NAT配置之源NAT详解

已于 2023-12-26 19:17:32 修改
阅读量1.8k 收藏 26
点赞数 30
分类专栏： NAT合集 文章标签： 网络 服务器 运维 计算机网络
于 2023-12-25 20:21:27 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mario_Ti/article/details/135138975
版权

一、源NAT基本原理

如图所示为一个基本的源NAT转换过程，防火墙处于私有网络和公有网络的连接处。当内部主机PC（192.168.1.3）向外部服务器Server（202.120.10.2）发送一个数据包1时，数据包将通过防火墙。NAT进程查看报头内容，发现该数据包是发往外部网络的。那么它将数据包1 的源地址字段的私有地址192.168.1.3 转换成一个可在Internet 上选路的公有地址202.169.10.1，并将该数据包发送到外部服务器Server。同时在网络地址转换表中记录这一映射。外部服务器Server给内部主机发送应答报文2（其初始目的地址为202.169.10.1）。报文到达防火墙后，NAT 进程再次查看报头内容，然后查找当前网络地址转换表的记录。用原来的内部PC 的私有地址192.168.1.3 替换目的地址。整个NAT转换过程对于内部网络中的用户和Internet上的主机来说是完全透明的，因此，NAT“隐藏”了企业的私有网络。

源NAT转换有很多种，先介绍NAT地址池的概念，NAT地址池是个虚拟的概念，将“公网IP地址的集合”比喻成一个“放IP地址的池子或者容器”，防火墙在进行地址转换的时候，就是在NAT地址池中随机挑选一个公网IP地址，然后对私网IP进行转换。（随机挑选，和配置的顺序、IP地址大小等因素都无关）

二、源NAT转换方式列表

在这里先介绍一下NAT策略，与安全策略类似，也是由条件和动作组成，不同的是，NAT策略的动作为“源NAT转换”和“不转换”，当动作为前者时，必须引用NAT地址池。

多条NAT策略之间存在匹配顺序，当报文命中某一条NAT策略，就会按照该策略中引用的地址池进行地址转换，若未命中则继续向下查找。

例如：内网有两个群体，分别为群体1（192.168.0.1-192.168.0.5）、群体2（192.168.0.6-192.168.0.10），要求使用不同的公网IP地址访问Internet，此时应该创建两个NAT地址池，配置两条NAT策略分别引用两个地址池，群体1引用NAT地址池1，群体2引用NAT地址池2，这样一来目的便达成。

源NAT转换方式含义应用场景
NAT NO-PAT只转换报文的IP地址，不转换端口需要上网的私网用户数量少，公网IP地址数量与同时上网的最大私网用户数量基本相同
NAPT同时转换报文的IP地址以及端口公网IP地址数量少，需要上网的私网用户数量大
EASY-IP大体与NAPT相同，但不同点在于转换后的IP地址为出接口的IP地址只有一个公网IP地址，且用于出口
Smart NAT预留一个公网IP地址进行NAPT转换，其他公网IP地址进行NAT NO-PAT转换平时上网用户量少，公网IP地址数量与同时上网的最大私网用户数量基本相同，个别时间段上网用户量激增，公网IP地址数量远远小于上网用户数量
三元组NAT将私网源IP地址以及端口转换为固定的公网IP地址和端口，解决NAPT随即转换地址和端口带来的问题用于外网用户主动访问私网用户的场景，例如P2P业务场景

三、NAT NO-PAT

NAT NO-PAT只转换IP地址，也称一对一地址转换，以下面组网环境为例介绍该地址转换的配置过程。

//分配IP地址
[USG]interface g1/0/0
[USG-GigabitEthernet1/0/0]ip address 192.168.0.254 24
[USG-GigabitEthernet1/0/0]interface g1/0/2
[USG-GigabitEthernet1/0/2]ip address 210.1.1.254 24
[USG-GigabitEthernet1/0/2]q

//加入安全区域
[USG]firewall zone trust 
[USG-zone-trust]add interface g1/0/0
[USG-zone-trust]firewall zone untrust
[USG-zone-untrust]add interface g1/0/2
[USG-zone-untrust]q
[USG]display zone 
2023-12-21 12:39:55.520 
local
 priority is 100
 interface of the zone is (0):
#
trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0
    GigabitEthernet1/0/0
#
untrust
 priority is 5
 interface of the zone is (1):
    GigabitEthernet1/0/2
#
dmz
 priority is 50
 interface of the zone is (0):
#

