安全防御作业三

一、防火墙nat原理

NAT是一种地址转换技术，可以将IPv4报文头中的地址转换为另一个地址。通常情况下，利用NAT技术将IPv4报文头中的私网地址转换为公网地址，可以实现位于私网的多个用户使用少量的公网地址同时访问Internet。因此，NAT技术常用来解决随着Internet规模的日益扩大而带来的IPv4公网地址短缺的问题。

二、双击热备产生的背景

传统的组网方式如下左图所示，内部用户和外部用户的交互报文全部通过防火墙A。如果防火墙A出现故障，内部网络中所有以防火墙A作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。

防火墙作为安全设备，一般会部署在需要保护的网络和不受保护的网络之间，即位于网络边界上。在网络边界上，如果仅仅使用一台防火墙设备，无论其可靠性多高，系统都可能会承受因为单点故障而导致网络中断的风险。为了防止一台设备出现意外故障而导致网络业务中断，可以采用两台防火墙形成双机备份。

三、防火墙双机热备原理

双机热备是应用于服务器的一种解决方案，其构造思想是主机和从机通过TCP/IP网络连接，正常情况下主机处于工作状态，从机处于监视状态，一旦从机发现主机异常，从机将会在很短的时间之内代替主机，完全实现主机的功能。所支持双机热备的协议如下：

①VRRP备份

VRRP（Virtual Router Redundancy Protocol）是一种容错协议，它保证当主机的下一跳路由器（默认网关）出现故障时，由备份路由器自动代替出现故障的路由器完成报文转发任务，从而保持网络通信的连续性和可靠性。同一VRRP备份组内的路由器有两种角色：Master设备（活动状态）、Backup设备（备份状态）。

②HRP协议

HRP（Huawei Redundancy Protocol）协议，用来实现防火墙双机之间状态信息和关键配置命令的动态备份。

 四、双击热备实验

①nat转换

②nat端口映射 

③安全策略

 ​​​​

 ④测试

⑤配置双机热备