防火墙--NAT技术，基于源NAT，NAT服务器，双向NAT

ops/2024/11/15 0:51:24/

文章目录

  • 防火墙--NAT技术
  • 一、基于源NAT
    • **方式**：
      • NAT No-PAT
      • NAPT
      • 出接口地址方式
      • Smart NAT
      • 三元组 NAT
  • 二、基于服务器的NAT
      • 多出口场景下的NAT Server
  • 三、双向NAT

防火墙–NAT技术

基于源NAT：用于将内部网络的私有IP地址转换为公共IP地址，以便内部设备能够访问外部网络
基于NAT服务器：NAT服务器负责处理网络地址转换的所有请求，通常用于大型网络环境。
双向NAT：允许内部设备与外部设备之间的双向通信。
NAT ALG(应用层网关)：NAT ALG用于处理特定应用协议（如FTP、SIP等）中的地址和端口信息，以确保这些协议在NAT环境中正常工作。

一、基于源NAT

方式：

  • NAT No-PAT ：一对一的地址转换，不转换端口，需要一个内网ip对应一个公网ip地址。
  • NAPT：一对多的地址转换，需要转换端口，适用于一个公网ip对应多个私网ip。
  • 出接口地址（Easy-ip）方式：一对多的地址转换，可转换多端口，适用于该接口是动态获取的。
  • Smart NAT：一对一与一对多的地址，预留一个公网地址进行NAPT方式，其他公网IP地址进行NAT No-PAT转换，适用于个别时候突增的上网用户。
  • 三元组NAT：将私网源IP地址与端口号转换为固定的公网IP地址和端口，解决NAPT随机转换IP地址和端口问题，用于外部主动访问内部流量：P2P。

在这里插入图片描述

NAT No-PAT

配置NAT地址

#
nat address-group 1 0mode no-pat local  ##无端口地址转换模式section 0 202.1.1.2 202.1.1.3
#

配置NAT策略

#
nat-policy
nat-policyrule name policy1_ftpsource-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.1 mask 255.255.255.255service ftpaction source-nat address-group ftp#

配置安全策略

#
security-policyrule name policy1-2source-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.1 mask 255.255.255.255destination-address 192.168.2.2 mask 255.255.255.255service ftpservice httpaction permit
#

启动FTP服务器
在这里插入图片描述
客户端登录ftp服务器
在这里插入图片描述

查看server-map表
在这里插入图片描述

生成了正向和反向两条表项，两个私网地址对应两个公网地址。这时其他私网地址就不能再访问ftp服务器

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.2 32 NULL 0[USG6000V1]ip route-static 202.1.1.3 32 NULL 0

NAPT

配置地址池

 #nat address-group http 1mode pat   ##端口地址转换模式section 0 202.1.1.4 202.1.1.5#

配置NAT策略

#
nat-policy
rule name policy2_httpsource-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.1 mask 255.255.255.255service httpaction source-nat address-group http
#

启动http<a class=服务器和登录http服务器" />

在这里插入图片描述
查看web会话表信息
在这里插入图片描述

两个私网地址公用了一个公网地址，但使用的不同端口号。这样就不要担心转换冲突的问题。NAPT不会生成server-map表。

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.4 32 NULL 0[USG6000V1]ip route-static 202.1.1.5 32 NULL 0

出接口地址方式

配置NAT策略

#
nat-policy
rule name policy3_easy-ipsource-zone trustdestination-zone untrustsource-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.2 mask 255.255.255.255service ftpaction source-nat easy-ip   ##基于接口转换
#

启动ftp服务器和登录ftp服务器

查看ftp会话表信息

在这里插入图片描述

在上面中发现两个私网IP地址转换了同一个出接口IP地址（192.168.2.254），但是端口号不同，同样不会生成server-map表。

配置ASPF

firewall interzone trust untrustdetect ftp

Smart NAT

配置地址池

#nat address-group smart_nat 2mode no-pat local   ##无端口地址转换模式smart-nopat 202.1.1.7  ##预留地址section 0 202.1.1.6 202.1.1.6#

配置NAT策略

#
nat-policy
rule name policy4_smartsource-zone trustdestination-zone untrustsource-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.2 mask 255.255.255.255service httpaction source-nat address-group smart_nat
#

