思科防火墙PIX8.0 L2L***解决地址重叠测试（3）

最新推荐文章于 2022-04-27 17:10:58 发布
最新推荐文章于 2022-04-27 17:10:58 发布
阅读量143 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_34116110/article/details/85070101
版权

一.概述
   测试了两种方法解决PIX8.0的地址重叠问题，始终觉得不是很完美，这几天正好看ASA的NAT文档，觉得可以用nat (Outside，Inside）static这样的静态NAT来解决，正好机架能用，如是用机架进行测试。
二.基本思路：
A.两端都为ASA8.0，建立L2L ***之后，配置内对外的静态NAT
三.测试拓扑：

114202200.jpg

四.基本配置：

A.ERP_HQ路由器：

interface GigabitEthernet0/0
ip address 172.16.1.3 255.255.255.0 secondary
ip address 172.16.1.2 255.255.255.0
no shut
ip route 0.0.0.0 0.0.0.0 172.16.1.1

B.ASA-HQ路由器：

interface GigabitEthernet0/0
nameif Inside
security-level 100
ip address 172.16.1.1 255.255.255.0
no shut
interface GigabitEthernet0/1
nameif Outside
security-level 0
ip address 202.100.1.1 255.255.255.0

no shut

route Outside 0.0.0.0 0.0.0.0 202.100.1.10 1

C.Internet路由器：

interface GigabitEthernet0/0
ip address 202.100.1.10 255.255.255.0
no shut
interface GigabitEthernet0/1
ip address 202.100.2.10 255.255.255.0
no shut

D.ASA-Banch:

interface GigabitEthernet0/0
nameif Inside
security-level 100
ip address 172.16.1.1 255.255.255.0
no shut
interface GigabitEthernet0/1
nameif Outside
security-level 0
ip address 202.100.2.1 255.255.255.0
 no shut

route Outside 0.0.0.0 0.0.0.0 202.100.2.10 1

E.ERP_Branch路由器：

interface GigabitEthernet0/0
ip address 172.16.1.3 255.255.255.0 secondary
ip address 172.16.1.2 255.255.255.0

ip route 0.0.0.0 0.0.0.0 172.16.1.1

五.防火墙NAT配置：

A.ASA-HQ:

①动态PAT:

access-list PAT extended permit ip 172.16.0.0 255.255.0.0 any
nat (Inside) 1 access-list PAT

global (Outside) 1 interface

②静态NAT:

static (Outside,Inside) 172.16.101.0 172.16.1.0 netmask 255.255.255.0
③NAT免除：

access-list NONAT extended permit ip 172.16.0.0 255.255.0.0 172.16.0.0 255.255.0.0

nat (Inside) 0 access-list NONAT

---备注：NAT免除需要包括静态NAT之后的地址，否则进行一次静态NAT之后，还会进行一次PAT,从而无法撞击感兴趣流。

B.ASA-Branch:

①动态PAT:

access-list PAT extended permit ip 172.16.0.0 255.255.0.0 any
nat (Inside) 1 access-list PAT

global (Outside) 1 interface

②静态NAT:

static (Outside,Inside) 172.16.100.0 172.16.1.0 netmask 255.255.255.0
③NAT免除：

access-list NONAT extended permit ip 172.16.0.0 255.255.0.0 172.16.0.0 255.255.0.0

nat (Inside) 0 access-list NONAT

---备注：NAT免除需要包括静态NAT之后的地址，否则进行一次静态NAT之后，还会进行一次PAT,从而无法撞击感兴趣流。

六.防火墙L2L ***配置:

A.ASA-HQ:

