防火墙地址转换--教案.doc

地址转换 在一般情况下，企业拥有的公有合法IP 地址十分有限。所以，在企业内网中，一般使用私有IP 地址。为了解决通过私有IP 地址访问公网（Internet）的问题，和隐藏内部网络拓扑及真实IP 的需要，地址转换技术（Network Address Translation, NAT）经常会被应用到位于网络出口的路由设备，如防火墙上。 基于地址对象的源地址转换 网络卫士防火墙的防火墙模块的源地址转换策略支持基于地址资源的源地址转换，可转换的地址资源包括单个主机、主机地址范围和子网，对源地址可以进行的转换方式有：将源地址固定映射为某一合法IP 地址和将源地址动态映射某一网段或某一地址范围的地址。 基本需求 网络卫士防火墙的接口Eth0 连接企业内网，内网为/24，Eth0 的IP 地址为；Eth1 连接外网，Eth1 的IP 地址为。企业可用的公网IP地址范围为-0，网络拓扑结构的示意图如下所示。 图 20 基于地址资源的源地址转换示意图 配置要点 ?? 定义内网地址资源，可定义的地址资源包括主机地址资源、范围地址资源、子网地址资源、区域和VLAN。 ?? 定义要转换的公网地址资源。 ?? 定义源地址转换策略。 WebUI 配置步骤 1）选择 资源管理 区域，点击“添加”，定义区域资源。 设置内网区域area_eth0 与属性eth0 绑定且禁止访问。外网区域area_eth1 与属性eth1 绑定且允许访问。 2）定义内部地址资源，选择 资源管理 地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。 a）定义NAT 主机资源：选择“子网”页签，点击“添加”。 b）定义NAT 地址池：选择“范围”页签，点击“添加”。 3）定义NAT 地址转换策略。选择 防火墙 地址转换，点击右上角“添加”，进 入NAT 规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。 点击“源”页签，添加NAT 规则的源，内部地址资源：子网100.X。如下图所示。 b）点击“目的”页签添加NAT 规则的目的，外网区域：area_eth1。 c）设置源地址转换为地址池中地址的转换规则，设置为范围地址资源nat-pool。也可以设置转换为固定地址对象的转换规则。 配置完成。 需要注意的是，系统默认情况下，在源地址转换同时也会转换源端口。只有在上图中选择“源端口不作转换”时，数据包在经过防火墙时不改变源端口。 CLI 配置步骤 1）定义区域资源 #define area add name area_eth1 access on attribute eth1 #define area add name area_eth0 access off attribute eth0 2）定义内网地址资源 #define subnet add name 子网100.x ipaddr mask 3）定义NAT 地址池资源 #define range add name nat-pool ip1 ip2 0 4）定义NAT 地址转换规则 在地址池中动态选择转换后的IP #nat policy add srcarea area_eth0 orig_src 子网100.x dstarea area-eth1 trans_src nat-pool enable yes 注意事项 系统默认情况下，在源地址转换同时也会转换源端口。 基于属性的源地址转换 基本需求 当使用网络卫士防火墙的某一接口拨号接入ADSL，或者将某一接口作为DHCP 客户端时，此时，接口连接外网并且由ISP 或DHCP 服务器动态分配IP 地址，即接口IP 地址不固定。当内网用户需要通过此接口访问外网时，可以对接口进行属性绑定，在定义地址转换规则时将转换后地址设定为这些属性的名称。地址转换时系统会自动将内网地址转换为属性所绑定的接口的当前地址。 图 21 基于属性的源地址转换示意图 本例中网络卫士防火墙的Eth1 连接外网，为DHCP 客户端，需要DHCP 服务器动态分配IP 地址。 Eth0 的IP 地址为，连接内网/24。内网用户通过Eth1 访问外网。 配置要点 ?? 定义区域资源。 ?? 定义属性资源。 ?? 为接口绑定属性。 ?? 定义基于属性的源地址转换策略。 WebUI 配置步骤 1）定义区域资源area_eth0、area_eth1。选择 资源管理 区域，点击“添加”。设置完成后界面如下图 2）定义属性资源，选择 资源管理 属性，点击“添加新属性”。 3）通过CLI 界面为接口eth1 绑定属性 #network interface eth1 attribute add DHCP 4）定义源地址转换策