NAPT
NAPT是一种转换时同时转换地址和端口,实现多个私网地址共用一个或多个公网地址的地址转换方式。适用于公网地址数量少,需要上网的私网用户数量大的场景。工作原理如图1所示。
当Host访问Web Server时,FW的处理过程如下:
- FW收到Host发送的报文后,根据目的IP地址判断报文需要在Trust区域和Untrust区域之间流动,通过安全策略检查后继而查找NAT策略,发现需要对报文进行地址转换。
- FW根据源IP Hash算法从NAT地址池中选择一个公网IP地址,替换报文的源IP地址,同时使用新的端口号替换报文的源端口号,并建立会话表,然后将报文发送至Internet。
- FW收到Web Server响应Host的报文后,通过查找会话表匹配到步骤2中建立的表项,将报文的目的地址替换为Host的IP地址,将报文的目的端口号替换为原始的端口号,然后将报文发送至Intranet。
此方式下,由于地址转换的同时还进行端口的转换,可以实现多个私网用户共同使用一个公网IP地址上网,FW根据端口区分不同用户,所以可以支持同时上网的用户数量更多。此外,NAPT方式不会生成Server-map表,这一点也与NAT No-PAT方式不同。
实验NAPT拓扑图
将防火墙接口加入防火墙区域
[FW1]firewall zone trust
[FW1-zone-trust]dis th
2023-11-15 08:27:48.770
#
firewall zone trust
set priority 85
add interface GigabitEthernet1/0/0
#
[FW1]firewall zone untrust
[FW1-zone-untrust]dis th
2023-11-15 08:26:47.490
#
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/1
配置防火墙安全策略允许私网指定网段与Internet进行报文交互。
security-policy
rule name t_2_u
source-zone trust
destination-zone untrust
source-address 172.16.10.0 mask 255.255.255.0
action permit
#
配置NAT地址池
nat address-group group1
mode pat global
route enable
section 0 1.1.1.10 1.1.1.12
#
NAT策略实现私网指定网段访问Internet时自动进行源地址转换。
nat-policy
rule name nat1
source-zone trust
destination-zone untrust
source-address 172.16.10.0 mask 255.255.255.0
action source-nat address-group group1
#
在FW上配置缺省路由,使私网流量可以正常转发至外网的路由器
[FW1]ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
配置完成后可以ping通外网R1的LooBack接口
查看会话表去往外网的流量会被转换成NAT地址池中的1.1.1.10IP地址