//配置NAT地址池
1、创建源NAT地址池
2、指定转换方式global/local
3、地址池中的公网地址
4、开启黑洞路由
[USG]nat address-group addressgroup1
[USG-address-group-addressgroup1]mode no-pat global 
[USG-address-group-addressgroup1]section 0 210.1.1.2 210.1.1.3
[USG-address-group-addressgroup1]route enable 
//配置NAT策略
[USG]nat-policy 
[USG-policy-nat]rule name policy_nat1
[USG-policy-nat-rule-policy_nat1]source-zone trust 
[USG-policy-nat-rule-policy_nat1]destination-zone untrust 
[USG-policy-nat-rule-policy_nat1]source-address 192.168.0.0 24	
[USG-policy-nat-rule-policy_nat1]destination-address 210.1.1.10 32	
[USG-policy-nat-rule-policy_nat1]action source-nat address-group addressgroup1
 Info: The current source conversion address pool type is no-pat, and if some bu
sinesses of the same user do not need to do NAT, please create a new rule with N
AT type No-nat, otherwise the user's business will be NAT.

//配置安全策略
[USG]security-policy
[USG-policy-security]rule name policy1
[USG-policy-security-rule-policy1]source-zone trust 
[USG-policy-security-rule-policy1]destination-zone untrust 
[USG-policy-security-rule-policy1]source-address 192.168.0.0 24
[USG-policy-security-rule-policy1]action permit

让PC1、PC3分别ping外网用户，并查看防火墙上的会话表以及Server-map表。

[USG]display firewall session table 
2023-12-21 12:52:22.400 
 Current Total Sessions : 8
 icmp  VPN: public --> public  192.168.0.3:2357[210.1.1.2:2357] --> 210.1.1.10:2
048
 icmp  VPN: public --> public  192.168.0.2:821[210.1.1.3:821] --> 210.1.1.10:204
8


[USG]display firewall server-map 
2023-12-21 12:54:27.260 
 Current Total Server-map : 4
 Type: No-Pat Reverse, ANY -> 210.1.1.2[192.168.0.3],  Zone:---
 Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0
 Vpn: public

 Type: No-Pat Reverse, ANY -> 210.1.1.3[192.168.0.2],  Zone:---
 Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0
 Vpn: public

 Type: No-Pat,  192.168.0.3[210.1.1.2] -> ANY,  Zone:---
 Protocol: ANY, TTL:360, Left-Time:259,  Pool: 0, Section: 0
 Vpn: public

 Type: No-Pat,  192.168.0.2[210.1.1.3] -> ANY,  Zone:---
 Protocol: ANY, TTL:360, Left-Time:249,  Pool: 0, Section: 0
 Vpn: public

从会话表可以看出，两个私网用户IP地址已经分别转换成两个不同的公网IP，源端口号保持不变，两个公网IP来自于NAT地址池。

Server-map表可以看到正向以及方向两个表项，正向的作用是方便后续报文能够快速的转换地址，反向是提供给互联网用户主动访问内网用户的报文，可以命中反向Server-map表项直接进行地址转换，不过命中后需要进行安全策略的检查。

可以看出，这种一对一的转换，并没有起到节省公网IP地址的效果。

四、NAPT

NAPT可以做到真正节省公网IP地址，同时转换IP地址以及端口即可，NAPT应用非常广泛，可以利用少量的公网地址来满足大量的私网用户访问互联网的需求，但是，NAPT转换时不会生成Server-map表。

与NAT NO-PAT配置相比，区别在于地址池模式为pat，其余配置是一致，这里不再赘述，直接看会话表，注意没有Server-map表。

[USG]display firewall session table 
2023-12-21 13:22:48.720 
 Current Total Sessions : 8
 icmp  VPN: public --> public  192.168.0.2:10556[210.1.1.2:2049] --> 210.1.1.10:
2048
 icmp  VPN: public --> public  192.168.0.3:7996[210.1.1.3:2050] --> 210.1.1.10:2
048

[USG]display firewall session table 
2023-12-21 13:27:41.710 
 Current Total Sessions : 13
 icmp  VPN: public --> public  192.168.0.2:19517[210.1.1.2:2070] --> 210.1.1.10:
2048
 icmp  VPN: public --> public  192.168.0.3:19773[210.1.1.3:2058] --> 210.1.1.10:
2048
 icmp  VPN: public --> public  192.168.0.4:18493[210.1.1.2:2065] --> 210.1.1.10:
2048

