IP : Traducción de direcciones de red (NAT)

Configure el ASA para el acceso del mail server S TP en el DMZ, dentro de, y las redes externas

17 Octubre 2016 - Traducción Automática
Otras Versiones: PDFpdf | Inglés (22 Agosto 2015) | Comentarios

Introducción

Este documento describe cómo configurar un dispositivo de seguridad adaptante de Cisco (ASA) para el acceso a un servidor del Simple Mail Transfer Protocol (SMTP) que esté situado en la zona desmilitarizada (DMZ), la red interna, o la red externa.

Contribuido por Aastha Bhardwaj, Divya Subramanian, Prapanch Ramamoorthy, y Dinkar Sharma, ingenieros de Cisco TAC.

Prerrequisitos

Requisitos

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

  • Cisco ASA que ejecuta la versión de software 9.1 o más adelante
  • Cisco 2800C Series Router con la versión 15.1(4)M6 del Cisco IOS ® Software

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Configurar

Esta sección describe cómo configurar el ASA para alcanzar el mail server en la red DMZ, la red interna, o la red externa.

Nota: Utilice la herramienta de búsqueda de comandos (clientes registrados solamente) para obtener más información sobre los comandos que se utilizan en esta sección.

Mail server en la red DMZ

Diagrama de la red

La configuración que se describe en esta sección utiliza esta configuración de la red:

Nota: Los esquemas de IP Addressing que se utilizan en este documento no son legalmente routable en Internet. Son las direcciones RFC1918 que se han utilizado en un entorno de laboratorio.

La configuración de la red que se utiliza en este ejemplo tiene el ASA con una red interna en 10.1.1.0/24 y una red externa en 203.0.113.0/24. El mail server con la dirección IP 172.16.31.10 está situado en la red DMZ. Para que el mail server sea accedido por la red interna, usted debe configurar el Network Address Translation (NAT) de la identidad. 

Para que los usuarios externos accedan el mail server, usted debe configurar un NAT estático y una lista de acceso, que es outside_int en este ejemplo, para permitir que los usuarios externos accedan el mail server y atar la lista de acceso a la interfaz exterior.

Configuración ASA

Ésta es la configuración ASA por este ejemplo:

show run
: Saved
:
ASA Version 9.1(2)
!
hostname ciscoasa
enable password 8Ry2YjIyt7RRXU24 encrypted
xlate per-session deny tcp any4 any4
xlate per-session deny tcp any4 any6
xlate per-session deny tcp any6 any4
xlate per-session deny tcp any6 any6
xlate per-session deny udp any4 any4 eq domain
xlate per-session deny udp any4 any6 eq domain
xlate per-session deny udp any6 any4 eq domain
xlate per-session deny udp any6 any6 eq domain
passwd 2KFQnbNIdI.2KYOU encrypted
names

!--- Configure the dmz interface.

interface GigabitEthernet0/0
nameif dmz
security-level 50
ip address 172.16.31.1 255.255.255.0
!

!--- Configure the outside interface.


interface GigabitEthernet0/1
nameif outside
security-level 0
ip address 203.0.113.1 255.255.255.0

!--- Configure inside interface.

interface GigabitEthernet0/2
nameif inside
security-level 100
ip address 10.1.1.1 255.255.255.0
!
boot system disk0:/asa912-k8.bin
ftp mode passive

!--- This access list allows hosts to access
!--- IP address 172.16.31.10 for the SMTP port from outside.


access-list outside_int extended permit tcp any4 host 172.16.31.10 eq smtp

object network obj1-10.1.1.0
 subnet 10.1.1.0 255.255.255.0
nat (inside,outside) dynamic interface

!--- This network static does not use address translation.
!--- Inside hosts appear on the DMZ with their own addresses.


object network obj-10.1.1.0
subnet 10.1.1.0 255.255.255.0
nat (inside,dmz) static obj-10.1.1.0

!--- This Auto-NAT uses address translation.
!--- Hosts that access the mail server from the outside
!--- use the 203.0.113.10 address.


object network obj-172.16.31.10
host 172.16.31.10
nat (dmz,outside) static 203.0.113.10

access-group outside_int in interface outside

route outside 0.0.0.0 0.0.0.0 203.0.113.2 1

timeout xlate 3:00:00
timeout pat-xlate 0:00:30
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512

!--- The inspect esmtp command (included in the map) allows
!--- SMTP/ESMTP to inspect the application.


policy-map global_policy
class inspection_default
inspect dns maximum-length 512
inspect ftp inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!

