nat server＋nat inbound配置与详解

NAT server＋NAT inbound的配置与讲解
nat server与nat inbound 适用于服务器不用配置网关的场景
先来看配置
nat server ftp1 0 protocol tcp global interface GigabitEthernet1/0/1 ftp inside 10.1.1.1 ftp no-reverse

nat server ftp2 1 protocol tcp global interface GigabitEthernet1/0/1 8080 inside 10.1.1.2 ftp no-reverse

nat server ftp3 2 protocol tcp global interface GigabitEthernet1/0/1 9090 inside 10.1.1.3 ftp no-reverse

nat server把要访问的服务器目的地址映射成接口的公网地址202.1.1.1 ，当服务器访问202.1.1.1时，FW会先匹配server-map表
然后进行地址包装，如图：
包装好后，根据匹配的顺序（假如安全策略时全部放通的），会匹配路由表，并且查找到下一跳是g1/0/0 ，到达接口后g1/0/0向服务器请求她的Mac地址（因为包封装的二层是不知道Mac地址的）把包补充完好，如图：（因没有访问10.1.1.3，所以没有10.1.1.3的Mac地址）
补充完毕后，数据包到达服务器，这是后服务器会回应客户端的请求，但是，服务器没有网关，这个包也发不出去，所以就丢弃了
所以，需要nat server把源地址包装成与目的地址同一网段的，这样就不需要网关，且可以直接回应了
配置如下：
nat address-group c1
mode no-pat local（no-pat可以看server-map表，所以就配置了no-nat）
section 0 10.1.1.100 10.1.1.105
nat-policy
rule name 1
source-zone untrust
destination-zone dmz
destination-address 10.1.1.0 24（因为先进行目的nat转换，所以目的ip应该是转换后的）
action nat address-group c1
因为包装前的地址是202.1.1.1，所以这里应该访问202.1.1.1
no-pat 的server-map是动态的，所以需要流量触发一下，这里可以看到源地址被包装成与服务器地址同一网段