HC110310004 HCNA-Security-CBSN 第四章 网络地址转换技术V2.0.ppt

《HC110310004 HCNA-Security-CBSN 第四章 网络地址转换技术V2.0.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、修订记录课程编码适用产品产品版本课程版本ISSUEHC110310004华为防火墙V300R001V1.0开发/优化者时间审核人开发类型（新开发/优化）陈灵光2011.7余雷第一版王锐2013.5余雷优化本页不打印第四章网络地址转换技术目标学完本课程后，您将能够:掌握NAT的技术原理掌握NAT几种应用方式掌握防火墙的NAT配置目录网络地址转换技术介绍基于源IP地址NAT技术基于目的IP地址NAT技术双向NAT技术NAT应用场景配置NAT产生背景IPv4地址日渐枯竭IPv6技术不能立即大面积替换各种延长IPv4寿命的技术不断出现，NAT就是其中之

2、一。为什么需要NAT?NAT技术主要应用是实现大量的私网地址对少量公网地址的转换。保障通信在基础上节约IP地址资源。私网地址不能在公网中路由，否则将导致通信混乱内网用户10.1.1.1FTPServer123.3.2.3目的IP：123.3.2.3源IP：10.1.1.1丢弃10.1.1.1，私网地址？不知道路由无NAT情况下私网与公网的通信不做处理内网用户10.1.1.1FTPServer123.3.2.3源IP：123.3.2.3目的IP：123.3.21NAT技术的基本原理NAT技术通过对IP报文头中的源地址或目的地址进行转换，可以使大量

3、的私网IP地址通过共享少量的公网IP地址来访问公网。目的IP：123.3.2.3源IP：10.1.1.1目的IP：123.3.2.3源IP：123.3.2.1将私网源地址替换为公网地址目的IP：10.1.1.1源IP：123.3.2.3将公网目的地址替换为私网地址NAT分类基于源IP地址转换的方向（Inbound、Outbound）端口是否转换（No-Pat、NAPT）基于目的IP地址NATserver目的NATNAT分类基于源IP地址转换的方向（Inbound、Outbound）端口是否转换（No-Pat、NAPT）基于目的IP地址NATse

4、rver目的NATNAT的优点与缺点优点实现IP地址复用，节约宝贵的地址资源地址转换过程对用户透明对内网用户提供隐私保护可实现对内部服务器的负载均衡缺点网络监控难度加大限制某些具体应用目录网络地址转换技术介绍基于源IP地址NAT技术基于目的IP地址NAT技术双向NAT技术NAT应用场景配置基于源IP地址NAT技术概述基于源IP地址转换基于源IP地址和端口转换TrustUntrustTrustUntrust源192.168.0.11源端口X目的1.1.1.1源192.168.0.11目的1.1.1.1源9.9.9.9目的1.1.1.1源2.2.2

5、.2源端口Y目的1.1.1.1转换转换NATOutbound与NATInbound区别NATOutboundNATInboundTrustUntrustDMZUntrust源192.168.0.11目的1.1.1.1源9.9.9.9目的1.1.1.1转换OutboundInbound高安全区域低安全区域高安全区域低安全区域源192.168.0.11目的1.1.1.1源9.9.9.9目的1.1.1.1转换基于端口是否转换的NATNo-PAT(PortAddressTranslation)。主要用于一对一的IP地址的转换，端口不进行转换。将不同的内

6、部地址映射到同一公有地址的不同端口号上，实现多对一地址转换。主要利用NAPT技术实现多对一地址转换。192.168.1.1192.168.1.2192.168.1.3192.168.1.4155.133.87.1155.133.87.2155.133.87.3丢弃192.168.1.1192.168.1.2192.168.1.3155.133.87.1：7111155.133.87.1：7112155.133.87.1：7113基于源IP地址转换的配置（命令行）在系统视图下，配置NAT地址池nataddress-groupgroup-numbe

7、r[group-name]start-addressend-address在系统视图下，进入域间NAT策略视图nat-policyinterzonezone-name1zone-name2{inbound

8、outbound}创建NAT策略，进入策略ID视图policy[policy-id]Policysource{source-addresssource-wildcard

9、……}Policydestination{source-addresssource-wildcard

10、……}Policyserviceservice-set{service-

11、set-name}action{source-nat

12、no-nat}Address-group{number

13、name}no-patNAT地址池NAT