[USG]display firewall server-map 
2023-12-21 13:28:21.390 
 Current Total Server-map : 0

从会话表可以看出，不仅地址转换了，端口也转换了，其他的私网用户也可以访问，而不是单纯的一对一转换，公用了同个公网IP但是端口不一样，因此不用担心转换出现冲突问题。

五、EASY-IP

EASY-IP可以理解成出接口地址方式，看成是NAPT的一种“变种”，也是同时转换地址和端口，应用场景比较特殊，防火墙上的公网端口IP地址如果是动态变化的，就不能在NAT地址池中配置固定的地址，可以使用出接口地址的方式。配置非常简单，不需要配置地址池和黑洞路由，只需要在NAT策略中指定转换方式为easy-ip即可。

仍然以此图为例，只不过不需要NAT地址池，以及配置变了一点点。

[USG]nat-policy 
[USG-policy-nat]rule name plicy_nat1
[USG-policy-nat-rule-plicy_nat1]source-zone trust
[USG-policy-nat-rule-plicy_nat1]destination-zon untrust
[USG-policy-nat-rule-plicy_nat1]source-address 192.168.0.0 24
[USG-policy-nat-rule-plicy_nat1]destination-address 210.1.1.10 32
[USG-policy-nat-rule-plicy_nat1]action source-nat easy-ip 

//配置安全策略
[USG]security-policy
[USG-policy-security]rule name policy1
[USG-policy-security-rule-policy1]source-zone trust 
[USG-policy-security-rule-policy1]destination-zone untrust 
[USG-policy-security-rule-policy1]source-address 192.168.0.0 24
[USG-policy-security-rule-policy1]action permit

私网用户访问210.1.1.10，此时可以在防火墙上查看到会话表信息。

[USG]display firewall session table 
2023-12-21 13:36:12.050 
 Current Total Sessions : 13
 icmp  VPN: public --> public  192.168.0.2:16703[210.1.1.254:2056] --> 210.1.1.1
0:2048
 icmp  VPN: public --> public  192.168.0.3:19263[210.1.1.254:2062] --> 210.1.1.1
0:2048

私网用户将IP地址转换成防火墙出接口公网IP地址，同时端口号也转换了。

EASY-IP与NAPT一样，不会产生Server-map表项。

六、Smart NAT

融合了NAT NO-PAT以及NAPT，假设NAT地址池有N个公网IP地址，其中一个指定为预留地址，剩下的N-1构成地址段（session 1），使用该NAT时，会先使用session 1中N-1个地址进行NO-PAT转换，当地址段中的地址全部转换完，仍有私网用户要访问互联网，此时，可以启用预留地址，进行NAPT转换。

//配置NAT地址池并开启黑洞路由功能
[USG]nat address-group addressgroup1
[USG-address-group-addressgroup1]mode no-pat global
[USG-address-group-addressgroup1]section 1 210.1.1.2 210.1.1.3
//指定预留地址
[USG-address-group-addressgroup1]smart-nopat 210.1.1.4
[USG-address-group-addressgroup1]route enable

//配置NAT策略，引用地址池
[USG]nat-policy 
[USG-policy-nat]rule name policy_nat1
[USG-policy-nat-rule-policy_nat1]source-zone trust 
[USG-policy-nat-rule-policy_nat1]destination-zone untrust 
[USG-policy-nat-rule-policy_nat1]source-address 192.168.0.0 24
[USG-policy-nat-rule-policy_nat1]destination-address 210.1.1.10 32
[USG-policy-nat-rule-policy_nat1]action source-nat address-group addressgroup1
 Info: The current source conversion address pool type is no-pat, and if some bu
sinesses of the same user do not need to do NAT, please create a new rule with N
AT type No-nat, otherwise the user's business will be NAT.
[USG-policy-nat-rule-policy_nat1]

//配置安全策略
[USG]security-policy
[USG-policy-security]display this
2023-12-21 14:25:26.890 
#
security-policy
 rule name policy1
  source-zone trust
  destination-zone untrust
  source-address 192.168.0.0 mask 255.255.255.0
  action permit
#
return
[USG-policy-security]

