ASA防火墙静态PAT端口范围测试-创新互联
一.测试拓扑
二.测试思路
1.分别测试tcp和udp的连续端口PAT
2.再用静态端口转换工具分别将TCP端口和udp端口转换到某个常用端口进行测试
---tcp转换到TCP23，用telnet测试
---udp转换到UDP514，用syslog发送进行测试
3.为了测试方便，防火墙只设两个区Outside和Inside
---将Inside服务器的TCP1000~2000映射到防火墙Outside口的TCP1000～2000上
---将Inside服务器的UDP1000~2000映射到防火墙Outside口的UPD2000～3000上
4.测试发现如果TCP端口范围与UDP端口范围一样，第二个NAT配置不上，会报如下错误：
ERROR: NAT unable to reserve ports.
三.基本配置
1.Outside服务器
IP:202.100.1.8/24
2.防火墙ASA842
interface GigabitEthernet0
nameif Outside
security-level 0
ip address 202.100.1.10 255.255.255.0
!
interface GigabitEthernet1
nameif Inside
security-level 100
ip address 10.1.1.10 255.255.255.0
3.Intside服务器
IP:10.1.1.8/24
GW：10.1.1.10
四.静态PAT端口范围配置
1.定义端口范围对象
object network Inside_Server
host 10.1.1.8
object service tcp_ports
service tcp destination range 1000 2000
object service udp_ports
service udp destination range 2000 3000
2.配置twice-nat
nat (outside,inside) source static any any destination static interface Inside_Server service tcp_ports tcp_ports
nat (outside,inside) source static any any destination static interface Inside_Server service udp_ports udp_ports
3.配置并应用防火墙策略
access-list Outside extended permit tcp any object Inside_Server range 1000 2000
access-list Outside extended permit udp any object Inside_Server range 2000 3000
access-group Outside in interface Outside
4.测试验证
---可以用多种方式验证，如果进行静态端口转换嫌麻烦，可以直接抓包验证
另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。
网站栏目：ASA防火墙静态PAT端口范围测试-创新互联
文章URL：http://myzitong.com/article/pdjsd.html