华为防火双向NAT

296、实验双向NAT：

 实验topo :

297、转换前：

实验需求：配置一条源NAT，使得trust可以访问untrust1;

实验步骤;

配置一条源NAT：

   

新建一条安全策略：

测试结果：

298、双向NAT：

一、域间的双向NAT

应用场景：一台服务器连接在一台交换机上，交换机上有两个出口，分别使用不同的运营商出口，如果外网用户访问内网服务器，回包的时候就会出现两个出口选择，有可能回包出口与入包出口不一致的情况，产生异步路由的情况；

异步路由解决办法：在做NAT转换的时候，不仅仅将目的IP地址转换成为Z，还需要将源IP地址转换成为Z1,这样在回包的时候，server与FW就是直连路由回包，就不用再配置网关；

场景二;外网用户访问内网的web服务器，但是内网的web服务与sql服务并不在同一台服务器上，外网用户访问内网服务器时，需要调用sql,就需要产生异步路由，就需要配置双向NAT，指定数据回包的出口，使得数据库的回包与web服务器是直连路由；

双向NAT配置：

将内网的服务器映射至外网：

放行安全策略：

测试结果，（此时只进行了服务器地址映射，客户机有网关）

tips:如果将网关去掉，就不能正常的访问内网服务器；因为外网访问内网的服务器没有做源地址转换，该数据包的源IP地址与内网地址不在同一个网段，服务器回包的时候找不到该网段就会将数据包丢弃；

在做一条源NAT转换，将数据包的源IP地址转化成为入接口的地址：

测试结果：

抓包分析:(已经将源IP地址转换成为内网地址)

二、域内的双向NAT

应用场景：客户机与服务器在同一个网段，但是dns服务器不再同一安全域，网关在防火墙上；回包的时候，数据包不会经过防火墙，直接经过交换机回去；

将trust区域的http服务映射出去：

做安全策略，放行untrust1到trust的流量

配置dns 服务器：

测试结果：

此时内网访问内网的服务器就会出现问题，

配置一条源NAT:

数据流走向：

此时，地址解析已经成功，但是由于客户机接收到的回包并没有经过地址转换成为出包的IP地址，也不会经过防护墙，所以客户机认为来回路径不一致，拒绝回包，所以还是不能通信；

回包数据流走向：

此时新建一条源NAT策略，将回包的数据流引向防火墙，再回复给客户机就不会出现这种问题：

测试结果：