实验需求：

• 配置动态NAT

• 配置PAT，多内网架构，多个网段，多个zone，直接使用外网接口

• 配置PAT，多内网架构使用一个指定外网IP

• 配置先动态NAT。最后用指定IP做PAT

• 配置静态NAT（一对一）

• 配置端口一对一

实验拓扑：

ASA应用NAT（动态NAT+PAT+静态NAT）_静态NAT

IP地址规划：

ASA应用NAT（动态NAT+PAT+静态NAT）_object_02

实验步骤：

一、 配置动态NAT

1.配置ASA接口IP、路由接口IP、以及路由配置

IOU1配置

IOU1(config)#interface ethernet 0/0

IOU1(config-if)#duplex full

IOU1(config-if)#ip address 200.1.1.2 255.255.255.0

IOU1(config-if)#no shutdown  

IOU1(config-if)#exit

IOU1(config)#interface loopback 0

IOU1(config-if)#ip address 218.86.152.99 255.255.255.0

IOU1(config-if)#no shutdown  

IOU1(config-if)#exit

查看接口配置和路由表

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_03

ASA应用NAT（动态NAT+PAT+静态NAT）_动态NAT_04

IOU2配置

IOU2(config)#interface ethernet 0/0                        

IOU2(config-if)#duplex full  

IOU2(config-if)#ip address 192.168.0.11 255.255.255.0

IOU2(config-if)#no shutdown  

IOU2(config-if)#exit

IOU2(config)#interface loopback 0

IOU2(config-if)#ip address 192.168.1.11 255.255.255.0

IOU2(config-if)#no shutdown  

IOU2(config-if)#exit

IOU2(config)#ip route 0.0.0.0 0.0.0.0 192.168.0.254

查看接口配置和路由表

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_05

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_06

IOU3配置

IOU3(config)#interface ethernet 0/0

IOU3(config-if)#duplex full  

IOU3(config-if)#ip address 172.16.1.1 255.255.255.0

IOU3(config-if)#no shutdown  

IOU3(config-if)#exit

IOU3(config)#interface loopback 0

IOU3(config-if)#ip address 172.16.88.11 255.255.255.0

IOU3(config-if)#no shutdown  

IOU3(config-if)#exit

IOU3(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.254

查看接口配置和路由表

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_07

ASA应用NAT（动态NAT+PAT+静态NAT）_动态NAT_08

ASA配置

ASA(config)# interface gigabitEthernet 0

ASA(config-if)# nameif outside

ASA(config-if)# security-level 0

ASA(config-if)# ip address 200.1.1.1 255.255.255.0

ASA(config-if)# no shutdown  

ASA(config-if)# exit

ASA(config)# interface gigabitEthernet 1

ASA(config-if)# nameif dmz

ASA(config-if)# security-level 50

ASA(config-if)# ip address 192.168.0.254 255.255.255.0

ASA(config-if)# no shutdown  

ASA(config-if)# exit

ASA(config)# interface gigabitEthernet 2

ASA(config-if)# nameif inside

ASA(config-if)# security-level 100

ASA(config-if)# ip address 172.16.1.254 255.255.255.0

ASA(config-if)# no shutdown  

ASA(config-if)# exit

ASA(config)# route outside 0 0 200.1.1.2

ASA(config)# route inside 172.16.88.0 255.255.255.0 172.16.1.1          

ASA(config)# route dmz 192.168.1.0 255.255.255.0 192.168.0.11

查看接口配置和路由表

ASA应用NAT（动态NAT+PAT+静态NAT）_动态NAT_09

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_10

2.配置telnet服务，用于测试网络

IOU1配置

IOU1(config)#username bdqn privilege 15 password bdqn

IOU1(config)#line vty 0 4

IOU1(config-line)#login local  

IOU1(config-line)#transport input telnet  

IOU1(config-line)#exit

IOU2配置

IOU2(config)#username bdqn privilege 15 password bdqn

IOU2(config)#line vty 0 4

IOU2(config-line)#login local  

IOU2(config-line)#transport input telnet  

IOU2(config-line)#exit

IOU3配置

IOU3(config)#username bdqn privilege 15 password bdqn

IOU3(config)#line vty 0 4

IOU3(config-line)#login local  

IOU3(config-line)#transport input telnet  

IOU3(config-line)#exit

3.配置动态NAT地址池

ASA(config)# object network out-pool

ASA(config-network-object)# range 200.1.1.10 200.1.1.20

ASA(config-network-object)# exit

4.定义内网网段

ASA(config)# object network   in-ld  

ASA(config-network-object)# subnet 172.16.88.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network in-xd

ASA(config-network-object)# subnet 172.16.1.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network dmz-1

