اتصال LAN بين الأجهزة المضيفة التي تبحث عن عناوين IP العامة الخاصة بها خلف ASA

المقدمة

يصف هذا المستند عمليات تنفيذ شبكة مختلفة من حيث أنها مطلوبة للسماح باتصال شبكة المنطقة المحلية (LAN) بين الأجهزة المضيفة التي تبحث عن عناوين IP العامة الخاصة بها خلف جهاز أمان مكيف (ASA).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• تكوين ASA الأساسي nat، الإصدار 8.3 وأعلى من Cisco.  

• تكوين ASA الأساسي nat، الإصدار 8.2 وما بعده من Cisco.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• سلسلة ASA5500 و ASA5500-X.
• Cisco ASA الإصدار 8.3 والإصدارات الأحدث.
• Cisco ASA الإصدار 8.2 والإصدارات الأقدم.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المشكلة: اتصال LAN بين الأجهزة المضيفة التي تبحث عن عناوين IP العامة الخاصة بها خلف ASA

في القسم التالي، يمكنك رؤية ثلاثة أمثلة للمخطط تظهر متطلبات الاتصال هذه للسماح باتصال LAN بين الأجهزة المضيفة التي تبحث عن عناوين IP العامة الخاصة بها خلف ASA.

مثال 1. يتم توصيل جهاز PC-A للمضيف المصدر بواجهة ASA الداخلية، بينما يتم توصيل خادم إختبار المضيف الوجهة بواجهة DMZ.

مثال 2. المصدر والوجهة مضيف pc-a وخادم إختبار يكون ربطت إلى ال نفسه داخل ASA قارن.

مثال 3. يكون المصدر والوجهة مضيفين PC-A وخادم الاختبار متصلين بواجهة ASA الداخلية، ولكن خلف جهاز آخر من الطبقة 3 (قد يكون موجه أو محول متعدد الطبقات).

ملاحظة: يحتوي خادم الاختبار في الصور الثلاث على ترجمة عنوان شبكة (NAT) ثابتة تم تكوينها في ASA، ويتم تطبيق ترجمة NAT الثابتة هذه من الخارج إلى الواجهة الداخلية للمراسل للسماح لخادم الاختبار بالوصول من الخارج باستخدام عنوان IP العام 64.100.0.5، ثم تتم ترجمة هذا إلى عنوان IP الداخلي الخاص لخادم الاختبار. 

الحل

in order to سمحت المصدر مضيف pc-A أن يبلغ الغاية إختبار نادل مع عنوانه عام ip بدلا من الخاص، نحن تحتاج أن يطبق مرتين nat تشكيل. ال مرتين nat يساعدنا تشكيل أن يترجم على حد سواء، المصدر والوجهة عنوان من الربط عندما الحركة مرور يمر عبر ال ASA.

هنا تفاصيل التكوين المطلوب مرتين nat لكل مخطط:

مثال 1. يتم توصيل جهاز PC-A للمضيف المصدر بواجهة ASA الداخلية، بينما يتم توصيل خادم إختبار المضيف الوجهة بواجهة DMZ.

التكوين

مرتين nat لإصدارات ASA 8.3 والإصدارات الأحدث:

object network obj-10.1.1.5
 host 10.1.1.5

object network obj-172.16.1.5
 host 172.16.1.5

object network obj-64.100.0.5
 host 64.100.0.5

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.
WARNING: Users may not be able to access any service enabled on the outside interface.

