思科设备：访问控制列表，以及在路由器和防火墙上配置多种NAT的方式。

一. 访问控制列表：
1）标准访问控制列表。（1-99）
Router(config)#access-list 1 permit 1.1.1.1 2.2.2.2
2）扩展访问控制列表。（100-199）
Router(config)#access-list 100 permit tcp 1.1.1.1 0.0.0.0 2.2.2.2 0.0.0.0
Router(config)#access-list 100 permit tcp 1.1.1.1 0.0.0.0 2.2.2.2 0.0.0.0 eq 80
3）标准命名访问控制列表。（1-99）（1300-1999）
Router(config)#ip access-list standard cisco
Router(config-std-nacl)#permit any
4）扩展命名访问控制列表。（100-199）（2000-2699）
Router(config)#ip access-list extended cisco
Router(config-std-nacl)#permit any
需要进入接口应用ACL。
Router(config-if)#ip access-group 1 in/out （1：acl的编号，in:进入路由器的方向，out:出路由器的方向）
二. 路由器：
NAT（首先要进入接口打开nat功能)
Router(config-if)#ip nat inside 或 Router(config-if)#ip nat outside （根据拓扑图查看内外网）
1）动态NAT。
定义地址池：Router(config)#ip nat pool cisco 192.168.10.1 192.168.10.10 netmask 255.255.255.0
抓取走nat流量：Router(config)#access-list 1 permit 1.1.1.1 0.0.0.255
将抓取的流量映射到地址池中：Router(config)#ip nat inside source list 1 pool cisco
2）静态NAT。
发布内部服务： Router(config)#ip nat inside source static tcp 1.1.1.1 80 2.2.2.2 8080 extendable
3）PAT。
基于IP地址：
定义地址池：Router(config)#ip nat pool cisco 192.168.10.1 192.168.10.1 netmask 255.255.255.0
抓取走nat流量：Router(config)#access-list 1 permit 1.1.1.1 0.0.0.255
将抓取的流量映射到地址池中：Router(config)#ip nat inside source list 1 pool cisco overload
基于接口：
抓取走nat流量：Router(config)#access-list 1 permit 1.1.1.1 0.0.0.255
将抓取的流量映射到地址池中：Router(config)#ip nat inside source list 1 interface fastEthernet 0/0
三. 防火墙：
1）动态NAT。
需要转化的流量：ASA(config)# nat (inside) 1 1.1.1.0 255.255.255.0
转化的流量映射到地址池中：ASA(config)# global (outside) 1 2.2.2.20-2.2.2.30
2）动态PAT。
基于IP地址：
需要转化的流量：ASA(config)# nat (inside) 1 1.1.1.0 255.255.255.0
转化的流量映射到地址池中：ASA(config)# global (outside) 1 2.2.2.20
基于接口：
需要转化的流量：ASA(config)# nat (inside) 1 1.1.1.0 255.255.255.0
转化的流量映射到地址池中：ASA(config)# global (outside) 1 interface
3）静态NAT。
将dmz的服务器发布到outside上：ASA(config)# static (dmz,outside) 1.1.1.1 2.2.2.2 （1.1.1.1：外网端口IP地址，2.2.2.2内部服务器IP地址）
配置低访问高的ACL：ASA(config)# access-list out-to-in permit ip any host 192.168.10.1
ASA(config)# access-group out-to-in in interface outside
4）动态NAT。
将dmz的服务器发布到outside上：ASA(config)# static (dmz,outside) tcp 1.1.1.1 http 2.2.2.2 http（1.1.1.1：外接口同网段的IP地址，2.2.2.2：内部服务器的IP地址）
配置低访问高的ACL：ASA(config)# access-list out-to-in permit ip any host 192.168.10.1
ASA(config)# access-group out-to-in in interface outside