①第一阶段策略：

crypto isakmp policy 10
authentication pre-share
encryption 3des
hash md5
group 2

tunnel-group 202.100.2.1 type ipsec-l2l

tunnel-group 202.100.2.1 ipsec-attributes
pre-shared-key cisco

②第二阶段转换集：

crypto ipsec transform-set transet esp-des esp-md5-hmac

③感兴趣流：

access-list *** extended permit ip 172.16.0.0 255.255.0.0 172.16.0.0 255.255.0.0

③配置crypto map并在接口调用：

crypto map crymap 10 match address ***
crypto map crymap 10 set peer 202.100.2.1

crypto map crymap 10 set transform-set transet

crypto isakmp enable Outside

B.ASA-Branch:

①第一阶段策略：

crypto isakmp policy 10
authentication pre-share
encryption 3des
hash md5
group 2

tunnel-group 202.100.1.1 type ipsec-l2l

tunnel-group 202.100.1.1 ipsec-attributes
pre-shared-key cisco

②第二阶段转换集：

crypto ipsec transform-set transet esp-des esp-md5-hmac

③感兴趣流：

access-list *** extended permit ip 172.16.0.0 255.255.0.0 172.16.0.0 255.255.0.0

③配置crypto map并在接口调用：

crypto map crymap 10 match address ***
crypto map crymap 10 set peer 202.100.1.1

crypto map crymap 10 set transform-set transet

crypto isakmp enable Outside

七.测试:

A.从ERP_HQ访问ERP_Branch：

ERP_HQ#PING 172.16.101.3

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.101.3, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/2/4 ms
ERP_HQ#te
*Jul 10 03:34:15.142: ICMP: echo reply rcvd, src 172.16.101.3, dst 172.16.1.2
*Jul 10 03:34:15.146: ICMP: echo reply rcvd, src 172.16.101.3, dst 172.16.1.2
*Jul 10 03:34:15.146: ICMP: echo reply rcvd, src 172.16.101.3, dst 172.16.1.2

*Jul 10 03:34:15.150: ICMP: echo reply rcvd, src 172.16.101.3, dst 172.16.1.2

ERP_Branch(config-line)#
*Mar 31 14:57:59.470: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.100.2
*Mar 31 14:57:59.474: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.100.2
*Mar 31 14:57:59.474: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.100.2
*Mar 31 14:57:59.478: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.100.2

ERP_HQ#telnet 172.16.101.3
Trying 172.16.101.3 ... Open


User Access Verification

Password:
ERP_Branch>show users
   Line       User       Host(s)              Idle       Location
*514 vty 0                idle                 00:00:00 172.16.100.2

 Interface    User               Mode         Idle     Peer Address

ERP_Branch>

B.从ERP_Branch访问ERP_HQ：

ERP_Branch#ping 172.16.100.3

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.100.3, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
ERP_Branch#
*Mar 31 15:15:51.374: ICMP: echo reply rcvd, src 172.16.100.3, dst 172.16.1.2
*Mar 31 15:15:51.374: ICMP: echo reply rcvd, src 172.16.100.3, dst 172.16.1.2
*Mar 31 15:15:51.378: ICMP: echo reply rcvd, src 172.16.100.3, dst 172.16.1.2
*Mar 31 15:15:51.378: ICMP: echo reply rcvd, src 172.16.100.3, dst 172.16.1.2
*Mar 31 15:15:51.378: ICMP: echo reply rcvd, src 172.16.100.3, dst 172.16.1.2

ERP_HQ(config-line)#
*Jul 10 03:52:07.029: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.101.2
*Jul 10 03:52:07.033: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.101.2
*Jul 10 03:52:07.033: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.101.2
*Jul 10 03:52:07.037: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.101.2
*Jul 10 03:52:07.037: ICMP: echo reply sent, src 172.16.1.3, dst 172.16.101.2

ERP_Branch#telnet 172.16.100.3
Trying 172.16.100.3 ... Open


User Access Verification

Password:
ERP_HQ>show users
   Line       User       Host(s)              Idle       Location
  0 con 0                idle                 00:01:24  
*514 vty 0                idle                 00:00:00 172.16.101.2

