03-网络地址转换技术

IP地址分类

私网地址：

A类地址：10.0.0.0～10.255.255.255

B类地址：172.16.0.0～172.31.255.255

C类地址：192.168.0.0～192.168.255.255

NAT(网络地址转换技术)

NAT技术通过对IP报文头中的源地址或目的地址进行转换，可以使大量的私网IP地址通过共享少量的公网IP地址来访问公网

• 优点：

  • 实现IP地址复用，节约宝贵的地址资源。

  • 地址转换过程对用户透明。

  • 对内网用户提供隐私保护。

  • 可实现对内部服务器的负载均衡。

• 缺点：

  • 网络监控难度加大。

  • 限制某些具体应用。

NAT分类

源NAT:用来使多个私网用户能够同时访问Internet。

地址池方式:采用地址池中的公网地址为私网用户进行地址转换，适合大量的私网用户访问Internet的场景。

静态NAT（No-PAT）：

#1.配置接口IP地址和安全区域，完成网络基本参数配置。
firewall zone trust
	add int g1/0/1
	q
firewall zone untrust
	add int g1/0/2
	q
#2.配置安全策略，允许私网指定网段与Internet进行报文交互。
security-policy   
  rule name policy1  
    source-zone trust 
    destination-zone untrust 
    source-address 10.1.1.0 24  
			#使用NAT之前的地址，允许10.1.1.0网段通过
    action permit 

#3.配置NAT地址池，不开启端口转换。
nat address-group addressgroup1 0
 mode no-pat global
		#只做地址转换，global全局，local本地
 section 0 1.1.1.10 1.1.1.15
		#地址池为1.1.1.10----1.1.1.15 

#4.配置源NAT策略，实现私网指定网段访问Internet时自动进行源地址转换。
nat-policy  
  rule name policy_nat1 
    source-zone trust 
    destination-zone untrust  
    source-address 10.1.1.0 24 
			
    action source-nat address-group addressgroup1  
			#匹配到10.1.1.0网段，则进行地址转换

#5.在FW上配置缺省路由，使私网流量可以正常转发至ISP的路由器。
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254 

#6.在私网主机上配置缺省网关，使私网主机访问Internet时，将流量发往FW。

#7.在Router上配置静态路由，使从Internet返回的流量可以被正常转发至FW。
R2:
ip  route-static 0.0.0.0 0 1.1.1.1 

• No-PAT会由流量触发产生反向server-map表项
  • 反向的server-map表项允许外网主机通过访问内网主机转换后的公网地址，主动的对内网主机发起访问，在安全策略放行的情况下，存在安全风险。
  • 正向的server-map表项是为了加快防火墙转发效率

动态NAT(NAPT)：