多廠商防火墻系列之三asa老版與本nat配置方法比較

ASA8.3以后，NAT算是發(fā)生了很大的改變，之前也看過8.4的ASA，改變的還有 新的東西，QOS和策略都加強(qiáng)了，這算是cisco把CCSP的課程改為CCNPSecurity的吧！是serviceobject，代表服務(wù)。1NATnat(inside)global(outside)1-新版本(NetworkobjectASA-8.4(config)#objectnetworkASA-8.4(config-network-object)#subnetASA-8.4(config-network-object)#exitASA-8.4(config)#objectnetworkoutside-ASA-8.4(config-network-object)#range54ASA-8.4(config-network-object)#exitASA-8.4(config)#objectnetwork一個(gè)是轉(zhuǎn)化后的地址范圍，最后在轉(zhuǎn)換前的object進(jìn)行調(diào)用轉(zhuǎn)化后的object。nat(inside)global(outside)1or新版本(NetworkobjectASA-8.4(config)#objectnetworkASA-8.4(config)#objectnetwork)#) outside-pat轉(zhuǎn)換成3、StaticNAT一對(duì)一轉(zhuǎn)換static(inside,outside)新版本(NetworkobjectASA-8.4(config)#objectnetworkASA-8.4(config)#access-list100permittcpanyhosteq ASA-8.4(config)#access-group100ininterfaceoutside外部DMZ沒問題，但是這里注意的是在8.3以前的版本是需要放行轉(zhuǎn)換后的地址，而8.3以后，是放行真實(shí)的地址，obejcthttpDNS解析的服務(wù)話，而內(nèi)部有是通過公網(wǎng)地址的話，那么就加個(gè)DNS參數(shù)nat(dmZ,outside)static4、StaticNATstatic(inside,outside)tcp2323新版本(NetworkobjectASA-8.4(config)#objectnetwork net net是代表內(nèi)部服務(wù)的端，而后面的代表轉(zhuǎn)換后的端 net nat(inside)0在老版本里面有個(gè)NAT0的策略，分為identity和bypass，我們通常用的deny 過在8.3以后實(shí)現(xiàn)方法有點(diǎn)不同。在這個(gè)拓?fù)渲?，inside新增加一個(gè)的地址，不被轉(zhuǎn)換出去。ASA-8.4(config)#objectnetwork新版本(NetworkobjectASA-8.4(config)#objectnetwork6、access-list100permitiphost nat(inside)1access-listglobal(outside)1globat(outside)1interface新版本(TwiceNAT)，這個(gè)是兩次NAT，一般加入了基于目的的元素，而之前的networkobject只是基于源的，通常情況下使用object就能解決問題了，這個(gè)只是在特殊情況下使用。一般我們把objectAutoNAT，而TwiceNAT叫做manualNAT這是outside有個(gè)和的地址，當(dāng)?shù)木W(wǎng)段的時(shí)候轉(zhuǎn)換成出去，而其余ASA-8.4(config)#objectnetwork這ASA-8.4(config-network-object)#hostASA-8.4(config)#objectnetworkoutside-pat ASA-8.4(config-network-object)#hostASA-8.4(config)#objectnetworkASA-8.4(config)#nat(inside,outside)sourcedynamicinsideoutside-patdestinationstatic這個(gè)跟普通的AutoNAT，這里多了個(gè)destination目的，這是書寫格式?？聪滦Ч鰜砹?，的時(shí)候用轉(zhuǎn)換，而的時(shí)候用interface轉(zhuǎn)換出去NAT0NAT0TwiceNAT+Identify組access-list100permitiphosthostnat(inside)0access-listobjectnetworklocal- hostobjectnetoworkremote- hostnat(inside,outside)sourcestaticlocal- -trafficlocal- -trafficdestination