基於ASA防火牆的NAT地址轉換和SSH遠程登入實驗

標籤：asa防火牆   nat地址轉換   pat地址轉換   acl語句   遠程ssh和telnet登陸   

實驗環境：使用兩台linux虛擬機器，linux-3是作為外網的apache網站伺服器，另外一台linux-1屬於內網DMZ（非軍事化地區）的apache伺服器，再搭建一個DNS服務來解析IP地址。然後用戶端使用本地的一個迴環網卡進行串連。

實驗要求：通過實驗在ASA防火牆上進行配置，來證明NAT地址轉換和做ACL入站串連。

650) this.width=650;" style="float:none;" title="圖片23.png" src="http://s3.51cto.com/wyfs02/M02/6F/47/wKioL1WXMeCCT76DAAIafAofRx4709.jpg" alt="wKioL1WXMeCCT76DAAIafAofRx4709.jpg" />

首先是配置交換器和路由器上面的部分，在兩台交換器上面只要關閉路由功能就行了。

650) this.width=650;" style="float:none;" title="圖片24.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMBeBlF5kAACxalnAECI381.jpg" alt="wKiom1WXMBeBlF5kAACxalnAECI381.jpg" />

在R3路由器上需要做IP地址的配置，以及一條預設路由就OK了。

650) this.width=650;" style="float:none;" title="圖片25.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMBeyBdCuAAIxN8ehSIQ266.jpg" alt="wKiom1WXMBeyBdCuAAIxN8ehSIQ266.jpg" />

下面是設定啟用防火牆的設定檔。

650) this.width=650;" style="float:none;" title="圖片26.png" src="http://s3.51cto.com/wyfs02/M00/6F/47/wKioL1WXMeDBB80qAAC4afjc-_4514.jpg" alt="wKioL1WXMeDBB80qAAC4afjc-_4514.jpg" />

下面是對於ASA防火牆不能夠儲存設定檔的操作過程，只要建立一個startup-config設定檔，並運行就行了。

650) this.width=650;" style="float:none;" title="圖片27.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMBeTE-hAAAOBENb3fZI202.jpg" alt="wKiom1WXMBeTE-hAAAOBENb3fZI202.jpg" />

然後是配置各個介面的IP地址，還有DMZ地區的優先順序，以及配置一條預設路由。

650) this.width=650;" style="float:none;" title="圖片28.png" src="http://s3.51cto.com/wyfs02/M00/6F/47/wKioL1WXMeGw0K9NAAJU7HOsYSc898.jpg" alt="wKioL1WXMeGw0K9NAAJU7HOsYSc898.jpg" />

下面就配置兩台linux伺服器，首先檢查是否跟拓撲規劃一樣串連VMnet1或者說是僅主機模式。

650) this.width=650;" style="float:none;" title="圖片29.png" src="http://s3.51cto.com/wyfs02/M01/6F/47/wKioL1WXMeGDCTWKAAJrq6SRC9Q498.jpg" alt="wKioL1WXMeGDCTWKAAJrq6SRC9Q498.jpg" />

然後是查看linux-3的IP地址配置。

650) this.width=650;" style="float:none;" title="圖片30.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMBjTF49yAAFMOnJwewQ553.jpg" alt="wKiom1WXMBjTF49yAAFMOnJwewQ553.jpg" />

然後開啟httpd的服務，並編輯配置網站的預設網頁。

650) this.width=650;" style="float:none;" title="圖片31.png" src="http://s3.51cto.com/wyfs02/M01/6F/47/wKioL1WXMeLAFVihAAGHvp7rdi0121.jpg" alt="wKioL1WXMeLAFVihAAGHvp7rdi0121.jpg" />

下面是自測的結果，並指定DNS地址。

650) this.width=650;" style="float:none;" title="圖片32.png" src="http://s3.51cto.com/wyfs02/M01/6F/4A/wKiom1WXMBnBG__sAAMAraTBRYc556.jpg" alt="wKiom1WXMBnBG__sAAMAraTBRYc556.jpg" />

下面配置另外一台linux-1，下面是串連模式VMnet8。

650) this.width=650;" style="float:none;" title="圖片33.png" src="http://s3.51cto.com/wyfs02/M01/6F/4A/wKiom1WXMBmwccCjAAKAtGNjHmg154.jpg" alt="wKiom1WXMBmwccCjAAKAtGNjHmg154.jpg" />

