Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Problème : Communication LAN entre les hôtes qui recherchent leurs adresses IP publiques derrière un ASA

Exemple 1. L'hôte source PC-A est connecté à l'interface ASA interne, tandis que le serveur de test de l'hôte de destination est connecté à l'interface DMZ.

Exemple 2 . Les hôtes source et de destination PC-A et Test Server sont connectés à la même interface ASA interne.

Exemple 3 . Les hôtes source et de destination PC-A et Test Server sont connectés à l'interface ASA interne, mais derrière un autre périphérique de couche 3 (il peut s'agir d'un routeur ou d'un commutateur multicouche).

Solution

Exemple 1. L'hôte source PC-A est connecté à l'interface ASA interne, tandis que le serveur de test de l'hôte de destination est connecté à l'interface DMZ.

Configuration

Dépannage

Exemple 2 . Les hôtes source et de destination PC-A et Test Server sont connectés à la même interface ASA interne.

Configuration

Dépannage

Exemple 3 . Les hôtes source et de destination PC-A et Test Server sont connectés à l'interface ASA interne, mais derrière un autre périphérique de couche 3 (il peut s'agir d'un routeur ou d'un commutateur multicouche).

Configuration

Dépannage

Informations connexes

Introduction

Ce document décrit les différentes mises en oeuvre de réseau à partir desquelles il est nécessaire pour permettre la communication LAN (Local Area Network) entre les hôtes qui recherchent leurs adresses IP publiques derrière un dispositif de sécurité adaptatif (ASA).

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Configuration NAT de base de Cisco ASA, versions 8.3 et ultérieures.

- Configuration NAT de base de Cisco ASA, version 8.2 et ultérieure.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Gammes ASA5500 et ASA5500-X.

- Cisco ASA version 8.3 et ultérieure.

- Cisco ASA version 8.2 et ultérieure.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Problème : Communication LAN entre les hôtes qui recherchent leurs adresses IP publiques derrière un ASA

Dans la section suivante, vous pouvez voir trois exemples de topologie qui montrent cette exigence de communication pour permettre la communication LAN entre les hôtes qui recherchent leurs adresses IP publiques derrière un ASA.

Exemple 1. L'hôte source PC-A est connecté à l'interface ASA interne, tandis que le serveur de test de l'hôte de destination est connecté à l'interface DMZ.

Exemple 2 . Les hôtes source et de destination PC-A et Test Server sont connectés à la même interface ASA interne.

Exemple 3 . Les hôtes source et de destination PC-A et Test Server sont connectés à l'interface ASA interne, mais derrière un autre périphérique de couche 3 (il peut s'agir d'un routeur ou d'un commutateur multicouche).

Note: Le serveur de test dans les trois images a une traduction d'adresse réseau statique (NAT) configurée dans l'ASA, cette traduction NAT statique est appliquée de l'extérieur à l'interface interne correspondante afin de permettre au serveur de test d'être accessible de l'extérieur avec l'adresse IP publique 64.100.0.5, puis ceci est traduit en l'adresse IP privée interne du serveur de test.

Solution

Afin de permettre à l'hôte source PC-A d'atteindre le serveur de test de destination avec son adresse IP publique au lieu du serveur privé, nous devons appliquer une configuration NAT double. La configuration NAT double nous aide à traduire les adresses IP source et de destination des paquets lorsque le trafic passe par l'ASA.

Voici les détails de la configuration deux fois nat requise pour chaque topologie :

Exemple 1. L'hôte source PC-A est connecté à l'interface ASA interne, tandis que le serveur de test de l'hôte de destination est connecté à l'interface DMZ.

Configuration

Deux fois NAT pour ASA versions 8.3 et ultérieures :

object network obj-10.1.1.5

host 10.1.1.5

object network obj-172.16.1.5

host 172.16.1.5

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

Deux fois NAT pour ASA versions 8.2 et ultérieures :

access-list IN-DMZ-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

access-list DMZ-IN-INTERFACE extended permit ip host 172.16.1.5 host 172.16.1.1

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

Dépannage

Sortie de Packet Tracer versions 8.3 et ultérieures :

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 2

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

NAT divert to egress interface dmz

Untranslate 64.100.0.5/80 to 172.16.1.5/80

Phase: 3

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

Static translate 10.1.1.5/123 to 172.16.1.1/123

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,dmz) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-172.16.1.5

