信息安全技術(shù)（HCIA-Security）（微課版）（第2版） 課件 第7、8章 網(wǎng)絡(luò)地址轉(zhuǎn)換NAT技術(shù)、防火墻雙機熱備技術(shù)

網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)網(wǎng)絡(luò)空間是億萬民眾共同的精神家園。網(wǎng)絡(luò)空間天朗氣清、生態(tài)良好，符合人民利益;網(wǎng)絡(luò)空間烏煙瘴氣、生態(tài)惡化，不符合人民利益。誰都不愿生活在充滿虛假、詐騙、攻擊、謾罵、恐怖、色情、暴力的網(wǎng)絡(luò)空間。文字學(xué)習(xí)雪人計劃，中國互聯(lián)網(wǎng)崛起拓展主題愛國主義、科技強國、技能強國學(xué)完本課程后，您將能夠:了解NAT的應(yīng)用場景掌握NAT的技術(shù)原理掌握防火墻的NAT配置網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射NAT應(yīng)用場景NAT產(chǎn)生背景IPv4地址日漸枯竭；IPv6技術(shù)不能立即大面積替換；各種延長IPv4壽命的技術(shù)不斷出現(xiàn)，NAT就是其中之一。NAT的優(yōu)點與缺點優(yōu)點：實現(xiàn)IP地址復(fù)用，節(jié)約寶貴的地址資源。地址轉(zhuǎn)換過程對用戶透明。對內(nèi)網(wǎng)用戶提供隱私保護?？蓪崿F(xiàn)對內(nèi)部服務(wù)器的負(fù)載均衡。缺點：網(wǎng)絡(luò)監(jiān)控難度加大。限制某些具體應(yīng)用。NAT技術(shù)的基本原理NAT技術(shù)通過對IP報文頭中的源地址或目的地址進行轉(zhuǎn)換，可以使大量的私網(wǎng)IP地址通過共享少量的公網(wǎng)IP地址來訪問公網(wǎng)。內(nèi)網(wǎng)用戶FTPServer將私網(wǎng)源地址替換為公網(wǎng)地址將公網(wǎng)目的地址替換為私網(wǎng)地址目的IP：源IP：目的IP：源IP：目的IP：源IP：目的IP：源IP：NAT分類源NAT地址池方式出接口地址方式（EasyIP）服務(wù)器映射靜態(tài)映射（NATserver）網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射NAT應(yīng)用場景源NAT地址池方式(1)不帶端口轉(zhuǎn)換的地址池方式。此種方式為一對一的IP地址的轉(zhuǎn)換，端口不進行轉(zhuǎn)換。丟棄Untrust轉(zhuǎn)換Trust源

目的源1目的源NAT地址池方式(2)帶端口轉(zhuǎn)換的地址池方式。將不同的內(nèi)部地址映射到同一公有地址的不同端口號上，實現(xiàn)多對一地址轉(zhuǎn)換。：7111：7112：7113Untrust轉(zhuǎn)換Trust源1源端口X

目的源源端口Y目的EasyIP出接口地址方式(EasyIP)。：7111：7112：7113源1目的源

目的Untrust轉(zhuǎn)換TrustNATALG

NAT

ALG（ApplicationLevelGateway，應(yīng)用級網(wǎng)關(guān)）是特定的應(yīng)用協(xié)議的轉(zhuǎn)換代理，可以完成應(yīng)用層數(shù)據(jù)中攜帶的地址及端口號信息的轉(zhuǎn)換。以太網(wǎng)首部IP首部TCP首部應(yīng)用數(shù)據(jù)以太網(wǎng)尾部NAT可以轉(zhuǎn)換的部分﹖NATALG實現(xiàn)原理FTP主動模式下的NATALG應(yīng)用。私網(wǎng)公網(wǎng)HostNATALG

<------>1FTPServerHost與FTPServer之間建立控制連接發(fā)送PORT報文（,1084）ALG處理PORT報文載荷已被轉(zhuǎn)換（1,

