防火墙--NAT技术，基于源NAT，NAT服务器，双向NAT

于 2024-09-16 16:09:33 发布
阅读量349 收藏 13
点赞数 12
文章标签： 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_74749868/article/details/142287230
版权

文章目录

防火墙–NAT技术

基于源NAT：用于将内部网络的私有IP地址转换为公共IP地址，以便内部设备能够访问外部网络
基于NAT服务器：NAT服务器负责处理网络地址转换的所有请求，通常用于大型网络环境。
双向NAT：允许内部设备与外部设备之间的双向通信。
NAT ALG(应用层网关)：NAT ALG用于处理特定应用协议（如FTP、SIP等）中的地址和端口信息，以确保这些协议在NAT环境中正常工作。

一、基于源NAT

方式：

  • NAT No-PAT ：一对一的地址转换，不转换端口，需要一个内网ip对应一个公网ip地址。
  • NAPT：一对多的地址转换，需要转换端口，适用于一个公网ip对应多个私网ip。
  • 出接口地址（Easy-ip）方式：一对多的地址转换，可转换多端口，适用于该接口是动态获取的。
  • Smart NAT：一对一与一对多的地址，预留一个公网地址进行NAPT方式，其他公网IP地址进行NAT No-PAT转换，适用于个别时候突增的上网用户。
  • 三元组NAT：将私网源IP地址与端口号转换为固定的公网IP地址和端口，解决NAPT随机转换IP地址和端口问题，用于外部主动访问内部流量：P2P。

在这里插入图片描述

NAT No-PAT

配置NAT地址

#
nat address-group 1 0
 mode no-pat local  ##无端口地址转换模式
 section 0 202.1.1.2 202.1.1.3
#

配置NAT策略

#
nat-policy
nat-policy
 rule name policy1_ftp
  source-address 192.168.1.0 mask 255.255.255.0
  destination-address 192.168.2.1 mask 255.255.255.255
  service ftp
  action source-nat address-group ftp
 #

配置安全策略

#
security-policy
 rule name policy1-2
  source-address 192.168.1.0 mask 255.255.255.0
  destination-address 192.168.2.1 mask 255.255.255.255
  destination-address 192.168.2.2 mask 255.255.255.255
  service ftp
  service http
  action permit
#

启动FTP服务器
在这里插入图片描述
客户端登录ftp服务器
在这里插入图片描述

查看server-map表
在这里插入图片描述

生成了正向和反向两条表项，两个私网地址对应两个公网地址。这时其他私网地址就不能再访问ftp服务器

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.2 32 NULL 0
 [USG6000V1]ip route-static 202.1.1.3 32 NULL 0

NAPT

配置地址池

 #
 nat address-group http 1
  mode pat   ##端口地址转换模式
  section 0 202.1.1.4 202.1.1.5
 #

配置NAT策略

#
nat-policy
rule name policy2_http
   source-address 192.168.1.0 mask 255.255.255.0
   destination-address 192.168.2.1 mask 255.255.255.255
   service http
   action source-nat address-group http
#

启动http服务器和登录http服务器

在这里插入图片描述
查看web会话表信息
在这里插入图片描述

两个私网地址公用了一个公网地址，但使用的不同端口号。这样就不要担心转换冲突的问题。NAPT不会生成server-map表。

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.4 32 NULL 0
 [USG6000V1]ip route-static 202.1.1.5 32 NULL 0

出接口地址方式

配置NAT策略

#
nat-policy
rule name policy3_easy-ip
   source-zone trust
   destination-zone untrust
   source-address 192.168.1.0 mask 255.255.255.0
   destination-address 192.168.2.2 mask 255.255.255.255
   service ftp
   action source-nat easy-ip   ##基于接口转换
#

启动ftp服务器和登录ftp服务器

查看ftp会话表信息

在这里插入图片描述

在上面中发现两个私网IP地址转换了同一个出接口IP地址（192.168.2.254），但是端口号不同，同样不会生成server-map表。

配置ASPF

firewall interzone trust untrust
 detect ftp

Smart NAT

配置地址池

#
 nat address-group smart_nat 2
  mode no-pat local   ##无端口地址转换模式
  smart-nopat 202.1.1.7  ##预留地址
  section 0 202.1.1.6 202.1.1.6
 #