下面是linux-1的IP地址配置，也要注意網關地址。

650) this.width=650;" style="float:none;" title="圖片34.png" src="http://s3.51cto.com/wyfs02/M02/6F/47/wKioL1WXMeLiu2WmAAJldmJssFc085.jpg" alt="wKioL1WXMeLiu2WmAAJldmJssFc085.jpg" />

下面同樣是啟用httpd服務，並編輯預設網站的網頁內容。

650) this.width=650;" style="float:none;" title="圖片35.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMBnQ_lx9AAGG24zJKd4320.jpg" alt="wKiom1WXMBnQ_lx9AAGG24zJKd4320.jpg" />

此時也可以輸入IP地址進行一下自測apache服務的。

650) this.width=650;" style="float:none;" title="圖片36.png" src="http://s3.51cto.com/wyfs02/M02/6F/47/wKioL1WXMeOwJNtXAADXK-thnC8129.jpg" alt="wKioL1WXMeOwJNtXAADXK-thnC8129.jpg" />

然後安裝DNS網域名稱解析服務（具體配置略）結果驗證如下，特別需要注意的是配置兩個地區的設定檔以及主機A記錄檔案。

650) this.width=650;" style="float:none;" title="圖片37.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMBrQL50xAALQTLwTyD4427.jpg" alt="wKiom1WXMBrQL50xAALQTLwTyD4427.jpg" />

下面是DNS的配置結果，能夠使用host解析就說明OK了。注意主機A記錄中的設定檔。

650) this.width=650;" style="float:none;" title="圖片38.png" src="http://s3.51cto.com/wyfs02/M00/6F/47/wKioL1WXMeSDF7U1AAOPDuZ2_js194.jpg" alt="wKioL1WXMeSDF7U1AAOPDuZ2_js194.jpg" />

現在檢查VMnet1虛擬網卡配置、VMnet8虛擬網卡配置，都設定為自動擷取就行。下面是本地串連2網卡的IP地址配置，並指定DNS地址。

650) this.width=650;" style="float:none;" title="圖片39.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMBuC99UYAAUwTk-nkE8852.jpg" alt="wKiom1WXMBuC99UYAAUwTk-nkE8852.jpg" />

在客戶機上測試是否可以正常訪問網站，ping是不通的，因為ICMP是非動態化協議。

650) this.width=650;" style="float:none;" title="圖片40.png" src="http://s3.51cto.com/wyfs02/M00/6F/47/wKioL1WXMeTQWLl1AAF27601vhA440.jpg" alt="wKioL1WXMeTQWLl1AAF27601vhA440.jpg" />

或者使用網域名稱的形式進行訪問。

650) this.width=650;" style="float:none;" title="圖片41.png" src="http://s3.51cto.com/wyfs02/M01/6F/48/wKioL1WXMeSAgU7sAAF6IQKFMOM359.jpg" alt="wKioL1WXMeSAgU7sAAF6IQKFMOM359.jpg" />

設定NAT地址轉換以及在outside地區和DMZ地區應用，並設定ICMP入站串連。

650) this.width=650;" style="float:none;" title="圖片42.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMBvgaRHVAAIXwdRmFlc065.jpg" alt="wKiom1WXMBvgaRHVAAIXwdRmFlc065.jpg" />

下面是ping兩台伺服器的結果（之前沒有應用在DMZ地區）。

650) this.width=650;" style="float:none;" title="圖片43.png" src="http://s3.51cto.com/wyfs02/M01/6F/48/wKioL1WXMeXBJFIrAAM5H6cQXn4058.jpg" alt="wKioL1WXMeXBJFIrAAM5H6cQXn4058.jpg" />

下面為了具體驗證NAT結果，可以使用wireshark抓包軟體進行抓包驗證，選擇抓R3上面的f0/1連接埠。

650) this.width=650;" style="float:none;" title="圖片44.png" src="http://s3.51cto.com/wyfs02/M01/6F/4A/wKiom1WXMBygCKgIAAGnF05ZKP0213.jpg" alt="wKiom1WXMBygCKgIAAGnF05ZKP0213.jpg" />