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167632, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

Versions 8.2 et ultérieures de Packet Tracer :

ASA#packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface dmz

Untranslate 64.100.0.5/0 to 172.16.1.5/0 using netmask 255.255.255.255

Phase: 2

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 3

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

match ip inside host 10.1.1.5 dmz host 64.100.0.5

static translation to 172.16.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.1.1.5/0 to 172.16.1.1/0 using netmask 255.255.255.255

Phase: 4

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,dmz) interface access-list IN-DMZ-INTERFACE

match ip inside host 10.1.1.5 dmz host 64.100.0.5

static translation to 172.16.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 5

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 6

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (dmz,inside) 64.100.0.5 access-list DMZ-IN-INTERFACE

match ip dmz host 172.16.1.5 inside host 172.16.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 503, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: dmz

output-status: up

output-line-status: up

Action: allow

Captures de paquets :

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.5 host 64.100.0.5

capture capout type raw-data interface dmz [Capturing - 1300 bytes]

match ip host 172.16.1.1 host 172.16.1.5

ASA# sh cap capin

10 packets captured

1: 12:36:28.245455 10.1.1.5 > 64.100.0.5: icmp: echo request

2: 12:36:28.269441 64.100.0.5 > 10.1.1.5: icmp: echo reply

3: 12:36:28.303451 10.1.1.5 > 64.100.0.5: icmp: echo request

4: 12:36:28.333692 64.100.0.5 > 10.1.1.5: icmp: echo reply

5: 12:36:28.372478 10.1.1.5 > 64.100.0.5: icmp: echo request

6: 12:36:28.395563 64.100.0.5 > 10.1.1.5: icmp: echo reply

7: 12:36:28.422402 10.1.1.5 > 64.100.0.5: icmp: echo request

8: 12:36:28.449241 64.100.0.5 > 10.1.1.5: icmp: echo reply

9: 12:36:28.481420 10.1.1.5 > 64.100.0.5: icmp: echo request

10: 12:36:28.507435 64.100.0.5 > 10.1.1.5: icmp: echo reply

10 packets shown

ASA1# sh cap capout

10 packets captured

1: 12:36:28.245730 172.16.1.1 > 172.16.1.5: icmp: echo request

2: 12:36:28.269395 172.16.1.5 > 172.16.1.1: icmp: echo reply

3: 12:36:28.303725 172.16.1.1 > 172.16.1.5: icmp: echo request

4: 12:36:28.333646 172.16.1.5 > 172.16.1.1: icmp: echo reply

5: 12:36:28.372737 172.16.1.1 > 172.16.1.5: icmp: echo request

6: 12:36:28.395533 172.16.1.5 > 172.16.1.1: icmp: echo reply

7: 12:36:28.422661 172.16.1.1 > 172.16.1.5: icmp: echo request

8: 12:36:28.449195 172.16.1.5 > 172.16.1.1: icmp: echo reply

9: 12:36:28.481695 172.16.1.1 > 172.16.1.5: icmp: echo request

10: 12:36:28.507404 172.16.1.5 > 172.16.1.1: icmp: echo reply

10 packets shown

Exemple 2 . Les hôtes source et de destination PC-A et Test Server sont connectés à la même interface ASA interne.

Configuration

Deux fois NAT pour ASA versions 8.3 et ultérieures :

object network obj-10.1.1.5

host 10.1.1.5

object network obj-10.1.1.6

host 10.1.1.6

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

Deux fois NAT pour ASA versions 8.2 et ultérieures :

access-list IN-OUT-INTERFACE extended permit ip host 10.1.1.5 host 64.100.0.5

static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.1.1.6 host 10.1.1.1

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

Note: L'objectif principal de la traduction NAT de l'adresse IP source 10.1.1.5 vers l'adresse IP de l'interface interne ASA 10.1.1.1, est de forcer les réponses provenant de l'hôte 10.1.1.6 à revenir à l'ASA, ceci est très nécessaire afin d'éviter le routage asymétrique et de permettre à l'ASA de traiter tout le trafic entre les hôtes intéressés, si nous ne traduisons pas l'adresse IP source comme nous l'avons fait dans cet exemple, puis l'ASA bloquera le trafic intéressé en raison du routage asymétrique.