启动http服务器和登录http服务器

查看web会话表信息
在这里插入图片描述

一个私网地址转换了一个公网地址，而另外两个转换了一个公网地址（预留地址）
，但端口号不同。故说smart-nat 是No-pat和NAPT的结合。

支持查看No-pat的server-map表

在这里插入图片描述
配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.6 32 NULL 0[USG6000V1]ip route-static 202.1.1.7 32 NULL 0

三元组 NAT

配置NAT地址池

#nat address-group san_Yu 3mode full-cone global  ##指定模式为三元组section 0 202.1.1.8 202.1.1.8#

配置NAT策略

nat-policy
rule name policy3_san_Yusource-zone trustdestination-zone untrustsource-address 192.168.1.0 mask 255.255.255.0destination-address 192.168.2.2 mask 255.255.255.255service ftpaction source-nat address-group san_Yu

查看会话信息

在这里插入图片描述

表示私网地址已经成功转换为公网地址

查看server-map表
在这里插入图片描述

三元组模式生成了两条表项，这两条表项中源表项的源地址端口和目的表项的目的端口相同

配置黑洞路由，防止路由环路

 [USG6000V1]ip route-static 202.1.1.8 32 NULL 0[USG6000V1]ip route-static 202.1.1.9 32 NULL 0

二、基于服务器的NAT

在这里插入图片描述
配置NAT Server

nat server Yong_hu_1 zone Yong_hu_1 protocol tcp global 192.168.100.200 9870 inside 192.168.1.1 80

将服务的私网地址映射成公网地址192.168.100.200:9870

配置了nat server就会自动生成server-map表

在这里插入图片描述

Nat server 中192.168.100.200为公网地址，192.168.1.1为私网地址。意思是任意客户段访问192.168.100.200:9870都会转换IP地址和端口为192.168.1.1:80
Nat server Reverse：192.168.1.1访问外部流量时，自动转换为192.168.100.200。将私网地址转换为公网地址。

配置安全策略

#
security-policyrule name Yong.hu1_DMZsource-zone Yong_hu_1destination-zone dmzdestination-address 192.168.1.1 mask 255.255.255.255service httpaction permit
#

启动web服务器和登录web服务器
在这里插入图片描述

在这里插入图片描述

端口号一定要写对

成功访问后，查看会话信息
在这里插入图片描述
配置路由黑洞防环环路

[USG6000V1]ip route-static 192.168.100.200 32 NULL 0

多出口场景下的NAT Server

将接口分别加入到不同的安全区域

#firewall zone dmzset priority 50add interface GigabitEthernet0/0/0#firewall zone name Yong_hu_1 id 6set priority 10add interface GigabitEthernet1/0/0#firewall zone name Yong_hu_2 id 7set priority 20add interface GigabitEthernet1/0/2#

配置带区域的NaT server

nat server Yong_hu_1 zone Yong_hu_1 protocol tcp global 192.168.100.200 9870 inside 192.168.1.1 www unr-routenat server Yong_hu_2 zone Yong_hu_2 protocol tcp global 192.168.100.200 9880 inside 192.168.1.1 www unr-route

配置带区域的安全策略

security-policyrule name Yong.hu1_DMZsource-zone Yong_hu_1destination-zone dmzdestination-address 192.168.1.1 mask 255.255.255.255service httpaction permitrule name Yong.hu2_DMZsource-zone Yong_hu_2destination-zone dmzdestination-address 192.168.1.1 mask 255.255.255.255service httpaction permit

配置路由黑洞

查看server-map表项
在这里插入图片描述
配置源进源出，防止流量访问过慢和不能访问的问题

#interface GigabitEthernet1/0/0redirect-reverse next-hop 172.16.1.1interface GigabitEthernet1/0/2redirect-reverse next-hop 172.16.2.1#

单向server-map表项

在这里插入图片描述

当在后面添加no-reverse时，server-map表项只会生成生成正向server-map。但是如果私网服务器想要访问外网，就必须在DMZ-Untrust的域间配置源NAT策略

三、双向NAT

双向NAT是源NAT和NAT server的组合，并不是说同时配置了源NAT和NAT server
在这里插入图片描述

NAT Server 配置

 nat server ISP_DMZ zone untrust protocol tcp global 192.168.30.30 9890 inside 1
92.168.1.1 80

