拉斯维加斯海边的黄昏 2022-12-24 21:28 采纳率: 0%
浏览 41

关于思科ASA5505防火墙的NAT问题

组网如下图

img

疑惑问题如下:

PC0去pingPC1的时候,数据包丢到ASA5505的 F0/1接口后 由于存在 nat(inside,outsid)所以进行了源转换;

数据包源成了 10.10.10.10 目的还是PC1,然后再从ASA丢到PC1。

PC1进行回复,源是自己 目的是10.10.10.10,这时候是发到网关;

然后这时,网关(在ASA上)收到PC的这个回复包,解下来该如何进行转发,顺序是什么?

这时候ASA上面有条路由:route inside 10.10.10.10 255.255.255.255 192.140.253.242 ,但好像数据包从网关发不出来了。

看转发的时候好像是没有匹配路由。

后续我修改了路由为:route inside 192.120.76.0 255.255.255.0 192.140.253.242,这时候PC0正常收到PC1的回复。

工程师们我想问下,ASA防火墙上 我配置了关于NAT部分的配置如下:

access-list outside_acl_in extended permit icmp any any

access-list inside_acl_in extended permit icmp any any

!

access-group inside_acl_in in interface inside

access-group outside_acl_in in interface outside

object network host_NAT_IP

nat (inside,outside) static 10.10.10.10

我想问的是,PC1的回复包 从网关(ASA上)发出去的时候 没经过F0/1(inside)接口前,就已经进行了NAT转换吗?然后才进行路由吗?

正常不应该是回复的包 经过路由 找到下一跳后,经过F0/1接口 这时候才会去匹配之前的 NAT会话表项 来进行转换吗?

麻烦用过思科设备的工程师们解答一下,我疑惑不解,感谢大家!!

  • 写回答

1条回答 默认 最新

  • Buringg 2022-12-26 18:25
    关注

    来回是不一样的,你看哈,去的时候是从0/1进从0/0出去,所以是先路由再nat,回的时候呢先把它地址转回来然后再路由从0/1出去,你把这个路由功能看成是在设备的中间,接口在两边,nat在0/0上做的,所以回包时数据还没跑到中间所以是先nat再路由。建议你去学一下Linux的iptables的四表五链,这样你会理解的更深,Linux和思科防火墙的数据转发是差不多的

    评论

报告相同问题?

问题事件

  • 创建了问题 12月24日

悬赏问题

  • ¥15 单片机stm32f10x编写光敏电阻调节3.3伏大功率灯亮度(光强越大灯越暗,白天正常光强灯不亮,使用ADC,PWM等模块)望各位找一下错误或者提供一个可实现功能的代码
  • ¥20 verilog状态机方法流水灯
  • ¥15 pandas代码实现不了意图
  • ¥15 GD32H7 从存储器到外设SPI传输数据无法重复启用DMA
  • ¥25 LT码在高斯信道下的误码率仿真
  • ¥45 渲染完成之后将物体的材质贴图改变,自动化进行这个操作
  • ¥15 yolov5目标检测并显示目标出现的时间或视频帧
  • ¥15 电视版的优酷可以设置电影连续播放吗?
  • ¥50 复现论文;matlab代码编写
  • ¥30 echarts 3d地图怎么实现一进来页面散点数据和卡片一起轮播