ASA上的转换项，是否成功。
4.ASA上配置静态NAT，将dmz区域的2.2.2.1转换到202.100.1.21；2.2.2.2转换到
202.100.1.22。
在ASA上放行所有到202.100.1.21和202.100.1.22的telnet流量，开启R2的远程登录后从R3上带源接口loopback 1去telnet 202.100.1.21和202.100.1.22进行测试；查看ASA上的转换项，是否成功。
动态PAT配置例：
nat (inside) 1 1.1.1.0 255.255.255.0
global (outside) 1 interface
策略NAT：特定流量的NAT
Access-list nat1 permit ip host 1.1.1.1 host 3.3.3.2
Nat (inside) 1 access-list nat1
Global (outside) 1 202.100.1.10
静态一对一的NAT：适用于把内部服务器转换到一个公网IP地址
Static (dmz,outside) 202.100.1.21 2.2.2.1
Static (dmz,outside) 202.100.1.22 2.2.2.2
Access-list list1 permit tcp any host 202.100.1.21 eq 23
Access-list list1 permit tcp any host 202.100.1.22 eq 23
Access-group list1 in interface outside。