配置NAT地址池

#
nat address-group an_unan 0mode full-cone localroute enablesection 0 192.168.1.100 192.168.1.100
#

配置NAT策略

#
nat-policyrule name un_dmzsource-zone untrustdestination-zone dmzdestination-address 192.168.1.1 mask 255.255.255.255action source-nat address-group an_unanrule name trust_dmz

配置安全策略

#rule name ISP_DMZsource-zone untrustdestination-zone dmzsource-address 10.0.10.0 mask 255.255.255.0destination-address 192.168.1.1 mask 255.255.255.255service ftpservice httpaction permit
#

启动web服务器和登录web服务器

查看会话表是否相互转换成功
在这里插入图片描述


http://www.ppmy.cn/ops/113296.html

相关文章

Python | Leetcode Python题解之第419题棋盘上的战舰

Python | Leetcode Python题解之第419题棋盘上的战舰

题目&#xff1a; 题解&#xff1a; class Solution:def countBattleships(self, board: List[List[str]]) -> int:return sum(ch X and not (i > 0 and board[i - 1][j] X or j > 0 and board[i][j - 1] X)for i, row in enumerate(board) for j, ch in enumerat…
阅读更多...
安卓沉浸式状态栏遇到的问题

安卓沉浸式状态栏遇到的问题

1.顶部状态栏黑条问题 解决方案①&#xff1a;   在Activuty的onCreate方法中设置如下代码。 WindowManager.LayoutParams lp getWindow().getAttributes();if (Build.VERSION.SDK_INT > Build.VERSION_CODES.P) {lp.layoutInDisplayCutoutMode WindowManager.LayoutPar…
阅读更多...
揭开 Vue 3 中大量使用 ref 的隐藏危机

揭开 Vue 3 中大量使用 ref 的隐藏危机

在 Vue 3 中&#xff0c;ref 是用来创建响应式的引用&#xff0c;它能够追踪和管理单一的变量或对象。当代码中大量使用 ref 时&#xff0c;虽然可以实现对各个状态或数据的精细控制&#xff0c;但也会带来一些问题和潜在影响。 1. 大量使用 ref 带来的问题 1、代码冗长与维护…
阅读更多...
代理IP批理检测工具,支持socks5,socks4,http和https代理批量检测是否可用

代理IP批理检测工具,支持socks5,socks4,http和https代理批量检测是否可用

代理IP批理检测工具,支持socks5,socks4,http和https代理批量检测是否可用 工具使用c编写&#xff1a; 支持ipv4及ipv6代理服务器。 支持http https socks4及socks5代理的批量检测。 支持所有windows版本运行&#xff01; 导入方式支持手工选择文件及拖放文件。 导入格式支持三…
阅读更多...
【PyQt5】object属性

【PyQt5】object属性

object属性 QObject类的继承关系如下object属性2024-09-19 后续补充&#xff0c;非会员-视频没讲那么多代码实例 QObject类的继承关系如下 QObject ├── QThread ├── QTimer ├── QWidget │ ├── QDialog │ ├── QMainWindow │ └── … └── … object属性…
阅读更多...
动态内存

动态内存

动态内存分配函数&#xff1a;在程序运行时为变量或数据结构开辟的内存空间的函数。 有三个重要的动态分配函数&#xff1a;malloc、calloc、realloc。 动态内存分配函数 malloc 这个函数是向内存中申请一块连续的空间&#xff0c;返回一个指向这个块空间的指针。 如果开辟成…
阅读更多...
字节推音乐生成神器 Seed-Music 支持多样化输入和精确控制

字节推音乐生成神器 Seed-Music 支持多样化输入和精确控制

Seed-Music&#xff0c;字节跳动的最新音乐创作神器&#xff0c;能通过文字、音频等多种方式轻松生成音乐&#xff0c;仿佛拥有魔法般的魔力。它巧妙地融合了自回归语言模型与扩散模型&#xff0c;不仅确保了音乐作品的高品质&#xff0c;还赋予了用户对音乐细节的精准掌控能力…
阅读更多...
三范式，面试重点

三范式，面试重点

三范式都是拿来解决数据冗余的问题 第一范式&#xff1a; 表必须有主键&#xff0c;它确保表中的每一列都是原子性的&#xff0c; 第二范式 定义&#xff1a;数据库表必须满足第一范式&#xff0c;且表中的非主属性完全依赖于主键。非主属性是指除了主键之外的其他属性。完…
阅读更多...
最新文章

Copyright @ 2022~2023