HC110310004-HCNA-Security-CBSN-第四章-網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)V2.0

1、Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 0修訂記錄課程編碼課程編碼適用產(chǎn)品適用產(chǎn)品產(chǎn)品版本產(chǎn)品版本課程版本課程版本ISSUEHC110310004華為防火墻V300R001V1.0開發(fā)開發(fā)/優(yōu)化者優(yōu)化者時間時間審核人審核人開發(fā)類型（新開發(fā)開發(fā)類型（新開發(fā)/優(yōu)化）優(yōu)化）陳靈光2011.7余雷第一版王銳2013.5余雷優(yōu)化本頁不打印Copyright 2010 Huawei Technologies Co., Ltd. All rights reserved. 第四章 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)Copyri

2、ght 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 2目標l學完本課程后，您將能夠:p 掌握NAT的技術(shù)原理p 掌握NAT幾種應(yīng)用方式p掌握防火墻的NAT配置Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 3目錄1. 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹2. 基于源IP地址NAT技術(shù)3. 基于目的IP地址NAT技術(shù)4. 雙向NAT技術(shù)5. NAT應(yīng)用場景配置Copyright 2013 Huawei Technologi

3、es Co., Ltd. All rights reserved. Page 4NAT產(chǎn)生背景l(fā)IPv4地址日漸枯竭lIPv6技術(shù)不能立即大面積替換l各種延長IPv4壽命的技術(shù)不斷出現(xiàn)，NAT就是其中之一。Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 5為什么需要NAT?lNAT技術(shù)主要應(yīng)用是實現(xiàn)大量的私網(wǎng)地址對少量公網(wǎng)地址的轉(zhuǎn)換。保障通信在基礎(chǔ)上節(jié)約IP地址資源。l私網(wǎng)地址不能在公網(wǎng)中路由，否則將導致通信混亂內(nèi)網(wǎng)用戶FTP Server目的IP：

4、源IP：丟丟棄棄，私網(wǎng)地址？不知道路由無NAT情況下私網(wǎng)與公網(wǎng)的通信不做處理Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 6內(nèi)網(wǎng)用戶FTP Server源IP：目的IP：123.3.21NAT技術(shù)的基本原理lNAT技術(shù)通過對IP報文頭中的源地址或目的地址進行轉(zhuǎn)換，可以使大量的私網(wǎng)IP地址通過共享少量的公網(wǎng)IP地址來訪問公網(wǎng)。目的IP：源IP：目的IP：源IP：123

5、.3.2.1將私網(wǎng)源地址替換為公網(wǎng)地址目的IP：源IP：將公網(wǎng)目的地址替換為私網(wǎng)地址Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 7NAT分類l轉(zhuǎn)換的方向（Inbound、Outbound）l端口是否轉(zhuǎn)換（No-Pat、NAPT）lNAT serverl目的NATCopyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 8NAT分類l轉(zhuǎn)換的方向（Inbound、Outbound）l端

6、口是否轉(zhuǎn)換（No-Pat、NAPT）lNAT serverl目的NATCopyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 9NAT的優(yōu)點與缺點l優(yōu)點p實現(xiàn)IP地址復(fù)用，節(jié)約寶貴的地址資源p地址轉(zhuǎn)換過程對用戶透明p對內(nèi)網(wǎng)用戶提供隱私保護p可實現(xiàn)對內(nèi)部服務(wù)器的負載均衡l缺點p網(wǎng)絡(luò)監(jiān)控難度加大p限制某些具體應(yīng)用Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 10目錄1. 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹2. 基于源基于源IP地址地

7、址NAT技術(shù)技術(shù)3. 基于目的IP地址NAT技術(shù)4. 雙向NAT技術(shù)5. NAT應(yīng)用場景配置Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 11基于源IP地址NAT技術(shù)概述l基于源IP地址轉(zhuǎn)換l基于源IP地址和端口轉(zhuǎn)換TrustUntrustTrustUntrust源源1 源端口源端口X 目的源源1 目的源源 目的源源 源端口源端口Y 目的轉(zhuǎn)換轉(zhuǎn)換轉(zhuǎn)換轉(zhuǎn)換Copyright

