hcie-security内容修订17套第一部分hc nat原理及应用

1、修订记录课程编码适用产品产品版本课程版本ISSUEHC13031033 USG6000V1R11.00开发/优化者时间审核人开发类型（新开发/优化）周常青2014-07-17姚传哲新开发丁祖贤2015-03-09优化本页不打印HC13031033防火墙NAT原理及应用 前言随着Internet的快速发展，IPv4的公网地址资源已非常匮乏，NAT（Network Address Translation）技术通过对IP报文中的地址或端口进行转换，可以使大量的私网IP地址通过共享少量的公网IP地址来访问公网，从而有效减少对公网地址的需求，从而有效减缓了IP地址空间枯竭的速度。本章节重点讲解USG防火

2、墙上NAT的技术原理、基本命令、应用场景、典型配置案例、故障排除方法及拓展学习资料等。 目标学完本课程后，您将能够:描述NAT技术原理掌握NAT配置命令的基本功能配置上网、服务发布配置双出口场景NAT配置服务器负载均衡NAT故障排除 目录NAT技术原理NAT配置NAT故障排除NAT技术原理NAT涉及到的技术原理：NAT分类、NAT基本概念源NAT、目的NAT、双向NATNAPT、Easy-IPNAT ALG、No-NATSmart NAT、三元组NATNAT的分类源NAT：根据转换的方向：Inbound NAT 和 Outbound NAT。根据端口是否转换：No-PAT 和 NAPT。目的N

3、AT：分为NAT sever和目的NAT。双向NAT：NAT Inbound 和 NAT Server一起使用。域内NAT和NAT Server一起使用。NAT基本概念（1/3）：IP地址分类类别网段/掩码网络数每网络可用主机私有地址A类/8116777214B类/16-/161665534C类/24-/24256254公有地址A类/8-/8/8-/812516777214B类/16-/16/16-/16/16-/161636765534C类/24-.0/24-/242096896254特殊地址D类-55 主要用于组播E类-54 保留地址段，目前不使用其它、/8、/16、55NAT基本概念（2

4、/3）：NAT地址池NAT地址池是指用NAT转换时用于分配的公网IP地址范围。进行转换时，设备会从该地址池中选择一个随机地址，用于替换报文中的源IP地址。公网地址由ISP分配，可用的地址池范围可以计算出来。0/24/240/29/29静态映射服务器：3-4地址池范围： 1-200/24NAT基本概念（3/3）：Server MapServer-map表项主要是用于存放一种映射关系，设备根据这种映射关系对报文的地址进行转换，并转发。NAT生成Server-map的两种情况：配置NAT Server成功后生成静态表项。用于存放Global地址和Inside地址映射关系。不配置“no-reverse

5、”参数时，生成正反方向两个server-map。配置“no-reverse”参数时，只生成正方向server-map。配置NAT No-PAT后，流量触发建立Server-map表。用于存放私网IP地址与公网IP地址的映射关系。源NAT(1/5):基础原理源NAT技术通过对报文的源地址进行转换，使大量私网用户可以利用少量公网IP上网，大大减少了对公网IP地址的需求。0/24/240/29/2900/24IP报文 源地址：0目的地址：00数据IP报文源地址：1目的地址：00数据IP报文源地址：00目的地址：0数据IP报文源地址：00目的地址：1数据源NAT(2/5):共用地址池使用一个地址池对内

6、部所有电脑进行地址转换。nat address-group 1 1 2-100/240/29/29IP报文源地址：:51481源地址：:51737源地址：:51989IP报文源地址：1:5123源地址：2:5130源地址：1:5136源NAT(3/5):多地址池用户群1-50/24/240/29/29IP报文源地址：1:61481源地址：1:61737IP报文源地址：2:6123源地址：2:6130用户群21-100/24IP报文源地址：:51481源地址：:51737IP报文源地址：1:5123源地址：1:5130使用多个地址池可以对不同的用户群的地址进行分别转换。nat address-g