内网用户访问外网时，先用两个私网用户，查看会话表。

[USG]display firewall session table 
2023-12-21 14:27:31.830 
 Current Total Sessions : 10
 icmp  VPN: public --> public  192.168.0.2:42067[210.1.1.3:42067] --> 210.1.1.10
:2048
 icmp  VPN: public --> public  192.168.0.3:41811[210.1.1.2:41811] --> 210.1.1.10
:2048

再用三个私网用户，再次查看会话表。

[USG]display firewall session table 
2023-12-21 14:28:53.960 
 Current Total Sessions : 14
 icmp  VPN: public --> public  192.168.0.3:62547[210.1.1.2:62547] --> 210.1.1.10
:2048
 icmp  VPN: public --> public  192.168.0.2:63827[210.1.1.3:63827] --> 210.1.1.10
:2048
 icmp  VPN: public --> public  192.168.0.4:64339[210.1.1.4:2049] --> 210.1.1.10:
2048

从第一个会话表可以看出，私网用户IP地址转换成了NAT地址段1中的公网IP，没有端口转换；从第二个会话表可以看出，当三个用户访问互联网，地址段1中的公网IP不足，动用了预留地址，并且端口也进行了转换，四个私网用户访问，会更明显。

[USG]display firewall server-map 
2023-12-21 14:32:57.140 
 Current Total Server-map : 4
 Type: No-Pat Reverse, ANY -> 210.1.1.2[192.168.0.3],  Zone:---
 Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 1
 Vpn: public

 Type: No-Pat Reverse, ANY -> 210.1.1.3[192.168.0.2],  Zone:---
 Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 1
 Vpn: public

 Type: No-Pat,  192.168.0.3[210.1.1.2] -> ANY,  Zone:---
 Protocol: ANY, TTL:360, Left-Time:132,  Pool: 0, Section: 1
 Vpn: public

 Type: No-Pat,  192.168.0.2[210.1.1.3] -> ANY,  Zone:---
 Protocol: ANY, TTL:360, Left-Time:135,  Pool: 0, Section: 1
 Vpn: public

只有NAT NO-PAT方式转换地址的才生成了相应的Server-map表。

七、三元组NAT

NAPT应用最为广泛，但是，在面对目前的文件共享、语音通信、视频传输等方面P2P技术，并不能很好地共存，当P2P业务遇到NAT的时候，产生的并不是完美的NAT-P2P，而是可能无法下载最新的资源或者无法进行视频聊天。

P2P交互过程：P2P客户端运行P2P应用时，会与P2P服务器进行交互，如登录、认证等操作，P2P服务器会记录P2P客户端的地址以及端口号，当其中的P2P客户端（一号）要下载文件时，服务器会将用有该文件的客户端（二号）地址以及端口发给此P2P客户端（一号），然后一号会发送请求到二号，下载文件。

看着很简单没有问题，但是，如果区分一下内外网的P2P客户端呢，如下图所示。

第一个问题，防火墙会对客户端1访问P2P服务器的报文进行NAPT转换，P2P服务器记录的是转换后的公网地址以及端口，但是为了保持联系，客户端1会定期给P2P服务器发送报文，受NAPT影响，转换后的端口是动态变化的，这就说明，P2P服务器记录客户端1的地址以及端口，会不断刷新，影响正常的业务运转。

第二个问题，P2P服务器返回给客户端1的报文命中会话表才能通过防火墙，而客户端2不能通过转换后的地址和端口主动访问客户端1。

解决方法：①客户端1访问P2P服务器后，在一段时间内，客户端1再次访问P2P服务器或者访问互联网其他主机时，防火墙都会将客户端1的端口转换成相同的端口，就不会动态变化了。②无论客户端1有没有访问过客户端2，只要客户端2获取到客户端1的转换后地址以及端口，就可以主动向该处发起访问，即使防火墙没有配置相应的安全策略，也允许此类访问报文通过。

三元组NAT就能实现，进行转换时有两个特点：对外呈现端口一致性以及支持外网主动访问，其也可以产生Server-map表，也可以分为本地三元组以及全局三元组。

配置方法与之前大同小异，不同点在于地址池的mode以及不能配置黑洞路由。

[USG-address-group-addressgroup1]display this
2023-12-21 15:09:55.540 
#
nat address-group addressgroup1 0
 mode full-cone local
 section 1 210.1.1.2 210.1.1.3
#
return

[USG]display firewall session table 
2023-12-21 15:11:45.050 
 Current Total Sessions : 3
 icmp  VPN: public --> public  192.168.0.3:1374[210.1.1.3:2048] --> 210.1.1.10:2
048

