一、实验拓扑： 二、实验要求： 1、配置动态PAT，转换Inside网段到DMZ地址10.1.2.100 2、配置动态NAT，转换Inside网络到Outside地址池202.100.1.200-299，当地址池耗尽PAT转换到Outside接口地址 3、配置动态PAT，转换DMZ网络到Outside网络的PAT地址池202.100.1.50-60(循环使用地址)

三、命令部署： 1、清除上个实验的Object，查看Object、nat、R1查看用户登录地址： ASA(config)# clear configure object //清除上个实验Object ASA(config)# show run object //查看是否还有Object ASA(config)# show run nat //查看是否还有NAT

R2#telnet 202.100.1.1 Trying 202.100.1.1 ... Open User Access Verification Username: aa Password: R1>

R1#show user
Line User Host(s) Idle Location

  • 0 con 0 idle 00:00:00
    67 vty 1 aa idle 00:00:22 10.1.1.2 Interface User Mode Idle Peer Address 2、配置动态PAT，转换Inside网段到DMZ地址10.1.2.100，并在R3上查看用户登录地址： ASA(config)# object network abc ASA(config-network-object)# subnet 10.1.1.0 255.255.255.0 ASA(config-network-object)# nat (inside,dmz) dynamic 10.1.2.100

验证： R2#telnet 10.1.2.3 Trying 10.1.2.3 ... Open User Access Verification Username: cc Password: R3>

R3#show users Line User Host(s) Idle Location

  • 0 con 0 idle 00:00:00
    130 vty 0 cc idle 00:00:28 10.1.2.100

Interface User Mode Idle Peer Address

ASA# show xlate TCP PAT from inside:10.1.1.2/36583 to dmz:10.1.2.100/46920 flags ri idle 0:00:05 timeout 0:00:30 //PAT转换的话，超时时间是30s；动态NAT和PAT转换槽位都不会永久存在的。

3、配置动态NAT，转换Inside网络到Outside地址池202.100.1.100-199；当地址池耗尽PAT转换到Outside接口地址： ASA(config)# object network outpool ASA(config-network-object)# range 202.100.1.100 202.100.1.199

ASA(config)# object network neibu ASA(config-network-object)# subnet 10.1.1.0 255.255.255.0 ASA(config-network-object)# nat (inside,outside) dynamic outpool interface 结论：因为没有那么多主机，所以地址池耗尽，转换到接口地址不好验证，其实把地址池设为2个地址，多加几台电脑也能做，暂时先不做。

4、配置动态PAT，转换DMZ网络到Outside网络的PAT地址池202.100.1.50-60(循环使用地址) ASA(config)# object network dizhichi ASA(config-network-object)# range 202.100.1.50 202.100.1.60

ASA(config)# object network dmzquyu ASA(config-network-object)# subnet 10.1.2.0 255.255.255.0 ASA(config-network-object)# nat (dmz,outside) dynamic pat-pool dizhichi round-robin 结论：动态PAT：一共可以转换65535-1024（知名端口号）×11，每个地址可以被11个主机使用。