实战手记之高级NAT(Checkpoint)

转载 2007年10月10日 11:48:00
最近一台CheckPoint防火墙出了问题:在事件查看器中可以查到“No License for Routers”的错误,经常死机。这个错误在CheckPoing文档中没有记录, 据说是有一个“路由器管理模块”没有购买。最后发现,其实只要在安装正式License时不要将试用License去掉就没有这个问题。

   在等待有关方面支持的同时,我们将该防火墙撤下来,暂时用路由器实现原来由防火墙完成的地址转换、访问控制等部分功能,新旧拓朴图如下:


   设置方法比较简单:

   如果临时使用的交换机SW不支持VLAN,则可以在路由器内网端口上使用secondary address,注意这样做会把DMZ跟内网出口混在一起,要在内网多层交换机上设置好访问控制列表,阻止通过DMZ入侵内网。配置形如:

interface FastEthernet0/0

ip address 202.1.1.1 255.255.255.252

ip access-group 101 in

ip nat outside

!

interface FastEthernet1/0

ip address 192.168.1.254 255.255.255.0 secondary

ip address 10.0.0.1 255.255.255.0

ip nat inside

!

ip nat pool inet 202.2.2.1 202.2.2.9 netmask 255.255.255.0

ip nat inside source list 1 pool inet overload

ip nat inside source static 192.168.1.230 202.2.2.230

ip nat inside source static 192.168.1.231 202.2.2.231

ip classless

ip route 0.0.0.0 0.0.0.0 202.1.1.2

ip route 10.0.0.0 255.0.0.0 10.0.0.254

!

access-list 1 permit 10.0.0.0 0.0.0.255

access-list 101 permit tcp any any established

access-list 101 permit tcp any host 202.2.2.230 eq domain

access-list 101 permit tcp any host 202.2.2.231 eq www

如果SW支持VLAN,则可以路由器端口做Trunk, 或用不同的路由器端口分别连接不同VLAN,使DMZ与Inside分开。

需要注意的是,内网的多层交换机上一般用默认路由指向出口的路由器/防火墙,现在路由器用静态路由指向内网,这里有形成环路的危险。因为在内网,10.0.0.0/8被子网化,如果一台机器访问10.0.0.0/8中一个不存在的子网时,多层交换机只有默认路由匹配而将包转发到出口路由器,而出口路由器路由表中最匹配的是指向多层交换机的10.0.0.0/8, 所以将包返回给多层交换机。这其实是一种路由汇总问题, 解决的方法是是多层交换机上设定: ip route 10.0.0.0 255.0.0.0 null 0。

上面的拓朴图是只有一个出口的情况,如果该客户除了Internet出口,还有到上级单位HQ的出口,拓朴图如:


这时候配置就有点难度了,要做两个NAT:

interface Ethernet0

ip address 192.168.1.254 255.255.255.0

ip nat inside

ip policy route-map out

!

interface Serial0

description connect to Internet

ip address 202.1.1.1 255.255.255.0

ip nat outside

!

interface Serial1

description connect to HQ

ip address 10.221.1.1 255.255.255.0

ip nat outside

!

ip nat inside source route-map o202 interface Serial0 overload

ip nat inside source route-map o10 interface Serial1 overload

ip classless

ip route 10.0.0.0 255.0.0.0 10.221.1.254

ip route 0.0.0.0 0.0.0.0 202.1.1.2

!

access-list 101 deny ip any 10.0.0.0 0.255.255.255

access-list 101 permit ip any any

access-list 102 permit ip any 10.0.0.0 0.255.255.255

route-map o202 permit 10

match ip address 101

set interface Serial0

!

route-map o10 permit 10

match ip address 102

set interface Serial1

!

route-map out permit 10

match ip address 102

set interface Serial1

!

route-map out permit 20

match ip address 101

set interface Serial0

!

   感觉Checkpoint的总体拥有成本比较高,比如技术支持的费用,软件升级费用等,不是一般的用户能吃得消的。相比之下Cisco的产品技术被较多的人掌握,技术支持和软件升级等成本比较低,总体拥有成本相对就会低得多。Cisco价格透明虽然将价格竞争白热化,使集成商无利可图,但对用户来说却不是坏事。对集成商来说,也许是时候把增值服务和产品分开销售了。

 

Spark中的checkpoint作用与用法

checkpoint的意思就是建立检查点,类似于快照,例如在spark计算里面 计算流程DAG特别长,服务器需要将整个DAG计算完成得出结果,但是如果在这很长的计算流程中突然中间算出的数据丢失了,sp...
  • qq_20641565
  • qq_20641565
  • 2017年07月27日 23:19
  • 2694

检查点(Checkpoint)的本质

1.检查点(Checkpoint)的本质   许多文档把Checkpint描述得非常复杂,为我们正确理解检查点带来了障碍,结果现在检查点变成了一个非常复杂的问题。实际上,检查点只是一个数据...
  • xiaobluesky
  • xiaobluesky
  • 2015年12月13日 20:08
  • 3695

F2FS文件系统架构与原理分析(五)——元数据组织及管理

from : http://blog.chinaunix.net/uid-28989651-id-3911126.html
  • Fybon
  • Fybon
  • 2014年08月22日 11:14
  • 2709

大数据Spark“蘑菇云”项目实战第63课: 广告点击系统高可用性和性能优化 checkpoint wal driver高可用 并行度配置

大数据Spark“蘑菇云”项目实战第63课: 广告点击系统高可用性和性能优化   1, 对于window、updateStateByKey等DStream的状态操作,采用HDFS的checkpoint...
  • duan_zhihua
  • duan_zhihua
  • 2016年10月22日 21:03
  • 389

Spark Streaming 实战案例(四) Spark Streaming 缓存、Checkpoint机制

主要内容 Spark Stream 缓存Checkpoint案例 1. Spark Stream 缓存 通过前面一系列的课程介绍,我们知道DStream是由一系列的RDD构成的,它同一般的R...
  • qq_36330643
  • qq_36330643
  • 2017年07月05日 15:11
  • 111

《专家手记AJAX开发实战 》电子版

  • 2008年06月22日 18:39
  • 3.51MB
  • 下载

网页开发手记htmlcssjavascript实战详解

  • 2013年08月04日 17:00
  • 57.89MB
  • 下载

Fedora 15安装实战手记

  • 2015年06月06日 19:28
  • 590KB
  • 下载

网页开发手记:HTML+CSS+JavaScript实战详解

  • 2014年01月14日 13:40
  • 57.89MB
  • 下载

网页开发手记.HTML.CSS.JavaScript实战详解

  • 2012年01月28日 15:22
  • 57.9MB
  • 下载
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:实战手记之高级NAT(Checkpoint)
举报原因:
原因补充:

(最多只允许输入30个字)