防火墙NAT策略

1、NAT基本类型

（1）静态NAT：静态NAT是一种直接将内部IP地址和端口映射到公共IP地址和端口的方式，映射关系是固定不变的，适用于提供服务的设备上。

（2）动态NAT：动态NAT是一种将多个内部IP地址映射到较少数量的公共IP地址上的方式，并且这些映射关系是动态变化的。

（3）Napt网络地址端口转换

        1）一对一 ---- easy IP：Easy IP:实现原理和NAPT相同，同时转换IP地址、传输层端口，区别在于Easy IP没有地址池的概念，使用接口地址作为NAT转换的公有地址。

        2）多对多的NAPT

NAPT与动态NAT的区别：

        1）动态NAT选择地址池中的地址转换时不会转换端口号，即no-pat，动态nat是非端口地址转换。公有地址与私有地址还是1:1的映射关系，无法提高公有地址利用率。

        2）NAPT（Network address and port Translation，网络地址端口转换），NAPT是网络地址端口转换 :从地址池中选择地址进行地址转换时不仅转换IP地址，同时也会对端口号进行转换，从而实现公有地址与私有地址的1:N映射（一个公有地址对应多个私有地址），可以有效提高公有地址的利用率。

（4）服务器映射：是地址和端口的 一对一转换，只能让外部主机访问内网服务器的特定端口，更加的安全，仅支持单项互访，及外网主动访问内网。一般用于提供外网主机访问内网服务器的场景

nat server功能使得内部服务器可以供外部网络访问。**外部网络的用户访问内部服务器时，nat将请求报文的目的地址转换成内部服务器的私有地址。对内部服务器回应报文而言，nat还会自动将回应报文的源地址（私网地址）转换成公网地址。

2、防火墙NAT类型

源NAT---基于源IP地址转换，让内网能够访问外网，这种NAT都属于源NAT，包含静态NAT（更多应用在目标NAT中）、动态NAT、以及NAPT

目标NAT ---基于目标IP地址进行转换，以前的端口映射

双向NAT---同时转换源IP地址和目标IP地址，不同于两次NAT

3、NAT基本配置

（1）Easy ip

注意：源NAT是在安全策略之后执行转换。

（2）多对多的NAPT 

配置黑洞路由就是会使公网地址池中的地址都生成一条指向其自身的空接口，这里主要是为了 应对公网地址和出接口地址不在同一个网段的情况，因为在这种情况下，如果公网用户访问地址池中的公网地址，将可能造成环路，所以，需要通过空接口防环；如果公网地址池地址和出接口在同一个网段，也可以勾选该选项，这种情况下虽然不会出现环路，但是，有了这个黑洞路由，可以减少ARP报文的出现；

黑洞路由就是会自动生成空接口，在同一个网段中勾选上了黑洞路由，那么就会优先匹配空接口因为掩码是32/31位，所以会直接将询问地址的ARP包丢弃

路由黑洞：汇总的时候包含了实际网络中不存在的网段，额外占用资源，不能与缺省相遇，会成环，可以使用空接口解决

他不会触发安全策略，所以出现了环

4、

五元组NAT---通过源IP、源端口、目标IP、目标端口、协议五个参数来标定一次NAT的转

换，如果任何一个参数发生变化，都需要更换端口来进行转换。

三元组NAT--仅识别源IP，源端口和协议三个参数来区分一次NAT的链接。

端口预分配 --- 可以设定端口转换使用的端口范围

源IP地址数量限制 --- 可以设定一个公网IP地址转换的源IP地址的数量，比如设置为1，则公网IP地址在会话表老化之前，只能针对一个源IP地址进行转换

保留IP地址 ---- 可以将不需要使用的公网IP地址放置在保留IP地址中，则在进行转换的时候，不会使用该地址转换。

6、动态NAT

三元组NAT