内容

概要

前提条件

要件

使用するコンポーネント

問題：ASAの背後にあるパブリックIPアドレスを探すホスト間のLAN通信

例1.送信元ホストPC-Aは内部ASAインターフェイスに接続され、宛先ホストのテストサーバはDMZインターフェイスに接続されます。

例2：送信元ホストと宛先ホストのPC-Aとテストサーバが同じ内部ASAインターフェイスに接続されている。

例3.送信元ホストと宛先ホストのPC-Aとテストサーバは内部ASAインターフェイスに接続されていますが、別のレイヤ3デバイスの背後にあります（ルータまたはマルチレイヤスイッチの可能性があります）。

解決方法

例1.送信元ホストPC-Aは内部ASAインターフェイスに接続され、宛先ホストのテストサーバはDMZインターフェイスに接続されます。

コンフィギュレーション

トラブルシュート

例2：送信元ホストと宛先ホストのPC-Aとテストサーバが同じ内部ASAインターフェイスに接続されている。

コンフィギュレーション

トラブルシュート

例3.送信元ホストと宛先ホストのPC-Aとテストサーバは内部ASAインターフェイスに接続されていますが、別のレイヤ3デバイスの背後にあります（ルータまたはマルチレイヤスイッチの可能性があります）。

コンフィギュレーション

トラブルシュート

関連情報

概要

このドキュメントでは、適応型セキュリティアプライアンス(ASA)の背後にあるパブリックIPアドレスを探すホスト間でローカルエリアネットワーク(LAN)通信を許可するために必要なネットワーク実装について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Cisco ASA NATの基本設定、バージョン8.3以降

- Cisco ASA NAT基本設定、バージョン8.2以前

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- ASA5500およびASA5500-Xシリーズ

- Cisco ASAバージョン8.3以降

- Cisco ASAバージョン8.2以前

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

問題：ASAの背後にあるパブリックIPアドレスを探すホスト間のLAN通信

次のセクションでは、ASAの背後にあるパブリックIPアドレスを探すホスト間でLAN通信を可能にする、この通信要件を示す3つのトポロジ例を示します。

例1.送信元ホストPC-Aは内部ASAインターフェイスに接続され、宛先ホストのテストサーバはDMZインターフェイスに接続されます。

例2：送信元ホストと宛先ホストのPC-Aとテストサーバが同じ内部ASAインターフェイスに接続されている。

例3.送信元ホストと宛先ホストのPC-Aとテストサーバは内部ASAインターフェイスに接続されていますが、別のレイヤ3デバイスの背後にあります（ルータまたはマルチレイヤスイッチの可能性があります）。

注：3つのイメージのTest Serverには、ASAでスタティックNetwork Address Translation（NAT；ネットワークアドレス変換）が設定されています。このスタティックNAT変換は、外部から対応する内部インターフェイスに適用され、パブリックIPアドレス64.100.0.5を使用して外部からに到達可能ですアドレス。

解決方法

送信元ホストPC-AがプライベートIPアドレスではなくパブリックIPアドレスを使用して宛先テストサーバに到達できるようにするには、2回のNAT設定を適用する必要があります。2回のNAT設定は、トラフィックがASAを通過するときにパケットの送信元と宛先の両方のIPアドレスを変換するのに役立ちます。

各トポロジに必要な2回のNAT設定の詳細を次に示します。

例1.送信元ホストPC-Aは内部ASAインターフェイスに接続され、宛先ホストのテストサーバはDMZインターフェイスに接続されます。

コンフィギュレーション

ASAバージョン8.3以降の2回のNAT:

object network obj-10.1.1.5

host 10.1.1.5

object network obj-172.16.1.5

host 172.16.1.5

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

ASAバージョン8.2以前の2回のNAT:

access-list IN-DMZ-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

access-list DMZ-IN-INTERFACE extended permit ip host 172.16.1.5 host 172.16.1.1

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

トラブルシュート

Packet Tracer出力バージョン8.3以降：

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 2

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

NAT divert to egress interface dmz

Untranslate 64.100.0.5/80 to 172.16.1.5/80

Phase: 3

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

Static translate 10.1.1.5/123 to 172.16.1.1/123

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167632, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

Packet Tracer出力バージョン8.2以前：

ASA#packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface dmz

Untranslate 64.100.0.5/0 to 172.16.1.5/0 using netmask 255.255.255.255

Phase: 2

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 3

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

match ip inside host 10.1.1.5 dmz host 64.100.0.5

static translation to 172.16.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.1.1.5/0 to 172.16.1.1/0 using netmask 255.255.255.255

Phase: 4

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

match ip inside host 10.1.1.5 dmz host 64.100.0.5

static translation to 172.16.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 5

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 6

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 503, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

