NAT 0
Trong trường hợp doanh nghiệp thuê dải ip công cộng cho cụm máy chủ Web gán trực tiếp trên card mạng của server mà không cần phải dịch địa chỉ cấu hình này được gọi là NAT trong suốt hay NAT 0
ciscoasa(config)# hostname ASA
ASA(config)# interface gigabitEthernet 0/0
ASA(config-if)# nameif outside
ASA(config-if)# security-level 0
ASA(config-if)# ip address 203.205.57.58 255.255.255.252
!
ASA(config)# interface gigabitEthernet 0/1
ASA(config-if)# nameif DMZ
ASA(config-if)# security-level 50
ASA(config-if)# ip address 200.1.1.1 255.255.255.0
!
ASA(config)# interface gigabitEthernet 0/2
ASA(config-if)# nameif intside
ASA(config-if)# security-level 100
ASA(config-if)# ip address 192.168.10.1 255.255.255.0
!
ASA(config)# route outside 0.0.0.0 0.0.0.0 203.205.57.57
!
ASA(config)# object network NAT_0
ASA(config-network-object)# subnet 200.1.1.0
255.255.255.0
!
ASA(config)# object network DMZ_NET
ASA(config-network-object)# subnet 200.1.1.0
255.255.255.0
ASA(config-network-object)# nat (DMZ,outside) static NAT_0
NAT DMZ
Mạng doanh nghiệp đa phần thường có hệ thống máy chủ thường được đặt tại vùng DMZ vị trí mà các Web Server và các Mail Server thường nằm có thể truy cập được từ Internet
Hai máy chủ với IP là 10.10.10.2 và 10.10.10.3 được dịch sang các địa chỉ IP công cộng tương ứng là 200.1.1.10 và 200.1.1.11
Cấu hình trên ASA như sau:
ASA(config)# interface
gigabitEthernet 0/0
ASA(config-if)# nameif
outside
ASA(config-if)#
security-level 0
ASA(config-if)# ip address
192.168.1.1 255.255.255.0
ASA(config-if)# no shutdown
!
ASA(config)# interface
gigabitEthernet 0/1
ASA(config-if)# nameif DMZ
ASA(config-if)#
security-level 50
ASA(config-if)# ip address
10.10.10.1 255.255.255.0
ASA(config-if)# no shutdown
!
ASA(config)# interface
gigabitEthernet 0/2
ASA(config-if)# nameif
intside
ASA(config-if)#
security-level 100
ASA(config-if)# ip address
192.168.3.1 255.255.255.0
ASA(config-if)# no shutdown
!
ASA(config)# route outside
0.0.0.0 0.0.0.0 192.168.1.2
!
ASA(config)# object network WEB_SERVER
ASA(config-network-object)#
host 10.10.10.2
ASA(config-network-object)#
nat (DMZ,outside) static 200.1.1.10
ASA(config)# object network EMAIL_SERVER
ASA(config-network-object)#
host 10.10.10.3
ASA(config-network-object)# nat (DMZ,outside) static 200.1.1.11
CẤU HÌNH PAT
Trong những tình huống thực tế, một doanh nghiệp chỉ nhận được một số giới hạn
một số địa chỉ công cộng từ ISP , trong khi số lượng địa chỉ tin nội bộ là lớn
hơn nhiều.Điều này có nghĩa rằng nếu chúng ta
sử dụng động NAT trong một tình huống như vậy,pool địa chỉ công cộng bên ngoài sẽ bị cạn kiệt rất nhanh khi có nhiều máy chủ nội bộ
truy cập Internet cùng một lúc.
Để khắc phục vấn đề này,
chúng ta có thể sử dụng một “many-to-one” dịch địa chỉ, gọi cũng Port Address Translation (PAT).Sử dụng PAT, nhiều kết
nối từ máy chủ nội bộ khác nhau có thể được ghép trên một địa
chỉ (công cộng) chỉ duy nhất một địa chỉ IP sử dụng số cổng nguồn khác nhau.
VD: khi host bên trong một mạng lan có địa chỉ là 192.168.1.1 kết nối với một máy chủ bên ngoài Internet, tường lửa sẽ dịch địa chỉ nguồn và cổng vào một địa IP công cộng là 203.205.57.58 với cổng nguồn 1023.Tương tự như vậy, người dẫn chương 192.168.1.2 sẽ được dịch một lần nữa với 203.205.57.58 nhưng với một cổng nguồn khác (1024). Một địa chỉ duy nhất PAT có thể hỗ trợ khoảng 64.000 host.
Khi ASA nhận IP DHCP kết nối với ISP cấu hình sẽ như sau:
ciscoasa(config)# hostname ASA
ASA(config)# interface gigabitEthernet 0/0
ASA(config-if)# nameif outside
ASA(config-if)# security-level 0
ASA(config-if)# ip address dhcp setrout
ASA(config-if)# no shutdown
!
ASA(config)# interface gigabitEthernet 0/1
ASA(config-if)# nameif intside
ASA(config-if)# security-level 100
ASA(config-if)# ip address 192.168.1.1 255.255.255.0
ASA(config-if)# no shutdown
!
ASA(config)# object network LAN
ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0
ASA(config-network-object)# nat (intside,outside) dynamic interface
Trong trường hợp khi doanh nghiệp thuê IP tĩnh từ ISP ở đây giả sử IP là 203.205.57.58 cấu hình sẽ như sau:
ASA(config)# object network LAN
ASA(config-network-object)# subnet 192.168.1.0 255.255.255.0
ASA(config-network-object)# nat (intside,outside) dynamic 203.205.57.58