!--- The inspect esmtp command (included in the map) allows
!--- SMTP/ESMTP to inspect the application.


service-policy global_policy global

Configuración ESMTP TLS

Si usted utiliza el cifrado de Transport Layer Security (TLS) para la comunicación del correo electrónico, entonces protocolo de transferencia de correo simple extendido la característica del examen (ESMTP) (habilitada por abandono) en el ASA cae los paquetes. Para permitir los correos electrónicos con TLS habilitó, inhabilita la característica del La inspección ESMTP tal y como se muestra en del próximo ejemplo.

Nota: Refiera al Id. de bug Cisco CSCtn08326 (clientes registrados solamente) para más información.

ciscoasa(config)#policy-map global_policy
ciscoasa(config-pmap)#class inspection_default
ciscoasa(config-pmap-c)#no inspect esmtp
ciscoasa(config-pmap-c)#exit
ciscoasa(config-pmap)#exit

Mail server en la red interna

Diagrama de la red

La configuración que se describe en esta sección utiliza esta configuración de la red:

La configuración de la red que se utiliza en este ejemplo tiene el ASA con una red interna en 10.1.1.0/24 y una red externa en 203.0.113.0/24. El mail server con la dirección IP 10.1.2.10 está situado en la red interna.

Configuración ASA

Ésta es la configuración ASA por este ejemplo:

ASA#show run
: Saved
:
ASA Version 9.1(2)
!
--Omitted--
!

!--- Define the IP address for the inside interface.

interface GigabitEthernet0/2
nameif inside
security-level 100
ip address 10.1.1.1 255.255.255.0

!--- Define the IP address for the outside interface.

interface GigabitEthernet0/1
nameif outside
security-level 0
ip address 203.0.113.1 255.255.255.0
!
--Omitted--

!--- Create an access list that permits Simple
!--- Mail Transfer Protocol (SMTP) traffic from anywhere
!--- to the host at 203.0.113.10 (our server). The name of this list is
!--- smtp. Add additional lines to this access list as required.
!--- Note: There is one and only one access list allowed per
!--- interface per direction, for example, inbound on the outside interface.
!--- Because of limitation, any additional lines that need placement in
!--- the access list need to be specified here. If the server
!--- in question is not SMTP, replace the occurrences of SMTP with
!--- www, DNS, POP3, or whatever else is required.


access-list smtp extended permit tcp any host 10.1.2.10 eq smtp

--Omitted--

!--- Specify that any traffic that originates inside from the
!--- 10.1.2.x network NATs (PAT) to 203.0.113.9 if
!--- such traffic passes through the outside interface.


object network obj-10.1.2.0
subnet 10.1.2.0 255.255.255.0
nat (inside,outside) dynamic 203.0.113.9

!--- Define a static translation between 10.1.2.10 on the inside and
!--- 203.0.113.10 on the outside. These are the addresses to be used by
!--- the server located inside the ASA.


object network obj-10.1.2.10
host 10.1.2.10
nat (inside,outside) static 203.0.113.10

!--- Apply the access list named smtp inbound on the outside interface.

access-group smtp in interface outside

!--- Instruct the ASA to hand any traffic destined for 10.1.2.0
!--- to the router at 10.1.1.2.


route inside 10.1.2.0 255.255.255.0 10.1.1.2 1

!--- Set the default route to 203.0.113.2.
!--- The ASA assumes that this address is a router address.


route outside 0.0.0.0 0.0.0.0 203.0.113.2 1

Mail server en la red externa

Diagrama de la red

La configuración que se describe en esta sección utiliza esta configuración de la red:

Configuración ASA

Ésta es la configuración ASA por este ejemplo:

ASA#show run
: Saved
:
ASA Version 9.1(2)
!
--Omitted--
!--- Define the IP address for the inside interface.

interface GigabitEthernet0/2
nameif inside
security-level 100
ip address 10.1.1.1 255.255.255.0

!--- Define the IP address for the outside interface.

interface GigabitEthernet0/1
nameif outside
security-level 0
ip address 203.0.113.1 255.255.255.0
!
--Omitted--