Dépannage

Sortie de Packet Tracer versions 8.3 et ultérieures :

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/80 to 10.1.1.6/80

Phase: 2

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

Static translate 10.1.1.5/123 to 10.1.1.1/123

Phase: 3

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.1.1.5 interface destination static obj-64.100.0.5 obj-10.1.1.6

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167839, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Versions 8.2 et ultérieures de Packet Tracer :

ASA# packet-tracer input inside tcp 10.1.1.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/0 to 10.1.1.6/0 using netmask 255.255.255.255

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 3

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.1.1.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.1.1.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.1.1.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.1.1.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 727, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Captures de paquets :

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.5 host 64.100.0.5

capture capout type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.1 host 10.1.1.6

ASA# sh cap capin

10 packets captured

1: 12:50:39.304748 10.1.1.5 > 64.100.0.5: icmp: echo request

2: 12:50:39.335431 64.100.0.5 > 10.1.1.5: icmp: echo reply

3: 12:50:39.368389 10.1.1.5 > 64.100.0.5: icmp: echo request

4: 12:50:39.389368 64.100.0.5 > 10.1.1.5: icmp: echo reply

5: 12:50:39.398432 10.1.1.5 > 64.100.0.5: icmp: echo request

6: 12:50:39.418176 64.100.0.5 > 10.1.1.5: icmp: echo reply

7: 12:50:39.419732 10.1.1.5 > 64.100.0.5: icmp: echo request

8: 12:50:39.425103 64.100.0.5 > 10.1.1.5: icmp: echo reply

9: 12:50:39.434395 10.1.1.5 > 64.100.0.5: icmp: echo request

10: 12:50:39.438423 64.100.0.5 > 10.1.1.5: icmp: echo reply

10 packets shown

ASA2# sh cap capout

10 packets captured

1: 12:50:39.305282 10.1.1.1 > 10.1.1.6: icmp: echo request

2: 12:50:39.335386 10.1.1.6 > 10.1.1.1: icmp: echo reply

3: 12:50:39.368663 10.1.1.1 > 10.1.1.6: icmp: echo request

4: 12:50:39.389307 10.1.1.6 > 10.1.1.1: icmp: echo reply

5: 12:50:39.398706 10.1.1.1 > 10.1.1.6: icmp: echo request

6: 12:50:39.418130 10.1.1.6 > 10.1.1.1: icmp: echo reply

7: 12:50:39.419762 10.1.1.1 > 10.1.1.6: icmp: echo request

8: 12:50:39.425072 10.1.1.6 > 10.1.1.1: icmp: echo reply

9: 12:50:39.434669 10.1.1.1 > 10.1.1.6: icmp: echo request

10: 12:50:39.438392 10.1.1.6 > 10.1.1.1: icmp: echo reply

10 packets shown

Exemple 3 . Les hôtes source et de destination PC-A et Test Server sont connectés à l'interface ASA interne, mais derrière un autre périphérique de couche 3 (il peut s'agir d'un routeur ou d'un commutateur multicouche).

Configuration

Deux fois NAT pour ASA versions 8.3 et ultérieures :

object network obj-10.2.2.5

host 10.2.2.5

object network obj-10.3.3.6

host 10.3.3.6

object network obj-64.100.0.5

host 64.100.0.5

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

NOTE: After this NAT is applied in the ASA you will receive a warning message as the following:

WARNING: All traffic destined to the IP address of the outside interface is being redirected.

WARNING: Users may not be able to access any service enabled on the outside interface.

Deux fois NAT pour ASA versions 8.2 et ultérieures :

access-list IN-OUT-INTERFACE extended permit ip host 10.2.2.5 host 64.100.0.5

static (inside,inside) interface access-list IN-OUT-INTERFACE

access-list OUT-IN-INTERFACE extended permit ip host 10.3.3.6 host 10.1.1.1

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

Remarque : L'objectif principal de la traduction NAT de l'adresse IP source de 10.1.1.5 vers l'adresse IP de l'interface interne ASA (10.1.1.1) est de forcer les réponses provenant de l'hôte 10.1.1.6 à revenir à l'ASA, ceci est très nécessaire afin d'éviter le routage asymétrique et de permettre à l'ASA de traiter tout le trafic entre les hôtes intéressés si nous ne traduisons pas l'adresse IP source comme nous l'avons fait dans cet exemple, l'ASA bloquera le trafic intéressé en raison du routage asymétrique.

