CISCO NAT项目实施过程及故障解决

一、 实施目标给ASA5510 增加一条4M CNC 线路，并使RTX ,MAIL,及EDM 能对外网提供服务及所有192.168.x.0 网段通过本条线路访问外网。现在数据流向改造后数据走向1. 5510 新增配置interface Ethernet0/2nameif voicesecurity-level 0ip address x.x.x.x 255.255.255.248global (voice) 1 interfacenat (inside) 0 access-list 101nat (inside) 1 0.0.0.0 0.0.0.0static (inside,voice) tcp y.y.y.y smtp 192.168.x.21 smtp netmask 255.255.255.255static (inside,voice) tcp y.y.y.y pop3 192.168.x.21 pop3 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y https 192.168.x.21 https netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8009 192.168.x.30 3009 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8880 192.168.x.30 3880 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8017 192.168.x.30 3017 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 9005 192.168.x.30 9005 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8003 192.168.x.30 3003 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8010 192.168.x.30 3010 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y 8000 192.168.x.30 3000 netmask 255.255.255.255static (inside,voice) tcp y.y.y.y www 192.168.x.21 www netmask 255.255.255.2552. 配置完成后成功实现功能原有z段网络能通过VPN正常访问192.168.x.0网段VOICE等服务192.168..0网段能直接通过CNC4M专线上网，上网流量不再经过ASA5505.二、 配置完成后所遇故障1. 192.160.x.0网段无法上网检查发现4MCNC网线没接到ASA5510 E0/2口ciscoasa# sh int ip bInterface IP-Address OK? Method Status ProtocolEthernet0/2 YES manual down down插上后故障仍未解决Show xlate 发现现有流量还是走 10.204.130.8Clear xlate globle 10.204.130.8 故障解决192.168.x.0网段能够正常通过CNC 4M专线正常上网2. RTX.MAIL.EDM等服务没法对外正常提供服务。检查发现没有开启外部流量对内部服务流量access-group 102 in interface voice 问题解决3. ASA配置更改后一楼办公区有台PC无法正常收发邮件，但能上RTX及能正常访问公网。检查PC IP 获取状态，获取地址为192.168.x.0段。其桌上两条网线均试过，获取地址均为192.168.x.0 并且能正常PING 192.168.x.1网关地址注: PING 192.168.130.1 是为了解决网卡IP驻留问题，即更换不同网络但未进行修复的话，网卡为默认新更换网络也使用先前地址。此时虽然网卡显示状态正常，但无法正常使用。跟踪该PC MAC 发现该桌下两条线均接在SW1 F0/25 和F0/29.故障定位：原有192.168.x.0网络所有对外流量都是经过E0/0 ,也包括10.0.0.0/8的网段，12点网络改造后其访问外网的网络流量均从E0/2的CNC线路出去，所以出现邮件无法发送但RTX及能正常上网的现象。解决方法1：对访问10.204.x.0的流量指定从E0/0口出去access-list 104 extended permit ip any c.c.x.0 255.255.255.0global (outside) 2 interfacenat (inside) 2 access-list 104解决方法2：将该接口移到相应交换机