关于ASA防火墙公网IP端口配置问题

[Mingjia Zhang]

最近工作室有一套应用打算出外网，在出外网前，我用模拟器模拟了一下这个结构，但遇到了一个让我头大的问题。
我有一台服务器，在内网，假设地址是172.16.30.15。在出外网的路上，有一台ASA防火墙，用来做静态NAT。我现在想在外网访问这台服务器，那么在我的设想下是，我找运营商买到了一个公网IP，假设是72.6.6.15，然后我通过访问72.6.6.15，就可以访问到我内网地址是172.16.30.15的服务器。
那么我所纠结的问题就是，在ASA防火墙上，端口IP要怎么配？inside口上配172.16.30.0网段的地址，这个没问题，但outside口呢？是配上运营商给我的公网地址72.6.6.15吗？我在模拟的时候，如果outside口配上这个地址，再配nat就报错了。
或者说，是不是我需要找运营商买2个同网段的公网IP？一个IP用来定位我的服务器，另一个IP用来配置在我防火墙的outside口上？
我原本想的是，运营商给我的公网IP线路，假设我直接插在一台PC上，在这台PC上配好这个公网IP，然后还有掩码、网关、DNS之类，我这台PC就可以正常上网了。我之前没买过公网IP，不知道是不是这样的。
上边表述可能有点乱，不知道有没有了解这一块事情的大大，可以不吝赐教？感谢感谢

[碧云天]

本帖最后由 碧云天 于 2020-5-13 22:10 编辑
NAT有多种，不外乎两类，一类是基于源地址转换，一类是基于目标地址进行转换，你这个应用如果是对外提供服务，并且服务的端口是固定的，那么可以使用静态端口PAT,只要需要映射的端口在防火墙公网接口没有在使用，就可以只申请一个固定公网地址即可。当然，如果比较土豪，也可以专门申请一个公网IP给这个应用使用，配置静态一对一的NAT。

[YilinChen]

楼主的疑惑点，都是在公网IP怎么和出口防火墙进行关联，其实不用担心，无论经过什么设备，最终要转换成以太网线接到防火墙上的，对应接口下配IP就行了

[Mingjia Zhang]

YilinChen 发表于 2020-5-14 08:36
楼主的疑惑点，都是在公网IP怎么和出口防火墙进行关联，其实不用担心，无论经过什么设备，最终要转换成以太 ...

就是说公网IP可以直接配置在防火墙的outside口上？其实我在用packet tracer里的5505和5506-X模拟的时候，也是这么配的，然后在配置nat （inside，outside） static “outside口IP”，模拟器也没有报ERROR，但是我有一台ASA5510的真机，也按照这样配的时候，就给我报了2个ERROR，一个是“ERROR: Address “outside口IP” overlaps with outside interface address.”，另一个是“ERROR: NAT Policy is not downloaded”，这就让我很蒙圈了

[YilinChen]

SD_ZHANGMJ 发表于 2020-5-14 10:45
就是说公网IP可以直接配置在防火墙的outside口上？其实我在用packet tracer里的5505和5506-X模拟的时候， ...

真机的OUTSIDE口已经配了IP呀，如果要在同一个接口下配第二IP，要看这个接口下能不能配secondary IP；
第二个ERROR是第一个ERROR延伸出来的问题，第一个问题得先解决 ，然后要看你是想做端口映射，还是要做1对1的NAT；
同时要注意 TWICE-NAT的问题，这时候也要看防火墙的OS版本

[liu_zhimin]

1、真实设备OUTSIDE接口可以配置公网IP，通过NAT可以将内部的服务器对应的IP及端口进行相应的映射
2、建议可以考虑内部服务器访问外部通过OUTSIDE IP 做PAT
3、对外映射服务，采用新的公网IP

[Andy Yuan1993]

做PAT，就可以只用一个公网地址