0108NAT故障处理.docVIP

目 录 8 NAT故障处理 8-1 8.1 简介 8-2 8.1.1 NAT的工作过程 8-2 8.1.2 NAT的特点 8-3 8.2 NAT网络地址转换故障处理过程 8-3 8.2.1 典型组网环境 8-4 8.2.2 配置注意事项 8-4 8.2.3 故障诊断流程 8-5 8.2.4 故障处理步骤 8-6 8.3 NAT内部服务器故障处理过程 8-8 8.3.1 典型组网环境 8-9 8.3.2 配置注意事项 8-9 8.3.3 故障诊断流程 8-10 8.3.4 故障处理步骤 8-10 8.4 故障处理案例 8-12 8.4.1 内网主机无法访问外网FTP Server 8-12 8.4.2 外网主机无法访问HTTP NAT Server 8-14 8.5 FAQ 8-15 8.6 故障诊断工具 8-15 插图目录 图8-1 地址转换示意图 8-2 图8-2 NAT网络地址转换组网图 8-4 图8-3 NAT网络地址转换故障流程图 8-6 图8-4 内部服务器典型组网环境 8-9 图8-5 NAT服务器故障诊断流程图 8-10 图8-6 NAT Outbound故障处理案例图 8-12 图8-7 NAT Server故障处理案例图 8-14 表格目录 表8-1 display firewall session table命令输出信息描述 8-16 表8-2 display ip routing-table命令输出信息描述 8-17 表8-3 display nat interzone命令输出信息描述 8-18 表8-4 display nat address-group输出信息描述 8-18 表8-5 display nat server输出信息描述 8-19 NAT故障处理 关于本章 本章描述内容如下表所示。 标题 内容 8.1 简介 介绍进行NAT故障处理时用户所需的知识要点。 8.2 NAT网络地址转换故障处理过程 针对典型的组网环境，介绍配置NAT网络地址转换时要注意的事项和详细的故障处理步骤。 8.3 NAT内部服务器故障处理过程 针对典型的组网环境，介绍配置NAT内部服务器时要注意的事项和详细的故障处理步骤。 8.4 故障处理案例 介绍实际的故障处理案例。 8.5 FAQ 列出用户常问的问题，并给出相应的解答。 8.6 故障诊断工具 介绍进行故障处理所需的故障诊断工具，包括使用display命令。 简介 网络地址转换NAT（Network Address Translation）又称地址代理，是在IP地址日益短缺的情况下提出的。 一个局域网内部有很多台主机，为了使所有的内部主机都能访问外网Internet，可以使用地址转换技术。同时，地址转换技术可以按照用户的需要，将内网的FTP、WWW、Telnet服务提供给外网用户。 NAT的工作过程 私有网络地址和公有网络地址 私有网络地址是指内部网络或内部主机的IP地址。公有网络地址是指在Internet上全球唯一的IP地址。Internet地址分配组织规定将下列的IP地址保留用作私有网络地址： ～55 ～55 ～55 这三个范围内的IP地址不会在Internet上分配，但可在一个单位或公司内部使用。不同企业的内部网络地址可以相同。如果一个公司选择上述三个范围之外的其它网段作为内部网络地址，在需要与Internet或公网主机通信时可能会造成混乱。 网络地址转换 如图8-1所示，描述了一个基本的NAT应用。 地址转换示意图 NAT服务器（例如Eudemon防火墙）处于私有网络和公有网络的连接处。当内部PC（）向外部服务器（）发送一个数据报1时，数据报将通过NAT服务器。NAT进程查看报头内容，发现该数据报是发往外部网络的。那么它将数据报1的源地址字段的私有地址换成一个可在Internet上选路的公有地址，并将该数据报发送到外部服务器，同时在网络地址转换表中记录这一映射。外部服务器给内部PC发送应答报文2（其初始目的地址为），到达NAT服务器后，NAT进程再次查看报头内容，然后查找当前网络地址转换表的记录，用原来的内部PC的私有地址替换目的地址。 Eudemon防火墙的NAT机制 地址转换的机制是将内部网络主机的IP地址和端口替换为Eudemon的外部网络地址和端口，以及从Eudemon的外部网络地址和端口转换为内部网络主机的IP地址和端口。也就是私有地址+端口与公有地址+端口之间的转换。 Eudemon防火墙设备引入了一个安全概念—区域，这是防火墙区别于路由器的主要特征。区域是一个或多个接口的组合，具有相应的安全级别。在防火墙设备上，由Trust区域向Untrust域和DMZ域主动发起连接时，NAT检测相应的数据连接是否需要进行NAT转换。如果