مرتين nat لإصدارات ASA 8. 2 وما فوقها:

access-list IN-DMZ-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5
static (inside,dmz) interface access-list IN-DMZ-INTERFACE

access-list DMZ-IN-INTERFACE extended permit ip host 172.16.1.5 host 172.16.1.1
static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

استكشاف الأخطاء وإصلاحها

Packet Tracer Output، الإصدار 8.3 والإصدارات الأحدث:

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 2
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5
Additional Information:
NAT divert to egress interface dmz
Untranslate 64.100.0.5/80 to 172.16.1.5/80

Phase: 3
Type: NAT
Subtype: 
Result: ALLOW
Config:
nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5
Additional Information:
Static translate 10.1.1.5/123 to 172.16.1.1/123

Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 5
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5
Additional Information:

Phase: 7
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 167632, packet dispatched to next module

Result: 
input-interface: inside
input-status: up
input-line-status: up
output-interface: dmz
output-status: up
output-line-status: up
Action: allow

Packet Tracer Output، الإصدار 8.2 والإصدارات الأقدم:

ASA#packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80 

Phase: 1
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE 
 match ip dmz host 172.16.1.5 inside host 172.16.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:
NAT divert to egress interface dmz
Untranslate 64.100.0.5/0 to 172.16.1.5/0 using netmask 255.255.255.255

Phase: 2
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 3
Type: NAT
Subtype: 
Result: ALLOW
Config: 
static (inside,dmz) interface access-list IN-DMZ-INTERFACE 
 match ip inside host 10.1.1.5 dmz host 64.100.0.5
 static translation to 172.16.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:
Static translate 10.1.1.5/0 to 172.16.1.1/0 using netmask 255.255.255.255

Phase: 4
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (inside,dmz) interface access-list IN-DMZ-INTERFACE 
 match ip inside host 10.1.1.5 dmz host 64.100.0.5
 static translation to 172.16.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:

Phase: 5
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE 
 match ip dmz host 172.16.1.5 inside host 172.16.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:

Phase: 6
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE 
 match ip dmz host 172.16.1.5 inside host 172.16.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:

Phase: 7
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 8 
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 503, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: dmz
output-status: up
output-line-status: up
Action: allow

التقاط الحزمة:

ASA# sh cap
capture capin type raw-data interface inside [Capturing - 1300 bytes] 
 match ip host 10.1.1.5 host 64.100.0.5 
capture capout type raw-data interface dmz [Capturing - 1300 bytes] 
 match ip host 172.16.1.1 host 172.16.1.5 

ASA# sh cap capin

10 packets captured
 1: 12:36:28.245455 10.1.1.5 > 64.100.0.5: icmp: echo request 
 2: 12:36:28.269441 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 3: 12:36:28.303451 10.1.1.5 > 64.100.0.5: icmp: echo request 
 4: 12:36:28.333692 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 5: 12:36:28.372478 10.1.1.5 > 64.100.0.5: icmp: echo request 
 6: 12:36:28.395563 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 7: 12:36:28.422402 10.1.1.5 > 64.100.0.5: icmp: echo request 
 8: 12:36:28.449241 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 9: 12:36:28.481420 10.1.1.5 > 64.100.0.5: icmp: echo request 
 10: 12:36:28.507435 64.100.0.5 > 10.1.1.5: icmp: echo reply 
10 packets shown

ASA1# sh cap capout

10 packets captured
 1: 12:36:28.245730 172.16.1.1 > 172.16.1.5: icmp: echo request 
 2: 12:36:28.269395 172.16.1.5 > 172.16.1.1: icmp: echo reply 
 3: 12:36:28.303725 172.16.1.1 > 172.16.1.5: icmp: echo request 
 4: 12:36:28.333646 172.16.1.5 > 172.16.1.1: icmp: echo reply 
 5: 12:36:28.372737 172.16.1.1 > 172.16.1.5: icmp: echo request 
 6: 12:36:28.395533 172.16.1.5 > 172.16.1.1: icmp: echo reply 
 7: 12:36:28.422661 172.16.1.1 > 172.16.1.5: icmp: echo request 
 8: 12:36:28.449195 172.16.1.5 > 172.16.1.1: icmp: echo reply 
 9: 12:36:28.481695 172.16.1.1 > 172.16.1.5: icmp: echo request 
 10: 12:36:28.507404 172.16.1.5 > 172.16.1.1: icmp: echo reply 
10 packets shown

مثال 2. المصدر والوجهة مضيف pc-a وخادم إختبار يكون ربطت إلى ال نفسه داخل ASA قارن.