8、2013 Huawei Technologies Co., Ltd. All rights reserved. Page 12NAT Outbound與NAT Inbound區(qū)別lNAT OutboundlNAT InboundTrustUntrustDMZUntrust源1 目的源 目的轉(zhuǎn)換轉(zhuǎn)換OutboundInbound高安全區(qū)域低安全區(qū)域高安全區(qū)域低安全區(qū)域源1 目的源 目的轉(zhuǎn)換轉(zhuǎn)換Copyright 2013 Huawei Technologies Co.,

9、 Ltd. All rights reserved. Page 13基于端口是否轉(zhuǎn)換的NATlNo-PAT( Port Address Translation)。主要用于一對一的IP地址的轉(zhuǎn)換，端口不進行轉(zhuǎn)換。l將不同的內(nèi)部地址映射到同一公有地址的不同端口號上，實現(xiàn)多對一地址轉(zhuǎn)換。主要利用NAPT技術(shù)實現(xiàn)多對一地址轉(zhuǎn)換。丟丟棄棄：7111155.1

10、33.87.1：7112：7113Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 14基于源IP地址轉(zhuǎn)換的配置（命令行）l在系統(tǒng)視圖下，配置NAT地址池nat address-group group-number group-name start-address end-addressl在系統(tǒng)視圖下，進入域間NAT策略視圖nat-policy interzone zone-name1 zone-name2 inbound | outboundl創(chuàng)建NAT策略，進入策略ID視圖p

11、olicy policy-id Policy source source-address source-wildcard |Policy destination source-address source-wildcard |Policy service service-set service-set-nameaction source-nat |no-natAddress-group number | name no-patno-patCopyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 15NAT 地址

12、池lNAT地址池是一些連續(xù)的IP地址集合，當來自私網(wǎng)的報文通過地址轉(zhuǎn)換到公網(wǎng)IP時，將會選擇地址池中的某個地址作為轉(zhuǎn)換后的地址p創(chuàng)建NAT地址池的命令為： nat address-group group-number group-name start-address end-address vrrp virtual-router-ID pnat address-group 0 pool0 00 組號組名起始地址終止地址Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved.

13、Page 16基于源IP地址轉(zhuǎn)換的配置（Web）lNAT地址池配置設(shè)置地址池范圍Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 17基于源IP地址轉(zhuǎn)換的配置（Web）指定源和目的地址指定源和目的安全區(qū)域可以選擇將地址轉(zhuǎn)換為地址池地址，也可以直接指定接口IP地址為轉(zhuǎn)換后的地址Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 18為什么需要NAT ALG？ l NAT ALG（Application Level G

14、ateway，應(yīng)用級網(wǎng)關(guān)）是特定的應(yīng)用協(xié)議的轉(zhuǎn)換代理，可以完成應(yīng)用層數(shù)據(jù)中攜帶的地址及端口號信息的轉(zhuǎn)換以太網(wǎng)首部以太網(wǎng)首部IPIP首部首部TCPTCP首部首部應(yīng)用數(shù)據(jù)應(yīng)用數(shù)據(jù)以太網(wǎng)尾部以太網(wǎng)尾部NATNAT可以轉(zhuǎn)換的部分可以轉(zhuǎn)換的部分Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 19NAT ALG實現(xiàn)原理lFTP主動模式下的NAT ALG應(yīng)用私網(wǎng)私網(wǎng)公網(wǎng)公網(wǎng)HostNAT ALG 1FTP ServerHost與FTP Serv

15、er之間建立控制連接發(fā)送PORT報文（,1084）ALG處理PORT報文載荷已被轉(zhuǎn)換（1, 12487）FTP Server向Host發(fā)起數(shù)據(jù)連接（, 3004 1, 12487）FTP Server向Host發(fā)起數(shù)據(jù)連接（1, 3004 , 1084）在已經(jīng)建立的數(shù)據(jù)連接上進行數(shù)據(jù)傳輸Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 20NAT與Server Map表lNAT ALG通過 server-