12487）FTPServer向Host發(fā)起數(shù)據(jù)連接（,

30041,12487）FTPServer向Host發(fā)起數(shù)據(jù)連接（,

3004,1084）在已經(jīng)建立的數(shù)據(jù)連接上進行數(shù)據(jù)傳輸網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射NAT應(yīng)用場景NATServer-內(nèi)部服務(wù)器內(nèi)部服務(wù)器(NatServer)功能是使用一個公網(wǎng)地址來代表內(nèi)部服務(wù)器對外地址。在防火墻上，專門為內(nèi)部的服務(wù)器配置一個對外的公網(wǎng)地址來代表私網(wǎng)地址。對于外網(wǎng)用戶來說，防火墻上配置的外網(wǎng)地址就是服務(wù)器的地址。DMZuntrust公網(wǎng)地址真正的地址WWW服務(wù)器外網(wǎng)用戶轉(zhuǎn)換源IP地址目的源IP地址目的NATServer與ServerMap表(1)配置NATServer時，設(shè)備會自動生成Server-map表項，用于存放Global地址與Inside地址的映射關(guān)系。舉例：servermap表項IP協(xié)議承載的協(xié)議類型轉(zhuǎn)換后的公網(wǎng)地址內(nèi)部server實際地址[NGFW]natserverserver1protocoltcpglobalinsideType：NatServer,ANY->:21[:21],Zone:---,protocol:tcpVpn:public-->publicType：NatServerReverse,[]->ANY,Zone:---，protocol:tcpVpn:public-->public,counter:1NATServer與ServerMap表(2)指定no-reverse參數(shù)后，設(shè)備生成的Server-map表只有正方向。舉例：servermap表項[NGFW]natserverserver1protocoltcpglobalinsideno-reverseType:NatServer,ANY->[],Zone:---,protocol:tcpVpn:public->public網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射NAT應(yīng)用場景NAT典型應(yīng)用場景配置舉例應(yīng)用場景分析源應(yīng)用NATServer應(yīng)用DMZ區(qū)域Untrust區(qū)域Trust區(qū)域192.168.０.1/24/29/24防火墻源NAT配置(WEB)配置NAT地址池。防火墻源NAT配置(WEB)配置源NAT策略。在本例中是為了實現(xiàn)trust區(qū)域的用戶訪問untrust區(qū)域internet的資源，因此源安全區(qū)域為trust，目的安全區(qū)域為untrust。選擇配置的地址池防火墻NATServer配置(WEB)配置內(nèi)部Web和FTP服務(wù)器。外部地址和內(nèi)部地址，外部地址為供外部用戶訪問的公網(wǎng)IP地址，內(nèi)部地址為局域網(wǎng)服務(wù)器地址。防火墻NATServer配置(WEB)配置域間安全轉(zhuǎn)發(fā)策略。HTTP服務(wù)器配置類似。防火墻源NAT配置(CLI)配置域間訪問規(guī)則。指定源地址為網(wǎng)段。（具體配置步驟省略）配置地址池。配置源NAT策略。[NGFW]nataddress-group1[NGFW-nat-address-group-1]section[NGFW]nat-policy[NGFW-policy-nat]rulenamenat1[NGFW-policy-nat-rule-nat1]source-zonetrust[NGFW-policy-nat-rule-nat1]destination-zoneuntrust[NGFW-policy-nat-rule-nat1]source-address24[NGFW-policy-nat-rule-nat1]actionnataddress-group1防火墻NATServer配置(CLI)配置內(nèi)部Web和FTP服務(wù)器。配置域間包過濾規(guī)則。