NAT в Ciasco ASA. Как настроить проброс портов?

Question

[blackbeard]

Приветствую и прошу помощи. Возникла необходимость занатить/пробросить? порт. Топология примерно такая:



Lan натится на ней. В подсети 192.168.2.0 крутится критичный-сервис на сервере видеоконференции + шара. К нему должны иметь доступ из второй подсети. Железка боевая, на ней много чего заведено, поэтому не могу экспериментировать. Наверное, буду пробовать в packettracer.
Моих скиллов, к сожалению, пока не хватает. AS-у я вообще впервые в руках держу.

П.с. Сойдут годные howto)

Answer 1

[chupasaurus]

Годный howto, SNAT работает так начиная с версии прошивки 8.3 ЕМНИП.
Пошагово:

enable
//пароль для super-user'а
#conf t
(config)#network object videoconf-server
(config-network-object)#host внутренний_ip
(config-network-object)#nat (inside_if,outside_if) static внешний_ip service tcp|udp eq внешний_порт внутренний порт
//повторить на все нужные порты
exit
wr mem

Comments

[blackbeard]

Прошу прощения за нубство.. Во моем случае получается:
network object video
host 192.168.2.1 //видео
nat (inside_if,outside_if) static 10.61.242.2 service tcp eq 4307 4307 //порты верно?

И да, к посмотреть маршруты? На 810 sh ip rou покажет, а тут, как я понимаю, маршруты прописываются на интерфейсах. Как просмотреть все маршруты?

[chupasaurus]

blackbeard: Вместо inside_if,outside_if надо воткнуть имена этих интерфейсов, в остальном верно. Таблица маршрутизации - #show route

[chupasaurus]

blackbeard: И настроить ACL для доступа снаружи к этому порту, если надо

[blackbeard]

chupasaurus: Спасибо. Еще наткнулся на такой кусочек конфига:

access-list outside_access_in extended permit tcp any host 192.168.61.2 eq lotusnotes
access-list outside_access_in extended permit tcp any host 192.168.2.7 object-group metalink
access-list outside_access_in extended permit tcp any host 192.168.2.7 object-group interbase
access-list outside_access_in extended permit tcp any object-group DM_INLINE_NETWORK_1 eq lotusnotes
access-list outside_access_in extended permit ip any any
Последнее правило разрешает все, я прав? И не попади пакет под первые 4 правила, 5-ое все равно пропустит его, не?

[chupasaurus]

blackbeard: Верно. Не стоит забывать, что у ASA есть глобальный ACL, который добавляется ко всем остальным с deny any в конце.