 Interface    User               Mode         Idle     Peer Address

ERP_HQ>

---备注：这种方式唯一的缺陷就是不能访问对方与自己IP地址主机号相同的地址。

---用ASA的 packet-tracer显示drop，如下：

ASA-Branch# packet-tracer input Outside icmp 172.16.1.2 8 0 172.16.1.2

Phase: 1
Type: FLOW-LOOKUP
Subtype:
Result: ALLOW
Config:
Additional Information:
Found no matching flow, creating a new flow

Phase: 2
Type: ROUTE-LOOKUP
Subtype: input
Result: ALLOW
Config:
Additional Information:
in   172.16.1.0      255.255.255.0   Inside

Result:
input-interface: Outside
input-status: up
input-line-status: up
output-interface: Inside
output-status: up
output-line-status: up
Action: drop
Drop-reason: (sp-security-failed) Slowpath security checks failed

C.互联网访问两边都正常：

ERP_HQ#ping 202.100.1.10

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.100.1.10, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
ERP_HQ#
*Jul 10 04:03:59.073: ICMP: echo reply rcvd, src 202.100.1.10, dst 172.16.1.2
*Jul 10 04:03:59.073: ICMP: echo reply rcvd, src 202.100.1.10, dst 172.16.1.2
*Jul 10 04:03:59.073: ICMP: echo reply rcvd, src 202.100.1.10, dst 172.16.1.2
*Jul 10 04:03:59.073: ICMP: echo reply rcvd, src 202.100.1.10, dst 172.16.1.2
*Jul 10 04:03:59.077: ICMP: echo reply rcvd, src 202.100.1.10, dst 172.16.1.2
Internet#debug ip icmp
ICMP packet debugging is on
Internet#
*Aug  2 14:28:00.205: ICMP: echo reply sent, src 202.100.1.10, dst 202.100.1.1
*Aug  2 14:28:00.209: ICMP: echo reply sent, src 202.100.1.10, dst 202.100.1.1
*Aug  2 14:28:00.209: ICMP: echo reply sent, src 202.100.1.10, dst 202.100.1.1
*Aug  2 14:28:00.209: ICMP: echo reply sent, src 202.100.1.10, dst 202.100.1.1
*Aug  2 14:28:00.209: ICMP: echo reply sent, src 202.100.1.10, dst 202.100.1.1

ERP_Branch#ping 202.100.2.10

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 202.100.2.10, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 ms
ERP_Branch#
*Mar 31 15:32:55.286: ICMP: echo reply rcvd, src 202.100.2.10, dst 172.16.1.2
*Mar 31 15:32:55.290: ICMP: echo reply rcvd, src 202.100.2.10, dst 172.16.1.2
*Mar 31 15:32:55.290: ICMP: echo reply rcvd, src 202.100.2.10, dst 172.16.1.2
*Mar 31 15:32:55.290: ICMP: echo reply rcvd, src 202.100.2.10, dst 172.16.1.2
*Mar 31 15:32:55.290: ICMP: echo reply rcvd, src 202.100.2.10, dst 172.16.1.2

Internet#debug ip icmp
ICMP packet debugging is on
Internet#
*Aug  2 14:28:41.561: ICMP: echo reply sent, src 202.100.2.10, dst 202.100.2.1
*Aug  2 14:28:41.565: ICMP: echo reply sent, src 202.100.2.10, dst 202.100.2.1
*Aug  2 14:28:41.565: ICMP: echo reply sent, src 202.100.2.10, dst 202.100.2.1
*Aug  2 14:28:41.565: ICMP: echo reply sent, src 202.100.2.10, dst 202.100.2.1
*Aug  2 14:28:41.569: ICMP: echo reply sent, src 202.100.2.10, dst 202.100.2.1