Dépannage

Sortie de Packet Tracer versions 8.3 et ultérieures :

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/80 to 10.3.3.6/80

Phase: 2

Type: NAT

Subtype:

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

Static translate 10.2.2.5/123 to 10.1.1.1/123

Phase: 3

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 4

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 5

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

nat (inside,inside) source static obj-10.2.2.5 interface destination static obj-64.100.0.5 obj-10.3.3.6

Additional Information:

Phase: 7

Type: NAT

Subtype: per-session

Result: ALLOW

Config:

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 167945, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Versions 8.2 et ultérieures de Packet Tracer :

ASA# packet-tracer input inside tcp 10.2.2.5 123 64.100.0.5 80

Phase: 1

Type: UN-NAT

Subtype: static

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

NAT divert to egress interface inside

Untranslate 64.100.0.5/0 to 10.3.3.6/0 using netmask 255.255.255.255

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

Phase: 3

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 4

Type: NAT

Subtype:

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.2.2.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Static translate 10.2.2.5/0 to 10.1.1.1/0 using netmask 255.255.255.255

Phase: 5

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) interface access-list IN-OUT-INTERFACE

match ip inside host 10.2.2.5 inside host 64.100.0.5

static translation to 10.1.1.1

translate_hits = 1, untranslate_hits = 0

Additional Information:

Phase: 6

Type: NAT

Subtype: rpf-check

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 7

Type: NAT

Subtype: host-limits

Result: ALLOW

Config:

static (inside,inside) 64.100.0.5 access-list OUT-IN-INTERFACE

match ip inside host 10.3.3.6 inside host 10.1.1.1

static translation to 64.100.0.5

translate_hits = 0, untranslate_hits = 1

Additional Information:

Phase: 8

Type: IP-OPTIONS

Subtype:

Result: ALLOW

Config:

Additional Information:

Phase: 9

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 908, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: inside

output-status: up

output-line-status: up

Action: allow

Captures de paquets :

ASA# sh cap

capture capin type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.2.2.5 host 64.100.0.5

capture capout type raw-data interface inside [Capturing - 1300 bytes]

match ip host 10.1.1.1 host 10.3.3.6

ASA# sh cap capin

10 packets captured

1: 13:06:09.302047 10.2.2.5 > 64.100.0.5: icmp: echo request

2: 13:06:09.315276 64.100.0.5 > 10.2.2.5: icmp: echo reply

3: 13:06:09.342221 10.2.2.5 > 64.100.0.5: icmp: echo request

4: 13:06:09.381266 64.100.0.5 > 10.2.2.5: icmp: echo reply

5: 13:06:09.421227 10.2.2.5 > 64.100.0.5: icmp: echo request

6: 13:06:09.459204 64.100.0.5 > 10.2.2.5: icmp: echo reply

7: 13:06:09.494939 10.2.2.5 > 64.100.0.5: icmp: echo request

8: 13:06:09.534258 64.100.0.5 > 10.2.2.5: icmp: echo reply

9: 13:06:09.564210 10.2.2.5 > 64.100.0.5: icmp: echo request

10: 13:06:09.593261 64.100.0.5 > 10.2.2.5: icmp: echo reply

10 packets shown

ASA# sh cap capout

10 packets captured

1: 13:06:09.302367 10.1.1.1 > 10.3.3.6: icmp: echo request

2: 13:06:09.315230 10.3.3.6 > 10.1.1.1: icmp: echo reply

3: 13:06:09.342526 10.1.1.1 > 10.3.3.6: icmp: echo request

4: 13:06:09.381221 10.3.3.6 > 10.1.1.1: icmp: echo reply

5: 13:06:09.421517 10.1.1.1 > 10.3.3.6: icmp: echo request

6: 13:06:09.459174 10.3.3.6 > 10.1.1.1: icmp: echo reply

7: 13:06:09.495244 10.1.1.1 > 10.3.3.6: icmp: echo request

8: 13:06:09.534213 10.3.3.6 > 10.1.1.1: icmp: echo reply

9: 13:06:09.564500 10.1.1.1 > 10.3.3.6: icmp: echo request

10: 13:06:09.593215 10.3.3.6 > 10.1.1.1: icmp: echo reply

10 packets shown

Informations connexes

- Guide de configuration ASA 8.3 : Prérequis pour la NAT double

- Guide de configuration ASA 8.4 : DNS et NAT

- Exemples de configuration NAT ASA Pre-8.3 à 8.3