ENSP源NAT实验

ENSP源NAT实验

前言

NAT（Network Address Translation）是一种地址转换技术，可以将IPv4报文头中的地址转换为另一个地址。通常情况下，利用NAT技术将IPv4报文头中的私网地址转换为公网地址，可以实现位于私网的多个用户使用少量的公网地址同时访问Internet。因此，NAT技术常用来解决随着Internet规模的日益扩大而带来的IPv4公网地址短缺的问题。

一、源nat技术分类

源nat根据用途大致可以分为五类。
no-pat：只转换源IP地址，不转换源端口号。
NAPT(pat)：既转换源IP地址，又转换源端口号。流量转发速度快。
easy-ip：将源IP地址源端口号转换为出接口IP地址端口号。
smart nat：结合no-pat和pat充分利用现有地址，使利用率最大化。
三元组nat：类似no-pat生成的反向server-map表，full-cone

二、拓扑图

三、基础配置

FW1：
interface GigabitEthernet1/0/1
undo shutdown
ip address 10.1.1.254 255.255.255.0
interface GigabitEthernet1/0/2
undo shutdown
ip address 1.1.1.1 255.255.255.0
firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/1
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/2
AR1：
interface GigabitEthernet0/0/0
ip address 1.1.1.2 255.255.255.0
interface GigabitEthernet0/0/1
ip address 2.2.2.254 255.255.255.0
LSW1不做任何配置

四、实验目的

现有一个小型企业，需求如下：
企业申请了两个公网地址分别为1.1.1.200，1.1.1.201
1.通过nat技术实现内网主机都能访问外网主机，内网主机同时能ping通外网主机。
2.在不知道内网网段的情况下，实现外网主机访问内网主机。

五、配置

[FW1]ip route-static 0.0.0.0 0 1.1.1.2 #配置一条默认路由指向外网，等价于ip route-static 2.2.2.0 24 1.1.1.2

[FW1]nat address-group nat_pool1 #创建nat地址池名
[FW1-address-group-nat_pool1]mode no-pat #缺省情况下是pat，配置成no-pat
[FW1-address-group-nat_pool1]section 0 1.1.1.200 1.1.1.201 #添加地址
[FW1-address-group-nat_pool1]quit #退出当前视图

[FW1]nat-policy #配置nat策略
[FW1-policy-nat]rule name trust_to_untrust #策略名
[FW1-policy-nat-rule-trust_to_untrust]source-zone trust #指定源区域
[FW1-policy-nat-rule-trust_to_untrust]destination-zone untrust #指定目的区域
[FW1-policy-nat-rule-trust_to_untrust]source-address 10.1.1.0 24 #指定源地址网段，可以为单个主机地址
[FW1-policy-nat-rule-trust_to_untrust]destination-address 2.2.2.0 24 #指定目的地址网段，可以为单个主机地址
[FW1-policy-nat-rule-trust_to_untrust]action source-nat address-group nat_pool1 #引用创建的nat地址池
#配置的rule name trust_to_untrust这条nat策略表示，源区域trust的源地址10.1.1.0网段去往目的区域untrust的地址2.2.2.0网段进行源nat地址转换，转换源地址为地址池中的地址。

[FW1]security-policy #配置安全策略，不管做什么配置，防火墙最终一定要做安全策略的配置
[FW1-policy-security]rule name trust_to_untrust #策略名
[FW1-policy-security-rule-trust_to_untrust]source-zone trust #同上
[FW1-policy-security-rule-trust_to_untrust]destination-zone untrust
[FW1-policy-security-rule-trust_to_untrust]source-address 10.1.1.