思科防火墙nat-control的作用

wanglv77

　　7.0以后开始思科防火墙 nat-control 是默认关闭的，关闭的时候是没有nat转换的，相当于路由器一样，但是ACL的规则还是存在的。
　　默认情况的变化：
　　在6.3的时候只要是穿越防火墙都需要创建转换项，比如：nat；static等等，没有转换项是不能穿越防火墙的，但是到了7.0这个规则有了变化，不需要任何转换项也能正常的像路由器一样穿越防火墙。但是一个新的命令出现了！当你打上nat-control这个命令的时候，这个规则就改变得和6.3时代一样必须要有转换项才能穿越防火墙了。
　下面的实验有助于大家理解nat-control的真正意义
　　R1----inside-PIX-outside----R3
　　12.0.0.0       23.0.0.0
　　在 nat-control 关闭的情况下
　　1，只配置IP，不配置其他任何设置
　　R1可以telnet到R3，没有xlate表项，R3 telnet R1的时候只需要在outside放行就可以了
　　2，配置了nat (inside) 1 12.1.1.0 255.255.255.0
　　glob (outside) interface
　　这个时候会出现xlate表，因为这个时候的流量是匹配配置的，所以会产生xlate
　　PAT Global 23.1.1.2(1026) Local 12.1.1.1(14930)
　　3，配置了nat (inside) 1 192.168.1.0 255.255.255.0
　　glob (outside) interface
　　这个时候R1可以telnet到R3，但是不会出现xlate，由于nat-control是关闭的，就算配置错了，也可以通
　　当nat-control 打开的情况下
　　配置了nat (inside) 1 12.1.1.0 255.255.255.0
　　glob (outside) interface
　　这样R1可以telnet到R3,有xlate
　　nat (inside) 1 192.168.1.0 255.255.255.0
　　glob (outside) interface
　　这样就不行了，由于nat-control做了控制
　　我遇到过很多朋友在配置7.0以上的时候，都不会打上nat-control命令，不启用的话ASA的防护能力会降低，还是建议大家养成习惯，配置前第一句话先敲上这句命令。
　　以上的文章来自于工业交换机http://www.zycd.net/list-1-42.html 欢迎来咨询。

lyx_liyuxing

非常有用，感谢分享