16、map表中的轉(zhuǎn)換字段，可以轉(zhuǎn)換上層的信息lNAT中生成Server-map表項 的兩種情況：配置NAT Server配置NAT No-PAT設(shè)備會自動生成Server-map表項，用于存放Global地址與Inside地址的映射關(guān)系。設(shè)備會為已配置的多通道協(xié)議產(chǎn)生的有實際流量的數(shù)據(jù)流建立Server-map表。Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 21目錄1. 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹2. 基于源IP地址NAT技術(shù)3. 基于目的基于目的IP地址地址NAT技術(shù)技術(shù)4. 雙向NAT技術(shù) 5. NAT

17、應(yīng)用場景配置Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 22NAT Server-內(nèi)部服務(wù)器l內(nèi)部服務(wù)器(Nat Server)功能是使用一個公網(wǎng)地址來代表內(nèi)部服務(wù)器對外地址。DMZuntrustl在防火墻上，專門為內(nèi)部的服務(wù)器配置一個對外的公網(wǎng)地址來代表私網(wǎng)地址。對于外網(wǎng)用戶來說，防火墻上配置的外網(wǎng)地址就是服務(wù)器的地址。公網(wǎng)地址真正的地址WWW服務(wù)器外網(wǎng)用戶源IP地址 目的源IP地址 目的轉(zhuǎn)換轉(zhuǎn)換Copyri

18、ght 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 23基于NAT Server的配置（命令行）l在系統(tǒng)視圖下:nat server id protocol protocol-type global global-address global-address-end | interface interface-type interface-number inside host-address host-address-end vrrp virtual-router-id | master | slave no-rev

19、erse 例例：nat server protocol tcp global inside www IP協(xié)議承載的協(xié)議類型轉(zhuǎn)換后的公網(wǎng)地址內(nèi)部server實際地址服務(wù)類型Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 24基于NAT Server的配置（Web）選擇映射方式，可以選擇一對一和多對多地址映射設(shè)置外部地址和內(nèi)部地址，此處的外部地址選擇外部的接口選擇承載協(xié)議和端口轉(zhuǎn)換信息Copyright 2013 Huawei Technologies Co

20、., Ltd. All rights reserved. Page 25目的NATl在移動終端訪問無線網(wǎng)絡(luò)時，如果其缺省WAP網(wǎng)關(guān)地址與所在地運營商的WAP網(wǎng)關(guān)地址不一致時，可以在終端與WAP網(wǎng)關(guān)中間部署一臺設(shè)備，并配置目的NAT功能，使設(shè)備自動將終端發(fā)往錯誤WAP網(wǎng)關(guān)地址的報文自動轉(zhuǎn)發(fā)給正確的WAP網(wǎng)關(guān)?；綠GSNGSR防火墻WAP網(wǎng)關(guān)Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 26基于目的NAT的配置（命令行）l在系統(tǒng)視圖下，進入安全區(qū)域視圖，配置目的NATfirewall zone nam

21、e zone-namedestination-nat acl-number address ip-address port port-number l舉例舉例：USG firewall zone trust USG-zone-trust destination-nat 3333 address Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 27基于目的NAT的配置（Web）配置轉(zhuǎn)換后的IP地址通常為本地運營商的WAP網(wǎng)關(guān)的IP地址源安全區(qū)域通常為用戶所屬的安全區(qū)域。源地址為來自源安

22、全區(qū)域的報文的源IP地址。Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 28目錄1. 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹2. 基于源IP地址NAT技術(shù)3. 基于目的IP地址NAT技術(shù)4. 雙向雙向NAT技術(shù)技術(shù)5. NAT應(yīng)用場景配置Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 29雙向NAT技術(shù)l雙向NAT兩種應(yīng)用場景:pNAT Server + NAT InboundpNAT Server + 域內(nèi)NATCopyr

23、ight 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 30域間雙向NATl為了簡化配置服務(wù)器至公網(wǎng)的路由，可在NAT Server基礎(chǔ)上，增加NAT Inbound配置。DMZUntrustNAT Inbound私網(wǎng)IP地址Internet用戶外網(wǎng)服務(wù)器真正IP地址對外公網(wǎng)地址Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 31域內(nèi)雙向NATl防火