!--- This command indicates that all addresses in the 10.1.2.x range
!--- that pass from the inside (GigabitEthernet0/2) to a corresponding global
!--- destination are done with dynamic PAT.
!--- As outbound traffic is permitted by default on the ASA, no
!--- static commands are needed.


object network obj-10.1.2.0
subnet 10.1.2.0 255.255.255.0
nat (inside,outside) dynamic interface

!--- Creates a static route for the 10.1.2.x network.
!--- The ASA forwards packets with these addresses to the router
!--- at 10.1.1.2

route inside 10.1.2.0 255.255.255.0 10.1.1.2 1

!--- Sets the default route for the ASA Firewall at 203.0.113.2

route outside 0.0.0.0 0.0.0.0 203.0.113.2 1

--Omitted--

: end

Verificación

Utilice la información que se proporciona en esta sección para verificar que su configuración trabaja correctamente.

Mail server en la red DMZ

Ping TCP

Las pruebas de ping TCP una conexión sobre el TCP (el valor por defecto es Internet Control Message Protocol (ICMP)). Un ping TCP envía los paquetes SYN y considera el ping acertado si el dispositivo de destino envía un paquete SYN-ACK. Usted puede ejecutar a lo más dos en un momento de los ping de la concurrencia TCP.

Aquí tiene un ejemplo:

ciscoasa(config)# ping tcp
Interface: outside
Target IP address: 203.0.113.10
Destination port: [80] 25
Specify source? [n]: y
Source IP address: 203.0.113.2
Source port: [0] 1234
Repeat count: [5] 5
Timeout in seconds: [2] 2
Type escape sequence to abort.
Sending 5 TCP SYN requests to 203.0.113.10 port 25
from 203.0.113.2 starting port 1234, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Conexión

El ASA es un escudo de protección con estado, y el tráfico de retorno del mail server se permite detrás con el Firewall porque hace juego una conexión en la tabla de conexiones del Firewall. El tráfico que hace juego una conexión actual se permite con el Firewall sin el bloqueo por una lista de control de acceso (ACL) de la interfaz.

En el próximo ejemplo, el cliente en la interfaz exterior establece una conexión al host de 203.0.113.10 de la interfaz DMZ. Esta conexión se hace con el protocolo TCP y ha estado ociosa por dos segundos. Los indicadores de la conexión indican al estado actual de esta conexión:

ciscoasa(config)# show conn  address  172.16.31.10
1 in use, 2 most used
TCP outside  203.0.113.2:16678 dmz  172.16.31.10:25, idle 0:00:02, bytes 921, flags UIO

Registro

El Firewall ASA genera los Syslog durante el funcionamiento normal. Los Syslog se extienden en la verbosidad basada en la configuración de registro. Esta salida muestra dos Syslog que aparezcan en el nivel seis (el nivel informativo) y el nivel siete (el nivel de debugging):

ciscoasa(config)# show logging  | i 172.16.31.10

%ASA-7-609001: Built local-host dmz:172.16.31.10

%ASA-6-302013: Built inbound TCP connection 11 for outside:203.0.113.2/16678
(203.0.113.2/16678) to dmz:172.16.31.10/25 (203.0.113.10/25)

El segundo Syslog en este ejemplo indica que el Firewall ha construido una conexión en su tabla de conexiones para este tráfico específico entre el cliente y servidor. Si el Firewall fuera configurado para bloquear este intento de conexión, o un cierto otro factor inhibiera la creación de esta conexión (las restricciones de recursos o una posible configuración incorrecta), el Firewall no generaría un registro que indica que la conexión fue construida. En lugar, registraría una razón de la conexión para ser negado o una indicación sobre el factor que inhibió la conexión de ser creado. 

Por ejemplo, si el ACL en el exterior no se configura para permitir 172.16.31.10 en el puerto 25, después usted vería este registro cuando se niega el tráfico:

%ASA-4-106100: el outside_int de la lista de acceso negó tcp outside/203.0.113.2(3756) - >
   dmz/172.16.31.10(25) intervalo golpe-CNT 5 300-second

Esto ocurriría cuando un ACL es que falta o configurado mal como se muestra aquí:

access-list outside_int extended permit tcp any4 host 172.16.31.10 eq http

access-list outside_int extended deny ip any4 any4

Traducciones de NAT (xlate)

