7.0以后nat-control的作用以及心得

network

7.0以后nat-control的作用以及心得


nat-control命令
7.0以后开始 nat-control 是默认关闭的，关闭的时候是没有nat转换的，相当于路由器一样，但是ACL的规则还是存在的

默认情况的变化：
在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。

下面的实验有助于大家理解nat-control的真正意义

拓扑
R1----inside-PIX-outside----R3
  12.0.0.0       23.0.0.0

在 nat-control 关闭的情况下
1，只配置IP，不配置其他任何设置
R1可以telnet到R3，没有xlate表项，R3 telnet R1的时候只需要在outside放行就可以了

2，配置了nat (inside) 1 12.1.1.0 255.255.255.0
        glob (outside) interface
这个时候会出现xlate表，因为这个时候的流量是匹配配置的,所以会产生xlate
PAT Global 23.1.1.2(1026) Local 12.1.1.1(14930)

3，配置了nat (inside) 1 192.168.1.0 255.255.255.0
        glob (outside) interface
这个时候R1可以telnet到R3，但是不会出现xlate，由于nat-control是关闭的，就算配置错了，也可以通

当nat-control 打开的情况下
配置了nat (inside) 1 12.1.1.0 255.255.255.0
        glob (outside) interface
这样R1可以telnet到R3,有xlate

nat (inside) 1 192.168.1.0 255.255.255.0
        glob (outside) interface
这样就不行了，由于nat-control做了控制
我遇到过很多朋友在配置7.0以上的时候,都不会打上nat-control命令,不启用的话ASA的防护能力会降低,还是建议大家养成习惯,配置前第一句话先敲上这句命令

pokerface

这个命令很有用,不加上,PIX就是路由器了.