التكوين 

مرتين nat لإصدارات ASA 8.3 والإصدارات الأحدث:

object network obj-10.1.1.5
 host 10.1.1.5

object network obj-10.1.1.6
 host 10.1.1.6

object network obj-64.100.0.5
 host 64.100.0.5

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.
WARNING: Users may not be able to access any service enabled on the outside interface.

مرتين nat لإصدارات ASA 8. 2 وما فوقها:

access-list IN-OUT-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5
static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.1.1.6 host 10.1.1.1
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

ملاحظة: تتمثل النية الرئيسية لترجمة NAT لعنوان IP للمصدر من 10.1.1.5 إلى ASA داخل عنوان IP للواجهة 10.1.1.1، في إجبار الردود التي تأتي من المضيف 10.1.1.6 على العودة إلى ASA، وهذا مطلوب بشدة لتجنب التوجيه غير المتماثل ولتمكين ASA من معالجة حركة مرور البيانات بين الأجهزة المضيفة المهتمة، إذا لم نترجم عنوان IP المصدر كما فعلنا في هذا المثال، فسيقوم ASA بحظر حركة المرور المهتمة بسبب التوجيه غير المتماثل.

استكشاف الأخطاء وإصلاحها

Packet Tracer Output، الإصدار 8.3 والإصدارات الأحدث:

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6
Additional Information:
NAT divert to egress interface inside
Untranslate 64.100.0.5/80 to 10.1.1.6/80

Phase: 2
Type: NAT
Subtype: 
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6
Additional Information:
Static translate 10.1.1.5/123 to 10.1.1.1/123

Phase: 3
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule 
Additional Information:

Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 5
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6
Additional Information:
 
Phase: 7
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 167839, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: inside
output-status: up
output-line-status: up
Action: allow

Packet Tracer Output، الإصدار 8.2 والإصدارات الأقدم:

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.1.1.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:
NAT divert to egress interface inside
Untranslate 64.100.0.5/0 to 10.1.1.6/0 using netmask 255.255.255.255

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule
Additional Information:

Phase: 3
Type: IP-OPTIONS
Subtype: 
Result: ALLOW 
Config:
Additional Information:

Phase: 4
Type: NAT
Subtype: 
Result: ALLOW
Config:
static (inside,inside) interface access-list IN-OUT-INTERFACE 
 match ip inside host 10.1.1.5 inside host 64.100.0.5
 static translation to 10.1.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:
Static translate 10.1.1.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (inside,inside) interface access-list IN-OUT-INTERFACE 
 match ip inside host 10.1.1.5 inside host 64.100.0.5
 static translation to 10.1.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:

Phase: 6
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.1.1.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:

Phase: 7
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.1.1.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:
 
Phase: 8
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 727, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: inside
output-status: up
output-line-status: up
Action: allow

التقاط الحزمة:

ASA# sh cap
capture capin type raw-data interface inside [Capturing - 1300 bytes] 
 match ip host 10.1.1.5 host 64.100.0.5 
capture capout type raw-data interface inside [Capturing - 1300 bytes] 
 match ip host 10.1.1.1 host 10.1.1.6

ASA# sh cap capin

10 packets captured
 1: 12:50:39.304748 10.1.1.5 > 64.100.0.5: icmp: echo request 
 2: 12:50:39.335431 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 3: 12:50:39.368389 10.1.1.5 > 64.100.0.5: icmp: echo request 
 4: 12:50:39.389368 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 5: 12:50:39.398432 10.1.1.5 > 64.100.0.5: icmp: echo request 
 6: 12:50:39.418176 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 7: 12:50:39.419732 10.1.1.5 > 64.100.0.5: icmp: echo request 
 8: 12:50:39.425103 64.100.0.5 > 10.1.1.5: icmp: echo reply 
 9: 12:50:39.434395 10.1.1.5 > 64.100.0.5: icmp: echo request 
 10: 12:50:39.438423 64.100.0.5 > 10.1.1.5: icmp: echo reply 
10 packets shown