weixin_34116110
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
思科网络设备和安全设备模拟器gns3+防火墙pix804.bin镜像
08-19
gns3模拟器可以模拟思科的网络设备和安全设备，pix为思科的防火墙，模拟需要提供一个pix镜像，该镜像就可以满足这样的需求
思科网络设备和安全设备模拟器gns3+防火墙pix721.bin镜像
08-19
gns3模拟器可以模拟思科的网络设备和安全设备，pix为思科的防火墙，模拟需要提供一个pix镜像，该镜像就可以满足这样的需求
思科路由器L2L***解决地址重叠并实现同时能上公网的配置
weixin_34174105的博客
06-15 692
一.概述：    LAN-to-LAN IPSEC ***如果两端内网地址重叠，互相不能访问，需要配置静态NAT,才能实现互相访问，参考如下链接：http://xuanbo.blog.51cto.com/499334/410541，地址重叠的问题解决了，但是却导致不能上公网，经过测试，借助loopback口，用策略路由，混合使用IP NAT inside/outside 和NVI （ip nat ...
思科防火墙PIX8.0 L2L×××解决地址重叠测试（2）
weixin_34268610的博客
07-03 170
一.概述 如果用PIX或者ASA8.3之前的版本与路由器建立L2L ×××,解决地址重叠时优先考虑使用路由器解决，但是实际情况有可能两边都是PIX或者ASA8.3之前的版本，是否有方法解决地址重叠，又避免不能上互联网的问题呢？经过测试，还是有方法的。二.基本思路：A.首先解决地址重叠问题，必须两边看对方的地址是其他网段的地址。B.因为PIX静态NAT比其他任何方式NAT...
如何让服务器不允许asa文件,配置为DHCP服务器的ASA不允许主机获取IP地址
weixin_36200490的博客
08-06 314
简介本文档介绍可能导致主机无法从带DHCP的思科自适应安全设备(ASA)获取IP地址的特定配置问题。先决条件要求本文档没有任何特定的要求。使用的组件本文档中的信息基于ASA软件版本8.2.5。本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。问题将ASA配置为DHCP服务器后，主机无法获...
Cisco Packet Tracer基础命令操作以及组织网络实验
Somebody9的博客
04-27 5713
打开Cisco packet tracer，选取路由器Router2811（example） 2.双击该路由器，在弹出的窗口选择 CLI 选项，启动后输入no,回车即可进入路由器的用户模式,若要进行对话框配置就输入yes，进行密码等配置。 3.路由器基本模式 4.路由器的模式切换 用户模式切换成特权模式 router> + en (密码验证） -> router# 特权模式切换成全局配置模式 router# + config terminal （可简写为config t）-> ro
思科网络设备和安全设备模拟器gns3+防火墙pix635.bin镜像
08-19
gns3模拟器可以模拟思科的网络设备和安全设备，pix为思科的防火墙，模拟需要提供一个pix镜像，该镜像就可以满足这样的需求
思科网络设备和安全设备模拟器gns3+防火墙pix803.bin镜像
08-19
gns3模拟器可以模拟思科的网络设备和安全设备，pix为思科的防火墙，模拟需要提供一个pix镜像，该镜像就可以满足这样的需求
PIX8.0配置文档)
05-29
PIX 配置 文档 8.0,超好的教程超级全面，学习np必备资源，思科资源ccnp
计算机网络设计——企业网络规划与搭建
热门推荐
qq_43507337的博客
11-29 5万+
目录 摘要 一、任务概述 1.1 设计目的 1.2 项目任务和要求 1.3 参考资料 二、开发环境 三、项目需求分析 四、项目设计和实现 4.1 总体设计 4.2 功能设计 4.3 系统实现 五、程序的运行和测试结果 六、设计中的问题及心得 七、附录 摘要 在科学技术飞速发展的时代，网络互联技术显示出了它蓬勃发展的生命力，它逐渐进入了人们的家居生活，使得当今社会的智能化和网络化越来越来明显。人们对居住环境的要求也随着计算机的普及和信息产业的发展而大大提高，越来越多的人已经离不开网络
思科防火墙PIX8.0 L2L×××解决地址重叠测试（3）
