奇怪的静态 NAT 故障 ASA5510

铁钉

IP 信息
outside : XXX.XXX.XXX.162 255.255.255.240 网关: xxx.xxx.xxx.161
inside: 192.168.0.1 255.255.255.0

要求将: xxx.xxx.xxx.163 静态NAT到LAN内的 192.168.0.2 上.

PC 192.168.0.2 所有都配置正确:
IP 192.168.0.2 255.255.255.0
网关 192.168.0.1
ping ASA的 inside 192.168.0.1 通信正常

192.168.0.2 其它PC可以ping通, 且www服务正常,LAN的其它PC可正常访问

故障情况是:
1. xxx.xxx.xxx.163 IP不能ping通
2. 访问xxx.xxx.xxx.163 www 服务不能静态映射到 192.168.0.2 www 上,造成www不可访问



以下是配置步骤

conf t
int e0/0
nameif outside
security-level 0
ip add xxx.xxx.xxx.162 255.255.255.240
no shutdown


int e0/1
nameif inside
security-level 100
ip add 192.168.0.1 255.255.255.0
no shutdown

route outside 0.0.0.0 0.0.0.0 xxx.xxx.xxx.161 # 配置默认路由

static (inside,outside) xxx.xxx.xxx.163 192.168.0.2 netmask 55.255.255.255 #配置静态NAT

access-list 101 permint icmp any any
access-list 101 extended permint tcp any host xxx.xxx.xxx.163 eq www #允许所有访问 xxx.xxx.xxx.163 的www

access-group 101 in interface outside #下发允许访问163的ACL



哪们兄弟,帮我看一下,哪里配置错了.

lixiao0617

如ASA的配置:

outside: 192.168.10.162 255.255.255.240
gateway: 192.168.10.161
inside:  192.168.0.1 255.255.255.0

要将192.168.10.163这个公网IP映射为内网的192.168.0.2

#ip address outside 192.168.10.162 255.255.255.240
#ip address inside 192.168.0.1 255.255.255.0
#route outside 0.0.0.0 0.0.0.0 192.168.10.161 1
#route inside 192.168.0.0 255.255.255.0 192.168.0.1 1



#alias (inside) 192.168.0.2 192.168.10.163 255.255.255.255
#static (inside,outside) 192.168.10.163 192.168.0.2 netmask 255.255.255.255 0 0

#access-list 101 permit tcp host 192.168.6.230 any
#access-group 101 in interface inside
#access-list 104 permit tcp any host 192.168.10.163 eq www
#access-group 104 in interface outside

铁钉

原帖由 lixiao0617 于 2008-3-8 13:15 发表
如ASA的配置:

outside: 192.168.10.162 255.255.255.240
gateway: 192.168.10.161
inside:  192.168.0.1 255.255.255.0

要将192.168.10.163这个公网IP映射为内网的192.168.0.2

#ip address outside  ...

谢谢您的大力帮助,我改天试一下.

但我对您的配置有如下疑问

1. oute inside 192.168.0.0 255.255.255.0 192.168.0.1 1  我觉得没有必要吧. 因为 192.168.0.1 和对外提供服务的PC 192.168.0.2 是直连网络,应该不需要回程路由吧.

2. alias (inside) 192.168.0.2 192.168.10.163 255.255.255.255  这句命令的功能是什么,能解答一下吗?

nanheyu

配置应该是没问题的，你可以检查下你在发起连接的时候的连接详细情况。
使用show conn 命令应该可以看到，如果不清楚，可以DEBUG检查输出信息。

铁钉

好的.改天一定试一下