IT技术互动交流平台

ASA静态PAT的双向访问测试及理解

作者:碧云天  发布日期:2013-07-06 08:47:27

一.概述:

   静态PAT一般是用在外部访问内部时,将外部IP的某个端口映射到内部主机的服务端口,这样外部主机通过访问外部IP的端口,就能很轻松的访问到内部主机的服务(需要策略放行),但是在看《Cisco ASA 5500 Series Configuration Guide using the CLI, 8.4 and 8.6》文档的时候,说静态PAT与静态NAT一样,也是双向的,感到很困惑,如是打算实际测试验证一下。

二.基本思路:

A.静态PAT从外部访问内网,是经常用的,主要需要验证从内部访问外部是是否做了地址转换。

B.因为TCP和UDP访问的源端口都是随机的,大于1023,并且正常情况下不能指定。

---因此需要找到能指定源端口的程序

---在实际工作中正好用到一款公司自主开发的windows的syslog发送工具可以指定源端口和目标端口,如是用它来测试。

C.测试环境为:

---将外部接口的UDP 514端口映射到内部一台主机的UDP514

①.从外部主机发送syslog到外部接口的UDP514,验证目标地址转换。

②.从内部被映射的主机向外部主机发送syslog,发送的时候指定源端口和目标端口都为514,在外部主机抓包,看源地址是否转换。

③.并且顺带的验证一下静态PAT优先级比动态PAT要高。

D.实际静态PAT这种双向访问是没有多大用处的,因为源端口很难手工指定的,像把外部接口的TCP23静态PAT到内部一台主机的TCP23,而正常情况下TCP源端口不可能为23端口的三.测试拓扑:

三.测试拓扑:

 Inside_PC1(.8)--100.1.1.0/24-----(.1)ASA842(.1)---202.100.1.0/24-----(.8)Outside_PC2

四.基本配置:

A.Inside_PC1

ip:100.1.1.8/24

gw:100.1.1.1

B.ASA842:

①接口配置:

interface GigabitEthernet0
nameif Inside
security-level 100
ip address 100.1.1.1 255.255.255.0
no shut
interface GigabitEthernet1
nameif Outside
security-level 0
ip address 202.100.1.1 255.255.255.0
no shut

②静态PAT配置:

object network Inside_PC1
host 100.1.1.8

object network Inside_PC1
nat (Inside,Outside) static interface service udp syslog syslog

③策略配置:

access-list Outside extended permit icmp any any
access-list Outside extended permit udp any object Inside_PC1 eq syslog

access-group Outside in interface Outside

C.Outside_PC2:

 

ip:202.100.1.8/24

gw:202.100.1.1

五.测试:

A.外部主机给内部主机发送syslog:

----未指定源端口

①外部主机抓包截图:

②内部主机抓包截图:

---从两个截图很容易看出:源地址为指定时为1023以上的端口;在内部主机看到数据包做了目标地址转换

B.内部主机给外部主机发送sylog:

---手工指定源端口为UDP514,发送完syslog之后,为了对比,进行ping。

①内部主机抓包截图:

②外部主机抓包截图:

---从两个截图很容易看出:但内部主机发送syslog的源地址指定时为514,出了ASA源地址做了转换;PING包没有受静态PAT的影响,源地址没有发生改变。

C.测试静态PAT与动态PAT的优先级:

①修改静态PAT的地址:

 

object network Inside_PC1
host 100.1.1.8

object network Inside_PC1
nat (Inside,Outside) static 202.100.1.2 service udp syslog syslog

②配置动态PAT:

object network Inside_network
subnet 100.1.1.0 255.255.255.0

object network Inside_network
nat (Inside,Outside) dynamic interface

③内部主机ping外部主机:

---外部主机抓包截图,可以看到ping走的是动态PAT。

④内部主机指定syslog源端口:

---外部主机抓包截图,可以看到走的是静态PAT。

⑤内部主机指定sylog源端口不为静态PAT的端口:

---外部主机抓包截图,可以看到走的是动态PAT。


Tag标签: ASA   双向访问  
  • 专题推荐

About IT165 - 广告服务 - 隐私声明 - 版权申明 - 免责条款 - 网站地图 - 网友投稿 - 联系方式
本站内容来自于互联网,仅供用于网络技术学习,学习中请遵循相关法律法规