Para confirmar que las traducciones están creadas, usted puede marcar la tabla del xlate (traducción). El comando show xlate, cuando está combinado con la palabra clave local y la dirección IP del host interno, muestra todas las entradas que estén presentes en la tabla de traducción para ese host. La salida siguiente muestra que hay una traducción construida actualmente para este host entre el DMZ y las interfaces exteriores. La dirección IP del servidor DMZ se traduce al direccionamiento de 203.0.113.10 por la configuración previa. Los indicadores que son mencionados (s en este ejemplo) indican que la traducción es estática

ciscoasa(config)# show nat detail
Manual NAT Policies (Section 1)
1 (dmz) to (outside) source static obj-172.16.31.10 obj-203.0.113.10
    translate_hits = 7, untranslate_hits = 6
    Source - Origin: 172.16.31.10/32, Translated: 203.0.113.10/32

Auto NAT Policies (Section 2)
1 (dmz) to (outside) source static obj-172.16.31.10 203.0.113.10
    translate_hits = 1, untranslate_hits = 5
    Source - Origin: 172.16.31.10/32, Translated: 203.0.113.10/32
2 (inside) to (dmz) source static obj-10.1.1.0 obj-10.1.1.0
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 10.1.1.0/24, Translated: 10.1.1.0/24
3 (inside) to (outside) source dynamic obj1-10.1.1.0 interface
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 10.1.1.0/24, Translated: 203.0.113.1/24

ciscoasa(config)# show xlate
4 in use, 4 most used
Flags: D - DNS, e - extended, I - identity, i - dynamic, r - portmap,
       s - static, T - twice, N - net-to-net
NAT from dmz:172.16.31.10 to outside:203.0.113.10
    flags s idle 0:10:48 timeout 0:00:00
NAT from inside:10.1.1.0/24 to dmz:10.1.1.0/24
    flags sI idle 79:56:17 timeout 0:00:00
NAT from dmz:172.16.31.10 to outside:203.0.113.10
    flags sT idle 0:01:02 timeout 0:00:00
NAT from outside:0.0.0.0/0 to dmz:0.0.0.0/0
    flags sIT idle 0:01:02 timeout 0:00:00

Mail server en la red interna

Ping TCP

Aquí está un ping del ejemplo TCP hecho salir:

ciscoasa(config)# PING TCP
Interface: outside
Target IP address: 203.0.113.10
Destination port: [80] 25
Specify source? [n]: y
Source IP address: 203.0.113.2
Source port: [0] 1234
Repeat count: [5] 5
Timeout in seconds: [2] 2
Type escape sequence to abort.
Sending 5 TCP SYN requests to 203.0.113.10 port 25
from 203.0.113.2 starting port 1234, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Conexión

Aquí está una verificación del Ejemplo de conexión:

ciscoasa(config)# show conn  address  10.1.2.10
1 in use, 2 most used
TCP outside  203.0.113.2:5672 inside  10.1.2.10:25, idle 0:00:05, bytes 871, flags UIO

Registro

Aquí está un Syslog del ejemplo:

%ASA-6-302013: Built inbound TCP connection 553 for outside:203.0.113.2/19198
(203.0.113.2/19198) to inside:10.1.2.10/25 (203.0.113.10/25)

Traducciones de NAT (xlate)

Aquí están algunas salidas nacionales del detalle y del comando show xlate de la demostración del ejemplo:

ciscoasa(config)# show nat detail

Auto NAT Policies (Section 2)
1 (inside) to (outside) source static obj-10.1.2.10 203.0.113.10
    translate_hits = 0, untranslate_hits = 15
    Source - Origin: 10.1.2.10/32, Translated: 203.0.113.10/32
2 (inside) to (dmz) source static obj-10.1.1.0 obj-10.1.1.0
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 10.1.1.0/24, Translated: 10.1.1.0/24
3 (inside) to (outside) source dynamic obj1-10.1.1.0 interface
    translate_hits = 0, untranslate_hits = 0
    Source - Origin: 10.1.1.0/24, Translated: 203.0.113.1/24
 
ciscoasa(config)# show xlate
 

NAT from inside:10.1.2.10 to outside:203.0.113.10
    flags s idle 0:00:03 timeout 0:00:00