[USG]display firewall server-map 
2023-12-21 15:12:12.950 
 Current Total Server-map : 10
 Type: FullCone Dst,  ANY -> 210.1.1.3:8192[192.168.0.3:2142],  Zone: untrust 
 Protocol: icmp(Appro: ---),  TTL: 60,  Left-Time: 55,  Pool: 0, Section: 1
 Vpn: public -> public,  Hotversion: 1

 Type: FullCone Src,  192.168.0.3:2142[210.1.1.3:8192] -> ANY,  Zone: untrust 
 Protocol: icmp(Appro: ---),  TTL: 60,  Left-Time: 55,  Pool: 0, Section: 1
 Vpn: public -> public,  Hotversion: 1

源Server-map表项：对外呈现端口一致性，老化之前，客户端1访问untrust区域内的任意主机，转换后的地址以及端口均为210.1.1.3:8192。

目的Server-map表项：支持外网主动访问，老化之前，untrust内的任意主机都可以通过210.1.1.3:8192访问客户端1。

zone:untrust因mode full-cone local产生，若为global的话，zone为空，表示安全区域进行限制。

名字来源：根据Server-map，转换仅与源地址，源端口，协议类型有关。

七、源NAT场景下的黑洞路由

以下网络拓补图为例，讲解源NAT场景下黑洞路由配置的原因。

//基本端口地址配置以及划分区域配置不再赘述

//配置地址池，不开启黑洞路由
[USG]nat address-group addressgroup1
[USG-address-group-addressgroup1]mode pat
[USG-address-group-addressgroup1]section 0 209.1.1.2 209.1.1.3
[USG-address-group-addressgroup1]q

//配置NAT策略
[USG-policy-nat]rule name policy_nat1
[USG-policy-nat-rule-policy_nat1]source-zone trust 
[USG-policy-nat-rule-policy_nat1]destination-zone untrust 
[USG-policy-nat-rule-policy_nat1]source-address 192.168.0.0 24
[USG-policy-nat-rule-policy_nat1]destination-address 210.1.1.10 32
[USG-policy-nat-rule-policy_nat1]action source-nat address-group addressgroup1

//配置安全策略
[USG-policy-security]rule name policy1	
[USG-policy-security-rule-policy1]source-zone trust 
[USG-policy-security-rule-policy1]destination-zone untrust 
[USG-policy-security-rule-policy1]source-address 192.168.0.0 24
[USG-policy-security-rule-policy1]action permit 

//配置默认路由
[USG]ip route-static 0.0.0.0 0.0.0.0 208.1.1.253

//一般来说运营商也会有静态路由指向本地
[R1]ip route-static 0.0.0.0 0.0.0.0 208.1.1.254

可见配置NAT地址池与防火墙公网IP地址不在同一网段上，此时私网PC ping 互联网，查看防火墙的会话表。

[USG]display firewall session table 
2023-12-22 13:16:04.700 
 Current Total Sessions : 5
 icmp  VPN: public --> public  192.168.0.3:2700[209.1.1.3:2049] --> 210.1.1.10:2
048

看起来一切没问题，私网可以Ping到互联网的主机，但是如果此时互联网用户主动Ping地址池内的公网地址呢，NAT地址池只有在转换私网IP的时候才会使用，也就是私网用户需主动发起访问，防火墙收到请求才会转换地址，否则不对外提供单独的服务，所以，公网PC主动访问NAT地址池的公网地址时候，报文是无法穿透防火墙到达私网的。

但是，会发现一个问题，①互联网用户的包（210.1.1.10 ping 209.1.1.3）首先发给路由器，即网关，路由器发现目的地址不是直连网段，查询路由表命中了默认路由，发给了防火墙，②结合上述情况，防火墙发现不属于私网回包，无法匹配会话表，目的地址也不是自己的直连网段，防火墙最终查询路由表，命中了默认路由，又发给了路由器，如此反复，直到TTL的值减为0，报文最后才被丢弃，这样会大量的浪费链路带宽资源以及设备的系统资源，因此需要配置黑洞路由。

[USG-address-group-addressgroup1]route enable 
//或者
[USG]ip route-static 209.1.1.2 32 NULL 0
[USG]ip route-static 209.1.1.3 32 NULL 0