24、墻將用戶的請求報文的目的地址轉(zhuǎn)換成FTP服務(wù)器的內(nèi)網(wǎng)IP地址，源地址轉(zhuǎn)換成用戶對外公布的IP地址。l防火墻將FTP服務(wù)器回應(yīng)報文的源地址轉(zhuǎn)換成對外公布的地址，目的地址轉(zhuǎn)換成用戶的內(nèi)網(wǎng)IP地址。Trust域服務(wù)器公網(wǎng)地址用戶公網(wǎng)地址內(nèi)網(wǎng)用戶服務(wù)器Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 32目錄1. 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)介紹2. 基于源IP地址NAT技術(shù)3. 基于目的IP地址NAT技術(shù)4. 雙向NAT技術(shù)5. NA

25、T應(yīng)用場景配置應(yīng)用場景配置Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 33NAT典型應(yīng)用場景配置舉例l應(yīng)用場景分析應(yīng)用場景分析pNAT Outbound應(yīng)用pNAT Server應(yīng)用DMZ 區(qū)域Untrust 區(qū)域Trust區(qū)域192.168.1/24/29/24Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 34防火墻NAT outbound配置(命令行)

26、l配置域間訪問規(guī)則。 p指定源地址為網(wǎng)段。（具體配置步驟省略）l配置地址池。USGnat address-group 1 l配置NAT Outbound策略USGnatnat-policy -policy interzoneinterzone trust trust untrustuntrust outbound outbound USG-nat-policy-interzone-trust-untrust-outboundpolicy 0 policy 0 USG-nat-policy-interzone-trust-u

27、ntrust-outbound-0policy source 55policy source 55USG-nat-policy-interzone-trust-untrust-outbound-0action source-nat action source-nat USG-nat-policy-interzone-trust-untrust-outbound-0address-group 1 address-group 1 Copyright 2013 Huawei Technologies Co., Ltd. Al

28、l rights reserved. Page 35防火墻NAT outbound配置(Web)l配置NAT 地址池Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 36防火墻NAT outbound配置(Web)l配置NAT Outbound策略在本例中是為了實現(xiàn)trust區(qū)域的用戶訪問untrust區(qū)域internet的資源，因此源安全區(qū)域為trust，目的安全區(qū)域為untrust。Copyright 2013 Huawei Technologies Co., Ltd. All rights res

29、erved. Page 37防火墻NAT Server配置(命令行)l配置內(nèi)部Web和FTP服務(wù)器。 USG nat server protocol tcp global 80 inside 8080USG nat server protocol tcp global ftp inside ftp l配置域間包過濾規(guī)則。 USG policy interzone dmz untrust inboundUSG-policy-interzone-dmz -untrust-inbound poli

30、cy 0USG-policy-interzone- dmz -untrust-inbound-0 policy destination 0USG-policy-interzone- dmz -untrust-inbound-0 policy service service-set http USG-policy-interzone- dmz -untrust-inbound-0 action permitUSG-policy-interzone- dmz -untrust-inbound policy 1USG-policy-interzone- dmz -untru

31、st-inbound-1 policy destination 0USG-policy-interzone-dmz -untrust-inbound-1 policy service service-set ftp USG-policy-interzone- dmz -untrust-inbound-1 detect ftp USG-policy-interzone- dmz -untrust-inbound-1 action permitCopyright 2013 Huawei Technologies Co., Ltd. All rights reserved.

