这里写目录标题
NAT
源NAT
no-pat
FW1基础配置(IP地址,接口加区域) ftpserver服务搭建略以及路由略,其他设备ip地址略
int g1/0/1
i a 192.168.1.254 24
int g1/0/0
i a 1.1.1.1 24
firewall zone trust
add int g1/0/1
firewall zone untrust
add int g1/0/0
对于防火墙作为出口需要配置出口默认路由
ip route-static 0.0.0.0 0 1.1.1.2
配置地址池
nat address-group no-pat
mode no-pat global
section 1.1.1.10
配置nat策略
nat-policy
rule name no-pat
source-zone trust
destination-zone untrust
source-address 192.168.1.0 24
action source-nat address-group no-pat
配置防火墙策略:
security-policy
rule name trust_untrust
source-zone trust
destination-zone untrust
source-address 192.168.1.0 mask 255.255.255.0
service icmp
service ftp
action permit
测试:
user1ping2.2.2.2
此时pc1在ping2.2.2.2是ping不通的,因为no-pat模式是一对一的,地址池的唯一一个地址已经被占用
但是此时user1 ftp2.2.2.2我们可以看到nat-policy是没有ftp的:
但是却ftp通了
这是因为在no-pat模式下产生的server-map表里面的协议是任意的,所以可以建立ftp
NAT-ALG(应用层网关)
命令:firewall detect ftp 默认开启的
在这里我们先关掉undo firewall detect ftp
然后建立ftp
我们发现port command内容里面的ip还是内网ip,这就导致在数据通道建立的时候建立失败
开启之后
我们发现不仅是网络层换了ip里面的内容也换了ip使得数据通道得以建立
napt
与上面no-pat不同的只是地址池在模式的不同
nat策