NGWF_目的NAT

一，目的NAT

1.1简介

        目的NAT将报文中的目的地址和端口进行转换。

         如图，当外网用户访问内部Server时，FW的处理流程如下：

        1.当外网用户访问内网Server报文到达FW时，FW将报文的目的IP地址由公网地址转换为私网地址。

        2.当响应报文返回FW时，FW再将报文的源地址由私网地址转换为公网地址。

1.2分类

1.2.1静态目的NAT

        静态目的NAT是转换报文目的IP地址，且转换前后的地址存在固定的映射关系。

        通常情况下，处于安全考虑，不允许外部网络主动访问内部网络。但是在某些情况下，还是希望能够为外部网络访问内部网络提供一种途径。

        如图所示，当公网PC访问公司内部Server时，FW的处理流程如下：

        1.FW收到Internet用户访问1.1.1.1的报文首包后，将匹配NAT策略的目的地址进行转换。

        2.FW将配置的私网IP地址和端口替换报文的目的地址，同时可以选择使用新的端口或者端口号保持不变。公网地址与私网地址一对一进行映射的场景下，公网地址与私网地址一对一进行映射。

        3.报文通过安全策略后，建立会话，将报文转发给内网服务器

        4.FW收到响应报文后，通过查找会话匹配表项，修改源地址发送给PC。

1.2.2动态目的NAT

        动态目的NAT是一种动态转换报文目的IP的方式，转换前后不存在一种固定的映射关系。

        通常情况下，静态目的NAT可以满足大部分目的地址转换的场景，但是某些情况下，希望转换后地址不固定。 

        

         当PC访问Server时，FW的处理过程如下：

        1.FW收到PC发送的报文后，将匹配NAT策略的报文进行目的地址转换，从地址池中选择一个地址作为转换后的地址，并将目的IP地址1.1.1.1转换为192.168.1.1。

        2.FW通过域间安全策略后建立会话。

        3.FW收到响应报文后，匹配会话表项，将报文源地址转换。

二，目的NAT配置

2.1NAT Server

        Nat Server可以用来发布内网的服务器或特定服务。

1.拓扑

 2.需求

        将DMZ区域的的Web服务映射到Untrust区域，公网PC通过访问1.1.1.1:80访问服务器。

3.配置过程

①IP地址安全区域划分略

②安全策略略

③Nat Server配置

[FW1]nat server  Web_Server protocol  tcp  global  1.1.1.1  www inside  192.168.1.1 www unr-route  

4.检查

①PC访问Web Server，查看会话表

 http  VPN: public --> public  ID: c487f6bf3fce7902ad963ea22a1
 Zone: untrust --> dmz  TTL: 00:20:00  Left: 00:19:53
 Recv Interface: GigabitEthernet1/0/1
 Interface: GigabitEthernet1/0/0  NextHop: 192.168.1.1  MAC: 5489-98f3-7ce6
 <--packets: 3 bytes: 431 --> packets: 4 bytes: 600
 10.1.1.1:59917 --> 1.1.1.1:80[192.168.1.1:80] PolicyName: Web_Server
 TCP State: established

②查看server-map，添加no-reverse参数可以取消反向server-map表项，反向表项可以使内网服务器访问外网。

[FW1]display  firewall server-map  
2023-02-13 11:46:01.450 
 Current Total Server-map : 2
 Type: Nat Server,  ANY -> 1.1.1.1:80[192.168.1.1:80],  Zone:---,  protocol:tcp
 Vpn: public -> public
 Type: Nat Server Reverse,  192.168.1.1[1.1.1.1] -> ANY,  Zone:---,  protocol:tcp
 Vpn: public -> public,  counter: 1

③unr-route会产生黑洞路由，防止路由环路

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
   1.1.1.1/32        Unr     61   0           D   127.0.0.1       InLoopBack0

2.2目的NAT

1.拓扑

2.需求

        配置目的NAT，实现外网PC可以访问内网服务器。

3.配置过程

①IP地址安全区域划分略

②安全策略略

③配置地址池

[FW1]destination-nat  address-group  DNAT 
[FW1-dnat-address-group-DNAT]section 192.168.1.1 192.168.1.5

③配置NAT策略

[FW1]nat-policy 
[FW1-policy-nat]rule name DNAT
[FW1-policy-nat-rule-DNAT]source-zone untrust
[FW1-policy-nat-rule-DNAT]destination-address 1.1.1.1 32
[FW1-policy-nat-rule-DNAT]action  destination-nat address-group DNAT

4.检查

①查看会话表

[FW1]display  firewall session table  service  http 
2023-02-13 11:56:30.670 
 Current Total Sessions : 1
 http  VPN: public --> public  10.1.1.1:60432 --> 1.1.1.1:80[192.168.1.1:80]