32、 Page 38防火墻NAT Server配置(Web)l配置內(nèi)部Web和FTP服務(wù)器。 外部地址和內(nèi)部地址，外部地址為供外部用戶訪問的公網(wǎng)IP地址，內(nèi)部地址為局域網(wǎng)服務(wù)器地址。Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 39防火墻NAT Server配置(Web)l配置域間安全轉(zhuǎn)發(fā)策略。 通過設(shè)置源和目的安全區(qū)域來確認數(shù)據(jù)流轉(zhuǎn)發(fā)方向。此處為inbound方向。Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Pag

33、e 40NAT雙出口場景配置舉例l組網(wǎng)需求p兩個不同運營商用戶需要訪問同一內(nèi)網(wǎng)服務(wù)器資源；p內(nèi)網(wǎng)用戶通過兩個運營商訪問互聯(lián)網(wǎng)，如圖所示：Trust區(qū)域/24FTP Server/24ISP1ISP2GE 0/0//24GE 0/0//24GE 0/0/3/24PC3/24PC/24PC/24Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 41NAT 雙出口實例配置思路劃分安全

34、區(qū)域設(shè)置域間安全策略配置靜態(tài)路由配置NAT Outbound策略配置NAT Server策略Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 42NAT Outbound雙出口配置1（命令行）l創(chuàng)建安全區(qū)域。 為ISP1和ISP2分別創(chuàng)建一個安全區(qū)域。USG firewall zone name ISP1 USG-zone-isp1 set priority 10 USG firewall zone name ISP2 USG-zone-isp2 set priority 20 l配置各接口的IP地址，

35、并將其加入相應(yīng)的安全區(qū)域。 （配置省略）l配置域間安全轉(zhuǎn)發(fā)策略。開啟內(nèi)網(wǎng)到ISP1和ISP2區(qū)域的outbound方向策略 USG policy interzone trust isp1 outbound USG-policy-interzone-trust-isp1-inbound policy 0 USG-policy-interzone-trust-isp1-inbound-0 policy source 24 USG-policy-interzone-trust-isp1-inbound-0 action permit Copyright 2013 Huawei Te

36、chnologies Co., Ltd. All rights reserved. Page 43NAT Outbound雙出口配置2（命令行）l配置靜態(tài)路由，保證路由可達 。假設(shè)通過ISP1和ISP2訪問internet資源的下一跳地址分別為/24和/24。（具體步驟省略）l配置NAT Outbound策略 （isp2策略步驟省略）USGnat-policy interzone trust isp1 outbound USG-nat-policy-interzone-trust-untrust-outboundpolicy 0 USG-nat-policy-int

37、erzone-trust-untrust-outbound-0action source-nat USG-nat-policy-interzone-trust-untrust-outbound-0easy-ip GigabitEthernet 0/0/4Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 44NAT Server雙出口配置1（命令行）l配置域間安全轉(zhuǎn)發(fā)策略。開啟ISP1和ISP2區(qū)域到內(nèi)網(wǎng)的inbound方向策略。（ISP2的配置與ISP1相似，具體配置省略）USG policy inte

38、rzone trust isp1 inbound USG-policy-interzone-trust-isp1-inbound policy 0 USG-policy-interzone-trust-isp1-inbound-0 policy destination 0 USG-policy-interzone-trust-isp1-inbound-0 policy service service-set ftp USG-policy-interzone-trust-isp1-inbound-0 action permit Copyright 2013 Huawei Tec

39、hnologies Co., Ltd. All rights reserved. Page 45NAT Server雙出口配置2（命令行）l創(chuàng)建內(nèi)網(wǎng)服務(wù)器的公網(wǎng)IP與私網(wǎng)IP的映射關(guān)系。 USG nat server zone isp1 protocol tcp global ftp inside ftp USG nat server zone isp2 protocol tcp global ftp inside ftp l在ISP1、ISP2與DMZ的域間配置NAT ALG，使服務(wù)器可以正常對外提供FTP服務(wù)。USG fi

40、rewall interzone dmz isp1 USG-interzone-dmz-isp1 detect ftp USG-interzone-dmz-isp1 quit USG firewall interzone dmz isp2 USG-interzone-dmz-isp2 detect ftp USG-interzone-dmz-isp2 quit Copyright 2013 Huawei Technologies Co., Ltd. All rights reserved. Page 46NAT雙出口配置1（Web）l創(chuàng)建安全區(qū)域l配置域間策略Copyright 2013 Huawei Technologies Co., Ltd. Al