weixin_34162228的博客
07-09 121
一.概述 测试了两种方法解决PIX8.0的地址重叠问题，始终觉得不是很完美，这几天正好看ASA的NAT文档，觉得可以用nat (Outside，Inside）static这样的静态NAT来解决，正好机架能用，如是用机架进行测试。二.基本思路：A.两端都为ASA8.0，建立L2L ×××之后，配置内对外的静态NAT三.测试拓扑：四.基本配置：A.ERP_HQ路由器：int...
Linux两种方法来处理传入TCP数据段：快速路径（Fast Path）和慢速路径（Slow Path）
海边顽石的专栏
04-07 1万+
在Linux中，有两种方法来处理传入TCP数据段：快速路径（Fast Path）和慢速路径（Slow Path）。使用快速路径只进行最少的处理，如处理数据段、发生ACK、存储时间戳等。使用慢速路径可以处理乱序数据段、PAWS、socket内存管理和紧急数据等。Linux通过预测标志来区分这两种处理模式，预测标志存储在tp->pred_flags，生成这个标志的函数是__tcp_fast_path_
ARP协议的功能是什么？假设主机1和主机2处于同一局域网（主机1的IP地址是172.16.22.101，主机2的IP地址是172.16.22.110），简述主机1使用ARP协议解析主机2的物理地址的工
syklar&miracle
10-28 1万+
ARP协议的功能是什么？假设主机1和主机2处于同一局域网（主机1的IP地址是172.16.22.101，主机2的IP地址是172.16.22.110），简述主机1使用ARP协议解析主机2的物理地址的工作过程。
设置防火墙跳转
weixin_30444105的博客
05-31 491
设置firewall的跳转： sudo iptables -t nat -A OUTPUT -d 172.16.101.2(跳转的起始地址) -P icmp/tcp -j DNAT --to-destination 25.0.0.2(想跳转到的目的地址) 查看防火墙的规则： sudo iptables -t nat -L 查看跳转结果： sudo tcpdump -i enp3s0(设...
ICMP网络控制信息协议
weixin_33843409的博客
11-08 366
ICMP（控制信息协议） Internet Control Message Protocol经常被认为是IP层的一个组成部分。用于在IP主机，路由器之间传递控制消息。 控制消息是指网络通不通，主机是否可达，路由是否可用等网络本身的消息。目的：检测网络的连线情况。ICMP报文通常被I P层或更高层协议（ TCP或UDP）使用。一些ICMP报文把差错报文返回给用户进程。ICMP报...
CCNA图文笔记（六）NAT协议实例详解
warm77的专栏
05-04 974
这篇文章介绍Cisco路由器上NAT（Network Address Translation，网络地址转换）的基本配置，包括：静态NAT、动态NAT、PAT以及静态端口映射。 文章目录 0×1.NAT概述 0×2.在Cisco路由器上配置NAT a.如何配置静态NAT b.如何配置动态NAT c.如何配置PAT d.如何配置静态端口映射 0×1.NAT概述 简单的来说，N
PingingLab传世经典系列《CCNA完全配置宝典》-2.3 浮动路由
weixin_34270606的博客
08-09 96
2.3浮动路由实验目的：1、掌握静态浮动路由的基本配置。2、理解静态浮动路由的主备切换。实验拓扑：实验步骤：1、依据图中拓扑配置各设备的IP地址，并保证直连连通性; 在R1上做如下配置：R1(config)#int f0/0R1(config-if)#no shutdownR1(config-if)#ip address 12.1.1.1 255.255.255.0R1(co...
配置静态路由和默认路由
wq897387的专栏
04-02 2万+
静态路由和默认路由的配置
GNS3 Pix防火墙配置实战指南：从基础到高级
本实验指导手册主要针对思科GNS Pix防火墙展开深入学习，它涵盖了从基础配置到高级功能的全面实践。防火墙技术在信息安全中扮演着关键角色，主要有三种类型：包过滤防火墙、代理防火墙和状态包过滤防火墙。 包过滤...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值