為什麼這篇cisco router nat設定鄉民發文收入到精華區：因為在cisco router nat設定這個討論話題中，有許多相關的文章在討論，這篇最有參考價值！作者aiweisen (魯‧排骨宅)看板Network標題[問答] cisco防火牆接法時間Mon ...
大家好
雖本身是資訊相關 但是領域不同 最近實驗室搞了一台cisco asa5506的防火牆
設定也設好了 但老闆看了我們接法 直說我們接法接錯了 改天把它弄正確
實驗室有被分配到兩條線(從系上的switch拉進來實驗室的)
而且有分配給我們13組實體ip 其中一組ip無流量限制
此外兩條線都是直接接上實驗室的switch
我們目前的其中一台的switch接法是這樣
____________________________________________________
系上 | 實驗室內
switch---- |-----------switch------------------ (指定無流量的ip,設定為outside)
| //|||\\ |___ asa5506
| (直接在電腦上指定實體ip) //|||\\\
| (直接在電腦上設定虛擬ip或dhcp自動取得)
|_______________________________________________________
也就是說
從系上接到我們實驗室的switch後,直接拉port連接在實驗室的電腦,手動設定實體ip
此外其中一個port拉給asa5506使用,並設定outside、inside,只保護asa5506底下的電腦。
但是現在 我們老闆說 防火牆順序放反了
應該是 系上的switch給的線 要先接到實驗室內的asa5506,
接著asa5506在接到實驗室內的switch,最後再由switch給底下的電腦使用
不過我這邊有一個問題就是 但是「switch(系上)-asa5506(LAB)-switch(LAB)」的接法
不就不能從實驗室內的switch分配實體給底下的電腦了?
因為目前asa5506用的是router模式,outside ip 不是只能給一組實體ip嗎?
然後再藉由inside 連到底下的設備(使用dhcp分配ip)
我想問的是 有辦法做到
「switch(系上)-asa5506(LAB)-switch(LAB)」的架構
在我們實驗室的電腦接上switch(LAB)後 仍然是可以設定其他實體IP上網嗎?
但這邊就有問題是 那麼outside ip會怎麼設?
我自己的想法是 是不是outside ip 可以設定一組實體ip的範圍
然後在內部電腦對應到outside的各組實體ip 然後連到外面的internet?
--
作者 MicroGG (La new總冠軍) 看板 Japan_Travel
標題 [問題] 溫泉旅館的兒童人頭算法?
→ robler:問問題然後自稱拎背這樣好嗎 有點禮貌ok?04/11 16:32
→ penan:骨科大 XD04/11 16:34
→ MicroGG:你不懂，我有苦衷，我不說拎杯會被鄉民罵..04/11 16:36
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.138.150.27
※ 文章網址: https://www.ptt.cc/bbs/Network/M.1440395122.A.C91.html
推 zaknafein: 直接回答倒數兩行 「可以」 請搜尋 static nat 08/24 13:55
→ zaknafein: 不過 outside interface 只能設一個 ip address 08/24 13:56
→ zaknafein: 其他主機是透過 一對一的 ip address mapping 達成 08/24 13:56
ASA5506有八個孔那不就變成 g 0/1為outside(接一個無限流量的實體ip) g 0/2為inside(接出去switch)
switch底下就是用dhcp方式分配ip
然後asa5506的其他孔 每兩個孔為一組( g 0/3 跟g 0/4、g 0/5跟g 0/6、g 0/7跟g 0/8),
每組做static nat，分別為唯一個實體ip對應到另一個的虛擬ip
是這樣子嗎?
→ WandZarDeen: Transparent Mode? 08/24 13:59
推 asdfghjklasd: 管他什麼Mode ,為什麼你們買東西只買設備不買服務? 08/24 18:13
是asd大!是這樣子的 一年保固是還在
只是想說問代理商的工程師之前 先做點功課(因為不熟cisco)
在指導上也比較快(沒有買人力服務，只有一般電話或mail指導)
因為之前經銷商打算派來的工程師因家庭因素提出辭職 現在還在徵人
其他地區的工程師也在忙 無法支援
臨時派的工程師水準也不是很好 沒有幫我設定好基本的防火牆(是在學的勤益大學生)
最後變成我自己跑去google國外的教學 才設定好
變成是說 乾脆找代理商還比較快
※ 編輯: aiweisen (140.138.150.27), 08/24/2015 19:10:30
→ deadwood: 該從何處開始吐槽...OTZ，買防火牆不用規劃一下架構? 08/24 21:20
→ deadwood: 回到正題，設定static nat的公有IP不必指定到port上 08/24 21:27
→ deadwood: 只需要在nat裡面設定要對應要轉換的私有IP 08/24 21:28
→ deadwood: 設定正確的話，ASA自然會把IP轉換得好好的 08/24 21:29
推 asdfghjklasd: 上面是好心人@@，還好你買的是思科。。 08/24 21:42
→ asdfghjklasd: SMARTNET 也只有5x8NBD 電話跟Email服務。。。 08/24 21:43
推 asdfghjklasd: 可能最後還是得怪我，因為是我推薦他買5506-X.. 08/24 21:46
→ deadwood: 不過ASA的nat對初學者來講可能會弄到靠杯靠目.... 08/24 21:54
推 asdfghjklasd: 我拿到的第一天，從晚上十點設到早上５點才把我要的 08/24 22:30
→ asdfghjklasd: 弄好設好。。。 08/24 22:31
→ asdfghjklasd: 要是用HP MSR ROuter 我只要５分鐘。。 08/24 22:31
推 shuinedu: asdf大大要了什麼 怎麼花這麼久的時間.... 08/24 22:42
推 asdfghjklasd: 基本上就是 Static NAT，開 Port，弄VPN，不小心 08/25 08:54
→ asdfghjklasd: 把sfr弄到進不去，然後殺掉重新Download Image 08/25 08:55
→ asdfghjklasd: 再丟進去 5506-X 重新來過，起動，更新。。 08/25 08:55
推 littlecut: sfr XD我上次也是弄好久才救起來XD 08/25 09:21
推 zaknafein: static nat 跟實體 port 沒有關係 08/25 12:13
→ zaknafein: 應該是設定中會出現如 08/25 12:14
→ zaknafein: static (inside,outside) 實體IP1 虛擬IP1 之類的對應 08/25 12:15
→ zaknafein: 實際設定跟 asa version 有關 所以請上網查設定 08/25 12:16
→ zaknafein: 關鍵字 asa static nat example 08/25 12:17
謝謝大家的回覆 這就去試試看※ 編輯: aiweisen (140.138.150.27), 08/25/2015 14:27:16
→ flyiii: 沒甚麼好吐槽的阿,就買硬體不買服務 XD 08/25 20:53
推 asdfghjklasd: 這樣就不需要SI的存在了啊... 08/26 07:48
→ asdfghjklasd: SI 就可以全部倒光光了 08/26 07:48
推 b325019: 第一推就已經講完答案了，在來NAT是對IP轉換會扯到實體 08/26 09:14
→ b325019: port代表你最好從nat開始學 08/26 09:14
推 asdfghjklasd: 8.3 以後 obj 很好用啊.. 08/26 10:40