多核防火墙培训7-网络地址转换

1、网络地址转换讲解人：朱建英 2010、07通过完成此章节课程，您将可以： - 熟悉多种NAT应用的环境 - 掌握源NAT的配置及应用 - 掌握目的NAT的配置应用 - 掌握NAT与相关策略的配置章节目标 NAT的概念源NAT目的NATNAT匹配顺序及相关策略议程：网络地址转换网络地址转换（Network Address Translation）简称为NAT是将IP数据包包头中的IP地址转换为另一个IP地址。当IP数据包通过路由器或者防火墙时，路由器或者防火墙会把IP数据包的源IP地址和/或者目的IP地址进行转换。在实际应用中，NAT主要用于私有网络访问外部网络或外部网络访问私有网络的情况。 R

2、FC1918规定的三类私有地址如下： A类： - 55（/8） B类： - 55（/12） C类： - 55（/16）议程：网络地址转换NAT转换过程（SNAT）IP: PCIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：IP包1应答报文源IP：目的IP：IP包1应答报文源IP：目的IP：ethernet0/0IP: ethernet0/1IP: Ser

3、verIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：服务器应答报文源IP：目的IP：IP包1应答报文源IP：目的IP：ethernet0/0PCethernet0/1IP: ServerNAT转换过程（DNAT）NAT的概念 源NAT目的NATNAT匹配顺序及相关策略议程：网络地址转换SNAT（源NAT） 转换源IP地址，从而隐藏内部IP地址或者分享IP有限的IP地址。根据工作模式分为以下三种：源NAT模式描述sta

4、tic静态源NAT转换即一对一的转换。该模式要求被转换到的地址条目（trans-to-address）包含的IP地址数与流量的源地址的地址条目（src-address）包含的IP地址数相同。dynamicip动态源NAT转换即多对多的转换。该模式将源地址转换到指定的IP地址。每一个源地址会被映射到一个唯一的IP地址做转换，直到指定地址全部被占用。dynamicport即PAT。多个源地址将被转换成指定IP地址条目中的一个地址。如果不使用sticky，地址条目中的第一个地址将会首先被使用，当第一个地址的端口资源被用尽，第二个地址将会被使用。如果使用了sticky，每一个源IP产生的所有会话将被映

5、射到同一个固定的IP地址。防火墙NAT源NATNAT规则基于VRouter创建并生效配置源NAT(WebUI)配置源NAT(CLI)在NAT配置模式下，使用以下命令： snatrule id id before id | after id | top from src-address to dst-address eif egress-interface trans-to addressbook trans-to-address | eif-ip mode static | dynamicip | dynamicport sticky logid id 为SNAT规则指定ID号。before

6、id | after id | top 指定规则所在的位置from src-address to dst-address eif egress-interface 指定该规则中流量应符合的条件。eif egress-interface - 指定流量的出接口。addressbook trans-to-address | eif-ip 指定NAT转换地址。mode static | dynamicip | dynamicport sticky 指定转换模式。DCFOS支持三种转换模式：static、dynamicip和dynamicport。 NAT的概念源NAT 目的NATNAT匹配顺序及相关策

7、略议程：网络地址转换目的NATDNAT（目的NAT规则） 转换目的IP地址，通常是将受防火墙保护的内部服务器（如WWW服务器或者SMTP服务器）的IP地址转换成公网IP地址。 主要应用：通过IP映射或者端口映射对外发布服务器 根据工作模式分为以下两种： VIP（端口映射） -该模式为一对多的映射，将公网某一IP的不同端口，映射到内网不 同IP的不同端口，解决公网IP有限时多个服务器需对外发布的需求 MIP（IP映射） -该模式为一对一的映射，端口一一对应不做转换，通常用于公网IP 足够时服务器的对外发布。配置目的NAT(WebUI)防火墙NAT目的NATNAT规则基于VRouter创建并生效

8、访问发起IP目的虚拟IP访问服务服务器真实ip配置DNAT（CLI） 在NAT配置模式下使用以下命令： dnatrule id id before id | after id | top from src-address to dst-address service service-name trans-to trans-to-address port port load-balance ping-track logNAT的概念源NAT目的NAT NAT匹配顺序与相关策略议程：网络地址转换NAT分为源NAT和目的NAT，源NAT由多条源NAT规则组成目的NAT由多条目的NAT规则组成。当定义多

9、条NAT规则时需要根据需求移动NAT规则位置。NAT规则匹配顺序 每一条NAT都有唯一一个ID号。流量进入防火墙时，防火墙对NAT规则进行顺序查找，然后按照查找到的相匹配的第一条规则对流量的源IP做NAT转换。但是，ID的大小顺序并不是规则匹配顺序。使用show snat/dnat命令列出的规则顺序才是规则匹配顺序。用户可以移动已有的NAT规则从而改变规则的排列顺序。 NAT规则通过WebUI调整NAT规则位置，在NAT规则编辑页面：调整规则的排列顺序，在NAT配置模式下使用以命令： snatrule move id before id | after id| top | bottom dnatrule move id before id | after id| top | bottom删除规则，在NAT配置模式下使用以下命令： no snatrule id id no dnatrule id id调整NAT规则 编辑NAT规则顺序防火墙策略配置访问策略（WebUI） 服务器对应公网地址检查NAT配置显示NAT配置信息：