配置NAT策略

#
nat-policy
rule name policy4_smart
   source-zone trust
   destination-zone untrust
   source-address 192.168.1.0 mask 255.255.255.0
   destination-address 192.168.2.2 mask 255.255.255.255
   service http
   action source-nat address-group smart_nat
#

启动http服务器和登录http服务器

查看web会话表信息
在这里插入图片描述

一个私网地址转换了一个公网地址，而另外两个转换了一个公网地址（预留地址）
，但端口号不同。故说smart-nat 是No-pat和NAPT的结合。

支持查看No-pat的server-map表

在这里插入图片描述
配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.6 32 NULL 0
 [USG6000V1]ip route-static 202.1.1.7 32 NULL 0

三元组 NAT

配置NAT地址池

#
 nat address-group san_Yu 3
  mode full-cone global  ##指定模式为三元组
  section 0 202.1.1.8 202.1.1.8
 #

配置NAT策略

nat-policy
rule name policy3_san_Yu
   source-zone trust
   destination-zone untrust
   source-address 192.168.1.0 mask 255.255.255.0
   destination-address 192.168.2.2 mask 255.255.255.255
   service ftp
   action source-nat address-group san_Yu

查看会话信息

在这里插入图片描述

表示私网地址已经成功转换为公网地址

查看server-map表
在这里插入图片描述

三元组模式生成了两条表项，这两条表项中源表项的源地址端口和目的表项的目的端口相同

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.8 32 NULL 0
 [USG6000V1]ip route-static 202.1.1.9 32 NULL 0

二、基于服务器的NAT

在这里插入图片描述
配置NAT Server

nat server Yong_hu_1 zone Yong_hu_1 protocol tcp global 192.168.100.200 9870 inside 192.168.1.1 80

将服务的私网地址映射成公网地址192.168.100.200:9870

配置了nat server就会自动生成server-map表

在这里插入图片描述

Nat server 中192.168.100.200为公网地址，192.168.1.1为私网地址。意思是任意客户段访问192.168.100.200:9870都会转换IP地址和端口为192.168.1.1:80
Nat server Reverse：192.168.1.1访问外部流量时，自动转换为192.168.100.200。将私网地址转换为公网地址。

配置安全策略

#
security-policy
  rule name Yong.hu1_DMZ
   source-zone Yong_hu_1
   destination-zone dmz
   destination-address 192.168.1.1 mask 255.255.255.255
   service http
   action permit
#

启动web服务器和登录web服务器
在这里插入图片描述

在这里插入图片描述

端口号一定要写对

成功访问后，查看会话信息
在这里插入图片描述
配置路由黑洞防环环路

[USG6000V1]ip route-static 192.168.100.200 32 NULL 0

多出口场景下的NAT Server

将接口分别加入到不同的安全区域

#
 firewall zone dmz
  set priority 50
  add interface GigabitEthernet0/0/0
 #
 firewall zone name Yong_hu_1 id 6
  set priority 10
  add interface GigabitEthernet1/0/0
 #
 firewall zone name Yong_hu_2 id 7
  set priority 20
  add interface GigabitEthernet1/0/2
 #

配置带区域的NaT server

nat server Yong_hu_1 zone Yong_hu_1 protocol tcp global 192.168.100.200 9870 inside 192.168.1.1 www unr-route
 nat server Yong_hu_2 zone Yong_hu_2 protocol tcp global 192.168.100.200 9880 inside 192.168.1.1 www unr-route

配置带区域的安全策略

security-policy
  rule name Yong.hu1_DMZ
   source-zone Yong_hu_1
   destination-zone dmz
   destination-address 192.168.1.1 mask 255.255.255.255
   service http
   action permit
  rule name Yong.hu2_DMZ
   source-zone Yong_hu_2
   destination-zone dmz
   destination-address 192.168.1.1 mask 255.255.255.255
   service http
   action permit

配置路由黑洞

查看server-map表项
在这里插入图片描述
配置源进源出，防止流量访问过慢和不能访问的问题

#
 interface GigabitEthernet1/0/0
  redirect-reverse next-hop 172.16.1.1
 interface GigabitEthernet1/0/2
  redirect-reverse next-hop 172.16.2.1
 #

单向server-map表项

在这里插入图片描述

当在后面添加no-reverse时，server-map表项只会生成生成正向server-map。但是如果私网服务器想要访问外网，就必须在DMZ-Untrust的域间配置源NAT策略