7、roup 1 1 1nat address-group 2 2 2源NAT(4/5):源NAT的其它技术NO-PAT：1对1IP地址转换。NAPT：NAT转换时同时转换IP地址和端口号。Easy-IP：使用接口上的公网地址对私网IP进行转换。Smart-NAT：同时支持no-pat转换和NAPT转换。使用section中的地址段进行1对1转换；使用smart-nopat地址进行NAPT转换。三元组NAT：源IP、源端口、协议号。支持外网主动访问；动态端口对外一致性。源NAT示例(5/5):技术对比源NAT类型私网IP和公网IP的数量对应是否转换端口NAT No-PAT一对一否NAPT多对一多对

8、多是出接口地址方式（easy-ip）多对一是Smart NAT（仅高端防火墙USG9000系列支持）一对一（预留IP做多对一转换）否（预留IP做端口转换）三元组NAT（仅高端防火墙USG9000系列支持）多对一多对多目的NAT(1/2):NAT Server00/24/240/29/2900/24IP报文源地址：00：1023目的地址：00：80数据IP报文源地址：00：1023目的地址：4：80数据NAT Server可以用来发布内网的服务器或特定的服务。FW nat server global 3 inside 00FW nat server protocol tcp global 4 8

9、0 inside 00 80目的NAT(2/2):目的NAT用户群1-50/24/240/29/29用户群21-100/24IP报文源地址：1:61481目的地址：：53IP报文源地址：2:6123目的地址：33：53对报文的目的地进行转换：转换手机终端的WAP网关。进行流量重定向。下图示例中把去向google DNS服务器()的解析流量重定向到中国电信的服务器上(33)。NAT ALGNAT ALG（Application Level Gateway）支持对应用层的信息进行相应的转换。使用detect protocol 命令执行：可以域间策略上开启（域间NAT场景）；可以在域策

10、略上开启（域内NAT场景）。支持的协议有：dns、ftp、netbios 、pptp、sqlneth323、sip、mgcp、rtspicq、qq、msnils、mmsFTP协议的NAT ALG处理FTP ClientUSGFTP ServerSrc IP：Src port ：xxxxSrc IP：Src port ：xxxxdst IP：dst port ：21SYNSYN + ACKACK三次握手建立控制通道SYNSYN + ACKACK交互用户名、密码交互用户名、密码Port command : ip port yyyyPort command OKPort command : ip p

11、ort yyyyPort command OK交互Port命令src IP：src port ：20SYNSYN + ACKACK三次握手建立数据通道SYNSYN + ACKACKLIST CommandLIST Command传输数据传输数据dst IP：dst port ：yyyydst IP：dstport ：yyyy 目录NAT技术原理NAT配置2.1 配置：NAT配置基础2.2 案例1：配置用户上网、服务发布2.3 案例2：配置双出口场景NAT2.4 案例3：配置服务器负载均衡NAT故障排除NAT命令(1/5):源NAT配置步骤配置项配置命令1（可选）配置地址池 nat addres

12、s-group addressgroup1 section 0 0 2 nat-mode pat2配置黑洞路由 ip route-static 0 55 NULL0 ip route-static 1 55 NULL0 ip route-static 2 55 NULL0 3配置安全策略security-policy rule name policy1 source-zone trust destination-zone untrust source-address 24 action permit 4配置NAT策略nat-policy rule name policy_nat1 source

13、-zone trust destination-zone untrust source-address 24 action nat address-group addressgroup1 NAT命令(2/5):配置NAT Server步骤配置项配置命令1配置安全策略security-policy rule name policy1 source-zone untrust destination-zone dmz destination-address 24 action permit 2配置黑洞路由 ip route-static 0 55 NULL0 3配置NAT Servernat ser

14、ver policy_web protocol tcp global 0 www inside 80 no-reverse nat server policy_ftp protocol tcp global 0 ftp inside ftp no-reverse 4（可选）配置源进源出interface GigabitEthernet1/0/1ip address reverse-route next-hop 54NAT命令(3/5):配置服务器负载均衡步骤配置项配置命令1开启SLB slb enable 2配置SLB slb rserver 1 rip weight 32 healthchk