[USG]natserverwwwserverprotocoltcpglobal80inside8080[USG]natserverftpserverprotocoltcpglobalftpinsideftp[USG]security-policy[USG-policy-security]rulenamep1[USG-policy-security-rule-p1]source-zoneuntrust[USG-policy-security-rule-p1]destination-zonedmz[USG-policy-security-rule-p1]destination-address32[USG-policy-security-rule-p1]servicehttp[USG-policy-security-rule-p1]actionpermit[USG-policy-security]rulenamep2[USG-policy-security-rule-p2]source-zoneuntrust[USG-policy-security-rule-p2]destination-zonedmz[USG-policy-security-rule-p2]destination-address32[USG-policy-security-rule-p2]serviceftp[USG-policy-security-rule-p2]actionpermit雙向NAT技術(shù)雙向NAT兩種應(yīng)用場景:NATServer+源NAT域內(nèi)NAT域間雙向NAT為了簡化配置服務(wù)器至公網(wǎng)的路由，可在NATServer基礎(chǔ)上，增加源NAT配置。DMZUntrust源NAT私網(wǎng)IP地址Internet用戶內(nèi)網(wǎng)服務(wù)器真正IP地址對外公網(wǎng)地址域內(nèi)雙向NAT防火墻將用戶的請求報文的目的地址轉(zhuǎn)換成FTP服務(wù)器的內(nèi)網(wǎng)IP地址，源地址轉(zhuǎn)換成用戶對外公布的IP地址。防火墻將FTP服務(wù)器回應(yīng)報文的源地址轉(zhuǎn)換成對外公布的地址，目的地址轉(zhuǎn)換成用戶的內(nèi)網(wǎng)IP地址。Trust域服務(wù)器公網(wǎng)地址用戶公網(wǎng)地址內(nèi)網(wǎng)用戶服務(wù)器以下哪些選項是NAT技術(shù)產(chǎn)生的原因()IP地址資源不足保護內(nèi)網(wǎng)服務(wù)器真實的IP地址某些特定的業(yè)務(wù)需要便于對設(shè)備進行管理NAT的技術(shù)原理NAT幾種應(yīng)用方式防火墻NAT典型場景配置防火墻雙機熱備技術(shù)網(wǎng)上網(wǎng)下要同心聚力、齊抓共管,形成共同防范社會風(fēng)險、共同構(gòu)筑同心圓的良好局面。要維護網(wǎng)絡(luò)空間安全及網(wǎng)絡(luò)數(shù)據(jù)的完整性、安全性、可靠性，提高維護網(wǎng)絡(luò)空間安全能力。文字學(xué)習(xí)北斗導(dǎo)航：未來世界的眼睛拓展主題愛國主義、科技強國、技能強國學(xué)完本課程后，您將能夠:掌握雙機熱備技術(shù)原理掌握雙機熱備基礎(chǔ)配置雙機熱備技術(shù)原理雙機熱備基本組網(wǎng)與配置雙機熱備技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示，內(nèi)部用戶和外部用戶的交互報文全部通過FirewallA。如果FirewallA出現(xiàn)故障，內(nèi)部網(wǎng)絡(luò)中所有以FirewallA作為默認(rèn)網(wǎng)關(guān)的主機與外部網(wǎng)絡(luò)之間的通訊將中斷，通訊可靠性無法保證。FirewallA/24PC服務(wù)器內(nèi)部網(wǎng)絡(luò)/24路由器冗余部署方案路由器組網(wǎng)中通過VRRP協(xié)議實現(xiàn)設(shè)備冗余：RouterAMasterRouterBBackupRouterCBackup備份組VirtualIPAddressPC服務(wù)器內(nèi)部網(wǎng)絡(luò)/24VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用為防火墻上多個區(qū)域提供雙機備份功能時，需要在每一臺防火墻上配置多個VRRP備份組。DMZTrustUntrustUSGA/24MasterUSGBBackup/24備份組1VirtualIPAddress備份組2VirtualIPAddress備份組3VirtualIPAddressVRRP在防火墻應(yīng)用中存在的缺陷傳統(tǒng)VRRP方式無法實現(xiàn)主、備用防火墻狀態(tài)的一致性。USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會話表項Server(5)(6)(8)實際連線報文流徑(9)VRRP用于防火墻多區(qū)域備份為了保證所有VRRP備份組切換的一致性，在VRRP的基礎(chǔ)上進行了擴展，推出了VGMP（VRRPGroupManagementProtocol）來彌補此局限。DMZTrustUntrustUSGA/24vUSGB/24備份組2備份組3備份組1VGMP管理組VGMP管理組helloackVGMP基本原理當(dāng)防火墻上的VGMP為Active/Standby狀態(tài)時，組內(nèi)所有VRRP備份組的狀態(tài)統(tǒng)一為Active/Standby狀態(tài)。