NETWORKING

Trong những tình huống thực tế, một doanh nghiệp chỉ nhận được một số giới hạn một số địa chỉ công cộng từ ISP , trong khi số lượng địa chỉ tin nội bộ là lớn hơn nhiều.Điều này có nghĩa rằng nếu chúng ta sử dụng động NAT trong một tình huống như vậy,pool địa chỉ công cộng bên ngoài sẽ bị cạn kiệt rất nhanh khi có nhiều máy chủ nội bộ truy cập Internet cùng một lúc.

Để khắc phục vấn đề này, chúng ta có thể sử dụng một “many-to-one” dịch địa chỉ, gọi cũng Port Address Translation (PAT).Sử dụng PAT, nhiều kết nối từ máy chủ nội bộ khác nhau có thể được ghép trên một địa chỉ (công cộng) chỉ duy nhất một địa chỉ IP sử dụng số cổng nguồn khác nhau.

VD: khi host bên trong một mạng lan có địa chỉ là 192.168.1.1 kết nối với một máy chủ bên ngoài Internet, tường lửa sẽ dịch địa chỉ nguồn và cổng vào một địa IP công cộng là 203.205.57.58 với cổng nguồn 1023.Tương tự như vậy, người dẫn chương 192.168.1.2 sẽ được dịch một lần nữa với 203.205.57.58 nhưng với một cổng nguồn khác (1024). Một địa chỉ duy nhất PAT có thể hỗ trợ khoảng 64.000 host.

Khi ASA nhận IP DHCP kết nối với ISP cấu hình sẽ như sau:

ciscoasa(config)# hostname ASA

ASA(config)# interface gigabitEthernet 0/0

ASA(config-if)# nameif outside

ASA(config-if)# security-level 0

ASA(config-if)# ip address dhcp setrout

ASA(config-if)# no shutdown

!

ASA(config)# interface gigabitEthernet 0/1

ASA(config-if)# nameif intside

ASA(config-if)# security-level 100

ASA(config-if)# ip address 192.168.1.1 255.255.255.0

ASA(config-if)# no shutdown

!

ASA(config)# object network LAN

ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0

ASA(config-network-object)# nat (intside,outside) dynamic interface

Trong trường hợp khi doanh nghiệp thuê IP tĩnh từ ISP ở đây giả sử IP là 203.205.57.58 cấu hình sẽ như sau:

ASA(config)# object network LAN

ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0

ASA(config-network-object)# nat (intside,outside) dynamic 203.205.57.58

Cisco ASA 5500-X Series Firewalls

Bước 1: cấu hình các tham số tên và cấu hình quản lý truy cập SSH

ASA(config)# hostname ASA 

ASA(config)# crypto key generate rsa modulus 1024

ASA(config)# ssh 192.168.1.5 255.255.255.255 inside “Chỉ cho phép host có địa chỉ 192.168.1.5 bên trong truy cập ASA”

ASA(config)# aaa authentication ssh console LOCAL 

ASA(config)# username asa password Cisco123 privilege 15

ASA(config)# enable password Cisco123!

Bước 2: Cấu hình Outside WAN Interface

ASA(config)# interface gigabitEthernet 0/0

ASA(config-if)# description connect to Internet

ASA(config-if)# nameif outside

ASA(config-if)# security-level 0  

ASA(config-if)# ip address 192.168.2.1 255.255.255.0

ASA(config-if)# no shutdown

Bước 3: Cấu hình Inside Lan Interface

ASA(config)# interface gigabitEthernet 0/1

ASA(config-if)# description connect to LAN

ASA(config-if)# nameif outside

ASA(config-if)# security-level 100  

ASA(config-if)# ip address 192.168.1.1 255.255.255.0

ASA(config-if)# no shutdown

Bước 4: cấu hình PAT với giao diện Outside

ASA(config)# nat (inside,outside) source dynamic any interface

Bước 5: Cấu hình default route tới ISP

ASA(config)# route outside 0.0.0.0 0.0.0.0 192.168.2.2

Bước 6: trong trường hợp sử dụng ASA làm máy chủ DHCP cấp cho User LAN

ASA(config)# dhcpd address 192.168.1.10-192.168.1.100 inside

ASA(config)# dhcpd dns 8.8.8.8 8.8.4.4

ASA(config)# dhcpd enable inside

Bước 7: Cấu hình ACL trên giao diện outside

do mặc định ASA từ chối ICMP cho nên ta tạo ACL để cho phép trả lời gói ICMP trở lại và ghi nhật ký các gói bị từ chối vào tường lửa nhằm phục vụ cho mục đích an ninh

ASA(config)# access-list outside-intside extended permit icmp any any echo- reply

ASA(config)# access-list outside-intside extended deny ip any any log

ASA(config)# access-group outside-intside in interface outside