安全入门典实验手册双问题.pdfVIP

需求如下：

1.来自移动ISP的客户需要电信端的的某台服务器

2.但是要求移动ISP端的客户需要通过ASA来提供安全的控制。

也就是说，移动端客户电信端服务器来回的流量都要经过ASA，移动端的客户

不能直接通过电信和移动间的链路直接路由到电信端的服务器，经过ASA中

转到电信端服务器。

解决疑难：

要让移动客户端经过ASA，首先要求来自于移动ISP端的流量路由到ASA上，

但是经过ASA后到达电信端服务器后返回的流量可能会从“电信与移动间的链路”路由回

去，这样不符合我们的需求。所以要实现上述要求：移动端的客户到电信的服务器的来回流量

都得经过ASA才行。

也就是在这块路由的来回问题是最难解决的！

解决方案：

这里我用NAT地址转换的方式来实现需求

解决这个问题就是让来自于移动端得流量既要转换目标地址，同时也要转换源地址

转换目标地址可以用static的方式来发布服务器到移动端

转换源地址可以用过natglobal的方式来实现来自移动端的IP转成电信端的IP。

实验案例：

预配：

R1模拟移动端的路由器

01.R1#shrun

02.

03.interfaceLoopback0

04.ipaddress11.11.11.11255.255.255.0

05.!

06.interfaceFastEthernet0/0

07.ipaddress1.1.1.1255.255.255.0

08.duplexauto

09.speedauto

10.!

11.interfaceFastEthernet0/1

12.ipaddress12.12.12.1255.255.255.0

13.duplexauto

14.speedauto

15.!

16.

17.!

18.routerospf1

19.log-adjacency-changes

20.network1.1.1.00.0.0.255area0

21.network11.11.11.110.0.0.0area0

22.network12.12.12.00.0.0.255area0

代码R2模拟电信端路由器

01.R2#shrun

02.interfaceFastEthernet0/0

03.ipaddress2.2.2.2255.255.255.0

04.duplexauto

05.speedauto

06.!

07.interfaceFastEthernet0/1

08.ipaddress12.12.12.2255.255.255.0

09.duplexauto

10.speedauto

11.!

12.interfaceSerial1/3

13.ipaddress23.23.23.2255.255.255.0

14.ipospfnetworkpoint-to-point

15.serialrestart-delay0