狀態(tài)為Active的VGMP也會定期向?qū)Χ税l(fā)送HELLO報文，通知Standby端本身的運行狀態(tài)（包括優(yōu)先級、VRRP成員狀態(tài)等）。DMZTrustUntrustUSGA/24USGB/24備份組2備份組3備份組1VGMPActiveVGMPStandbyhelloackVGMP組管理狀態(tài)一致性管理VGMP管理組控制所有的VRRP備份組統(tǒng)一切換。搶占管理當(dāng)原來出現(xiàn)故障的主設(shè)備故障恢復(fù)時，其優(yōu)先級也會恢復(fù)，此時可以重新將自己的狀態(tài)搶占為主。HRP基本概念HRP（HuaweiRedundancyProtocol）協(xié)議，用來實現(xiàn)防火墻雙機之間動態(tài)狀態(tài)數(shù)據(jù)和關(guān)鍵配置命令的備份。VRRP組1VRRP組2VRRP組3①②③④⑤UntrustTrustDMZ會話表⑥FWAFWBHRP心跳接口兩臺FW之間備份的數(shù)據(jù)是通過心跳口發(fā)送和接收的，是通過心跳鏈路（備份通道）傳輸?shù)?。心跳口必須是狀態(tài)獨立且具有IP地址的接口，可以是一個物理接口（GE接口），也可以是為了增加帶寬，由多個物理接口捆綁而成的一個邏輯接口Eth-Trunk。心跳接口的狀態(tài)HRP心跳接口共有五種狀態(tài)：InvalidDownPeerdownReadyrunning雙機熱備的備份方式設(shè)備重啟后主備FW的配置自動同步會話快速備份自動備份手工批量備份雙機熱備技術(shù)原理雙機熱備基本組網(wǎng)與配置雙機熱備基本組網(wǎng)上下行業(yè)務(wù)接口工作在三層模式，連接二層設(shè)備時，需要在上下行的業(yè)務(wù)接口上配置VRRP備份組，使VGMP管理組能夠通過VRRP備份組監(jiān)測三層業(yè)務(wù)接口。USG_AMasterUSG_BBackup備份組1VirtualIPAddress/24G1/0/1/24PC1:0/24UntrustTrustG1/0/3/24G1/0/6/24G1/0/6/24G1/0/1/24G1/0/3/24備份組2VirtualIPAddress/24PC2:0/24VRRP備份組配置命令-CLI接口視圖下配置VRRP：執(zhí)行此命令時，指定active或standby參數(shù)后，即將該VRRP組加入了VGMP管理組的Active或Standby管理組。每個普通物理接口（GigabitEthernet接口）下最多配置255個VRRP組。vrrpvridvirtual-router-IDvirtual-ipvirtual-address[ip-mask|ip-mask-length]{active|standby}HRP配置命令-CLI指定心跳口啟用HRP備份功能啟用允許配置備用設(shè)備的功能啟用命令與狀態(tài)信息的自動備份啟用會話快速備份hrpinterfaceinterface-typeinterface-number[remote{ip-address|ipv6-address}]hrpenablehrpstandbyconfigenablehrpauto-sync[config|connection-status]hrpmirrorsessionenableVRRP配置舉例-CLIUSG_A關(guān)于VRRP組1配置：USG_B關(guān)于VRRP組1的配置：[USG_A]interfaceGigabitEthernet1/0/1[USG_A-GigabitEthernet1/0/1]ipaddress24[USG_A-GigabitEthernet1/0/1]vrrpvrid1virtual-ipactive[USG_B]interfaceGigabitEthernet1/0/1[USG_B-GigabitEthernet1/0/1]ipaddress24[USG_B-GigabitEthernet1/0/1]vrrpvrid1virtual-ipstandbyHRP配置舉例-CLIUSG_A關(guān)于HRP配置：[USG_A]hrpenable[USG_A]hrpmirrorsessionenable[USG_A]hrpinterfaceGigabitEthernet1/0/6查看VRRP狀態(tài)-CLI查看處于VRRP備份組中的接口狀態(tài)信息：HRP_A<USG_A>displayvrrpinterfaceG1/0/3GigabitEthernet1/0/3|VirtualRouter2VRRPGroup:Activestate:ActiveVirtualIP:VirtualMAC:0000-5e00-0102PrimaryIP:PriorityRun:120PriorityConfig:100MasterPriority:120Preempt:YESDelayTime:0Adverti