| |
10. 地址轉(zhuǎn)換（NAT）
防火墻的NAT配置與路由器的NAT配置基本一樣，首先也必須定義供NAT轉(zhuǎn)換的內(nèi)部IP地址組，接著定義內(nèi)部網(wǎng)段。
定義供NAT轉(zhuǎn)換的內(nèi)部地址組的命令是nat，它的格式為：nat [(if_name)] nat_id local_ip [netmask [max_conns [em_limit]]]，其中if_name為接口名；nat_id參數(shù)代表內(nèi)部地址組號；而local_ip為本地網(wǎng)絡(luò)地址；netmask為子網(wǎng)掩碼；max_conns為此接口上所允許的最大TCP連接數(shù)，默認為"0"，表示不限制連接；em_limit為允許從此端口發(fā)出的連接數(shù)，默認也為"0"，即不限制。如：
nat (inside) 1 10.1.6.0 255.255.255.0
表示把所有網(wǎng)絡(luò)地址為10.1.6.0，子網(wǎng)掩碼為255.255.255.0的主機地址定義為1號NAT地址組。
隨后再定義內(nèi)部地址轉(zhuǎn)換后可用的外部地址池，它所用的命令為global,基本命令格式為：
global [(if_name)] nat_id global_ip [netmask [max_conns [em_limit]]] ，各參數(shù)解釋同上。如：
global (outside) 1 175.1.1.3-175.1.1.64 netmask 255.255.255.0
將上述nat命令所定的內(nèi)部IP地址組轉(zhuǎn)換成175.1.1.3~175.1.1.64的外部地址池中的外部IP地址，其子網(wǎng)掩耳盜鈴碼為255.255.255.0。
11. Port Redirection with Statics
這是靜態(tài)端口重定向命令。在Cisco PIX版本6.0以上，增加了端口重定向的功能，允許外部用戶通過一個特殊的IP地址/端口通過防火墻傳輸?shù)絻?nèi)部指定的內(nèi)部服務(wù)器。其中重定向后的地址可以是單一外部地址、共享的外部地址轉(zhuǎn)換端口（PAT），或者是共享的外部端口。這種功能也就是可以發(fā)布內(nèi)部WWW、FTP、Mail等服務(wù)器，這種方式并不是直接與內(nèi)部服務(wù)器連接，而是通過端口重定向連接的，所以可使內(nèi)部服務(wù)器很安全。
命令格式有兩種，分別適用于TCP/UDP通信和非TCP/UDP通信：
(1). static[(internal_if_name, external_if_name)]{global_ip interface}local_ip[netmask mask] max_conns [emb_limit[norandomseq]]]
�。�2）. static [(internal_if_name, external_if_name)] {tcp udp}{global_ip interface} global_port local_ip local_port [netmask mask] [max_conns [emb_limit [norandomseq]]]
此命令中的以上各參數(shù)解釋如下：
internal_if_name：內(nèi)部接口名稱；external_if_name：外部接口名稱；{tcp udp}：選擇通信協(xié)議類型；{global_ip interface}：重定向后的外部IP地址或共享端口；local_ip：本地IP地址；[netmask mask]：本地子網(wǎng)掩碼；max_conns：允許的最大TCP連接數(shù)，默認為"0"，即不限制；emb_limit：允許從此端口發(fā)起的連接數(shù)，默認也為"0"，即不限制；norandomseq：不對數(shù)據(jù)包排序，此參數(shù)通常不用選。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
