NATPAT和代理(加速)服务器集成

NATPAT和代理(加速)服务器集成地址转换出现的背景NAT的工作原理NetworkAddressTranslation，网络地址转换NAT实现方式静态转换（StaticTranslation）动态转换（DynamicTranslation）端口多路复用（PortAddressTranslation，PAT）NAT概述NAT包含4类地址NAT的转换条目简单转换条目扩展转换条目NAT的术语与转换表NATInternetPC目的IP=源IP=5经过路由器后的包目的IP=5源IP=PC访问服务器的包目的IP=源IP=5服务器返回PC的包5目的IP=5源IP=经过路由器后的包转换转换内部外部内部局部地址外部局部地址外部全局地址内部全局地址静态转换和动态转换

NAT实现方法的工作过程2-1Internet外部主机BSASADADANATNAT转换表协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP:2312345PATNAT实现方法的工作过程2-2Internet外部主机BSASADADANATNAT转换表协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP:1492:1492:23TCP:1493:1493:8012345NAT的优点节省公有合法IP地址处理地址重叠增强灵活性安全性NAT的缺点延迟增大配置和维护的复杂性不支持某些应用，可以通过静态NAT映射来避免NAT的特性NAT路由器平台配置NAT配置步骤接口IP地址配置使用访问控制列表定义哪些内部主机能做NAT决定采用什么公有地址，静态或地址池Router(config)#ipnatpoolpool-name

star-ip

end-ip{netmasknetmask|prefix-lengthprefix-length}[typerotary]指定地址转换映射Router(config)#ipnatinsidesourcestaticlocal-ip

global-ip[extendable]Router(config)#ipnatinsidesourcelistaccess-list-numberpoolpool-name[overload]在内部和外部端口上启用NATNAT的配置定义地址池静态NAT地址映射动态NAT或PAT地址映射将内网地址、静态转换为合法的外部地址31、32，以便访问外网或被外网访问静态NAT配置4-1～54/24………内部网络30NAT内部端口NAT外部端口InternetF1/0F0/0设置外部端口的IP地址：设置内部端口的IP地址：建立静态地址转换Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3048Router(config-if)#noshut静态NAT配置4-2Router(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshutRouter(config)#ipnatinsidesourcestatic30Router(config)#ipnatinsidesourcestatic31在内部和外部端口上启用NAT配置默认路由静态NAT配置4-3Router(config)#interfaceFastEthernet0/0Router(config-if)#ipnatoutsideRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipnatinsideRouter(config)#iproute29静态NAT配置4-4InternetSASA31DA31DANATNAT转换表协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP31TCP3230NAT建立NAT端口映射关系配置实例NAT端口映射Router(config)#ipnatinsidesourcestaticprotocollocal-ipUDP/TCP-portglobal-ipUDP/TCP-port[extendable]Router(config)#ipnatinsidesourcestatictcp80318080extendableInternet31

8080

80协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP:8031:8080将内部地址～54转换为合法地址31～90，以便访问Internet动态NAT配置3-1～54/24………内部网络30NAT内部端口NAT外部端口InternetF0/0F1/0设置外部端口的IP地址：设置内部端口的IP地址：动态NAT配置3-2定义访问控制列表定义合法IP地址池实现网络地址转换在内部和外部端口上启用NAT，以及配置默认路由与静态NAT配置相同Router(config)#access-list1permit55Router(config)#ipnatpooltest03190netmask92Router(config)#ipnatinsidesourcelist1pooltest0Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3092Router(config-if)#noshuRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshu动态NAT配置3-3InternetSASA31DA31DANATNAT转换表协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP31TCP3230将内部网络地址～54转换为合法的地址31/29，以便访问InternetPAT配置5-1～54/24………内部网络30NAT内部端口NAT外部端口InternetF0/0F1/0设置外部端口的IP地址：设置内部端口的IP地址：PAT配置5-2