ASA2# sh cap capout

10 packets captured
 1: 12:50:39.305282 10.1.1.1 > 10.1.1.6: icmp: echo request 
 2: 12:50:39.335386 10.1.1.6 > 10.1.1.1: icmp: echo reply 
 3: 12:50:39.368663 10.1.1.1 > 10.1.1.6: icmp: echo request 
 4: 12:50:39.389307 10.1.1.6 > 10.1.1.1: icmp: echo reply 
 5: 12:50:39.398706 10.1.1.1 > 10.1.1.6: icmp: echo request 
 6: 12:50:39.418130 10.1.1.6 > 10.1.1.1: icmp: echo reply 
 7: 12:50:39.419762 10.1.1.1 > 10.1.1.6: icmp: echo request 
 8: 12:50:39.425072 10.1.1.6 > 10.1.1.1: icmp: echo reply 
 9: 12:50:39.434669 10.1.1.1 > 10.1.1.6: icmp: echo request 
 10: 12:50:39.438392 10.1.1.6 > 10.1.1.1: icmp: echo reply 
10 packets shown

مثال 3. يكون المصدر والوجهة مضيفين PC-A وخادم الاختبار متصلين بواجهة ASA الداخلية، ولكن خلف جهاز آخر من الطبقة 3 (قد يكون موجه أو محول متعدد الطبقات).

التكوين 

مرتين nat لإصدارات ASA 8.3 والإصدارات الأحدث:

object network obj-10.2.2.5
 host 10.2.2.5

object network obj-10.3.3.6
 host 10.3.3.6

object network obj-64.100.0.5
 host 64.100.0.5

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.
WARNING: Users may not be able to access any service enabled on the outside interface.

مرتين nat لإصدارات ASA 8. 2 وما فوقها:

access-list IN-OUT-INTERFACE extended permit ip host 10.2.2.5 host 64.100.0.5
static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.3.3.6 host 10.1.1.1
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

ملاحظة: تتمثل النية الرئيسية لترجمة NAT لعنوان IP للمصدر من 10.1.1.5 إلى عنوان ASA داخل عنوان IP للواجهة (10.1.1.1) في فرض إعادة الردود الواردة من المضيف 10.1.1.6 إلى ASA، وهذا مطلوب بشدة لتجنب التوجيه غير المتماثل والسماح ASA بمعالجة حركة مرور البيانات بين الأجهزة المضيفة المهتمة، إذا لم نترجم عنوان IP المصدر كما فعلنا في هذا المثال، فسيقوم ASA بحظر حركة المرور المهتمة بسبب التوجيه غير المتماثل.

استكشاف الأخطاء وإصلاحها

Packet Tracer Output، الإصدار 8.3 والإصدارات الأحدث:

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6
Additional Information:
NAT divert to egress interface inside
Untranslate 64.100.0.5/80 to 10.3.3.6/80

Phase: 2
Type: NAT
Subtype: 
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6
Additional Information:
Static translate 10.2.2.5/123 to 10.1.1.1/123

Phase: 3
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule 
Additional Information:

Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 5
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 6
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6
Additional Information:
 
Phase: 7
Type: NAT
Subtype: per-session
Result: ALLOW
Config:
Additional Information:

Phase: 8
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 167945, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: inside
output-status: up
output-line-status: up
Action: allow

Packet Tracer Output، الإصدار 8.2 والإصدارات الأقدم:

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1
Type: UN-NAT
Subtype: static
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.3.3.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:
NAT divert to egress interface inside
Untranslate 64.100.0.5/0 to 10.3.3.6/0 using netmask 255.255.255.255

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule
Additional Information:

