开启掘金成长之旅！这是我参与「掘金日新计划 · 12 月更文挑战」的第33天，点击查看活动详情
一.NAT控制欲NAT豁免 ASA从7.O版本开始提供了一个NAT控制的开关，即nat-control命令，但默认是禁用NAT控制 (no nat-oontrol).NAT 控制的特性如下。
1.禁用NAT控制 这是默认的情况，之前介绍动态NAT.动态PAT.静态NAT和静态PAT时就是在禁用NAT控制 的情况下。
现在介绍禁用NAT控制的特性。
1）出站(Outbound)连接 如果NAT规则只允许网段10.1.1.0/24进行地址转换，则允许PC1出站连接并且进行地址转换。 主机PC2发起连接不匹配NAT规则，但是允许PC2的出站连接，只是不进行地址转换。
2)入站（inbound)连接 如果ASA没有配置静态NAT或静态PAT，则只要配置了ACL.主机PC4就可以访问PC3，如果 ASA配置了静态NAT或静态PAT（当然要配置ACL），则主机PC4可以访问PC3并且进行地址转换。也就是说，在禁用NAT控制时，NAT规则并不是必需的。
2.启用NAT控制 1)出站(Outbound)连接 如果NAT规则只允许10.1.1.0/24网段进行地址转换，则允许PC1出站连接并且进行地址转换。 主机PC2发起连接不匹配NAT规则，所以禁止PC2的出站连接。
2)入站（ihbound)连接 如果ASA没有配置静态NAT或静态PAT，则主机PC4就不能访问PC3，如果ASA配置了静态NAT或静态PAT（当然要配置ACL），则主机PC4可以访问PC3并且进行地址转换。也就是说，在启用NAT控制时，NAT规则是必需的。
2.NAT豁免 当启用NAT控制时，每个发起的连接都需要一个相应的NAT规则，在某些应用场合（如配置VPN)需要绕过NAT规则，绕过NAT规则有多种方法，本节将介绍NAT豁免。
NAT豁免允许双向通信。 配置NAT豁免首先需要定义一个ACL，用于指定需要绕过NAT规则的流量，然后进行配置，命 令如下。
配置NAT命令 asa(config)# nat (interface_name) 0 access-list acl_name
在ASA上启用NAT控制，要求为10.1.1.0/24网段配置动态NAT，NAT地址池为172.16.1.100～172.16.1.200.为10.2.2.0/24网段配置NAT豁免。
1）启用NAT控制并为网段10.1.1.0/24配置动态NAT asa(config)# nat-control asa(config)# nat (inside) 1 10.1.1.0 255.255.255.0 asa(config)# global (outside) 1 172.16.1.100-172.16.1.200
2）为网段10.2.2.0/24配置NAT豁免 asa(config)# access-list nonat extended permit ip 10.2.2.0 255.255.255.0 172.16.1.0 255.255.255.0 asa(config)# nat (inside) 0 access-list nonat
