思科ASA防火墙的双线双NAT实现

思科ASA防火墙IOS从9.4.1开始支持PBR，从过去的ISP多线冷备，变成现在的多线复用，做到了多出口多NAT，提高了ISP线路的利用率

升级步骤：

1、升级ASA  IOS版本至少为9.4.1和ASDM版本为7.4.1（最低版本要求，如有需要可以找我要这2个软件）。先使用ASDM升级ASDM到7.4.1版本，再用ASDM升级IOS到9.4.1版本（使用ASDM操作较为简便）

2、reload防火墙
 

以下是一个设计实例：

需求
1、公司内网关键业务流量主用电信专线，当检测到专线故障的时候自动切换到电信拨号线路；
2、公司非关键业务主用电信拨号线路。当电信拨号线路故障的时候，非关键业务并不切换到电信专线，以保证公司关键业务的流量。

拓扑如下图

思科ASA5512-X 防火墙关于PBR的主要配置部分：

!这是电信专线端口，IP地址是固定的1.1.1.2 对端网关IP是1.1.1.1

interface GigabitEthernet0/0

 nameif dianxin-zhuanxian

 security-level 0

 ip address 1.1.1.2 255.255.255.252 

!这是电信拨号线路，IP地址是电信的拨号路由器底下的LAN口分配的，这里手工写一个LAN范围内的IP。对端网关为10.0.0.1

interface GigabitEthernet0/1

 nameif dianxin-bohao

 security-level 0

 ip address 10.0.0.2 255.255.255.0 

!这是关键业务内网网段，并且作为内网的网关

interface GigabitEthernet0/2

 nameif inside

 security-level 100

 ip address 172.16.1.1 255.255.255.0 

!这个端口作为公司非关键业务的内网网关，注意这里调用了一个名字叫wifi-data的route-map 

interface GigabitEthernet0/4

 nameif wifi-data

 security-level 10

 ip address 192.168.1.1 255.255.255.0 

 policy-route route-map wifi-data

!这里定义3个PAT分别是inside到电信专线（主用）；inside到电信拨号线路（备用）；和wifi-data到电信拨号线路（主用）的PAT

nat (inside,dianxin-zhuanxian) after-auto source dynamic any interface

nat (inside,dianxin-bohao) after-auto source dynamic any interface

nat (wifi-data,dianxin-bohao) after-auto source dynamic any interface

!这里定义一个route-map 特别注意它的写法，匹配感兴趣流入向接口是match interface wifi-data;动作是修改数据包的下一跳为电信拨号路由器的网关地址10.0.0.1！
这个配置是关键，当匹配到所有来自interface wifi-data的数据包的时候，下一跳设置为电信拨号线路的网关，防火墙查找路由表发现数据包要通过10.0.0.2这个内网端口发出去，然后撞上NAT转换规则，转换成10.0.0.2这个IP，实现了双线双NAT的效果，这里可以match更多的IP地址配合之前定义的PAT来做到灵活选路，从而实现多线多NAT的效果，充分利用线路带宽。

route-map wifi-data permit 5

 match interface wifi-data

 set ip next-hop 10.0.0.1

!这里定义了2条默认路由，其中路由后面的1和2是cost值，默认所有流量（包括公司关键业务流量）走电信专线，并且电信专线后面跟了一个track 1 。如果追踪的对象15秒内没有ICMP回应，那么默认路由会切换到电信拨号线路，这样就保障了公司关键业务;同时电信拨号线路并没有设置track,如果拨号线路故障，线路将不做转换，从未保证公司关键业务的运行

route dianxin-zhuanxian 0.0.0.0 0.0.0.0 1.1.1.1 1 track 1

route dianxin-bohao 0.0.0.0 0.0.0.0 10.0.0.1 2
 

!这里定义了上面引用的track的源端口为interface dianxin-zhuanxian，目的IP为114.114.114.114 （注意设置这个IP的时候需要事先确认能够用源端口的IP地址PING通目的IP）和track的方法ICMP PING；track的计划时间等

sla monitor 1

 type echo protocol ipIcmpEcho 114.114.114.114 interface dianxin-zhuanxian

sla monitor schedule 1 life forever start-time now

track 1 rtr 1 reachability

思科ASA 9.4.1之后引入了非常多的新特性，包括VXLAN，BGP路由和选路规则，PBR等