Phase: 3
Type: IP-OPTIONS
Subtype: 
Result: ALLOW 
Config:
Additional Information:

Phase: 4
Type: NAT
Subtype: 
Result: ALLOW
Config:
static (inside,inside) interface access-list IN-OUT-INTERFACE 
 match ip inside host 10.2.2.5 inside host 64.100.0.5
 static translation to 10.1.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:
Static translate 10.2.2.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (inside,inside) interface access-list IN-OUT-INTERFACE 
 match ip inside host 10.2.2.5 inside host 64.100.0.5
 static translation to 10.1.1.1
 translate_hits = 1, untranslate_hits = 0
Additional Information:

Phase: 6
Type: NAT
Subtype: rpf-check
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.3.3.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:

Phase: 7
Type: NAT
Subtype: host-limits
Result: ALLOW
Config:
static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE 
 match ip inside host 10.3.3.6 inside host 10.1.1.1
 static translation to 64.100.0.5
 translate_hits = 0, untranslate_hits = 1
Additional Information:
 
Phase: 8
Type: IP-OPTIONS
Subtype: 
Result: ALLOW
Config:
Additional Information:

Phase: 9
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 908, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: inside
output-status: up
output-line-status: up
Action: allow

التقاط الحزمة:

ASA# sh cap
capture capin type raw-data interface inside [Capturing - 1300 bytes] 
 match ip host 10.2.2.5 host 64.100.0.5 
capture capout type raw-data interface inside [Capturing - 1300 bytes] 
 match ip host 10.1.1.1 host 10.3.3.6 

ASA# sh cap capin

10 packets captured
 1: 13:06:09.302047 10.2.2.5 > 64.100.0.5: icmp: echo request 
 2: 13:06:09.315276 64.100.0.5 > 10.2.2.5: icmp: echo reply 
 3: 13:06:09.342221 10.2.2.5 > 64.100.0.5: icmp: echo request 
 4: 13:06:09.381266 64.100.0.5 > 10.2.2.5: icmp: echo reply 
 5: 13:06:09.421227 10.2.2.5 > 64.100.0.5: icmp: echo request 
 6: 13:06:09.459204 64.100.0.5 > 10.2.2.5: icmp: echo reply 
 7: 13:06:09.494939 10.2.2.5 > 64.100.0.5: icmp: echo request 
 8: 13:06:09.534258 64.100.0.5 > 10.2.2.5: icmp: echo reply 
 9: 13:06:09.564210 10.2.2.5 > 64.100.0.5: icmp: echo request 
 10: 13:06:09.593261 64.100.0.5 > 10.2.2.5: icmp: echo reply 
10 packets shown

ASA# sh cap capout

10 packets captured
 1: 13:06:09.302367 10.1.1.1 > 10.3.3.6: icmp: echo request 
 2: 13:06:09.315230 10.3.3.6 > 10.1.1.1: icmp: echo reply 
 3: 13:06:09.342526 10.1.1.1 > 10.3.3.6: icmp: echo request 
 4: 13:06:09.381221 10.3.3.6 > 10.1.1.1: icmp: echo reply 
 5: 13:06:09.421517 10.1.1.1 > 10.3.3.6: icmp: echo request 
 6: 13:06:09.459174 10.3.3.6 > 10.1.1.1: icmp: echo reply 
 7: 13:06:09.495244 10.1.1.1 > 10.3.3.6: icmp: echo request 
 8: 13:06:09.534213 10.3.3.6 > 10.1.1.1: icmp: echo reply 
 9: 13:06:09.564500 10.1.1.1 > 10.3.3.6: icmp: echo request 
 10: 13:06:09.593215 10.3.3.6 > 10.1.1.1: icmp: echo reply 
10 packets shown

معلومات ذات صلة

• دليل تكوين ASA 8.3: متطلب أساسي لضعف NAT

• دليل التكوين ASA 8.4: DNS و NAT

• أمثلة تكوين ASA ما قبل 8.3 إلى 8.3 NAT