15、 rserver 2 rip weight 32 healthchk rserver 3 rip weight 32 healthchk group policy_web metric srchash addrserver 1 addrserver 2 addrserver 3 vserver policy_web vip 0 group policy_web tcp vport 8080 rport 803配置安全策略security-policyrule name policy1 source-zone local source-zone untrust destination-zone

16、dmz destination-address 24 action permit NAT命令(4/5):配置目的NAT手机上网目的NAT示意图：步骤配置项配置命令1配置ACLacl 3000rule permit source 552安全区域视图firewall zone trust3配置目的NATdestination-nat 3000 address NAT命令(5/5):配置NAT ALG步骤配置项配置命令1全局NAT ALGsystem-viewfirewall detect ftpfirewall detect rstp2域间NAT ALGfirewall interzone tru

17、st untrustdetect ftpdetect rtsp3配置域内NAT ALGfirewall zone trustset priority 85detect ftpdetect rtsp4（可选）配置在出现报文重传的情况下对NAT业务无影响firewall alg-detect enable 目录NAT技术原理NAT配置2.1 配置：NAT配置基础2.2 案例1：配置用户上网、服务发布2.3 案例2：配置双出口场景NAT2.4 案例3：配置服务器负载均衡NAT故障排除案例1：配置用户上网、服务发布组网拓扑：/24/2454/24/24FTP Server/24WEB Server8/

18、24源NAT 策略静态服务器映射G1/0/1G1/0/2G1/0/3UntrustTrustDMZ命令行基础配置配置接口IP并添加接口到安全区域，配置安全策略：interface GigabitEthernet1/0/1ip address #interface GigabitEthernet1/0/2ip address #interface GigabitEthernet1/0/3ip address #firewall zone trustset priority 85add interface GigabitEthernet1/0/1#firewall zone untrustset

19、priority 5add interface GigabitEthernet1/0/2#firewall zone dmzset priority 50add interface GigabitEthernet1/0/3#ip route-static 54# 配置安全策略 policy1，允许来自trust区域的用户可以可以访问untrust区域，用户的源地址属于/24，网段security-policy rule name policy1 source-zone trust destination-zone untrust source-address 24 action permit

20、# 配置安全策略 policy2，允许来自untrust区域的用户可以可以访问dmz区域，用户的目的地属于/24网段 rule name policy2 source-zone untrust destination-zone dmz destination-address 24 action permit命令行配置NAT配置用户上网及服务器映射：#使用NAT策略实现用户上网的配置nat-policy rule name policy_nat1 source-zone trust destination-zone untrust source-address 24 action nat eas

21、y-ip #使用NAT Server实现外网可以访问服务器 nat server policy_web protocol tcp global 0 www inside 80 no-reverse nat server policy_ftp protocol tcp global 0 ftp inside ftp no-reverse #配置NAT Server对应的黑洞路由，防止环路ip route-static 0 55 NULL0 WEB配置NAT策略实现上网选择“策略 NAT策略 源NAT策略”，单击“新建”：WEB配置NAT策略实现服务器发布选择“策略 NAT策略 服务器映射”，单击

22、“新建”： 目录NAT技术原理NAT配置2.1 配置：NAT配置基础2.2 案例1：配置用户上网、服务发布2.3 案例2：配置双出口场景NAT2.4 案例3：配置服务器负载均衡NAT故障排除案例2：双出口场景NAT组网拓扑：/24G1/0/1/24G1/0/2/24G1/0/7/24ISP 1ISP 2DMZISP1ISP2User 1WEB Server/24Trust命令行基础配置配置接口IP地址，并加入区域：#interface GigabitEthernet1/0/1 ip address # interface GigabitEthernet1/0/2 ip address # in

23、terface GigabitEthernet1/0/3 ip address # interface GigabitEthernet1/0/7 ip address # #firewall zone trust set priority 85 add interface GigabitEthernet1/0/3# firewall zone dmz set priority 85 add interface GigabitEthernet1/0/2 # firewall zone name isp1 set priority 10 add interface GigabitEthernet1