Mail server en la red externa

Ping TCP 

Aquí está un ping del ejemplo TCP hecho salir:

ciscoasa# PING TCP
Interface: inside
Target IP address: 203.1.113.10
Destination port: [80] 25
Specify source? [n]: y
Source IP address: 10.1.2.10
Source port: [0] 1234
Repeat count: [5] 5
Timeout in seconds: [2] 2
Type escape sequence to abort.
Sending 5 TCP SYN requests to 203.1.113.10 port 25
from 10.1.2.10 starting port 1234, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Conexión

Aquí está una verificación del Ejemplo de conexión:

ciscoasa# show conn address 203.1.113.10
1 in use, 2 most used
TCP inside 10.1.2.10:13539 outside 203.1.113.10:25, idle 0:00:02, bytes 898, flags UIO

Registro

Aquí está un Syslog del ejemplo:

ciscoasa# show logging | i 203.1.113.10
 
%ASA-6-302013: Built outbound TCP connection 590 for outside:203.1.113.10/25
(203.1.113.10/25) to inside:10.1.2.10/1234 (203.0.113.1/1234)

Traducciones de NAT (xlate)

Aquí está un comando show xlate del ejemplo hecho salir:

ciscoasa# show xlate | i 10.1.2.10

TCP PAT from inside:10.1.2.10/1234 to outside:203.0.113.1/1234 flags ri idle
0:00:04 timeout 0:00:30

Troubleshooting

El ASA proporciona las herramientas múltiples con las cuales resolver problemas la Conectividad. Si persiste el problema después de que usted verifique la configuración y marque las salidas que se describen en la sección anterior, estas herramientas y técnicas pudieron ayudarle a determinar la causa de su falla de conectividad.

Mail server en la red DMZ

Paquete-trazalíneas

Las funciones del trazalíneas del paquete en el ASA permiten que usted especifique un paquete simulado y que vea todos los diversos pasos, controles, y funciones que el Firewall pasa por cuando procesa el tráfico. Con esta herramienta, es útil identificar un ejemplo del tráfico que usted crea deba ser permitido pasar con el Firewall, y utilice que five-tupple para simular el tráfico. En el próximo ejemplo, el trazalíneas del paquete se utiliza para simular un intento de conexión que cumpla estos criterios:

  • El paquete simulado llega en el exterior.
  • El protocolo se utiliza que es TCP.
  • El dirección IP del cliente simulado es 203.0.113.2.
  • El cliente envía el tráfico que es originado del puerto 1234.
  • El tráfico se destina a un servidor en el IP address 203.0.113.10.
  • El tráfico se destina al puerto 25.

Aquí está un trazalíneas del paquete del ejemplo hecho salir:

packet-tracer input outside tcp 203.0.113.2 1234 203.0.113.10 25 detailed

--Omitted--
 
Phase: 2
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
nat (dmz,outside) source static obj-172.16.31.10 obj-203.0.113.10
Additional Information:
NAT divert to egress interface dmz
Untranslate 203.0.113.10/25 to 172.16.31.10/25

Result:
input-interface: outside
input-status: up
input-line-status: up
output-interface: dmz
output-status: up
output-line-status: up
Action: allow

Aquí está un ejemplo en el Cisco Adaptive Security Device Manager (ASDM):

Note que no hay mención de la interfaz DMZ en las salidas anteriores. Esto está por el diseño del trazalíneas del paquete. La herramienta le dice cómo los procesos del Firewall que la tentativa del tipo de conexión, que incluye de cómo la rutearía y fuera de cuál interfaz.

Consejo: Para más información sobre la característica del trazalíneas del paquete, refiera a los paquetes del seguimiento con la sección del trazalíneas del paquete de la guía de configuración de las 5500 Series de Cisco ASA que usa el CLI, los 8.4 y los 8.6.

Captura de paquete

El Firewall ASA puede capturar el tráfico que ingresa o deja sus interfaces. Estas funciones de la captura son muy útiles porque pueden probar definitivo si el tráfico llega, o se van de, un Firewall. El próximo ejemplo muestra la configuración de dos capturas nombradas capd y capout en el DMZ y las interfaces exteriores, respectivamente. Los comandos capture utilizan una palabra clave de la coincidencia, que permite que usted sea específico sobre el tráfico que usted quiere capturar.

