多核防火墻培訓7-網(wǎng)絡(luò)地址轉(zhuǎn)換

1、網(wǎng)絡(luò)地址轉(zhuǎn)換講解人：朱建英 2010、07通過完成此章節(jié)課程，您將可以： - 熟悉多種NAT應(yīng)用的環(huán)境 - 掌握源NAT的配置及應(yīng)用 - 掌握目的NAT的配置應(yīng)用 - 掌握NAT與相關(guān)策略的配置章節(jié)目標 NAT的概念源NAT目的NATNAT匹配順序及相關(guān)策略議程：網(wǎng)絡(luò)地址轉(zhuǎn)換網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation）簡稱為NAT是將IP數(shù)據(jù)包包頭中的IP地址轉(zhuǎn)換為另一個IP地址。當IP數(shù)據(jù)包通過路由器或者防火墻時，路由器或者防火墻會把IP數(shù)據(jù)包的源IP地址和/或者目的IP地址進行轉(zhuǎn)換。在實際應(yīng)用中，NAT主要用于私有網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)或外部網(wǎng)絡(luò)訪問私有網(wǎng)絡(luò)的情況。 R

2、FC1918規(guī)定的三類私有地址如下： A類： - 55（/8） B類： - 55（/12） C類： - 55（/16）議程：網(wǎng)絡(luò)地址轉(zhuǎn)換NAT轉(zhuǎn)換過程（SNAT）IP: PCIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：IP包1應(yīng)答報文源IP：目的IP：IP包1應(yīng)答報文源IP：目的IP：ethernet0/0IP: ethernet0/1IP: Ser

3、verIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：服務(wù)器應(yīng)答報文源IP：目的IP：IP包1應(yīng)答報文源IP：目的IP：ethernet0/0PCethernet0/1IP: ServerNAT轉(zhuǎn)換過程（DNAT）NAT的概念 源NAT目的NATNAT匹配順序及相關(guān)策略議程：網(wǎng)絡(luò)地址轉(zhuǎn)換SNAT（源NAT） 轉(zhuǎn)換源IP地址，從而隱藏內(nèi)部IP地址或者分享IP有限的IP地址。根據(jù)工作模式分為以下三種：源NAT模式描述sta

4、tic靜態(tài)源NAT轉(zhuǎn)換即一對一的轉(zhuǎn)換。該模式要求被轉(zhuǎn)換到的地址條目（trans-to-address）包含的IP地址數(shù)與流量的源地址的地址條目（src-address）包含的IP地址數(shù)相同。dynamicip動態(tài)源NAT轉(zhuǎn)換即多對多的轉(zhuǎn)換。該模式將源地址轉(zhuǎn)換到指定的IP地址。每一個源地址會被映射到一個唯一的IP地址做轉(zhuǎn)換，直到指定地址全部被占用。dynamicport即PAT。多個源地址將被轉(zhuǎn)換成指定IP地址條目中的一個地址。如果不使用sticky，地址條目中的第一個地址將會首先被使用，當?shù)谝粋€地址的端口資源被用盡，第二個地址將會被使用。如果使用了sticky，每一個源IP產(chǎn)生的所有會話將被映

5、射到同一個固定的IP地址。防火墻NAT源NATNAT規(guī)則基于VRouter創(chuàng)建并生效配置源NAT(WebUI)配置源NAT(CLI)在NAT配置模式下，使用以下命令： snatrule id id before id | after id | top from src-address to dst-address eif egress-interface trans-to addressbook trans-to-address | eif-ip mode static | dynamicip | dynamicport sticky logid id 為SNAT規(guī)則指定ID號。before

6、id | after id | top 指定規(guī)則所在的位置from src-address to dst-address eif egress-interface 指定該規(guī)則中流量應(yīng)符合的條件。eif egress-interface - 指定流量的出接口。addressbook trans-to-address | eif-ip 指定NAT轉(zhuǎn)換地址。mode static | dynamicip | dynamicport sticky 指定轉(zhuǎn)換模式。DCFOS支持三種轉(zhuǎn)換模式：static、dynamicip和dynamicport。 NAT的概念源NAT 目的NATNAT匹配順序及相關(guān)策

7、略議程：網(wǎng)絡(luò)地址轉(zhuǎn)換目的NATDNAT（目的NAT規(guī)則） 轉(zhuǎn)換目的IP地址，通常是將受防火墻保護的內(nèi)部服務(wù)器（如WWW服務(wù)器或者SMTP服務(wù)器）的IP地址轉(zhuǎn)換成公網(wǎng)IP地址。 主要應(yīng)用：通過IP映射或者端口映射對外發(fā)布服務(wù)器 根據(jù)工作模式分為以下兩種： VIP（端口映射） -該模式為一對多的映射，將公網(wǎng)某一IP的不同端口，映射到內(nèi)網(wǎng)不 同IP的不同端口，解決公網(wǎng)IP有限時多個服務(wù)器需對外發(fā)布的需求 MIP（IP映射） -該模式為一對一的映射，端口一一對應(yīng)不做轉(zhuǎn)換，通常用于公網(wǎng)IP 足夠時服務(wù)器的對外發(fā)布。配置目的NAT(WebUI)防火墻NAT目的NATNAT規(guī)則基于VRouter創(chuàng)建并生效

8、訪問發(fā)起IP目的虛擬IP訪問服務(wù)服務(wù)器真實ip配置DNAT（CLI） 在NAT配置模式下使用以下命令： dnatrule id id before id | after id | top from src-address to dst-address service service-name trans-to trans-to-address port port load-balance ping-track logNAT的概念源NAT目的NAT NAT匹配順序與相關(guān)策略議程：網(wǎng)絡(luò)地址轉(zhuǎn)換NAT分為源NAT和目的NAT，源NAT由多條源NAT規(guī)則組成目的NAT由多條目的NAT規(guī)則組成。當定義多

9、條NAT規(guī)則時需要根據(jù)需求移動NAT規(guī)則位置。NAT規(guī)則匹配順序 每一條NAT都有唯一一個ID號。流量進入防火墻時，防火墻對NAT規(guī)則進行順序查找，然后按照查找到的相匹配的第一條規(guī)則對流量的源IP做NAT轉(zhuǎn)換。但是，ID的大小順序并不是規(guī)則匹配順序。使用show snat/dnat命令列出的規(guī)則順序才是規(guī)則匹配順序。用戶可以移動已有的NAT規(guī)則從而改變規(guī)則的排列順序。 NAT規(guī)則通過WebUI調(diào)整NAT規(guī)則位置，在NAT規(guī)則編輯頁面：調(diào)整規(guī)則的排列順序，在NAT配置模式下使用以命令： snatrule move id before id | after id| top | bottom dnatrule move id before id | after id| top | bottom刪除規(guī)則，在NAT配置模式下使用以下命令： no snatrule id id no dnatrule id id調(diào)整NAT規(guī)則 編輯NAT規(guī)則順序防火墻策略配置訪問策略（WebUI） 服務(wù)器對應(yīng)公網(wǎng)地址檢查NAT配置顯示NAT配置信息：