四、防御保护---防火墙NAT篇

最新推荐文章于 2024-05-13 11:01:05 发布

Fly`

最新推荐文章于 2024-05-13 11:01:05 发布

阅读量1.4k

点赞数 19

分类专栏：安全防御文章标签：服务器网络运维安全 web安全

本文链接：https://blog.csdn.net/M372109150/article/details/135921054

版权

安全防御专栏收录该内容

12 篇文章 0 订阅

订阅专栏

四、防御保护---防火墙NAT篇

一、源NAT
二、目标NAT
三、双向NAT
四、多出口NAT

一、源NAT

源NAT — 基于源IP地址进行转换。我们之前接触过的静态NAT，动态NAT，NAPT都属于源NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网，通过对报文的源地址进行转换，使大量私网用户可以利用少量公网IP上网，大大减少了对公网IP地址的需求。
在这里插入图片描述
NAT No-PAT
“No-PAT”表示不进行端口转换，所以NAT No-PAT只转换IP地址，故也称为“一对一IP地址转换”。我们使用如下组网进行演示：

在FW上配置源NAT模式，选择为no-pat；将公网IP地址202.30.1.1和202.30.1.2加入NAT地址池1；配置NAT策略，即对流量设置各种要求项，只有完全匹配上这些要求的流量才能利用NAT地址池1中的IP做NAT转换（如果要针对源IP设置NAT策略，那么应该是做源NAT转换前的IP）。
在这里插入图片描述

出接口地址方式（easy-ip）
出接口地址方式是利用出接口的公网IP做源NAT转换，适用于公网IP非常少或接口动态获取IP的场景（仅中低端防火墙支持接口动态获取IP）。

easy-ip的NAT转换方式和NAPT一样，都是同时转换IP和端口。但是在具体配置上，高端防火墙和中低端防火墙是不一样的：

高端防火墙需要配置NAT地址池，并将出接口IP配置在地址池中。实际上就是配置NAPT功能，只不过出接口IP和NAT地址池中的IP一样了。
中低端防火墙不需要配置NAT地址池，而是在NAT策略中指定做easy-ip转换。

源NAT是在安全策略之后执行。

配置黑洞路由 — 黑洞路由即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指向空接口的路由，不然，在特定环境下会出现环路。（主要针对地址池中的地址和出接口地址不再同一个网段中的场景。）

安全策略和NAT策略在字面上长的挺像，但是二者各司其职：安全策略检验是否允许流量通过，NAT策略检验是否对流量进行NAT转换。由于防火墙检验流量是否符合安全策略的操作发生在检查NAT策略之前，所以如果要针对源IP设置安全策略，则该IP应该是做源NAT转换前的IP。

黑洞路由是一个让路由“有来无回”的路由，它的效果就是让设备丢弃命中该路由的报文。针对地址池中的公网IP必须配置黑洞路由，目的是防止产生路由环路。
在这里插入图片描述
决定了使用的是动态NAT还是NAPT的逻辑。

五元组NAT — 针对源IP，目标IP，源端口，目标端口，协议这五个参数识别出的数据流进行端口转换
三元组NAT — 针源IP，源端口，协议三个参数识别出的数据流进行端口转换

三元组NAT依靠的正是以下两个特点：
1、支持外网主动访问
无论内网主机是否主动访问过某个外网主机，只要外网主机知道内网主机NAT转换后的地址和端口，就可以主动向该内网主机发起访问。

2、动态对外端口一致性
内网主机做NAT转换后的地址和端口将在一段时间内保持不变，在此时间内段，内网主机固定地使用此NAT后地址和端口访问任意外网主机，任意外网主机也可以通过此NAT后地址和端口访问内网主机。

从实现原理角度讲，三元组NAT是通过Server-map表使外网主机可以主动访问内网主机，并保证NAT转换关系在一段时间内保持不变
在这里插入图片描述
在保留地址中的地址将不被用于转换使用

动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况下，是可以访问到内网的设备。
基于端口的NAT转换，是不会生成server-map表的。

二、目标NAT

目标NAT — 基于目标IP地址进行转换。我们之前接触过的服务器映射就属于目标NAT。是为了保证公网用户可以访问内部的服务器
在这里插入图片描述

源NAT在安全策略之后执行，目标NAT在安全策略之前执行（因为自动生成的安全策略的目标地址是转换后的地址，说明需要先进行转换，再触发安全策略）
在这里插入图片描述

三、双向NAT

双向NAT — 同时转换源IP和目标IP地址
1、域间NAT
报文的源地址和目的地址属于不同的安全区域。按照转换报文的方向，又可以分为以下两类：
（1）NAT Inbound（外网访问内网）
报文由低安全级别的安全区域向高安全级别的安全区域方向传输时，基于源地址进行的转换。一般来说，NAT Inbound都会和NAT Server配合使用。
（2）NAT Outbound（内网访问外网）
报文由高安全级别的安全区域向低安全级别的安全区域方向传输时，基于源地址进行的转换。之前介绍的“内网用户访问外网资源”场景大多使用NAT Outbound。
2、域内NAT（内网访问内网）
报文的源地址和目的地址属于相同的安全区域。一般来说，域内NAT都会和NAT Server配合使用，单独配置域内NAT的情况较少见。

当域间NAT或域内NAT和NAT Server一起配合使用时，就实现了双向NAT。当然，上述内容的一个大前提就是：合理设置安全区域的级别并规划网络――内网设备属于Trust域（高级别），内网服务器属于DMZ域（中级别），外网设备属于Untrust域（低级别）。
在这里插入图片描述