ASA(config-network-object)# subnet 192.168.0.0 255.255.255.0

ASA(config-network-object)# exit

ASA(config)# object network dmz-2

ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0

ASA(config-network-object)# exit

5.创建内网地址组

ASA(config)# object-group network in-lan

ASA(config-network-object-group)# network-object object in-ld

ASA(config-network-object-group)# network-object object in-xd

ASA(config-network-object-group)# exit

ASA(config)# object-group network dmz-lan

ASA(config-network-object-group)# network-object object dmz-1

ASA(config-network-object-group)# network-object object dmz-2

ASA(config-network-object-group)# exit

6.将内网地址组内的地址转换成动态NAT地址池内的地址

ASA(config)# nat (inside,outside) source dynamic in-lan out-pool

ASA(config)# nat (dmz,outside) source dynamic dmz-lan out-pool

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_object_11

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_12

使用show xlate 命令查看地址转换信息，已使用动态NAT地址池内地址

ASA应用NAT（动态NAT+PAT+静态NAT）_动态NAT_13

二、配置PAT，多内网架构，多个网段，多个zone，直接使用外网接口

ASA配置

先NO掉动态NAT配置

ASA(config)# no nat (inside,outside) source dynamic in-lan out-pool

ASA(config)# no nat (dmz,outside) source dynamic dmz-lan out-pool

配置使用外网接口

ASA(config)# nat (inside,outside) source dynamic in-lan interface  

ASA(config)# nat (dmz,outside) source dynamic dmz-lan interface  

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_14

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_15

使用show xlate 命令查看地址转换信息，已使用外网接口转换

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_16

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_17

三、 配置PAT，多内网架构使用一个指定外网IP

ASA配置

先NO掉外网接口配置

ASA(config)# no nat (inside,outside) source dynamic in-lan interface  

ASA(config)# no nat (dmz,outside) source dynamic dmz-lan interface  

定义外网指定IP

ASA(config)# object network out-pat3

ASA(config-network-object)# host 200.1.1.3

ASA(config-network-object)# exit

配置使用指定IP

ASA(config)# nat (inside,outside) source dynamic in-ld pat-pool out-pat3

定义外网指定IP

ASA(config)# object network out-pat4

ASA(config-network-object)# host 200.1.1.4

ASA(config-network-object)# exit

配置使用指定IP

ASA(config)# nat (inside,outside) source dynamic in-xd pat-pool out-pat4

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_18

使用show xlate 命令查看地址转换信息，已使用指定IP

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_19

四、先动态NAT，最后用指定IP做PAT

ASA配置

先NO掉指定外网IP配置

ASA(config)# no nat (inside,outside) source dynamic in-ld pat-pool out-pat3

ASA(config)# no nat (inside,outside) source dynamic in-xd pat-pool out-pat4  

定义动态NAT地址池

ASA(config)# object network out-pool

ASA(config-network-object)# range 200.1.1.10 200.1.1.20

ASA(config-network-object)# exit

定义指定IP

ASA(config)# object network out-pat3

ASA(config-network-object)# host 200.1.1.3

ASA(config-network-object)# exit

定义地址组

ASA(config)# object-group network out-nat

ASA(config-network-object-group)# network-object object out-pat3

ASA(config-network-object-group)# network-object object out-pool

ASA(config-network-object-group)# exit

配置先使用动态NAT，当动态地址池用完后用指定IP

ASA(config)# nat (inside,outside) source dynamic in-lan out-nat

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_object_20

使用show xlate 命令查看地址转换信息，已经使用动态NAT地址池内地址

ASA应用NAT（动态NAT+PAT+静态NAT）_object_21

五、配置静态NAT（一对一）

ASA配置

先NO掉之前配置​

ASA(config)# no nat (inside,outside) source dynamic in-lan out-nat

定义外网指定IP

ASA(config)# object network web

ASA(config-network-object)# host 200.1.1.21

ASA(config-network-object)# exit

定义内网指定IP

ASA(config)# object network dmz-web

ASA(config-network-object)# host 192.168.1.11

ASA(config-network-object)# exit

配置扩展ACL允许外网流量通过防火墙访问192.168.1.11

ASA(config)# access-list web extended permit tcp any host 192.168.1.11

ASA(config)# access-group web in interface outside

配置使用静态NAT

ASA(config)#  nat (dmz,outside) source static dmz-web web

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_22

使用show xlate 命令查看地址转换信息，已使用指定IP

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_23

6、端口一对一

ASA配置

先NO掉之前配置​

ASA(config)# no nat (dmz,outside) source static dmz-web web  

定义内网指定IP

ASA(config)# object network dmz-web

ASA(config-network-object)# host 192.168.1.11

ASA(config-network-object)# exit

定义外网指定IP

ASA(config)# object network teldmz

ASA(config-network-object)# host 200.1.1.22

ASA(config-network-object)# exit

定义转换的端口

ASA(config)# object service telnet

ASA(config-service-object)# service tcp source eq telnet  

ASA(config-service-object)# exit

配置使用端口一对一

ASA(config)# nat (dmz,outside) source static dmz-web teldmz service telnet telnet

telnet测试

ASA应用NAT（动态NAT+PAT+静态NAT）_PAT_24

使用show xlate 命令查看地址转换信息

ASA应用NAT（动态NAT+PAT+静态NAT）_ASA_25

                        配 置 完 成 ！

​