配置之后，当上述第二步，防火墙命中了黑洞路由，该报文就会被丢弃。

上述是地址池与防火墙公网口不在同一网段上，若地址池（208.1.1.2）与防火墙公网口在同一网段上，上述会变成：①互联网用户的包（210.1.1.10 ping 208.1.1.2）首先发给路由器，即网关，路由器发现目的地址是直连网段，发送ARP请求，防火墙会回应该请求，路由器使用防火墙告知的MAC地址封装报文，发给了防火墙，②防火墙收到报文，防火墙发现目的地址和公网口属于同一网段，直接发送ARP请求报文，寻找该地址的MAC地址，但是网络中没有其他设备配置了该地址，因此没有回应，防火墙最终丢弃该报文。

这种情况下，是不会产生路由环路，但是有攻击者会利用这点发送大量的ARP请求报文，这时候也会消耗系统资源，建议都开启黑洞路由比较好。

八、多出口场景下的源NAT（以多出口运营商为例）

此处重点讲述多出口下源NAT的配置，而不是选路的问题，可以了解一下选路问题，如果本该去ISP1的报文，却从ISP2出去，这样会导致“绕远路”，影响用户体验，可以采用基于目的地址的策略路由或者基于源地址的策略路由。此处非重点不讲述。

只要报文发出去之前把报文的源私网地址转换成相应的公网地址，源NAT的作用就完成了。

一般情况下，会将防火墙的两个公网接口划分到不同的安全区域，然后配置内部网络与这两个不同的安全区域的源NAT策略。

//将接口加入到相应的安全区域
[USG]firewall zone trust
[USG-zone-trust]display this
2023-12-23 13:02:20.200 
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/0
#
return
[USG]firewall zone name isp1
[USG-zone-isp1]set priority 10	
[USG-zone-isp1]add interface g1/0/2
[USG-zone-isp1]q
[USG]firewall zone name isp2
[USG-zone-isp2]set priority 20
[USG-zone-isp2]add interface g1/0/3
[USG-zone-isp2]quit

//创建两个NAT地址池
[USG]nat address-group addressgroup1
[USG-address-group-addressgroup1]display this
2023-12-23 13:08:20.500 
#
nat address-group addressgroup1 0
 mode pat
 route enable
 section 0 208.1.1.2 208.1.1.4
#
return

[USG]nat address-group addressgroup2	
[USG-address-group-addressgroup2]mode pat 
[USG-address-group-addressgroup2]section 0 209.1.1.2 209.1.1.4
[USG-address-group-addressgroup2]route enable

//配置两条NAT策略
[USG]nat-policy 
[USG-policy-nat]rule name policy_nat1
[USG-policy-nat-rule-policy_nat1]display this
2023-12-23 13:11:55.840 
#
 rule name policy_nat1
  source-zone trust
  destination-zone isp1
  source-address 192.168.0.0 mask 255.255.255.0
  action source-nat address-group addressgroup1
#
return
[USG-policy-nat]rule name policy_nat2
[USG-policy-nat-rule-policy_nat2]source-zone trust
[USG-policy-nat-rule-policy_nat2]destination-zone isp2
[USG-policy-nat-rule-policy_nat2]source-address 192.168.0.0 24
[USG-policy-nat-rule-policy_nat2]action source-nat address-group addressgroup2
[USG-policy-nat-rule-policy_nat2]quit

//配置两条安全策略
[USG-policy-security-rule-policy1]display this
2023-12-23 13:15:11.440 
#
 rule name policy1
  source-zone trust
  destination-zone isp1
  source-address 192.168.0.0 mask 255.255.255.0
  action permit
#
return
[USG-policy-security]rule name policy2	
[USG-policy-security-rule-policy2]source-zone trust
[USG-policy-security-rule-policy2]destination-zone isp2
[USG-policy-security-rule-policy2]source-address 192.168.0.0 24
[USG-policy-security-rule-policy2]action permit
[USG-policy-security-rule-policy2]quit

