USG防火墙NAT业务特性与配置VIP免费

www.huawei.comCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.USG防火墙NAT业务特性与配置Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.前言随着因特网的快速发展，它所面临的两个最迫切的问题就是IP地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（NAT）和IPv6（下一代因特网协议）技术。在IPv6技术尚在研究中且还未完全取代现有的IPv4网络的情况下，短期解决方案——NAT技术对于缓解目前的地址缺乏问题显得尤为重要。Page2Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.培训目标学完本课程后，您应该能：描述NAT技术的原理描述USG防火墙的各种NAT特性描述USG防火墙各NAT特性的基本组网与配置Page3Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.目录NAT技术原理USG防火墙NAT特性与配置Page4Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.NAT基本原理NAT（NetworkAddressTranslation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程Page5PC202.130.10.3Server202.120.10.2Server192.168.1.2PC192.168.1.3USGEth0/0/1202.169.10.1Eth0/0/0192.168.1.1TrustUntrust数据报1源：192.168.1.3目的：202.120.10.2数据报2源：202.120.10.2目的：202.169.10.1数据报1源：202.169.10.1.目的：202.120.10.2数据报2源：202.120.10.2目的：192.168.1.3InternetCopyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.目录NAT技术原理USG防火墙NAT特性与配置Page6Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.NAT/PAT地址转换Page7定义地址池[USG2100]nataddress-group1202.38.160.1202.38.160.4NAT地址转换[USG2100]nat-policyinterzoneuntrusttrustinbound[USG2100-nat-policy-interzone-trust-untrust-inbound]policy1[USG2100-nat-policy-interzone-trust-untrust-inbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group1no-patPAT地址转换[USG2100]nat-policyinterzoneuntrusttrustinbound[USG2100-nat-policy-interzone-trust-untrust-inbound]policy1[USG2100-nat-policy-interzone-trust-untrust-inbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group1内网用户地址池最多支持4096个地址USG内网Internet地址池202.38.160.1202.38.160.2202.38.160.3202.38.160.4Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.策略NATPage8定义地址池[USG2100]nataddress-group1202.38.160.1202.38.160.4配置策略NAT[USG2100]nat-policyinterzonetrustuntrustoutbound[USG2100-nat-policy-interzone-trust-untrust-outbound]policy1[USG2100-nat-policy-interzone-trust-untrust-outbound-1]policysource10.1.1.10[USG2100-nat-policy-interzone-trust-untrust-outbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-outbound-1]address-group1PC2PC1USG内网用户内网Internet设置控制PC1可以通过NAT访问Internet，而PC2则不行10.1.1.1/3210.1.1.2/32Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.NATALG功能NAT和NAPT只能对IP报文的头部地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如ICMP、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，就可能导致问题。例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时FTP服务器将表现为不可达。Page9Copyright©2012HuaweiTechnologiesCo.,Ltd.Allrightsreserved.ASPF+NAT+ALGPage10用户192.168.0.1USG防火墙Natoutbound202.1.0.1FTPserver19.49.10.10三次握手防火墙创建地址映射Servermap表项202.1.0.1:20001<->192...