防火墻部署服務(wù)器NAT

原理概述：

NAT（Network Address Translation），是指網(wǎng)絡(luò)地址轉(zhuǎn)換，1994年提出的。

當(dāng)在專用網(wǎng)內(nèi)部的一些主機本來已經(jīng)分配到了本地IP地址（即僅在本專用網(wǎng)內(nèi)使用的專用地址），但又想和因特網(wǎng)上的主機通信（并不需要加密）時，可使用NAT方法。

這種方法需要在專用網(wǎng)（私網(wǎng)IP）連接到因特網(wǎng)（公網(wǎng)IP）的路由器上安裝NAT軟件。裝有NAT軟件的路由器叫做NAT路由器，它至少有一個有效的外部全球IP地址（公網(wǎng)IP地址）。這樣，所有使用本地地址（私網(wǎng)IP地址）的主機在和外界通信時，都要在NAT路由器上將其本地地址轉(zhuǎn)換成全球IP地址，才能和因特網(wǎng)連接。

另外，這種通過使用少量的全球IP地址（公網(wǎng)IP地址）代表較多的私有IP地址的方式，將有助于減緩可用的IP地址空間的枯竭。

NAT的實現(xiàn)方式有三種，即靜態(tài)轉(zhuǎn)換Static Nat、動態(tài)轉(zhuǎn)換Dynamic Nat和端口多路復(fù)用OverLoad。

靜態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公有IP地址，IP地址對是一對一的，是一成不變的，某個私有IP地址只轉(zhuǎn)換為某個公有IP地址。借助于靜態(tài)轉(zhuǎn)換，可以實現(xiàn)外部網(wǎng)絡(luò)對內(nèi)部網(wǎng)絡(luò)中某些特定設(shè)備（如服務(wù)器）的訪問。

動態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡(luò)的私有IP地址轉(zhuǎn)換為公用IP地址時，IP地址是不確定的，是隨機的，所有被授權(quán)訪問上Internet的私有IP地址可隨機轉(zhuǎn)換為任何指定的合法IP地址。也就是說，只要指定哪些內(nèi)部地址可以進行轉(zhuǎn)換，以及用哪些合法地址作為外部地址時，就可以進行動態(tài)轉(zhuǎn)換。動態(tài)轉(zhuǎn)換可以使用多個合法外部地址集。當(dāng)ISP提供的合法IP地址略少于網(wǎng)絡(luò)內(nèi)部的計算機數(shù)量時?？梢圆捎脛討B(tài)轉(zhuǎn)換的方式。

端口多路復(fù)用（Port address Translation,PAT）是指改變外出數(shù)據(jù)包的源端口并進行端口轉(zhuǎn)換，即端口地址轉(zhuǎn)換（PAT，Port Address Translation）.采用端口多路復(fù)用方式。內(nèi)部網(wǎng)絡(luò)的所有主機均可共享一個合法外部IP地址實現(xiàn)對Internet的訪問，從而可以最大限度地節(jié)約IP地址資源。同時，又可隱藏網(wǎng)絡(luò)內(nèi)部的所有主機，有效避免來自internet的攻擊。因此，網(wǎng)絡(luò)中應(yīng)用最多的就是端口多路復(fù)用方式。

ALG（Application Level Gateway），即應(yīng)用程序級網(wǎng)關(guān)技術(shù)：傳統(tǒng)的NAT技術(shù)只對IP層和傳輸層頭部進行轉(zhuǎn)換處理，但是一些應(yīng)用層協(xié)議，在協(xié)議數(shù)據(jù)報文中包含了地址信息。為了使得這些應(yīng)用也能透明地完成NAT轉(zhuǎn)換，NAT使用一種稱作ALG的技術(shù)，它能對這些應(yīng)用程序在通信時所包含的地址信息也進行相應(yīng)的NAT轉(zhuǎn)換。例如：對于FTP協(xié)議的PORT/PASV命令、DNS協(xié)議的 "A" 和 "PTR" queries命令和部分ICMP消息類型等都需要相應(yīng)的ALG來支持。

NAPT

NAPT（Network Address Port Translation），即網(wǎng)絡(luò)地址端口轉(zhuǎn)換，可將多個內(nèi)部地址映射為一個合法公網(wǎng)地址，但以不同的協(xié)議端口號與不同的內(nèi)部地址相對應(yīng)，也就是與之間的轉(zhuǎn)換。NAPT普遍用于接入設(shè)備中，它可以將中小型的網(wǎng)絡(luò)隱藏在一個合法的IP地址后面。NAPT也被稱為“多對一”的NAT，或者叫PAT（Port Address Translations，端口地址轉(zhuǎn)換）、地址超載（address overloading）。

NAPT與動態(tài)地址NAT不同，它將內(nèi)部連接映射到外部網(wǎng)絡(luò)中的一個單獨的IP地址上，同時在該地址上加上一個由NAT設(shè)備選定的TCP端口號。NAPT算得上是一種較流行的NAT變體，通過轉(zhuǎn)換TCP或UDP協(xié)議端口號以及地址來提供并發(fā)性。除了一對源和目的IP地址以外，這個表還包括一對源和目的協(xié)議端口號，以及NAT盒使用的一個協(xié)議端口號。

NAPT的主要優(yōu)勢在于，能夠使用一個全球有效IP地址獲得通用性。主要缺點在于其通信僅限于TCP或UDP。當(dāng)所有通信都采用TCP或UDP，NAPT允許一臺內(nèi)部計算機訪問多臺外部計算機，并允許多臺內(nèi)部主機訪問同一臺外部計算機，相互之間不會發(fā)生沖突。

實驗?zāi)康模?/h2>

外網(wǎng)Client訪問HTTP/FTP服務(wù)器，需要經(jīng)過防火墻，我們需要在防火墻上部署NAT，我們采用的是NAPT，將服務(wù)器進行端口映射，10000對應(yīng)的是HTTP服務(wù)器，10001對應(yīng)的是FTP服務(wù)器

實驗拓撲：

基礎(chǔ)配置：

R1:

#
interface GigabitEthernet0/0/0
 ip address 100.1.1.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 172.16.1.254 255.255.255.0 

FW1:

接口配置：

#
interface GigabitEthernet0/0/0
 undo shutdown
 ip binding vpn-instance default
 ip address 10.251.251.251 255.255.255.0
 alias GE0/METH
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 192.168.1.254 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 100.1.1.1 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit

將接口劃分進安全區(qū)域：

#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1

配置靜態(tài)路由：

#
ip route-static 0.0.0.0 0.0.0.0 100.1.1.2

配置NAT：

#
 nat server http protocol tcp global 100.1.1.1 10000 inside 192.168.1.1 www
 nat server ftp protocol tcp global 100.1.1.1 10001 inside 192.168.1.2 ftp

配置NAT地址池：

#
nat address-group nat1 0
 mode pat
 section 0 100.1.1.1 100.1.1.1

配置安全策略：

security-policy
 rule name dmz-to-untrust
  source-zone dmz
  destination-zone untrust
  action permit
 rule name untrust-to-dmz
  source-zone untrust
  destination-address 192.168.1.1 mask 255.255.255.255
  destination-address 192.168.1.2 mask 255.255.255.255
  service ftp
  service http
  action permit

配置HTTP/FTP服務(wù)器：

配置完成后，查看Client是否能獲取到HTTP/FTP服務(wù)

實驗結(jié)束；

備注：如有錯誤，請諒解！

此文章為本人學(xué)習(xí)筆記，僅供參考！如有重復(fù)?。?！請聯(lián)系本人文章來源地址http://www.zghlxwxcb.cn/news/detail-474080.html