思科防火墙的NAT配置说明书

思科PIX防火墙的基本配置

【项目目标】

掌握PIX防火墙基本配置方法。

【项目背景】

某公司使用Cisco PIX 515防火墙连接到internet，ISP分配给该公司一段公网IP地址。公司具有Web服务器和Ftp服务器，要求让内网用户和外网用户都能够访问其web服务和FTP服务，但外部网络用户不可以访问内网。

【方案设计】

1.总体设计

ISP分配给该公司一段公网IP地址为61.1.1.2—61.1.1.254。在DMZ区域放置一台Web服务器和一台Ftp服务器，使用61.1.1.3和61.1.1.4这两个全局IP地址分别将Web服务器和Ftp服务器发布到Internet。利用访问控制列表来控制外网用户的访问。

2.任务分解

任务1：防火墙基本配置。

任务2：接口基本配置。

任务3：配置防火墙默认路由。

任务4：配置内网用户访问外网规则。

任务5：发布DMZ区域的服务器。

任务6：配置访问控制列表。

任务7：查看与保存配置。

3.知识准备

所有的防火墙都是按以下两种情况配置的：

（1）拒绝所有的流量，这需要在网络中特殊指定能够进入和出去的流量的一些类型。

（2）允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。

不过大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的内部用户能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP的进程。

4.拓扑结构：如图8-17所示。

图8-17 项目拓扑结构

5.设备说明 PIX515

dmzoutsidinside

File Server Web 192.168.1.Interne

以PIX515防火墙7.X版本的操作系统为例，介绍其配置过程。在配置之前先假设pix515防火墙的ethernet0接口作为外网接口(命名为outside)，并分配全局IP地址为61.1.1.2；ethernet1接口作为内网接口(命名为inside)，并分配私有IP地址为192.168.1.1；ethernet2接口作为DMZ接口，并分配私有IP地址为192.168.2.1。内网的私有IP地址使用范围为192.168.1.1-192.168.1.254，子网掩码为255.255.255.0。防火墙的下一跳路由器地址假设为61.1.1.1；dmz区域中Web服务器IP地址取192.168.2.3，Ftp服务器IP地址取192.168.2.4。

ASA的NAT配置配置

1.nat-control命令解释命令解释

pix7.0版本前默认为nat-control,并且不可以更改并且不可以更改 pix7.0版本后默认为no no nat-controlnat-control。可以类似路由器一样，直接走路由；如果启用nat-control，那就与pix7.0版本前同。版本前同。

2.配置动态nat 

把内部网段：172.16.25.0/24 转换成为一个外部的地址池转换成为一个外部的地址池

200.1.1.1-200.1.1.99 NAT配置命令配置命令

ASA(config)# nat (inside) 1 172.16.25.0 255.255.255.0 (定义源网段) ASA(config)# global (outside) 1 200.1.1.1-200.1.1.99 （定义地址池）（定义地址池）

注意：id必须匹配，并且大于1，这里先使用1 

检测命令：检测命令： ASA(config)# show run nat 

ASA(config)# show run global 

ASA(config)# show xlate 

ASA(config)# show connect 3.配置PAT 

把内部网段：172.16.26.0/24 转换成为一个外部的一个地址：200.1.1.149 NAT配置命令配置命令

ASA(config)# nat (inside) 2 172.16.26.0 255.255.255.0 (定义源网段) 

ASA(config)# global (outside) 2 200.1.1.149 （定义地址）（定义地址）

ASA(config)# global (outside) 2 interface（或者直接转换为外网接口地址）（或者直接转换为外网接口地址）

注意：id必须匹配，并且大于2，这里先使用2 4.配置sta󰆟c NAT 

文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.

不支持故障切换

global (outside) 1

global (outside) 1

global (outside) 1

定义内部网络地址将要翻 译成的全局地址或地址范围

nat (inside) 0 access-list 101

使得符合访问列表为101地址不通过翻译，对外部网络是可见的

nat (inside) 1 0 0

内部网络地址翻译成外部地址

nat (dmz) 1 0 0

DMZ区网络地址翻译成外部地址

static (inside,outside) netmask 0 0

static (inside,outside) netmask 0 0

static (inside,outside) netmask 0 0

设定固定主机与外网固定IP之间的一对一静态转换

static (dmz,outside) netmask 0 0

设定DMZ区固定主机与外网固定IP之间的一对一静态转换

static (inside,dmz) netmask 0 0

设定内网固定主机与DMZ IP之间的一对一静态转换

static (dmz,outside) netmask 0 0

设定DMZ区固定主机与外网固定IP之间的一对一静态转换

access-group 120 in interface outside

access-group 120 in interface inside 文档来源为:从网络收集整理.word版本可编辑.欢迎下载支持.

access-group 120 in interface dmz

将访问列表应用于端口

conduit permit tcp host any

static 静态NAT

配置：

1.首先设定R1的ip地址 和开启端口

conf#inter e0/0

if# ip add 192.168.1.1 255.255.255.0

if# no shut

conf#inter e0/1

if# ip add 10.0.0.1 255.255.255.0

if# no shut

2.然后设置NAT静态转换

conf# ip nat ins source static 192.168.1.10 10.0.0.1

将内部地址 192.168.1.1 转换成 10.0.0.1

conf# ip nat ins source static 192.168.1.20 10.0.0.1

3.再开启NAT

conf# inter e0/0

conf# ip nat inside

conf# inter e0/1

conf# ip nat outside

4.设置静态路由

conf# ip route 0.0.0.0 0.0.0.0 10.0.0.0

完成，可以 show ip nat translations 查看

动态NAT

配置：

1.首先设定R1的ip地址 和开启端口

conf#inter e0/0

if# ip add 192.168.1.1 255.255.255.0

if# no shut

conf#inter e0/1

if# ip add 10.0.0.1 255.255.255.0

if# no shut

2.定义内部网络中允许访问外部网络的IP

Conf#access-list permit 192.168.1.10 0.0.0.255

(允许192.168.1.10 访问外部网络，0.0.0.255 为反子网掩码 具体参考 ACCESS链路访问规则)

Conf#access-list permit 192.168.1.20 0.0.0.255