参考资料：防火墙和VPN技术与实践 李学昭

Mario_Ti
关注
  • 30
    点赞
  • 踩
  • 26
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
linux网络NAT配置方式详解
09-15
主要为大家详细介绍了linux网络NAT配置方式，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
网络地址转换（NAT）技术
qq_51776588的博客
02-14 9086
网络地址转换原理 NAT技术的基本原理 NAT技术通过对IP报文头中的源地址或目的地址进行转换，可以使大量的私网IP地址通过共享少量的公网IP地址来访问公网。 NAT是将IP报文报头中的IP地址转换为另一个IP地址的过程，一般的NAT转换设备都维护着一张地址转换表，所有经过NAT转换设备（处于内部网络和外部网络的连接处，常见的设备有：路由器、防火墙等）并且需要进行地址转换的报文，都会通过这个表做相应的修改。地址转换的机制分为如下两个部分： 1、内部网络主机的IP地址和端口转换为NAT转换设备外部网络地址和
NGFW_源NAT
qq_27599713的博客
02-12 6032
源NAT是指将报文的源地址进行转换。如图所示，当私网地址用户访问Internet时，FW将报文的源地址由私网地址转换为公网地址。当响应报文返回到FW时，FW再将报文的目的地址转换为私网地址。根据原地址转换是否转换端口，源NAT分为仅源地址转换的NAT(NAT No-PAT)，源地址和源端口同时转换的NAT(NAPT，Smart NAT，Easy IP，三元组NAT）。
源NAT目的NAT
热门推荐
netabecedarian的博客
10-16 1万+
源NAT 目的NAT区别 在FW中，匹配策略的顺序导致存在源NAT和目的NAT。 源NAT就是平常的PAT，NAT，数据包到了FW，先匹配策略，看是否同行，策略过了后，才会进行NAT转换。 目的NAT一般用于将内网服务器端口映射到公网端口，但是该顺序是在匹配同行策略之前，所以它会先将内网地址转换后，在匹配策略，最后通向外网。 如图所示 FW的策略为 源NAT策略大致为 源192.168.1....
NAT相关概念
weixin_57476683的博客
05-31 3521
文章目录前言一、什么是NAT？二、NAT解决了什么问题？三、NAT的类型四、STUN中定义的NAT类型五、NAT的实现方式六、NAT的工作原理七、NAPT的工作原理八、NAT Server工作原理九、如何使用NAT？总结 前言 一、什么是NAT？ NAT是一种地址转换技术，它可以将IP数据报文头中的IP地址转换为另一个IP地址，并通过转换端口号达到地址重用的目的。NAT作为一种缓解IPv4公网地址枯竭的过渡技术，由于实现简单，得到了广泛应用。 二、NAT解决了什么问题？ 随着网络应用的增多，IPv4地址
防火墙和NAT基础学习
留下虚度光阴的一些证据。
08-16 2756
华为防火墙基础学习和NAT基础学习
源NAT原理与配置
aaheguosong的博客
06-01 928
略 (IP地址、路由、安全区域的配置以及其他网络设备的IP地址、路由的配置)
一文了解网络地址转换（NAT）
闵行小鱼塘
06-30 3146
本文试图尽可能全面的讲清楚NAT
防火墙————源NAT
最新发布
xiazhui1的博客
11-15 452
源NAT是指对报文中的源地址进行转换。通过源NAT技术将私网IP地址转换成公网IP地址，使私网用户可以利用公网地址访问InternetFW收到Host发送的报文后，根据目的IP地址判断报文需要在Trust区域和Untrust区域之间流动，通过安全策略检查后继而查找NAT策略，发现需要对报文进行地址转换。FW根据源IP Hash算法从NAT地址池中选择一个公网IP地址，替换报文的源IP地址，同时使用新的端口号替换报文的源端口号，并建立会话表，然后将报文发送至Internet。
深度好文：源 NAT 类型的防火墙
网络技术联盟站
02-18 1735
防火墙和路由器一样，可以部署 NAT 功能来进行地址转换，但相比路由器，防火墙的NAT功能提供了更丰富的选择，让管理员可以更灵活地使用NAT功能。 在本文中，我们将讨论源 NAT 功能中的防火墙。 防火墙的源NAT可以分为两种：只进行地址转换和同时进行地址和端口转换。仅地址转换模式包括 NAT No-PAT，而地址和端口转换模式包括 NAPT、Smart NAT、Easy IP 和三重 NAT。 NAT No-PAT NAT No-PAT 只执行简单的源地址转换。 管理员在配置NAT No-PAT时，需要指
实战思科路由器NAT案例配置详解
01-12
这些资料均为互联网收集的，是当时在做网络工程课程设计的时候查找到的，这些资料质量都还不错，对于网络设计有一定的参考价值，可以下载看看。（如果有侵权请联系删除）