Para el capd de la captura en este ejemplo, se indica que usted quiere hacer juego el tráfico visto en la interfaz DMZ (ingreso o salida) ese host TCP 172.16.31.10/host 203.0.113.2 de las coincidencias. Es decir usted quiere capturar tráfico TCP que se envía del host 172.16.31.10 para recibir 203.0.113.2, o vice versa. El uso de la palabra clave de la coincidencia permite que el Firewall capture ese tráfico bidireccional. El comando capture que se define para la interfaz exterior no se refiere a la dirección IP del servidor de correo interno porque el Firewall conduce un NAT en ese IP address del mail server. Como consecuencia, usted no puede hacer juego con ese dirección IP del servidor. En lugar, el próximo ejemplo utiliza la palabra para indicar que todos los IP Addresses posibles harían juego esa condición.

Después de que usted configure las capturas, usted debe entonces intentar establecer una conexión otra vez y proceder a ver las capturas con la demostración capture el comando del <capture_name>. En este ejemplo, usted puede ver que el host exterior podía conectar con el mail server, como evidente por la entrada en contacto de tres vías TCP que se considera en las capturas:

ASA#  capture capd interface dmz match tcp host 172.16.31.10 any
ASA#  capture capout interface outside match tcp any host 203.0.113.10

ASA#   show capture capd

3 packets captured

   1: 11:31:23.432655       203.0.113.2.65281 > 172.16.31.10.25: S 780523448:
   780523448(0) win 8192 <mss 1460,nop,wscale 2,nop,nop,sackOK>
   2: 11:31:23.712518       172.16.31.10.25 > 203.0.113.2.65281: S 2123396067:
   2123396067(0) ack 780523449 win 8192 <mss 1024,nop,nop,sackOK,nop,wscale 8>
   3: 11:31:23.712884       203.0.113.2.65281 > 172.16.31.10.25. ack 2123396068
   win 32768

ASA# show capture capout

3 packets captured

   1: 11:31:23.432869       203.0.113.2.65281 > 203.0.113.10.25: S 1633080465:
   1633080465(0) win 8192 <mss 1380,nop,wscale 2,nop,nop,sackOK>
   2: 11:31:23.712472       203.0.113.10.25 > 203.0.113.2.65281: S 95714629:
   95714629(0) ack 1633080466 win 8192 <mss 1024,nop,nop,sackOK,nop,wscale 8>
   3: 11:31:23.712914        203.0.113.2.65281 > 203.0.113.10.25: . ack 95714630
   win 32768

Mail server en la red interna

Paquete-trazalíneas

Aquí está un trazalíneas del paquete del ejemplo hecho salir:

CLI : packet-tracer input outside tcp 203.0.113.2 1234 203.0.113.10 25 detailed
 
--Omitted--

Phase: 2
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
object network obj-10.1.2.10
 nat (inside,outside) static 203.0.113.10
Additional Information:
NAT divert to egress interface inside
Untranslate 203.0.113.10/25 to 10.1.2.10/25

Phase: 3
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group smtp in interface outside
access-list smtp extended permit tcp any4 host 10.1.2.10 eq smtp
Additional Information:
 Forward Flow based lookup yields rule:
 in  id=0x77dd2c50, priority=13, domain=permit, deny=false
        hits=1, user_data=0x735dc880, cs_id=0x0, use_real_addr, flags=0x0, protocol=6
        src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=0
        dst ip/id=10.1.2.10, mask=255.255.255.255, port=25, tag=0, dscp=0x0
        input_ifc=outside, output_ifc=any

Mail server en la red externa

Paquete-trazalíneas

Aquí está un trazalíneas del paquete del ejemplo hecho salir:

CLI :  packet-tracer input inside tcp 10.1.2.10 1234 203.1.113.10 25 detailed
 
--Omitted--
 
Phase: 2
Type: ROUTE-LOOKUP
Subtype: input
Result: ALLOW
Config:
Additional Information:
in 203.1.113.0 255.255.255.0 outside
 
Phase: 3
Type: NAT
Subtype:
Result: ALLOW
Config:
object network obj-10.1.2.0
nat (inside,outside) dynamic interface
Additional Information:
Dynamic translate 10.1.2.10/1234 to 203.0.113.1/1234
Forward Flow based lookup yields rule:
in id=0x778b14a8, priority=6, domain=nat, deny=false
hits=11, user_data=0x778b0f48, cs_id=0x0, flags=0x0, protocol=0
src ip/id=10.1.2.0, mask=255.255.255.0, port=0, tag=0
dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=0, dscp=0x0
input_ifc=inside, output_ifc=outside

Información Relacionada



Document ID: 118958