华为网络----防火墙理论+NAT策略理论与实验

最新推荐文章于 2024-05-15 22:30:04 发布

置顶

weixin_45726050

最新推荐文章于 2024-05-15 22:30:04 发布

阅读量2.1k

点赞数 4

分类专栏：华为网络

本文链接：https://blog.csdn.net/weixin_45726050/article/details/104502943

版权

防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。
防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护，同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验。
而NAT 技术是用来解决当今IP地址资源枯竭的一种技术，同时也是IPv4向IPv6的一种过渡

在这里插入图片描述

华为防火墙有三种工作模式

① 路由模式
- 当防火墙处于内部网路和外部网络中间时，需要将防火墙的内部网络、外部网络、DMZ三个区域分配不同地址段的时候使用
- 这个时候防火墙首先是台路由器，然后在提供其他的防火墙功能
② 透明模式
- 华为防火墙通过二层和外相连接时候，则防火墙处于透明模式下
③ 混合模式
- 既处于路由接口模式又处于透明模式下，则防火墙是混合模式
- 目前只用于透明模式下的双机热备的特殊应用中。别的环境不用

传统的防火墙都是基于5元组：源IP、目标IP、协议号、源端口号、目标端口号
新一代的防火墙除了传统的5元组之外，还加入了应用、内容、时间、用户、威胁、位置进行深层次探测
默认情况下，华为防火墙的策略有以下特点：
- 任何2个安全区域的优先级不能相同
- 本域内不同接口间的报文不过滤直接转发
- 接口没有加入域之前不能转发包
- 在USG6600系列防火墙上默认是没有安全策略的，也就是说，不管是什么区域之间项目访问，都必须要配置安全策略，除非是同一区域内的报文传递

① NAT no-PAT

类似思科的动态转化，多对多，只转换IP地址，不转换端口，不能节约公网IP地址，实际应用场景较少，主要适用于需要上网的用户较少，而公网IP地址相对充裕的场景
② NAPT（网络地址端口转换）

类似思科的PAT，NATP即转换报文的源地址，又转换源端口，转换后地址不能是外网接口IP地址，属于多对多或者多对一的转换，可以节省公网IP地址，使用场景较多
③ Easy-IP （出接口地址）

因其转换方式非常简单，所以也被称为Easy-IP、和NAPT一样，即转换源IP地址，又转换源端口。区别是出接口地址方式转换后的地址只能是NAT设备外网接口所配置的IP地址，属于多对一转换，可以节约IP地址
NAT Server

静态一对一发布，主要用于内部服务器需要对internet提供服务时使用
Smart NAT（只能转换）

与源IP地址、源端口和协议类型有关的一种转换，将源IP地址和源端口转换为固定公网IP地址和端口，能解决一些特殊应用在普遍NAT种无法实现的问题
三元组NAT

与源地址、源端口和协议类型有关的一种转换，将源IP地址和源端口转换为固定公网IP地址和端口，能解决一些特殊应用在普遍NAT中无法实现的问题，主要应用外部访问局域网的一些P2P应用

在特定的NAT转换时，可能会产生环路及无效ARP，关于其如何产生，大概就是，在有些NAT的转换方式中，是为了解决内网连接Internet，而映射出了一个公有IP，那么，若此时有人通过internet来访问这个映射出来的公有IP，就会产生这种情况。解决这个问题的办法就是配置黑洞路由（将internet主动访问映射出来的地址流量指定到空接口null0)

在这里插入图片描述

ip route-static 100.2.2.10 32 NULL 0

关注