Smart NAT是No-PAT方式的一种补充。Smart NAT是一种可以在No-PAT的NAT模式下,指定某个IP地址预留做NAPT方式的地址转换方式。适用于平时上网的用户数量少,公网IP地址数量与同时上网用户数基本相同,但个别时段上网用户数激增的场景。
使用No-PAT方式时,进行地址池的一对一转换。随着内部用户数量的不断增加,地址池中的地址数可能不再能满足用户上网需求,部分用户将得不到转换地址而无法访问Internet。此时,用户可以利用预留的IP地址进行NAPT地址转换,然后访问Internet。工作原理如图1所示。
当内部网络中多台Host同时访问Server时,处理过程如下:
- FW收到Intranet发送的报文后,根据目的IP地址判断报文需要在Trust区域和Untrust区域之间流动,通过域间安全策略检查后继而查找域间NAT策略,发现需要对报文进行地址转换。
- 如果NAT地址池中有空闲地址,FW从NAT地址池中选择一个空闲的公网IP地址,替换报文的源IP地址,并建立会话表,然后将报文发送至Server。
- 如果NAT地址池中没有空闲地址,FW使用预留的NAPT地址替换报文的源IP地址,同时使用新的端口号替换报文的源端口号,并建立会话表,然后将报文发送至Internet。
此方式下,FW优先采用No-PAT的方式转换地址。当可被No-PAT方式的公网地址用完时,新的用户连接将使用预留的这个IP地址做NAPT方式的地址转换。
实验Smart NAT拓扑图
将防火墙接口加入防火墙区域
[FW1]firewall zone trust
[FW1-zone-trust]dis th
2023-11-15 08:27:48.770
#
firewall zone trust
set priority 85
add interface GigabitEthernet1/0/0
#
[FW1]firewall zone untrust
[FW1-zone-untrust]dis th
2023-11-15 08:26:47.490
#
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/1
配置防火墙安全策略允许私网指定网段与Internet进行报文交互。
security-policy
rule name t_2_u
source-zone trust
destination-zone untrust
source-address 172.16.10.0 mask 255.255.255.0
action permit
#
配置NAT地址池
nat address-group group1
mode no-pat global
route enable
smart-nopat 1.1.1.13 ##预留IP地址进行NAPT地址转换
section 0 1.1.1.10 1.1.1.12
#
NAT策略实现私网指定网段访问Internet时自动进行源地址转换。
nat-policy
rule name nat1
source-zone trust
destination-zone untrust
source-address 172.16.10.0 mask 255.255.255.0
action source-nat address-group group1
#
在FW上配置缺省路由,使私网流量可以正常转发至外网的路由器
[FW1]ip route-static 0.0.0.0 0.0.0.0 1.1.1.2
配置完成后使用各个PC1、PC2、PC3、PC4、PC5ping通外网R1的LooBack接口
查看会话表发现,此方式下,FW优先采用No-PAT的方式转换地址。当可被No-PAT方式的公网地址用完时,新的用户连接将使用预留的这个IP地址做NAPT方式的地址转换。