定义访问控制列表：定义合法IP地址池：实现网络地址转换：在内部和外部端口上启用NAT，以及配置默认路由与静态NAT配置相同Router(config)#access-list1permit55Router(config)#ipnatpoolonlyone3131netmask48Router(config)#ipnatinsidesourcelist1poolonlyoneoverload进行端口复用Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3092Router(config-if)#noshuRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshuPAT配置5-3InternetSASA31DA31DANATNAT转换表协议内部用局部IP地址内部用全局IP地址外部用全局IP地址TCP:102831:1028TCP:1121231:1121230复用路由器外部接口地址PAT配置5-4～54/24………内部网络动态IPInternetF0/0F1/0定义内部访问列表定义合法的IP地址池由于直接使用外部接口地址，所以不再定义IP地址池设置复用动态IP地址转换在内部和外部端口上启用NAT，以及配置默认路由与静态NAT配置相同PAT配置5-5Router(config)#access-list1permit55Router(config)#ipnatinsidesourcelist1interfaceFastEthernet0/0overload外部接口验证NAT的配置查看NAT转换条目Router#showipnattranslations[verbose]verbose：显示详细的NAT转换条目信息Router#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp:6002:60023:60023:6002icmp:15488:154883:154883:15488icmp:14225:142253:142253:14225icmp:14481:144813:144813:14481---------Router#showipnattranslationsverboseProInsideglobalInsidelocalOutsidelocalOutsideglobalIcmp:31634:316343:316343:31634create00:00:14,use00:00:14timeout:60000,left00:00:45,Map-Id(In):1,flags:extended,use_count:0,entry-id:36,lc_entries:0---------create00:34:40,use00:27:57timeout:0,flags:static,use_count:0,entry-id:1,lc_entries:0静态NAT条目PAT动态条目协议内部全局地址内部局部地址外部局部地址外部全局地址NAT转换条目的创建时间、使用时间、超时时间值静态NAT条目永远存在查看NAT统计信息Router#showipnatstatistics默认情况下UDP超时值：5分钟DNS超时值：1分钟TCP超时值：24小时更改超时时间配置NAT转换条目超时时间Router(config)#ipnattranslation{dns-timeout|icmp-timeout|tcp-timeout|udp-timeout}{seconds|never}清除NAT转换表中的所有条目Router#clearipnattranslation*清除包含内部转换的转换条目Router#clearipnattranslationinsidelocal-ipglobal-ip清除包含外部转换的转换条目Router#clearipnattranslationoutsidelocal-ipglobal-ip清除NAT转换条目静态NAT条目不会被清除常见问题ACL阻止转换后的流量进行地址转换的ACL不全overload参数漏配不对称路由问题动态地址池IP地址范围配置错误动态地址池与静态转换地址重叠Inside和outside接口配置错误NAT的故障处理2-1NAT故障的排除检查物理设备和NAT配置通过show命令查看NAT的各种信息通过debugipnat命令跟踪NAT操作NAT故障处理2-2R1#debugipnatIPNATdebuggingison*Mar100:03:56.875:NAT:s=->,d=[52225]*Mar100:03:57.667:NAT*:s=->,d=[52481]*Mar100:03:57.811:NAT*:s=,d=->[52481]s＝表示源地址是d＝表示目的地址是->表示将地址转换为

NAT硬件防火墙配置在硬件防火墙上启用NAT控制InsideLocalOutsideMappedPool101TranslationTable101NATInternetfw1(config)#nat-controlnat[(if_name)]nat_id

address[netmask][dns][[tcp]tcp_max_conns[emb_limit][norandomseq]]][udpudp_max_conns]firewall(config)#nat

命令启用IP地址转换fw1(config)#nat(inside)10011X.X.X.XNATInternetglobal

命令例子：fw1(config)#nat(inside)1

fw1(config)#global(outside)1

0-54firewall(config)#global[(if_name)]nat_id{mapped_ip[-mapped_ip]

