asa的ipsec vpn由于nat赦免配置不当导致的问题 、 NAT豁免

asa的ipsec vpn由于nat赦免配置不当导致的问题 、 NAT豁免

可能存在的现象1，
环境：A和B使用ASA建立ipsec vpn。
问题：A站点内部的主机能通过VPN访问B站点内部的主机，但是无法访问B点ASA的inside接口IP
可能存在的现象2，
环境：C和D使用ASA建立ipsec vpn。且在D内部有多个security-level 100的区域inside1、inside2、inside3。
问题：C只能访问到其中其中一个inside1区域的主机；inside2、inside3区域不通。
原因：nat赦免没有加route-lookup
nat (inside,outside) source static INISIDE-NET INISIDE-NET destination static REMOTE-NET REMOTE-NET route-lookup

以上内容来源：https://community.cisco.com/t5/%E5%AE%89%E5%85%A8%E6%8A%80%E6%9C%AF/asa5525%E5%A4%9A%E6%A8%A1%E5%BC%8F%E4%B8%8Bsite-to-site-vpn%E7%9A%84%E9%97%AE%E9%A2%98-%E7%B2%BE%E9%80%9A%E9%BA%BB%E7%83%A6%E7%BB%99%E7%9C%8B%E7%9C%8B/m-p/4339625

 NAT豁免（旧版本）:

ASA1配置豁免

1）创建访问控制列表豁免的流量

ASA1(config)# access-list nonat permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0

2）应用豁免

ASA1(config)# nat (inside) 0 access-list nonat

 NAT豁免（新版本）:

nat (inside,outside) source static network192.168.1.x network192.168.1.x destination static network192.168.2.x network192.168.2.x

nat (inside,outside) source dynamic network192.168.1.x interface

思科Cisco ASA防火墙（列表、list、全）asalist、防火墙list
http://www.zh-cjh.com/wenzhangguilei/2594.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html