& 实验室

NAT部分指定NAT规则的处理顺序。 NAT规则可以驻留在三个不同的部分中。 

  • 第1部分-手动NAT或两次NAT
  • 第2节-自动NAT或对象NAT
  • 第3部分-使用 汽车后 NAT规则中的关键字

 

NAT由规则顺序和部分处理。在第1节和第3节中，您可以手动配置行顺序。在第2节中，您不能。第2节中的行顺序由以下决定：

  • 类型-首先是静态，然后是动态
  • 然后对象网络中包含的IP数量
  • 然后，包含相同数量IP的对象网络将首先寻址最低的IP地址号
  • 如果规则相等，是否需要决胜局，则由名称的字母顺序决定

 

源NAT语法：

对象网络 名称
[主持人|子网|范围] ... 
纳特（ 实接口，映射接口 ）...

 

目标NAT语法：

对象网络 名称
[主持人|子网|范围] ...
纳特（ 映射接口，真实接口 ）...

如果流量来自具有较高安全级别的接口，请确保添加ACL以允许端口，协议和/或IP地址/子网通过。在访问列表中使用真实IP。 

 

在进行所有这些配置时，我正在使用的NAT实验室。在这种情况下，我正在使用VIRL。 

在进行所有这些配置时，我正在使用的NAT实验室。在这种情况下，我正在使用VIRL。 

下载： VIRL拓扑

 

对象NAT

对象NAT始终由对象配置组成，该对象配置包含主机地址/子网/范围的配置，并将其绑定到同样位于该对象内部的NAT规则。这使您能够在单个对象下进行NAT配置。 

您可以使用的参数： 

  • 对象组网络 名称 -用于多个网络，主机地址或两者的组合
  • 对象网络 名称 -用于定义单个子网，范围或主机地址 

拍：

对象网络局域网
子网10.1.100.0 255.255.255.0
nat（内部，外部）动态接口

 

PAT池：

对象网络PATPOOL
范围100.0.0.15 100.0.0.20

对象网络局域网
子网10.1.100.0 255.255.255.0
nat（内部，外部）动态Pat-pool PATPOOL {块分配|扩展|平界面|循环}

上面提到的用于PAT的扩展命令：

  • 块分配 -启用端口块分配
  • 扩展的 -将PAT唯一性扩展到每个目标而不是每个接口。它会在NAT表上显示一个扩展的NAT条目，不仅会显示源转换的端口，还会查看目标端口。
  • 平-  将TCP和UDP端口转换为固定范围1024-65535
  • 介面- 使用接口地址作为映射IP。如果要用作接口，可以用作备份IP。 
  • 轮循 -指定从池中获取IP时以循环顺序使用PAT IP地址

 

目的NAT：

对象网络DMZ_Host
主机100.0.0.100
nat（外部，dmz）静态200.0.0.10

 

动态NAT：

对象网络WAN-POOL
范围100.0.0.11 100.0.0.l4

对象网络DMZ-POOL
范围200.0.0.11 200.0.0.14
nat（dmz，外部）动态WAN-POOL

 

静态NAT： 

对象网络SRV
主机200.0.0.10
nat（dmz，outside）静态100.0.0.5 {dns |无代理路线查询}

上面提到的用于静态NAT的扩展命令： 

  • 域名系统 -使用创建的xlate重写DNS记录
  • 无代理- 在出口接口上禁用代理ARP
  • 路线查询 -为此规则执行路由查找

 

静态PAT（端口重定向）：

对象网络SRV-GLOBAL
主机100.0.0.5

对象网络SRV
主机200.0.0.10
nat（dmz，外部）静态SRV-GLOBAL服务tcp telnet 23 2323

 

身份NAT：根据《思科配置指南》： “您可能具有NAT配置，需要在其中将IP地址转换为其自身。例如，如果您创建了一个将NAT应用于每个网络的广泛规则，但想从NAT中排除一个网络，则可以创建一个静态NAT规则来将地址转换为自身。身份NAT是远程访问VPN所必需的，在远程VPN中，您需要从NAT中排除客户端流量。”

 