24、/0/1 # firewall zone name isp2 set priority 20 add interface GigabitEthernet1/0/7 命令行配置安全策略及静态路由# 配置安全策略security-policy rule name policy_sec_1 source-zone trust destination-zone isp1 source-address 24 action permit rule name policy_sec_2 source-zone trust destination-zone isp2 source-address 24 acti

25、on permit rule name policy_sec_3 source-zone isp1 destination-zone dmz destination-address 0 32 action permit rule name policy_sec_4 source-zone isp2 destination-zone dmz destination-address 0 32 action permit#配置静态默认路由 ip route-static GigabitEthernet1/0/7 54 preference 70 ip route-static GigabitEthe

26、rnet1/0/1 54#配置明细路由 ip route-static GigabitEthernet1/0/1 54 ip route-static GigabitEthernet1/0/1 54 ip route-static GigabitEthernet1/0/7 54 ip route-static GigabitEthernet1/0/7 54命令行配置NAT配置NAT上网策略及服务器发布：#配置NAT地址组 nat address-group address_1 section 0 0 2 nat address-group address_2 section 0 0 2#配置N

27、AT Server发布www服务nat server policy_natserver_1 protocol tcp global 00 ftp inside 0 www no-reversenat server policy_natserver_2 protocol tcp global 00 ftp inside 0 www no-reverse# 配置NAT策略 实现用户上网 nat-policy rule name policy_nat_1 source-zone trust destination-zone isp1 source-address 24 action nat addr

28、ess-group address_1 rule name policy_nat_2 source-zone trust destination-zone isp2 source-address 24 action nat address-group address_2 rule name policy_nat_3 source-zone dmz destination-zone dmz source-address 24 destination-address 0 32 action nat address-group address_1WEB配置双出口场景NAT(用户上网)配置安全策略：W

29、EB配置双出口场景NAT(用户上网)配置NAT策略：WEB配置双出口场景NAT(服务发布)配置安全策略：WEB配置双出口场景NAT(服务发布)配置NAT：WEB配置双出口场景NAT(服务发布)配置DMZ通过公网地址访问服务器： 目录NAT技术原理NAT配置2.1 配置：NAT配置基础2.2 案例1：配置用户上网、服务发布2.3 案例2：配置双出口场景NAT2.4 案例3：配置服务器负载均衡NAT故障排除案例2：配置服务器负载均衡组网拓扑：/24/2454/24/24WEB Server/24/24/24服务器负载均衡G1/0/1G1/0/1G1/0/2/24静态路由UntrustTrustDM

30、Z命令行基础配置配置接口IP地址，并加入区域，配置安全策略：#interface GigabitEthernet1/0/1ip address #interface GigabitEthernet1/0/2ip address #firewall zone untrustset priority 5add interface GigabitEthernet1/0/1#firewall zone dmzset priority 50add interface GigabitEthernet1/0/2# #security-policy rule name policy1 source-zone

31、local source-zone untrust destination-zone dmz destination-address 24 action permit # 命令行配置服务器负载均衡配置SLB功能： # slb enable # slb rserver 1 rip weight 32 healthchk rserver 2 rip weight 32 healthchk rserver 3 rip weight 32 healthchk group policy_web metric srchash addrserver 1 addrserver 2 addrserver 3 v

32、server policy_web vip 0 group policy_web tcp vport 8080 rport 80# WEB配置服务器负载均衡选择“策略NAT策略服务器映射”，单击新建： 目录NAT技术原理NAT配置NAT故障排除NAT故障排除1PC_A/24/24/2454/24PC_B/24故障现象：某公司在网络边界处部署了USG作为安全网关，通过在USG上配置源NAT策略，使内部网络中的PC能够访问Internet上的资源。实际使用中，发现内部网络中的PC_A（地址为）无法访问Internet上的Web服务器（地址为）。故障排除思路选择“监控 会话表”，查询源地址为的表项。根据会话表显示结果可以缩小可能原因的范围，请分别按以下三种情况逐一排查可能原因：没有找到源地址为的会话