Note Recall from Chapter 7 that ICM

Note Recall from Chapter 7 that ICMP is inherently stateless, with the echo replies (from
the outside) being treated as inbound connections. The outside hosts always reply to the
translated source address, and this is the rationale for using the log option in the ACL
named OUT. Whenever an ACE is hit, a log message is sent, thus revealing the address seen
on the outside (after translation takes place).
Note The debug icmp trace command is useful for the analysis of ICMP translations and
connections through the firewall. It is extensively employed in the examples that follow.
Tip Before starting any of the examples presented, the commands clear access-list OUT
counters, clear xlate, clear nat counters, and clear local-host all were issued.
Dynamic NAT
The first option to be analyzed is Dynamic NAT, which maps a group of inside (real)
source addresses (defined by the nat command) to a pool of translated source addresses
(defined by the global command). The parameter that binds these two pools is a non-zero
value for the pool number, as shown in Example 8-3.
ASA randomly selects an address from the global pool and associates it with the connection initiator address (which belongs to the nat pool). After the xlate timeout expires, this
mapping is removed from the translation table, and there is no guarantee that the original
inside host (laddr) will be assigned the same global address (gaddr) after a new outbound
connection attempt.

Kết quả (Việt) 1:

Lưu ý nhớ lại từ chương 7 ICMP đó là vốn quốc tịch, với các bài trả lời echo (từbên ngoài) được coi là kết nối trong. Các máy chủ bên ngoài luôn luôn trả lời để cácDịch địa chỉ nguồn, và đây là những lý do cho việc sử dụng các tùy chọn đăng nhập trong ACLtên đặt ra. Bất cứ khi nào một ACE là hit, đăng nhập thư được gửi, do đó tiết lộ địa chỉ nhìn thấybên ngoài (sau khi dịch xảy ra).Chú ý lệnh trace icmp gỡ lỗi là hữu ích cho việc phân tích các bản dịch ICMP vàkết nối thông qua tường lửa. Nó được sử dụng rộng rãi trong các ví dụ mà theo.Mẹo trước khi bắt đầu bất kỳ ví dụ trình bày, các lệnh xóa danh sách truy cậpđồng hồ xlate rõ ràng, rõ ràng nat quầy, và rõ ràng địa phương-máy chủ lưu trữ tất cả đã được ban hành.Năng động NATCác tùy chọn đầu tiên để được phân tích là NAT năng động, bản đồ một nhóm bên trong (real)địa chỉ nguồn (được xác định bởi các lệnh nat) vào một hồ bơi dịch nguồn địa chỉ(được xác định bởi các lệnh toàn cầu). Các tham số gắn bó với những hai hồ bơi là một khônggiá trị cho một số hồ bơi, như minh hoạ trong ví dụ 8-3.ASA ngẫu nhiên chọn một địa chỉ từ các hồ bơi toàn cầu và kết hợp nó với các kết nối địa chỉ xướng (trong đó thuộc về hồ bơi nat). Sau khi xlate thời gian chờ hết hạn, điều nàylập bản đồ được loại bỏ khỏi bảng dịch, và không có bảo đảm rằng bản gốcbên trong máy chủ lưu trữ (laddr) sẽ được chỉ định cùng toàn cầu địa chỉ (gaddr) sau khi mới ngoài nướccố gắng kết nối.

Kết quả (Việt) 2:

Lưu ý Nhớ lại từ Chương 7 mà ICMP là vốn không quốc tịch, với trả lời echo (từ
bên ngoài) đang được điều trị như các kết nối gửi đến. Các máy chủ bên ngoài luôn luôn trả lời với
địa chỉ nguồn dịch, và đây là lý do cho việc sử dụng tùy chọn đăng nhập trong ACL
tên là OUT. Bất cứ khi nào một ACE là hit, một thông báo đăng nhập được gửi đi, từ đó tiết lộ địa chỉ nhìn thấy
ở bên ngoài (sau khi dịch xảy ra).
Chú ý debug icmp dấu vết lệnh rất hữu ích cho việc phân tích các bản dịch và ICMP
kết nối thông qua các bức tường lửa. Nó được sử dụng rộng rãi trong các ví dụ sau đây.
Mẹo Trước khi bắt đầu bất kỳ ví dụ trình bày, các lệnh rõ ràng danh sách truy cập OUT
quầy, xlate rõ ràng, quầy nat rõ ràng, và rõ ràng địa phương chủ tất cả đã được ban hành.
Năng động, NAT
Các tùy chọn đầu tiên được phân tích là Dynamic NAT, mà bản đồ một nhóm bên trong (thực)
địa chỉ nguồn (được xác định bởi các lệnh nat) đến một hồ bơi của địa chỉ nguồn dịch
(được xác định bởi lệnh toàn cầu). Các tham số liên kết với hai hồ này là một khác không
giá trị cho số hồ bơi, như trong Ví dụ 8-3.
ASA lựa chọn ngẫu nhiên một địa chỉ từ các hồ bơi toàn cầu và liên kết nó với địa chỉ kết nối khởi (thuộc hồ nat ). Sau thời gian chờ xlate hết hạn, điều này
lập bản đồ được lấy từ các bảng dịch, và không có đảm bảo rằng ban đầu
chủ bên trong (laddr) sẽ được chỉ định địa chỉ toàn cầu cùng (gaddr) sau một outbound mới
cố gắng kết nối.