PIX配置手冊三（nat）

一、nat + glob 

1、内部位址轉換外部位址池配置說明：

nat （inside） 1 2.2.2.0 255.255.255.0  配置inside表

glob （outside）1 1.1.1.10-1.1.1.20     配置outside表

sh nat 檢視nat inside配置

sh glob 檢視nat global配置

sh user 檢視裝置登陸使用者

sh xlate 檢視nat轉換表  

sh conn 檢視目前連接配接的資訊

clear xlate 清空xlate轉換項 

clear nat   清空nat inside配置

clear glob  清空nat global配置

2、外部位址不夠，配置PAT，就是轉換為out接口位址：

nat （inside）1 2.2.2.0 255.255.255.0

glob （outside）1 interface

3、nat+pat使用，對于有一段公網位址池，而又不夠用的

nat （inside） 1 2.2.2.0 255.255.255.0

glob （outside） 1 1.1.1.10-1.1.1.20

glob （outside） 1 interface

4、acl控制nat

access-l nat per tcp any any eq telnet

nat （inside） 1 access-l nat

sh access-l nat 檢視acl nat清單

二、nonat（也稱nat0）不改變原和目标 

  （内部位址通路外部位址不需要做轉換）（靜态配置，注意裝置之間的路由）

  1、identity nat跟nat具體位址(有xlate表項)

nat （inside） 0 2.2.2.0 255.255.255.0

  2、bypass nat後跟acl (沒有xlate表項)更節省資源

access-l nonat per ip 2.2.2.0 255.255.255.0 1.1.1.0 255.255.255.0

nat （inside） 0 access-l nonat

三、static + access

靜态一對一映射（注意内部pix和路由器之間的路由）

1.static

static （inside，outside） 1.1.1.10 2.2.2.2 

（outside：1.1.1.10 inside：2.2.2.2）

如果想讓ping通測試：icmp對于pix來說不是一個有狀态的協定，需要通路控制清單放行icmp

放行icmp：

access-l out per icmp any any echo

access-l out per icmp any any echo-

access-l out in interface outside

2.端口轉換

static （inside，outside） tcp interface（也可以是外部位址） 2114 2.2.2.2 23（内部位址）

access-l out per tcp host 1.1.1.2 host 1.1.1.1 eq 2114

access-g out in interface outside（如果不支援直接應用，就需要進到借口模式去應用）

3.dos防禦

static （inside，outside） 1.1.1.10 2.2.2.2 1000(最大的tcp連接配接數) 200（最大的tcp半開連接配接數）

sh static 檢視static配置

4.access-list static（外部向内部發起一個telnet，通過acl坐靜态映射）

access-l static per tcp host 2.2.2.2（内部位址） eq telnet host 1.1.1.2  裡邊出去的流量

static (inside.outside) tcp 1.1.1.10（外部位址） telnet access-list static(内部位址) 外邊進來的轉換

access-l out per tcp host 1.1.1.2 host 1.1.1.10 eq telnet （定義pix外部接口出去的流量）

access-group out in interface outside

注意：

穿越pix必須做nat 才能通過，然而會改變原和目标。nonat除外（也稱nat0）不改變原和目标

icmp對于pix來說不是一個有狀态的協定，需要通路控制清單放行icmp

<b>     本文轉自506554897 51CTO部落格，原文連結：http://blog.51cto.com/506554897/1426274</b><b>，如需轉載請自行聯系原作者</b>

<b></b>