Linux 中LVS NAT 配置步骤的详解
09-15
主要介绍了Linux 中LVS NAT 配置步骤的详解的相关资料,这里列出详细的实现步骤，需要的朋友可以参考下
vmware虚拟机NAT配置静态IP教程详解
09-30
主要介绍了vmware虚拟机NAT配置静态IP的相关资料,需要的朋友可以参考下
NAT配置 网络地址转换NAT详解指南.zip
02-11
NAT配置 网络地址转换NAT详解指南
源NAT No-PAT
2301_77023501的博客
11-15 68
源NAT简介源NAT是指对报文中的源地址进行转换。通过源NAT技术将私网IP地址转换成公网IP地址，使私网用户可以利用公网地址访问Internet。转换过程如所示。源NAT工作原理示意图根据转换源地址时是否同时转换端口，源NAT分为仅源地址转换的NAT（NAT No-PAT），源地址和源端口同时转换的NAT（NAPT、Smart NAT、Easy IP、三元组NAT）。
防火墙_源NAT
weixin_42528239的博客
08-12 1698
不同的NAT类型对应不同的NAT策略，在FW上处理顺序不同。 1、W收到报文后，查找NAT Server生成的Server-map表，如果报文匹配到Server-map表，则根据表项转换报文的目的地址，然后进行第四步；若没有匹配到，则进行下一步 2、查找基于ACL的目的NAT，如果报文符合匹配条件，则转换报文的目的地址，然后进行第四步；若不符合，则进行下一步 3、查找NAT策略中目的NAT，如果报文符合匹配条件，则转换报文的目的地址后进行路由处理；若不符合，则直接进行路由处理 4、根据报文当前的信息查找路由
你了解你每天都在用的NAT吗？
qq_40741808的博客
05-15 760
###概述 NAT英文全称是“Network Address Translation”，中文意思是“网络地址转换”，它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准，允许一个整体机构以一个公用IP（Internet Protocol）地址出现在Internet上。顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。NAT 可以让那些使用私有地址的内部网络连接到Internet或其它IP网络上，这个过程对用户来说是透
关于NAT
syl_410的博客
05-31 465
一：什么是NAT？ NAT是一种地址转换技术，它可以将IP数据报文头中的IP地址转换为另一个IP地址，并通过转换端口号达到地址重用的目的。NAT作为一种缓解IPv4公网地址枯竭的过渡技术，由于实现简单，得到了广泛应用。 二：NAT解决了什么问题？ 随着网络应用的增多，IPv4地址枯竭的问题越来越严重。尽管IPv6可以从根本上解决IPv4地址空间不足问题，但目前众多网络设备和网络应用大多是基于IPv4的，因此在IPv6广泛应用之前，使用一些过渡技术（如CIDR、私网地址等）是解决这个问题的主要方式，NA
华为防火墙之NAT技术
知识分享，学习记录，技术人生，，经验心得交流，IT晋升之路，一起成长，一起进步。
06-27 1934
对IP报文的源地址进行转换，，使大量私网用户可以利用少量公网IP地址访问Internet，大大减少了对公网IP地址的消耗。源NAT转换的过程如下图所示，当私网用户访问Internet的报文到达防火墙时，防火墙将报文的源IP地址由私网地址转换为公网地址；当回程报文返回至防火墙时，防火墙再将报文的目的地址由公网IP地转换为私网地址。整个NAT转换过程对于内部网络中的用户和Internet上的主机来说是完全透明的。
华为usg防火墙pool 源nat配置实验
06-09
好的，我可以为你提供一些关于华为USG防火墙Pool源NAT配置的实验步骤。下面是具体步骤： 1. 首先，登录到华为USG防火墙的Web管理界面，并选择“配置向导”选项卡。 2. 在“配置向导”页面中，选择“网络配置”选项，并点击“源NAT”选项。 3. 在“源NAT”页面中，点击“pool NAT”选项，并选择“新建”按钮。 4. 在“新建pool NAT”页面中，输入一个名称，并选择需要进行源NAT的接口。 5. 接下来，在“地址池”选项中，可以选择“手动添加”或者“导入地址池”进行地址池的配置。如果选择“手动添加”，则需要输入IP地址、掩码、网关等信息。 6. 在“使用NAT地址池的规则”选项中，可以选择访问源和目的地址，以及协议类型等。 7. 最后，点击“完成”按钮保存配置。 以上就是关于华为USG防火墙Pool源NAT配置的实验步骤。希望对你有所帮助。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值