一,目的NAT
1.1简介
目的NAT将报文中的目的地址和端口进行转换。
如图,当外网用户访问内部Server时,FW的处理流程如下:
1.当外网用户访问内网Server报文到达FW时,FW将报文的目的IP地址由公网地址转换为私网地址。
2.当响应报文返回FW时,FW再将报文的源地址由私网地址转换为公网地址。
1.2分类
1.2.1静态目的NAT
静态目的NAT是转换报文目的IP地址,且转换前后的地址存在固定的映射关系。
通常情况下,处于安全考虑,不允许外部网络主动访问内部网络。但是在某些情况下,还是希望能够为外部网络访问内部网络提供一种途径。
如图所示,当公网PC访问公司内部Server时,FW的处理流程如下:
1.FW收到Internet用户访问1.1.1.1的报文首包后,将匹配NAT策略的目的地址进行转换。
2.FW将配置的私网IP地址和端口替换报文的目的地址,同时可以选择使用新的端口或者端口号保持不变。公网地址与私网地址一对一进行映射的场景下,公网地址与私网地址一对一进行映射。
3.报文通过安全策略后,建立会话,将报文转发给内网服务器
4.FW收到响应报文后,通过查找会话匹配表项,修改源地址发送给PC。
1.2.2动态目的NAT
动态目的NAT是一种动态转换报文目的IP的方式,转换前后不存在一种固定的映射关系。
通常情况下,静态目的NAT可以满足大部分目的地址转换的场景,但是某些情况下,希望转换后地址不固定。
当PC访问Server时,FW的处理过程如下:
1.FW收到PC发送的报文后,将匹配NAT策略的报文进行目的地址转换,从地址池中选择一个地址作为转换后的地址,并将目的IP地址1.1.1.1转换为192.168.1.1。
2.FW通过域间安全策略后建立会话。
3.FW收到响应报文后,匹配会话表项,将报文源地址转换。
二,目的NAT配置
2.1NAT Server
Nat Server可以用来发布内网的服务器或特定服务。
1.拓扑
2.需求
将DMZ区域的的Web服务映射到Untrust区域,公网PC通过访问1.1.1.1:80访问服务器。
3.配置过程
①IP地址安全区域划分略
②安全策略略
③Nat Server配置
[FW1]nat server Web_Server protocol tcp global 1.1.1.1 www inside 192.168.1.1 www unr-route
4.检查
①PC访问Web Server,查看会话表
http VPN: public --> public ID: c487f6bf3fce7902ad963ea22a1
Zone: untrust --> dmz TTL: 00:20:00 Left: 00:19:53
Recv Interface: GigabitEthernet1/0/1
Interface: GigabitEthernet1/0/0 NextHop: 192.168.1.1 MAC: 5489-98f3-7ce6
<--packets: 3 bytes: 431 --> packets: 4 bytes: 600
10.1.1.1:59917 --> 1.1.1.1:80[192.168.1.1:80] PolicyName: Web_Server
TCP State: established
②查看server-map,添加no-reverse参数可以取消反向server-map表项,反向表项可以使内网服务器访问外网。
[FW1]display firewall server-map
2023-02-13 11:46:01.450
Current Total Server-map : 2
Type: Nat Server, ANY -> 1.1.1.1:80[192.168.1.1:80], Zone:---, protocol:tcp
Vpn: public -> public
Type: Nat Server Reverse, 192.168.1.1[1.1.1.1] -> ANY, Zone:---, protocol:tcp
Vpn: public -> public, counter: 1
③unr-route会产生黑洞路由,防止路由环路
Destination/Mask Proto Pre Cost Flags NextHop Interface
1.1.1.1/32 Unr 61 0 D 127.0.0.1 InLoopBack0
2.2目的NAT
1.拓扑
2.需求
配置目的NAT,实现外网PC可以访问内网服务器。
3.配置过程
①IP地址安全区域划分略
②安全策略略
③配置地址池
[FW1]destination-nat address-group DNAT
[FW1-dnat-address-group-DNAT]section 192.168.1.1 192.168.1.5
③配置NAT策略
[FW1]nat-policy
[FW1-policy-nat]rule name DNAT
[FW1-policy-nat-rule-DNAT]source-zone untrust
[FW1-policy-nat-rule-DNAT]destination-address 1.1.1.1 32
[FW1-policy-nat-rule-DNAT]action destination-nat address-group DNAT
4.检查
①查看会话表
[FW1]display firewall session table service http
2023-02-13 11:56:30.670
Current Total Sessions : 1
http VPN: public --> public 10.1.1.1:60432 --> 1.1.1.1:80[192.168.1.1:80]