[netmaskmapped_mask]}|interface110NATInternetrouteif_name

ip_address

netmask

gateway_ip[metric]firewall(config)#route

命令为接口定义静态或默认路由fw1(config)#routeoutside1fw1(config)#routeinside0211DefaultRoute02StaticRouteInternetfw1(config)#namesfw1(config)#namebastionhostfw1(config)#name1insidehost主机名到IP的映射：NAME命令在防火墙上配置一个名称到IP的映射nameip_addressnamefirewall(config)#“bastionhost”.1“insidehost”1配置例子writeterminalinterfaceethernet0nameifoutsidesecurity-level0speed100duplexfullipaddressinterfaceethernet1nameifinsidesecurity-level100speed100duplexfullipaddress.Ethernet0Interfacename=outsideSecuritylevel=0IPaddress=Ethernet1Interfacename=insideSecuritylevel=100IPaddress=Internet配置例子interfaceethernet2nameifdmzsecurity-level50speed100duplexfullipaddresspasswd2KFQnbNIdI.2KYOUencryptedhostnamefw1namesnamebastionhostname1insidehost.Ethernet2Interfacename=dmzSecuritylevel=50IPaddress=Internet“insidehost”1“bastionhost”配置例子nat-controlnat(inside)100global(outside)10-54routeoutside1routeinside021MappedPool0-02“insidehost”1“bastionhost”.DefaultRouteStaticRouteInternetISA代理(加速)服务器37常见的防火墙简介ISAServer2004/2006是微软推出的面向企业级应用的高级应用层防火墙，融合了状态检测和代理型防火墙的特点。ISA防火墙可以为各种类型的网络提供高级保护和快速、安全的Internet访问38ISAServer2006功能概述ISAServer2006功能概述Internet防火墙安全服务器发布Web缓存服务器39ISAServer2006版本ISAServer2006标准版为小型企业、工作组和部门环境提供企业级防火墙和Web缓存的能力ISAServer2006企业版用于大容量Internet通信环境，提供了集中式服务器管理、多级访问策略、服务器阵列群集，以及容错能力等。功能更强大，部署更复杂40规划ISAServer2006的安装ISAServer2006安装注意事项综合解决方案ISA防火墙Internet41ISAServer2006安装注意事项ISA硬件要求：对象

要求CPU至少733MHz以上，推荐2.0GHz以上

内存至少512MB，推荐2GB硬件空间至少150MB，如果使用缓存模式，需要NTFS分区操作系统Windows2000Server或WindowsServer2003网络适配器必须为连接到ISAServer2006的每个网络单独准备一个适配器，如果只有一个单适配器会自动作为缓存模式42综合解决方案小型企业解决方案对于小型企业而言，ISA2006可以放在公司局域网和Internet之间ISAServerInternet局域网43综合解决方案中型企业解决方案在中型网络中，可以部署成三宿主机外围网络形式ISAServerInternet局域网路由器DMZ区44安装ISAServer2006ISAServer2006的组件阵列：是对一组ISA2006服务器的统一管理方式。阵列中所有服务器共享同样的配置配置存储服务器：用于存储企业中全部阵列的配置信息，是ISA组件中最重要的部分ISA服务器服务：运行防火墙、VPN和缓存服务的ISA服务器ISA服务器管理：用于管理企业和阵列成员的管理终端45域环境安装ISA2006ISA2006安装拓扑：ISAServer0/24/245/2482/24域环境安装ISA2006安装ISA2006教员演示操作过程47安装ISA2006客户端ISA2006支持以下3种类型的客户端：FirewallClientSecureNATClientWebProxyClient483种客户端的比较特性SecureNATFirewallWebProxy是否需要安装否，但是需要修改网络配置是否，但是需要配置浏览器操作系统支持任何支持TCP/IP协议的系统只有Windows操作平台所有操作平台，但是需要以Web应用的方式协议支持TCP、HTTP、UDP、HTTPS、FTP及其他TCP、UDP之Winsock应用程序HTTP、HTTPS、FTP以及Gopher用户身份验证只要VPN客户端需要需要服务器应用程序不需要配置或安装需要配置文件N/A49配置SecureNATClientSecureNATClient不需要安装特定软件，但必须正确设置默认网关地址配置FirewallClientFirewallClient是安装并启用防火墙客户端软件的计算机防火墙客户端可以把Windows用户信息发送给ISAServer，提供身验证功能如果希望最大化ISA的功能，最好使用FirewallClient配置FirewallClient安装FirewallClient配置WebProxyClientWebProxyClient不需要安装任何的软件，只要将客户端计算机上的代理设置为ISAServer内网卡的地址，同时指定端口号53企业和阵列企业是一个逻辑概念，类似于Windows中的域，是企业管理模型在防火墙软件中的体现阵列是一组ISA计算机的组合。阵列的所有成员共享相同的配置，可以简化对防火墙的管理54网络结构本地主机网络内部网络外部网络InternetISA防火墙55网络模板为方便设置防火墙策略，ISA为用户提供5个预定义的网络模板边缘防火墙：公司ISAServer有两个网络连接，一个连接内部网络，另一个连接外部网络56网络模板3向外围网络：ISAServer连接内部网络、外部网络和外围网络的网络拓扑。外围网络即DMZ区域57网络模板前端防火墙ISAServer连接外部网络和外围网络的拓扑，其作为前端防火墙，内部还有一个防火墙，配置在后端保护内部网络58网络模板后端防火墙连接外围网络和