パケット キャプチャ：

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.5 host 64.100.0.5

capture capout type raw-data interface dmz [Capturing - 1300 bytes]

match ip host 172.16.1.1 host 172.16.1.5

ASA# sh cap capin

10 packets captured

1: 12:36:28.245455 10.1.1.5 > 64.100.0.5: icmp: echo request

2: 12:36:28.269441 64.100.0.5 > 10.1.1.5: icmp: echo reply

3: 12:36:28.303451 10.1.1.5 > 64.100.0.5: icmp: echo request

4: 12:36:28.333692 64.100.0.5 > 10.1.1.5: icmp: echo reply

5: 12:36:28.372478 10.1.1.5 > 64.100.0.5: icmp: echo request

6: 12:36:28.395563 64.100.0.5 > 10.1.1.5: icmp: echo reply

7: 12:36:28.422402 10.1.1.5 > 64.100.0.5: icmp: echo request

8: 12:36:28.449241 64.100.0.5 > 10.1.1.5: icmp: echo reply

9: 12:36:28.481420 10.1.1.5 > 64.100.0.5: icmp: echo request

10: 12:36:28.507435 64.100.0.5 > 10.1.1.5: icmp: echo reply

10 packets shown

ASA1# sh cap capout

10 packets captured

1: 12:36:28.245730 172.16.1.1 > 172.16.1.5: icmp: echo request

2: 12:36:28.269395 172.16.1.5 > 172.16.1.1: icmp: echo reply

3: 12:36:28.303725 172.16.1.1 > 172.16.1.5: icmp: echo request

4: 12:36:28.333646 172.16.1.5 > 172.16.1.1: icmp: echo reply

5: 12:36:28.372737 172.16.1.1 > 172.16.1.5: icmp: echo request

6: 12:36:28.395533 172.16.1.5 > 172.16.1.1: icmp: echo reply

7: 12:36:28.422661 172.16.1.1 > 172.16.1.5: icmp: echo request

8: 12:36:28.449195 172.16.1.5 > 172.16.1.1: icmp: echo reply

9: 12:36:28.481695 172.16.1.1 > 172.16.1.5: icmp: echo request

10: 12:36:28.507404 172.16.1.5 > 172.16.1.1: icmp: echo reply

10 packets shown

例2：送信元ホストと宛先ホストのPC-Aとテストサーバが同じ内部ASAインターフェイスに接続されている。

コンフィギュレーション

ASAバージョン8.3以降の2回のNAT:

object network obj-10.1.1.5

host 10.1.1.5

object network obj-10.1.1.6

host 10.1.1.6

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

ASAバージョン8.2以前の2回のNAT:

access-list IN-OUT-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5

static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.1.1.6 host 10.1.1.1

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

注：送信元IPアドレス10.1.1.5からASA内部インターフェイスIPアドレス10.1.1.1へのNAT変換の主な目的は、ホスト10.1.1.6からの応答を強制的にASAに戻すことです。これは、非対称ルーティングを回避し、この例のように送信元IPアドレスを変換しないためです。非対称ルーティングのため、ASAは対象トラフィックをブロックします。

トラブルシュート

Packet Tracer出力バージョン8.3以降：

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/80 to 10.1.1.6/80

Phase: 2

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

Static translate 10.1.1.5/123 to 10.1.1.1/123

Phase: 3

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167839, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Packet Tracer出力バージョン8.2以前：

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/0 to 10.1.1.6/0 using netmask 255.255.255.255

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 3

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.1.1.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.1.1.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.1.1.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 727, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

パケット キャプチャ：

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.5 host 64.100.0.5

capture capout type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.1 host 10.1.1.6

