Cisco ASA ASDM (3) - 내부 서버 구성 및 NAT 설정

 

2025.09.25 - [클라우드 아키텍처 전문가 양성과정/네트워크 보안] - ASA Firewall (2) - 실습환경 구성

ASA Firewall (2) - 실습환경 구성

 

위 실습에 이어서 진행하였다.

 

 

이번 실습에서는 ASA 방화벽 환경에서 WinServer와 Linux 서버를 추가하고, 내부 네트워크에서 외부(인터넷)로 통신할 수 있도록 NAT 설정을 진행하였다. 또한 WinServer에는 IIS 웹 서버를 설치하여 서비스 동작 여부를 확인하였다.

 

 

토폴로지

이전 실습 토폴로지에서 Winserver와 Linux만 추가 구성하였다.

• WinServer: 192.168.200.100/24, Gateway 192.168.200.1, DNS 8.8.8.8
• Linux: 172.16.1.100/24, Gateway 172.16.1.1, DNS 8.8.8.8
• ASA Firewall
  • outside: 192.168.111.40/24
  • inside: 172.16.1.1/24
  • mgmt0/0: 192.168.11.1/24
  • dmz: 192.168.200.1/24 (내부와 외부의 중간 구간)

즉, 내부(Linux), DMZ(WinServer), 외부 인터넷(Outside)을 ASA 방화벽을 통해 연결하는 구조이다

 

 

1. Linux 서버 IP 설정

• IP: 172.16.1.100
• Netmask: 255.255.255.0
• Gateway: 172.16.1.1
• DNS: 8.8.8.8

 

IP 설정 후 게이트웨이(172.16.1.1)에 정상적으로 Ping 응답이 오는 것을 확인하였다.

 

 

ASA → Linux (172.16.1.100) 핑 테스트도 성공.

 

 

2. ASA 인터페이스 설정 (ASDM)

이전 실습에서 설정했던 인터페이스들을 확인한다.

• Gi0/0 → outside (192.168.111.40)
• Gi0/1 → inside (172.16.1.1)
• Mgmt0/0 → 관리 네트워크 (192.168.11.1)

 

WinServer가 위치하는 DMZ 인터페이스(Gi0/2)를 추가한다.

• 인터페이스 이름: dmz
• IP: 192.168.200.1/24
• Security Level: 50
• Enable Interface 옵션 체크

[Apply] - [Save] 해줘야 적용된다.

 

 

ASDM에서 각 인터페이스를 아래와 같이 지정하였다.

• Gi0/0 → outside: 192.168.111.40
• Gi0/1 → inside: 172.16.1.1
• Mgmt0/0 → 관리: 192.168.11.1
• Gi0/2 → dmz: 192.168.200.1 (WinServer 위치)

 

3. WinServer IP 설정

• IP: 192.168.200.100/24
• Gateway: 192.168.200.1
• DNS: 8.8.8.8

 

설정 후 게이트웨이와의 Ping 테스트 결과 정상 응답을 확인하였다.

 

 

4. WinServer에 웹 서버 설치

WinServer에 IIS(Web Server) 역할을 추가하였다.

 

 

웹 서버 설치가 끝나면 브라우저에서 정상 접속되는지 확인한다.

• WinServer → localhost 접속 
• Linux → 192.168.200.100 접속 

이로써 DMZ 내부의 웹 서버 서비스가 정상적으로 실행됨을 확인하였다.

 

 

5. NAT 설정 

리눅스 서버에서 ping 8.8.8.8을 시도했지만 응답이 오지 않았다.

이는 게이트웨이(ASA 방화벽)를 거쳐 외부로 나가는 경로가 설정되지 않았기 때문이다.

ASA에서 라우팅 테이블 확인 결과 외부 인터넷(8.8.8.8)으로 나가는 기본 게이트웨이(0.0.0.0/0) 경로가 없는 상태이므로, 내부에서 외부로 트래픽이 전달되지 못한다.

 

 

1) NAT Object 생성

[Firewall] - [NAT Rules] - [Add...]

 

 

• Name: inside->internet
• Type: Network
• Network: 172.16.1.0/24 (Inside 네트워크)
• Translated Address: outside
• Type: Dynamic PAT (Hide)

[OK] - [Apply] - [Save]

 

내부 네트워크 172.16.1.0/24에 속한 클라이언트(Linux 등)의 트래픽이 외부로 나갈 때,

ASA 방화벽 outside 인터페이스의 IP 주소로 변환된다.

즉, 내부에서는 다수의 사설 IP → 외부에서는 하나의 공인 IP(outside 인터페이스)로 보이게 된다.

 

 

2) Static Route 추가

[Device Setup] - [Routing] - [Static Routes] - [Add]에서 static route를 추가한다.

• Interface: outside
• Network: 0.0.0.0/0 (any4)
• Gateway: 192.168.111.1

[Apply] - [Save]

 

이제 외부로 나가는 통로가 만들어졌다.!!!

 

 

6. 외부 통신 확인

ASA에서 ping 8.8.8.8 → 성공

 

 

리눅스에서 ping 8.8.8.8 → 실패

 

ASA 방화벽은 기본적으로 ICMP 트래픽(Ping 요청/응답)을 차단한다.
따라서 IP 변환(NAT)은 되었지만, Ping 패킷 자체가 방화벽을 통과하지 못해 응답이 오지 않은 것이다.

ASA의 Global Policy에 ICMP 트래픽을 허용(inspect) 하는 규칙을 추가해야한다.

 

 

ciscoasa(config)# policy-map global_policy
ciscoasa(config-pmap)# class inspection_default
ciscoasa(config-pmap-c)# inspect icmp

위 명령으로 ASA에 ICMP 트래픽을 허용하는 규칙을 추가해준다.

 

 

리눅스 서버에서 다시 ping 8.8.8.8을 실행하였고, 정상적으로 응답이 수신됨을 확인하였다.

 

NAT 처리 끝..