身份NAT配置（基本）：

对象组网络DMZ-INTERNAL
网络对象200.0.0.0 255.255.255.0

对象网络DMZ
子网200.0.0.0 255.255.255.0
nat（dmz，外部）静态DMZ-内部

 

    带有对象的身份NAT：

    对象网络DMZ
    子网200.0.0.0 255.255.255.0
    nat（dmz，外部）静态DMZ

     

    NAT控制：

    基本上说，任何未明确允许的内容都应丢弃，例如NAT的包罗万象/黑洞。 

    对象网络零
    主机0.0.0.0
    nat（内部，外部）自动源动态后任何零

     

    手动NAT

    手动NAT使您能够在NAT处理的顶部或底部添加NAT条目，并提供了许多其他在对象NAT中可能找不到的选项。使用“手动NAT”，您将看到xlate中内置的静态条目，并看到对NAT表的匹配。 显示conn 将为您提供显示翻译的连接表。您还可以调试nat，但是如果您想在不打开调试的情况下查看更多详细信息，请确保已在7启用日志记录并检查 显示日志 对最近的NAT连接进行故障排除。 

    您始终希望将最具体的NAT规则放在首位，以便它们首先匹配。

    您可以使用的参数：

    • 对象组网络 名称 - 用于多个网络或主机地址
    • 对象网络 名称 -用于单个子网，范围或主机地址
    • 对象服务 名称 -用于源或目标服务

    静态NAT： 

    对象网络DMZ-SRV
    主机200.0.0.10

    对象网络MAP-SRV
    主机100.0.0.5

    全局配置模式：

    （配置）＃nat（dmz，外部）源静态DMZ-SRV MAP-SRV

     

    网络静态NAT： 

    对象网络局域网
    子网10.1.100.0 255.255.255.0

    对象网络MAP-OUTSIDE
    子网100.0.0.128 255.255.255.128

    （config）＃nat（内部，外部）源静态LAN MAP-OUTSIDE

     

    动态NAT：

    对象网络局域网
    子网10.1.100.0 255.255.255.0

    对象网络NATPOOL
    范围100.0.0.15 100.0.0.20

    （配置）＃nat（内部，外部）源动态LAN NATPOOL

     

    拍：  

    物联网
    主机100.0.0.5

    对象网络局域网
    子网10.1.100.0 255.255.255.0

    （config）＃nat（内部，外部）[自动后]源动态LAN外部

     

    PAT池： 

    对象网络PATPOOL
    范围100.0.0.15 100.0.0.20

    对象网络局域网
    子网10.1.100.0 255.255.255.0

    （config）＃nat（内部，外部）[自动后]源动态LAN pat-pool PATPOOL

     

    目的NAT：

    对象网络MAP-PARTNER1
    主机10.1.100.15

    对象网络PARTNER1
    主机100.11.11.22

    （config）＃nat（内部，外部）[自动后]源动态任何接口目标静态MAP-PARTNER1 PARTNER1

     

    指定了源和目标的身份NAT：

    对象网络DMZ
    子网200.0.0.0 255.255.255.0

    对象网络PARTNER2-NETWORK
    子网100.22.22.0 255.255.255.0

    （config）＃nat（dmz，outside）1源静态DMZ DMZ目标静态PARTNER2-NETWORK PARTNER2-NETWORK {说明|不活跃|网对网|无代理路线查询|服务|单向} 

    上述扩展选项：

    • 描述 -指定NAT规则说明
    • 无效- 禁用NAT规则
    • 网对网- 网络到IPv4和IPv6的映射
    • 无代理- 在出口接口上禁用代理ARP
    • 路线查询- 为此规则执行路由查找
    • 服务- NAT服务参数
    • 单向- 启用每会话NAT

     

    带有源的身份NAT：

    对象网络LOOPBACK2
    主机10.1.100.37

    nat（内部，外部）源静态LOOPBACK2 LOOPBACK2

     

    显示有用的命令：

    • 显示运行
    • 显示运行对象
    • 显示conn [详细信息]
    • 显示nat [详细]
    • 显示xlate
    • 包跟踪器
    • 显示日志