ASA# sh cap capin

10 packets captured

1: 12:50:39.304748 10.1.1.5 > 64.100.0.5: icmp: echo request

2: 12:50:39.335431 64.100.0.5 > 10.1.1.5: icmp: echo reply

3: 12:50:39.368389 10.1.1.5 > 64.100.0.5: icmp: echo request

4: 12:50:39.389368 64.100.0.5 > 10.1.1.5: icmp: echo reply

5: 12:50:39.398432 10.1.1.5 > 64.100.0.5: icmp: echo request

6: 12:50:39.418176 64.100.0.5 > 10.1.1.5: icmp: echo reply

7: 12:50:39.419732 10.1.1.5 > 64.100.0.5: icmp: echo request

8: 12:50:39.425103 64.100.0.5 > 10.1.1.5: icmp: echo reply

9: 12:50:39.434395 10.1.1.5 > 64.100.0.5: icmp: echo request

10: 12:50:39.438423 64.100.0.5 > 10.1.1.5: icmp: echo reply

10 packets shown

ASA2# sh cap capout

10 packets captured

1: 12:50:39.305282 10.1.1.1 > 10.1.1.6: icmp: echo request

2: 12:50:39.335386 10.1.1.6 > 10.1.1.1: icmp: echo reply

3: 12:50:39.368663 10.1.1.1 > 10.1.1.6: icmp: echo request

4: 12:50:39.389307 10.1.1.6 > 10.1.1.1: icmp: echo reply

5: 12:50:39.398706 10.1.1.1 > 10.1.1.6: icmp: echo request

6: 12:50:39.418130 10.1.1.6 > 10.1.1.1: icmp: echo reply

7: 12:50:39.419762 10.1.1.1 > 10.1.1.6: icmp: echo request

8: 12:50:39.425072 10.1.1.6 > 10.1.1.1: icmp: echo reply

9: 12:50:39.434669 10.1.1.1 > 10.1.1.6: icmp: echo request

10: 12:50:39.438392 10.1.1.6 > 10.1.1.1: icmp: echo reply

10 packets shown

例3.送信元ホストと宛先ホストのPC-Aとテストサーバは内部ASAインターフェイスに接続されていますが、別のレイヤ3デバイスの背後にあります（ルータまたはマルチレイヤスイッチの可能性があります）。

コンフィギュレーション

ASAバージョン8.3以降の2回のNAT:

object network obj-10.2.2.5

host 10.2.2.5

object network obj-10.3.3.6

host 10.3.3.6

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

ASAバージョン8.2以前の2回のNAT:

access-list IN-OUT-INTERFACE extended permit ip host 10.2.2.5 host 64.100.0.5

static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.3.3.6 host 10.1.1.1

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

注：送信元IPアドレスが10.1.1.5からASA内部インターフェイスIPアドレス(10.1.1.1)に対してNAT変換を行う主な目的は、ホスト10.1.1.6からの応答を強制的にASAに戻すことです。これは、非対称ルーティングを回避し、送信元IPアドレスをこの例と同様に、ASAは非対称ルーティングが原因で対象トラフィックをブロックします。

トラブルシュート

Packet Tracer出力バージョン8.3以降：

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/80 to 10.3.3.6/80

Phase: 2

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

Static translate 10.2.2.5/123 to 10.1.1.1/123

Phase: 3

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167945, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Packet Tracer出力バージョン8.2以前：

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/0 to 10.3.3.6/0 using netmask 255.255.255.255

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 3

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.2.2.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.2.2.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.2.2.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 908, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

パケット キャプチャ：

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.2.2.5 host 64.100.0.5

capture capout type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.1 host 10.3.3.6

ASA# sh cap capin

10 packets captured

1: 13:06:09.302047 10.2.2.5 > 64.100.0.5: icmp: echo request

2: 13:06:09.315276 64.100.0.5 > 10.2.2.5: icmp: echo reply

3: 13:06:09.342221 10.2.2.5 > 64.100.0.5: icmp: echo request

4: 13:06:09.381266 64.100.0.5 > 10.2.2.5: icmp: echo reply

5: 13:06:09.421227 10.2.2.5 > 64.100.0.5: icmp: echo request

6: 13:06:09.459204 64.100.0.5 > 10.2.2.5: icmp: echo reply

7: 13:06:09.494939 10.2.2.5 > 64.100.0.5: icmp: echo request

8: 13:06:09.534258 64.100.0.5 > 10.2.2.5: icmp: echo reply

9: 13:06:09.564210 10.2.2.5 > 64.100.0.5: icmp: echo request

10: 13:06:09.593261 64.100.0.5 > 10.2.2.5: icmp: echo reply

10 packets shown

ASA# sh cap capout

10 packets captured

1: 13:06:09.302367 10.1.1.1 > 10.3.3.6: icmp: echo request

2: 13:06:09.315230 10.3.3.6 > 10.1.1.1: icmp: echo reply

3: 13:06:09.342526 10.1.1.1 > 10.3.3.6: icmp: echo request

4: 13:06:09.381221 10.3.3.6 > 10.1.1.1: icmp: echo reply

5: 13:06:09.421517 10.1.1.1 > 10.3.3.6: icmp: echo request

6: 13:06:09.459174 10.3.3.6 > 10.1.1.1: icmp: echo reply

7: 13:06:09.495244 10.1.1.1 > 10.3.3.6: icmp: echo request

8: 13:06:09.534213 10.3.3.6 > 10.1.1.1: icmp: echo reply

9: 13:06:09.564500 10.1.1.1 > 10.3.3.6: icmp: echo request

10: 13:06:09.593215 10.3.3.6 > 10.1.1.1: icmp: echo reply

10 packets shown

関連情報

- ASA 8.3コンフィギュレーションガイド：Twice NATの前提条件

- ASA 8.4コンフィギュレーションガイド：DNSおよびNAT

- 8.3より前のASAから8.3へのNAT設定例