開啟之後輸入ICMP，然後再使用命令ping其他主機，如果沒有轉換源地址是192.168.10.2，但是轉換之後的IP地址是12.0.0.2（因為抓的是R3的f0/1連接埠）。

650) this.width=650;" style="float:none;" title="圖片45.png" src="http://s3.51cto.com/wyfs02/M02/6F/48/wKioL1WXMebxXTMMAAbrYrmX0I8378.jpg" alt="wKioL1WXMebxXTMMAAbrYrmX0I8378.jpg" />

下面通過ACL語句來設定允許、拒絕內網IP地址的訪問。

650) this.width=650;" style="float:none;" title="圖片46.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMBzRsRvrAAEF3Tuzih8176.jpg" alt="wKiom1WXMBzRsRvrAAEF3Tuzih8176.jpg" />

下面這條命令是重新整理緩衝的作用。

650) this.width=650;" style="float:none;" title="圖片47.png" src="http://s3.51cto.com/wyfs02/M01/6F/4A/wKiom1WXMB3z9PRvAAEp4jwfWLE829.jpg" alt="wKiom1WXMB3z9PRvAAEp4jwfWLE829.jpg" />

在web網站上清除緩衝的過程，點擊設定，然後點擊刪除記錄就行了。

650) this.width=650;" style="float:none;" title="圖片48.png" src="http://s3.51cto.com/wyfs02/M02/6F/48/wKioL1WXMebw7wLoAASbrnZ5eQ4659.jpg" alt="wKioL1WXMebw7wLoAASbrnZ5eQ4659.jpg" />

下面再次進行訪問無論是IP地址或者網域名稱都不能夠訪問web網站。

650) this.width=650;" style="float:none;" title="圖片49.png" src="http://s3.51cto.com/wyfs02/M02/6F/4A/wKiom1WXMB3DiQ1FAAIXr9qBeyQ284.jpg" alt="wKiom1WXMB3DiQ1FAAIXr9qBeyQ284.jpg" />

下面是設定靜態NAT的轉換方式，並設定ACL語句允許入站串連，也就是回來時的轉換過程，應用在outside介面。

650) this.width=650;" style="float:none;" title="圖片50.png" src="http://s3.51cto.com/wyfs02/M00/6F/48/wKioL1WXMefgqf1sAAGdKpm7bKo294.jpg" alt="wKioL1WXMefgqf1sAAGdKpm7bKo294.jpg" />

下面是設定telnet遠程登入的方式，或者SSH加密登陸方式。

650) this.width=650;" style="float:none;" title="圖片51.png" src="http://s3.51cto.com/wyfs02/M00/6F/48/wKioL1WXMefgkHNhAAI1ArszyZc063.jpg" alt="wKioL1WXMefgkHNhAAI1ArszyZc063.jpg" />

下面是telnet登陸的過程。

650) this.width=650;" style="float:none;" title="圖片52.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMB6RNI0WAAEkEWaUUG8512.jpg" alt="wKiom1WXMB6RNI0WAAEkEWaUUG8512.jpg" />

下面是SSH登陸的方式，pix是ASA防火牆的預設使用者名。

650) this.width=650;" style="float:none;" title="圖片53.png" src="http://s3.51cto.com/wyfs02/M00/6F/4A/wKiom1WXMB7gL01sAALmvXB2Tys803.jpg" alt="wKiom1WXMB7gL01sAALmvXB2Tys803.jpg" />

650) this.width=650;" style="float:none;" title="圖片54.png" src="http://s3.51cto.com/wyfs02/M01/6F/48/wKioL1WXMeiAjvzhAAGQcyZApQk924.jpg" alt="wKioL1WXMeiAjvzhAAGQcyZApQk924.jpg" />

OK！實驗完成！實驗總結：特別需要注意的是DNS中的配置。如果訪問結果不對，需要多清空幾下緩衝再進行訪問。抓包的時候需要注意要抓R3路由器上面的連接埠。

本文出自 “青鳥技術團@威” 部落格，請務必保留此出處http://zhang2015.blog.51cto.com/9735109/1670761

基於ASA防火牆的NAT地址轉換和SSH遠程登入實驗