防火墙————目的NAT

一、简介

目的NAT是指对报文中的目的地址和端口进行转换。通过目的NAT技术将公网IP地址转换成私网IP地址，使公网用户可以利用私网地址访问内部Server。

根据转换后的目的地址是否固定，目的NAT分为静态目的NAT和动态目的NAT。

二、目的NAT的两种方式

1.静态目的NAT

• 静态目的NAT是一种转换报文目的IP地址的方式，且转换前后的地址存在一种固定的映射关系。
• 通常情况下，出于安全的考虑，不允许外部网络主动访问内部网络。但是在某些情况下，还是希望能够为外部网络访问内部网络提供一种途径。例如，公司需要将内部网络中的资源提供给外部网络中的客户和出差员工访问。

1.动态目的NAT

• 动态目的NAT是一种动态转换报文目的IP地址的方式，转换前后的地址不存在一种固定的映射关系。
• 通常情况下，静态目的NAT可以满足大部分目的地址转换的场景。但是在某些情况下，希望转换后的地址不固定。例如，移动终端通过转换目的地址访问无线网络。

三、实例

实验一：

公网用户通过目的NAT访问内部服务器（公网地址与私网地址一对一进行映射）

1.1配置接口IP地址和安全区域

[FW1]display ip interface brief
Interface                         IP Address/Mask      Physical   Protocol
GigabitEthernet1/0/1              10.0.1.254/24        up         up
GigabitEthernet1/0/2              10.1.1.1/24          up         up

[R1]display ip interface brief
Interface                         IP Address/Mask      Physical   Protocol
GigabitEthernet0/0/0              10.1.1.254/24        up         up
GigabitEthernet0/0/1              172.16.1.254/24      up         up

配置区域
[FW1]firewall zone untrust
[FW1-zone-untrust]add interface GigabitEthernet 1/0/2
[FW1-zone-untrust]quit
[FW1]firewall zone dmz
[FW1-zone-dmz]add interface GigabitEthernet 1/0/1
[FW1-zone-dmz]quit

1.2配置安全策略，允许外部网络用户访问内部服务器

[FW1]security-policy
[FW1-policy-security]rule name bdqn
[FW1-policy-security-rule-bdqn]source-zone untrust
[FW1-policy-security-rule-bdqn]destination-zone dmz
[FW1-policy-security-rule-bdqn]destination-address 10.0.1.0 24
[FW1-policy-security-rule-bdqn]action permit 
[FW1-policy-security-rule-bdqn]quit

1.3配置目的NAT地址池

[FW1]destination-nat address-group nat1
[FW1-dnat-address-group-nat1]section 10.0.1.1 10.0.1.2
[FW1-dnat-address-group-nat1]quit

1.4配置NAT策略

[FW1]nat-policy
[FW1-policy-nat]rule name dzc
[FW1-policy-nat-rule-dzc]source-zone untrust
[FW1-policy-nat-rule-dzc]destination-address range 1.10.1.10 1.10.1.11
[FW1-policy-nat-rule-dzc]service http
[FW1-policy-nat-rule-dzc]service ftp
[FW1-policy-nat-rule-dzc]action destination-nat static address-to-address addres
s-group nat1
[FW1-policy-nat-rule-dzc]quit

1.5配置目的地址的黑洞路由，以防路由环路，再配置缺省路由，使内网服务器对外提供的服务流量可以正常转发至ISP的路由器

[FW1]ip route-static 1.10.1.10 32 NULL 0
[FW1]ip route-static 1.10.1.11 24 NULL 0
[FW1]ip route-static 0.0.0.0 0.0.0.0 10.1.1.254

R1

[R1]ip route-static 1.10.1.10 32 10.1.1.1
[R1]ip route-static 1.10.1.11 32 10.1.1.1

1.6测试

通过使用静态的目的NAT，我们可以从外部通过公网的地址转换访问到企业内部发布到公网的服务网站

实验二：

这边我在上面这个拓扑的基础上加了一台服务器

公网用户通过目的NAT访问内部服务器（公网端口与私网端口一对一进行映射）

Server3，IP地址

2.1配置不用改，创建一个新的地址池：

[FW1]destination-nat address-group bdqn1
[FW1-dnat-address-group-bdqn1]section 10.0.1.10 10.0.1.10

2.2配置NAT策略（新写一条策略）

[FW1]nat-policy
[FW1-policy-nat]rule name dzc1
[FW1-policy-nat-rule-dzc1]source-zone untrust
[FW1-policy-nat-rule-dzc1]destination-address 1.10.1.12 32
[FW1-policy-nat-rule-dzc1]service protocol tcp destination-port 2000 to 2001
[FW1-policy-nat-rule-dzc1]action destination-nat static port-to-port address-gro
up bdqn1 80 to 81

2.3R1还要配置一条静态路由

[R1]ip route-static 1.10.1.12 32 10.1.1.1

2.4测试，server3配置ftp和http端口号