USG防火墙NAT业务特性及配置.pptx

USG防火墙NAT业务特性与配置 前 言 随着因特网的快速发展，它所面临的两个最迫切的问题就是IP地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（NAT）和IPv6（下一代因特网协议）技术。在IPv6技术尚在研究中且还未完全取代现有的IPv4网络的情况下，短期解决方案——NAT技术对于缓解目前的地址缺乏问题显得尤为重要。 Page1 培训目标 学完本课程后，您应该能： 描述NAT技术的原理 描述USG防火墙的各种NAT特性 描述USG防火墙各NAT特性的基本组网与配置 Page2 目 录 NAT技术原理 USG防火墙NAT特性与配置 Page3 NAT基本原理 NAT（Network Address Translation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程 Page4 PC Server Server PC USG Eth0/0/1 Eth0/0/0 Trust Untrust 数据报1 源： 目的： 数据报2 源： 目的： 数据报1 源： . 目的： 数据报2 源： 目的： Internet 目 录 NAT技术原理 USG防火墙NAT特性与配置 Page5 NAT/PAT地址转换 Page6 定义地址池 [USG2100]nat address-group 1 NAT地址转换 [USG2100]nat-policy interzone untrust trust inbound [USG2100-nat-policy-interzone-trust-untrust-inbound]policy 1 [USG2100-nat-policy-interzone-trust-untrust-inbound-1]action source-nat [USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group 1 no-pat PAT地址转换 [USG2100]nat-policy interzone untrust trust inbound [USG2100-nat-policy-interzone-trust-untrust-inbound]policy 1 [USG2100-nat-policy-interzone-trust-untrust-inbound-1]action source-nat [USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group 1 内网用户 地址池最多支持 4096个地址 USG 内网 Internet 地址池 策略NAT Page7 定义地址池 [USG2100]nat address-group 1 配置策略NAT [USG2100]nat-policy interzone trust untrust outbound [USG2100-nat-policy-interzone-trust-untrust-outbound]policy 1 [USG2100-nat-policy-interzone-trust-untrust-outbound-1]policy source 0 [USG2100-nat-policy-interzone-trust-untrust-outbound-1] action source-nat [USG2100-nat-policy-interzone-trust-untrust-outbound-1] address-group 1 PC2 PC1 USG 内网用户 内网 Internet 设置控制PC1可以通过NAT访问Internet，而PC2则不行 /32 /32 NAT ALG功能 NAT和NAPT只能对IP报文的头部地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如ICMP、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，就可能导致问题。 例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时FTP服务器将表现为不可达。 Page8 ASPF+NAT+ALG Page9 用户 USG防火墙 Nat outbound FTP server 0 三次握手 防火墙