Cisco ASA 5512-X 的NAT(Port Forwarding)設定(基於ASDM)
前言: ASA的防火牆感覺不太友善，使用CLI又無能為力，基於ASDM(GUI)還是可以做一些基本的設定，因為沒有較多時間及精力去研究Cisco的ASA防火牆，所以還是記錄一下設定方法以免長時間後又要重新摸索。在這個範例中，在Cisco ASA 5512-X防火牆配置三部NVR(CCTV錄影機)的NAT(Port Forwarding)可以透過外網訪問。詳情如下圖示。Cisco_ASA_NAT.png目錄內容: ObjectsNetwork ObjectsServices ObjectsNAT RulesAccess Rules範例配置: 全程截圖，配以少量文字。ObjectsNetwork Objects (創建網路物件)ADD_2022-01-19_104308.pngNR01_2022-01-19_104042.pngNR02_2022-01-19_104048.pngNR03_2022-01-19_104053.pngALL_2022-01-19_104141.pngServices Objects (創建服務物件)ADD_Services_2022-01-19_091348.pngPort_Internal_2022-01-19_104015.pngPort_Public01_2022-01-19_104023.pngPort_Public02_2022-01-19_104028.pngPort_Public03_2022-01-19_104034.pngALL_Services_2022-01-19_104143.pngNAT Rules使用Objects建立NAT規則NAT01_2022-01-19_104406.pngPublic_37(Network Object)是之前已經建立好的Public IP地址 209.118.222.13NAT02_2022-01-19_104412.pngNAT03_2022-01-19_104417.pngNAT_ALL_2022-01-19_104358.pngAccess Rules要外網可以訪問內網裝置，Access Rules還是必須的，有如通行證一樣。Access_Rule01_2022-01-19_104428.pngAccess_Rule02_2022-01-19_104433.png結語: 範例中也是ASA防火牆的基本設定，重點是釐清防火牆的設定中Object、NAT、Access Rules的基本關係，往後在不同厰商的防火牆設置中也可以更容易摸索及配置。站內相關貼文: Cisco 裝置啟用密碼保護Cisco 裝置啟用 SSH 連線Cisco 裝置 - 密碼恢復Cisco 路由器重置到工廠默認設置Cisco DHCP Relay Agent (IP Helper) 基本設定Cisco 路由器連接 InternetCisco ASA 5512-X 的 NAT (Port Forwarding) 設定 (基於 ASDM)
Cisco Router Connect to the InternetCover_2021-11-08_104518.png前言:思科路由器的基礎網絡設定，所有的練習建基於模擬器(EVE-NG)。目錄內容:啟用及設定埠口的IP地址配置DHCP伺服器NAT(Network Address Translation)位址轉換Route路由配置Port-Forwarding端口轉發啟用及設定埠口的「IP」地址 在這次的範例中 interface Ethernet0/0 為LAN埠口，interface Ethernet0/1為WAN埠口。2021-11-08_095949.pngRouter#enable Router# Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)# Router(config)#interface e0/1 Router(config-if)#ip address 19.86.11.96 255.255.255.0 Router(config-if)#no shutdown Router(config-if)#exit Router(config)# Router(config)#interface e0/0 Router(config-if)#ip address 17.16.1.1 255.255.255.0 Router(config-if)#no shutdown Router(config-if)#end查看埠口的IP地址2021-11-08_100025.pngRouter#show ip interface briefInterface IP-Address OK? Method Status ProtocolEthernet0/0 17.16.1.1 YES manual up up Ethernet0/1 19.86.11.96 YES manual up up配置「DHCP」伺服器 每個連接Internet的裝置都需要分配唯一的IP位址。DHCP使網路管理員能從中心結點監視和分配IP位址。當某台電腦移到網路中的其它位置時，能自動收到新的IP位址。From Wiki2021-11-08_100227.pngRouter#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)# Router(config)#ip dhcp excl Router(config)#ip dhcp excluded-address 17.16.1.1 17.16.1.50 Router(config)# Router(config)#ip dhcp pool LAN Router(dhcp-config)#network 17.16.1.0 255.255.255.0 Router(dhcp-config)#defa Router(dhcp-config)#default-router 17.16.1.1 Router(dhcp-config)#dns-server 1.1.1.1 Router(dhcp-config)#end客戶端電腦測試:2021-11-08_102824.png2021-11-08_102850.png「NAT(Network Address Translation)」位址轉換 簡單理解為內網所有裝置共用1粒外網IP地址，是一種在IP封包通過路由器或防火牆時重寫來源IP地址或目的IP位址的技術。from: Wiki2021-11-08_101952.pngRouter#enable Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#int e0/0 Router(config-if)#ip nat inside Router(config-if)#exit Router(config)#int e0/1 Router(config-if)#ip nat outside Router(config-if)#exit Router(config)# Router(config)# Router(config)#access-list 1 permit 17.16.1.0 0.0.0.255 Router(config)# Router(config)#ip nat inside source list 1 interface ethernet 0/1 overload Router(config)#end「Route」路由配置 預設路由，任何沒有匹配的路由封包，最後會經預設路由(19.86.11.1)傳送到網外。2021-11-08_102115 - Route.pngRouter#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)# Router(config)#ip route 0.0.0.0 0.0.0.0 19.86.11.1 Router(config)#end連接Internet測試:2021-11-08_103014.png「Port-Forwarding」端口轉發 就是透過外網IP地址19.86.11.96的不同端口連線到內網服務，今次範例中以遠程桌面的3389端口接入到內網IP地址為17.16.1.51的電腦(Windows7)Router>en Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)# Router(config)#ip nat inside source static tcp 17.16.1.51 3389 19.86.11.96 3389 Router(config)#exit連線測試:2021-11-08_103600.png2021-11-08_103611.png2021-11-08_103648.png最後記得「存檔」所有設定2021-11-08_102115 - Save.pngRouter#write memory Building configuration... [OK]結語:與家用路由器比較，Cisco的路由器設定上較為煩瑣，因為家用路由器已經預設了WAN和LAN(bridge) 但Cisco的路由器基於商用，每個設定步驟對網絡的知識會有更深入了解。站內相關貼文: Cisco 裝置啟用密碼保護Cisco 裝置啟用 SSH 連線Cisco 裝置 - 密碼恢復Cisco 路由器重置到工廠默認設置Cisco DHCP Relay Agent (IP Helper) 基本設定Cisco 路由器連接 InternetCisco ASA 5512-X 的 NAT (Port Forwarding) 設定 (基於 ASDM)