三、双向NAT

双向NAT是源NAT和NAT server的组合，并不是说同时配置了源NAT和NAT server
在这里插入图片描述

NAT Server 配置

 nat server ISP_DMZ zone untrust protocol tcp global 192.168.30.30 9890 inside 1
92.168.1.1 80

配置NAT地址池

#
nat address-group an_unan 0
 mode full-cone local
 route enable
 section 0 192.168.1.100 192.168.1.100
#

配置NAT策略

#
nat-policy
 rule name un_dmz
  source-zone untrust
  destination-zone dmz
  destination-address 192.168.1.1 mask 255.255.255.255
  action source-nat address-group an_unan
 rule name trust_dmz

配置安全策略

#
 rule name ISP_DMZ
  source-zone untrust
  destination-zone dmz
  source-address 10.0.10.0 mask 255.255.255.0
  destination-address 192.168.1.1 mask 255.255.255.255
  service ftp
  service http
  action permit
#

启动web服务器和登录web服务器

查看会话表是否相互转换成功
在这里插入图片描述

Free and lucky
关注
网络安全技术- NAT-04 NAT和PAT.mp3
07-04
网络安全技术- NAT-04 NAT和PAT.mp3
网络安全技术- NAT-03 NAT隐藏内网.mp3
07-04
网络安全技术- NAT-03 NAT隐藏内网.mp3
网络安全技术- NAT-02 NAT的应用.mp3
07-04
网络安全技术- NAT-02 NAT的应用.mp3
网络安全技术- NAT-01 NAT的优缺点.mp3
07-04
网络安全技术- NAT-01 NAT的优缺点.mp3
natpoker-srv:NAT询问软件的服务器端部分
05-20
NAT-Peer-to-Peer（NAT-P2P）通信的核心在于“打洞”技术。主要有两种类型：UDP打洞和TCP打洞。NATPoker-Srv主要处理UDP打洞，因为UDP是一种无连接、低延迟的传输层协议，适合实时通信。在UDP打洞中，两台内网设备...
网络地址转换（NAT）配置举例-安恒防火墙-NAT回流
08-14
最全面安恒防火墙NAT配置实例，物超所值，仅供分享
行业分类-设备装置-基于NAT的UDP流媒体服务器的网关穿透方法.zip
08-31
总结，基于NAT的UDP流媒体服务器的网关穿透方法是解决NAT环境中实时流媒体传输的关键技术。通过理解NAT的工作原理，掌握STUN、TURN和ICE等穿透技术，并结合实际应用进行优化，可以有效确保在各种网络条件下的稳定...
ansible-role-aws-vpc-nat
05-12
角色：AWS VPC NAT 该角色能够为每个VPC和每个子网创建任意数量的NAT网关。 要求 Ansible 2.5 附加变量 可以使用的其他变量（作为host_vars / group_vars或通过命令行args使用）： 多变的 描述 aws_vpc_nat_...
LB群集--lvs-nat模型
08-10
在LVS-NAT模型中，LVS调度器（Director）通过修改IP包的源或目标IP地址，将客户端的请求转发到内部的真实服务器（Real Server），并处理来自真实服务器的响应，使客户端认为所有服务都来自于调度器。这个过程涉及到...
山石防火墙目的NAT配置举例.docx
08-31
山石防火墙目的NAT配置举例
CheckPoint防火墙Nat配置讲解
10-31
CheckPoint防火墙Nat配置讲解
网络安全技术- NAT-08 在Windows上配NAT.mp3
07-04
网络安全技术- NAT-08 在Windows上配NAT.mp3
网络安全技术- NAT-10 端口映射的作用.mp3
07-04
网络安全技术- NAT-10 端口映射的作用.mp3
网络安全技术- NAT-05 地址转换的类型.mp3
07-04
网络安全技术- NAT-05 地址转换的类型.mp3
H3C防火墙F100-C-G2的NAT配置.pdf
10-12
H3C防火墙F100-C-G2的NAT配置.pdf
网络安全技术- NAT-06 在路由器上配置PAT.mp3
07-04
网络安全技术- NAT-06 在路由器上配置PAT.mp3
lanproxy-nat内网穿透工具
最新发布
07-05
lanproxy-nat内网穿透工具
基于ice方式的sip穿越nat技术的研究-综合文档
05-23
基于ice方式的sip穿越nat技术的研究
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值