ASA禁止syslog NAT地址转换测试

1.拓扑图

<a target="_blank" href="http://blog.51cto.com/attachment/201205/204407506.jpg"></a>

为了审计的需要，syslog的源地址必须设备实际地址，而因为其他方面原因，syslog服务器又不能放在内网。

2.接口配置：

R1：

R1(config)#int f0/0

R1(config-if)#ip add 10.1.1.18 255.255.255.0

R1(config-if)#no sh

R2：

R2(config)#int f0/0

R2(config-if)#ip add 10.1.1.28 255.255.255.0

R2(config-if)#no sh

R3：

R3(config)#int f0/0

R3(config-if)#ip add 20.1.1.38 255.255.255.0

R3(config-if)#no sh

ASA:

interface Ethernet0/0

 nameif inside

 security-level 100

 ip address 10.1.1.1 255.255.255.0 

interface Ethernet0/1

 nameif outside

 security-level 0

 ip address 20.1.1.1 255.255.255.0 

3.路由配置：

R1(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.1

R2(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.1

4.syslog配置：

A.配置syslog接收服务器

R1(config)#logging 20.1.1.18

R2(config)#logging 20.1.1.18

B.指定syslog源地址

R1(config)#logging source-interface FastEthernet0/0

R2(config)#logging source-interface f0/0

C.设定日志级别

R1(config)#logging trap debugging

R2(config)#logging trap debugging

D.开启syslog

R1(config)#logging on

R2(config)#logging on

5.NAT配置：

思路一：用NAT0(失败）

ciscoasa(config)# access-list syslog permit udp any any eq syslog

ciscoasa(config)# nat (inside) 0 access-list syslog

ERROR: access-list has protocol or port

备注：说明nat0的access-list不能包含协议和端口。

思路二：配置策略NAT,禁止syslog协议的数据流进行NAT

ciscoasa(config)# access-list nat extended deny udp any any eq syslog

ciscoasa(config)# access-list nat extended permit ip any any

ciscoasa(config)# nat (inside) 1 access-list nat

ERROR: Deny rules not supported in Policy Nat

备注：策略NAT不支持deny的规则。

既然不支持deny，修改access-list如下：

ciscoasa(config)# access-list nat permit udp 10.1.1.0 255.255.255.0 any neq 514

ciscoasa(config)# access-list nat permit tcp 10.1.1.0 255.255.255.0 any

测试：

1).syslog地址没有在作NAT转换

<a target="_blank" href="http://blog.51cto.com/attachment/201205/204503366.jpg"></a>

2).tcp的连接作了NAT转换

R1#telnet 20.1.1.38

Trying 20.1.1.38 ... Open

User Access Verification

Password: 

R3&gt;show users

    Line       User       Host(s)              Idle       Location

   0 con 0                idle                 00:02:43   

* 66 vty 0                idle                 00:00:00 20.1.1.1

  Interface    User               Mode         Idle     Peer Address

R3&gt;

R2#telnet 20.1.1.38

   0 con 0                idle                 00:03:46   

  66 vty 0                idle                 00:01:02 20.1.1.1

* 67 vty 1                idle                 00:00:00 20.1.1.1

3).udp的非514端口也作了地址转换（以dns做测试）

R3配置成DNS服务器

R3(config)#ip dns server 

R3(config)#ip host www.yuntian.com 20.1.1.38

R1配置成R3的DNS客户端

R1(config)#ip domain lookup 

R1(config)#ip name-server 20.1.1.38

R1(config)#end

R1#

*Mar  1 02:15:16.139: %SYS-5-CONFIG_I: Configured from console by console

R1上ping主机名

R1#ping www.yuntian.com

Translating "www.yuntian.com"...domain server (20.1.1.38) [OK]

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 20.1.1.38, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 16/44/104 ms

R3上抓包确认已经作了地址转换

R3#debug ip udp 

UDP packet debugging is on

R3#

*Mar  1 00:45:40.487: UDP: rcvd src=20.1.1.1(1026), dst=20.1.1.38(53), length=41

*Mar  1 00:45:40.491: UDP: Random local port generated 54505, network 1

*Mar  1 00:45:40.491: Reserved port 54505 in Transport Port Agent for UDP IP type 1

*Mar  1 00:45:40.499: UDP: sent src=20.1.1.38(53), dst=20.1.1.1(1026), length=57

*Mar  1 00:45:40.603: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:45:40.703: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:45:40.727: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:45:40.759: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:45:40.779: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

4).icmp因为没有配置策略NAT,所以也没有转换，无法ping通（无路由）

R1#ping 20.1.1.38

.....

Success rate is 0 percent (0/5)

R3#debug ip icmp

*Mar  1 00:37:36.167: ICMP: echo reply sent, src 20.1.1.38, dst 10.1.1.18

*Mar  1 00:37:38.167: ICMP: echo reply sent, src 20.1.1.38, dst 10.1.1.18

*Mar  1 00:37:40.191: ICMP: echo reply sent, src 20.1.1.38, dst 10.1.1.18

*Mar  1 00:37:42.143: ICMP: echo reply sent, src 20.1.1.38, dst 10.1.1.18

*Mar  1 00:37:44.183: ICMP: echo reply sent, src 20.1.1.38, dst 10.1.1.18

5).添加icmp协议也进行策略NAT,可以ping通也作了NAT

ciscoasa(config)# access-list nat permit icmp 10.1.1.0 255.255.255.0 any

Success rate is 100 percent (5/5), round-trip min/avg/max = 20/64/132 ms

*Mar  1 00:39:26.279: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:39:26.403: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:39:26.467: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:39:26.503: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

*Mar  1 00:39:26.519: ICMP: echo reply sent, src 20.1.1.38, dst 20.1.1.1

6).缺点

需要明确指定inside到outside的协议进行转换，如果没有指定就可能导致无法访问，因为除了tcp、udp、icmp之外还有其他协议。

6.总结：

A.nat0的access-list不能包含协议和端口。

B.策略NAT不支持deny的规则。

C.实际工程项目中，可能内网就不需要访问outside的syslog服务器器，因此可以采用NAT0方法把内网到达syslog服务器的流量进行nat免除。

----syslog是实际应用中比较少有的单向通讯的udp数据流，syslog客户端只管发，syslog服务器只管收，不会给syslog客户端回复任何信息。

ciscoasa(config)# access-list nonat permit ip 10.1.1.0 255.255.255.0 host 20.1.1.18

ciscoasa(config)# nat (outside) 0 access-list nonat

ciscoasa(config)# nat (inside) 1 0 0

ciscoasa(config)# global (outside) 1 interface

本文转自 碧云天 51CTO博客，原文链接：http://blog.51cto.com/333234/849494，如需转载请自行联系原作者