前言：

很多人把防火墙的概念混为一谈，其实NAT就是NAT，它负责IP地址影射。防火墙就是防火墙，它负责数据包的过滤。但为什么会有N多人分不清楚呢？原因很简单，是因为NAT的功能有了变化。为什么要变换呢？是因为NAT碰到了问题。为什么NAT会碰到问题呢？是因为.......

通过上面NAT的来说。假设C向B发送数据的过程中，C的另外一个端口100，也想向B发送数据包，那么当这个包到达A的时候A如何处理呢？过还是不过呢？如果过了，那么从另外一个IP到达A的数据包是否也允许过呢？显然在网络安全日益受到威胁的今天，让这些包通过是危险的。所以NAT决定不让这些包通过，也就是说NAT有了包过滤功能。于是：

firewall：NAT，包过滤是我的事情，你多管什么闲事？（有没有核武器是我的事，你管得着吗？）

NAT：让这些包通过不安全，所以我必须过滤这些数据包（伊朗有核武器，是个威胁，我必须干掉它）。
firewall：那你是NAT啊你还是防火墙？（那你的主权，人权和和平自由呢？）
NAT：（咬牙状）我是有部分防火墙功能的NAT，你咋地？（我想干啥干啥，你管得找吗？）
firewall：.......（什么东西啊，整个一个杂种，还美呢）
（其实，从概念上将，并不能这么说，但是便于理解，也没有什么深究的必要，就这么着吧）
通过这个简短的对话，相信大家对NAT和防火墙的关系也就是有了一个简单地认识了吧，接下来我就给大家带来一个关于在防火墙上配置NAT的小实验。

实验拓扑：

如图所示：

实验需求：

使用单一的映射地址提供HTTP和FTP服务

1.将私有地址转换为公网地址2.client2可以访问WEB服务器server33.client2可以访问FTP服务器server5

地址规划：

如图所示：

实验思路及步骤：

一、配置设备IP地址及掩码

1.配置终端设备

server2：

client2：

server3：

server5：

client3：

2.配置ASA接口IP地址

命令如下：

asa# conf te //进入到全局视图asa(config)# int g1//进入逻辑接口g1asa(config-if)# nameif outside //给逻辑接口命名asa(config-if)# security-level 0//配置安全级别为0asa(config-if)# ip address 200.8.8.3 255.255.255.248//配置IP地址asa(config-if)# no shutdown//开启接口asa(config-if)# exit//退出asa(config)# int g2//进入逻辑接口g2asa(config-if)# nameif DMZ//给逻辑接口命名为“非军事化区域”       asa(config-if)# security-level 50//配置安全级别为50asa(config-if)# ip address 192.168.3.254 255.255.255.0//配置IP地址asa(config-if)# no shutdown//开启接口asa(config-if)# exit//退出    3.配置server3的http服务

操作如图：

4.配置server5的ftp服务

操作如图：

二、配置静态PAT端口映射将私网地址转换为公网地址为外网提供服务

命令如下：

asa(config)# object network ob-out //asa(config-network-object)# host 200.8.8.1-----asa(config)# object network dmz01 asa(config-network-object)# host 192.168.3.100 asa(config-network-object)# nat (dmz,outside) static ob-out service tcp 80 80-----asa(config)# object network dmz02 asa(config-network-object)# host 192.168.3.101 asa(config-network-object)# nat (dmz,outside) static ob-out service tcp 21 21

三、配置ACL允许client2访问server3以及server5

分析：因为client2位于outside区域，安全级别比DMZ区域低，默认是不允许安全级别低的区域访问女权级别高的区域的，所以如果想要访问位于DMZ区域的server3以及server5，必须配置ACL允许client2的流量通过。

命令如下：asa(config)#access-list out_to_dmz permit tcp host 200.8.8.5 object dmz01 eq httpasa(config)#access-list out_to_dmz permit tcp host 200.8.8.5 object dmz02 eq ftp asa(config)#access-group out_to_dmz in interface outside