ENSP源NAT实验
ENSP源NAT实验
前言
NAT(Network Address Translation)是一种地址转换技术,可以将IPv4报文头中的地址转换为另一个地址。通常情况下,利用NAT技术将IPv4报文头中的私网地址转换为公网地址,可以实现位于私网的多个用户使用少量的公网地址同时访问Internet。因此,NAT技术常用来解决随着Internet规模的日益扩大而带来的IPv4公网地址短缺的问题。
一、源nat技术分类
源nat根据用途大致可以分为五类。
no-pat:只转换源IP地址,不转换源端口号。
NAPT(pat):既转换源IP地址,又转换源端口号。流量转发速度快。
easy-ip:将源IP地址源端口号转换为出接口IP地址端口号。
smart nat:结合no-pat和pat充分利用现有地址,使利用率最大化。
三元组nat:类似no-pat生成的反向server-map表,full-cone
二、拓扑图
三、基础配置
FW1:
interface GigabitEthernet1/0/1
undo shutdown
ip address 10.1.1.254 255.255.255.0
interface GigabitEthernet1/0/2
undo shutdown
ip address 1.1.1.1 255.255.255.0
firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/1
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/2
AR1:
interface GigabitEthernet0/0/0
ip address 1.1.1.2 255.255.255.0
interface GigabitEthernet0/0/1
ip address 2.2.2.254 255.255.255.0
LSW1不做任何配置
四、实验目的
现有一个小型企业,需求如下:
企业申请了两个公网地址分别为1.1.1.200,1.1.1.201
1.通过nat技术实现内网主机都能访问外网主机,内网主机同时能ping通外网主机。
2.在不知道内网网段的情况下,实现外网主机访问内网主机。
五、配置
[FW1]ip route-static 0.0.0.0 0 1.1.1.2 #配置一条默认路由指向外网,等价于ip route-static 2.2.2.0 24 1.1.1.2
[FW1]nat address-group nat_pool1 #创建nat地址池名
[FW1-address-group-nat_pool1]mode no-pat #缺省情况下是pat,配置成no-pat
[FW1-address-group-nat_pool1]section 0 1.1.1.200 1.1.1.201 #添加地址
[FW1-address-group-nat_pool1]quit #退出当前视图
[FW1]nat-policy #配置nat策略
[FW1-policy-nat]rule name trust_to_untrust #策略名
[FW1-policy-nat-rule-trust_to_untrust]source-zone trust #指定源区域
[FW1-policy-nat-rule-trust_to_untrust]destination-zone untrust #指定目的区域
[FW1-policy-nat-rule-trust_to_untrust]source-address 10.1.1.0 24 #指定源地址网段,可以为单个主机地址
[FW1-policy-nat-rule-trust_to_untrust]destination-address 2.2.2.0 24 #指定目的地址网段,可以为单个主机地址
[FW1-policy-nat-rule-trust_to_untrust]action source-nat address-group nat_pool1 #引用创建的nat地址池
#配置的rule name trust_to_untrust这条nat策略表示,源区域trust的源地址10.1.1.0网段去往目的区域untrust的地址2.2.2.0网段进行源nat地址转换,转换源地址为地址池中的地址。
[FW1]security-policy #配置安全策略,不管做什么配置,防火墙最终一定要做安全策略的配置
[FW1-policy-security]rule name trust_to_untrust #策略名
[FW1-policy-security-rule-trust_to_untrust]source-zone trust #同上
[FW1-policy-security-rule-trust_to_untrust]destination-zone untrust
[FW1-policy-security-rule-trust_to_untrust]source-address 10.1.1.