PIX配置手冊三（nat）

一、nat + glob 

1、內部地址轉換外部地址池配置說明：

nat （inside） 1 2.2.2.0 255.255.255.0  配置inside表

glob （outside）1 1.1.1.10-1.1.1.20     配置outside表

sh nat 查看nat inside配置

sh glob 查看nat global配置

sh user 查看設備登陸用戶

sh xlate 查看nat轉換表  

sh conn 查看目前連接的信息

clear xlate 清空xlate轉換項 

clear nat   清空nat inside配置

clear glob  清空nat global配置

2、外部地址不夠，配置PAT，就是轉換為out接口地址：

nat （inside）1 2.2.2.0 255.255.255.0

glob （outside）1 interface

3、nat+pat使用，對于有一段公網地址池，而又不夠用的

nat （inside） 1 2.2.2.0 255.255.255.0

glob （outside） 1 1.1.1.10-1.1.1.20

glob （outside） 1 interface

4、acl控制nat

access-l nat per tcp any any eq telnet

nat （inside） 1 access-l nat

glob （outside）1 interface

sh access-l nat 查看acl nat列表

二、nonat（也稱nat0）不改變原和目標 

  （內部地址訪問外部地址不需要做轉換）（靜態配置，注意設備之間的路由）

  1、identity nat跟nat具體地址(有xlate表項)

nat （inside） 0 2.2.2.0 255.255.255.0

  2、bypass nat后跟acl (沒有xlate表項)更節省資源

access-l nonat per ip 2.2.2.0 255.255.255.0 1.1.1.0 255.255.255.0

nat （inside） 0 access-l nonat

三、static + access

靜態一對一映射（注意內部pix和路由器之間的路由）

1.static

static （inside，outside） 1.1.1.10 2.2.2.2 

（outside：1.1.1.10 inside：2.2.2.2）

如果想讓ping通測試：icmp對于pix來說不是一個有狀態的協議，需要訪問控制列表放行icmp

放行icmp：

access-l out per icmp any any echo

access-l out per icmp any any echo-

access-l out in interface outside

2.端口轉換

static （inside，outside） tcp interface（也可以是外部地址） 2114 2.2.2.2 23（內部地址）

access-l out per tcp host 1.1.1.2 host 1.1.1.1 eq 2114

access-g out in interface outside（如果不支持直接應用，就需要進到借口模式去應用）

3.dos防御

static （inside，outside） 1.1.1.10 2.2.2.2 1000(最大的tcp連接數) 200（最大的tcp半開連接數）

sh static 查看static配置

4.access-list static（外部向內部發起一個telnet，通過acl坐靜態映射）

access-l static per tcp host 2.2.2.2（內部地址） eq telnet host 1.1.1.2  里邊出去的流量

static (inside.outside) tcp 1.1.1.10（外部地址） telnet access-list static(內部地址) 外邊進來的轉換

access-l out per tcp host 1.1.1.2 host 1.1.1.10 eq telnet （定義pix外部接口出去的流量）

access-group out in interface outside

注意：

穿越pix必須做nat 才能通過，然而會改變原和目標。nonat除外（也稱nat0）不改變原和目標

icmp對于pix來說不是一個有狀態的協議，需要訪問控制列表放行icmp

放行icmp：

access-l out per icmp any any echo

access-l out per icmp any any echo-

access-l out in interface outside