3 网络地址转换.pptVIP

网络地址转换 DCN客户服务中心 通过完成此章节课程，您将可以： - 熟悉多种NAT应用的环境 - 掌握源NAT的配置及应用 - 掌握目的NAT的配置应用 - 掌握NAT与相关策略的配置 章节目标 NAT的概念 源NAT 目的NAT NAT匹配顺序及相关策略 议程：网络地址转换 网络地址转换（Network Address Translation）简称为NAT是将IP数据包包头中的IP地址转换为另一个IP地址。当IP数据包通过路由器或者防火墙时，路由器或者防火墙会把IP数据包的源IP地址和/或者目的IP地址进行转换。在实际应用中，NAT主要用于私有网络访问外部网络或外部网络访问私有网络的情况。 RFC1918规定的三类私有地址如下： A类： - 55（/8） B类： - 55（/12） C类： - 55（/16） 议程：网络地址转换 NAT转换过程（SNAT） IP : 202 . 1 . 1 . 2 PC IP : 10 . 1 . 1 . 2 Trust Untrust IP 包 1 源 IP ： 10 . 1 . 1 . 2 目的 IP ： 202 . 1 . 1 . 2 IP 包 1 源 IP ： 202 . 1 . 1 . 1 目的 IP ： 202 . 1 . 1 . 2 IP 包 1 应答报文 源 IP ： 202 . 1 . 1 . 2 目的 IP ： 10 . 1 . 1 . 2 IP 包 1 应答报文 源 IP ： 202 . 1 . 1 . 2 目的 IP ： 202 . 1 . 1 . 1 e thernet 0 / 0 IP : 10 . 1 . 1 . 1 e thernet 0 / 1 IP : 202 . 1 . 1 . 1 Server IP : 202 . 1 . 1 . 2 Trust Untrust IP 包 1 源 IP ： 目的 IP ： IP 包 1 源 IP ： 202 . 1 . 1 . 2 目的 IP ： 202 . 1 . 1 . 1 服务器 应答报文 源 IP ： 10 . 1 . 1 . 2 目的 IP ： 202 . 1 . 1 . 2 IP 包 1 应答报文 源 IP ： 202 . 1 . 1 . 1 目的 IP ： 202 . 1 . 1 . 2 ethernet 0 / 0 PC e thernet 0 / 1 IP : 202 . 1 . 1 . 1 Server NAT转换过程（DNAT） NAT的概念 源NAT 目的NAT NAT匹配顺序及相关策略 议程：网络地址转换 SNAT（源NAT） 转换源IP地址，从而隐藏内部IP地址或者分享IP有限的IP地址。根据工作模式分为以下三种： 源NAT 模式 描述 static 静态源NAT转换即一对一的转换。该模式要求被转换到的地址条目（trans-to-address）包含的IP地址数与流量的源地址的地址条目（src-address）包含的IP地址数相同。 dynamicip 动态源NAT转换即多对多的转换。该模式将源地址转换到指定的IP地址。每一个源地址会被映射到一个唯一的IP地址做转换，直到指定地址全部被占用。 dynamicport 即PAT。多个源地址将被转换成指定IP地址条目中的一个地址。如果不使用sticky，地址条目中的第一个地址将会首先被使用，当第一个地址的端口资源被用尽，第二个地址将会被使用。如果使用了sticky，每一个源IP产生的所有会话将被映射到同一个固定的IP地址。 防火墙NAT源NAT NAT规则基于VRouter创建并生效 配置源NAT(WebUI) 配置源NAT(CLI) 在NAT配置模式下，使用以下命令： snatrule [id id] [before id | after id | top] from src-address to dst-address [eif egress-interface] trans-to {addressbook trans-to-address | eif-ip} mode {static | dynamicip | dynamicport [sticky]} [log] id id – 为SNAT规则指定ID号。 before id | after id | top – 指定规则所在的位置 from src-address to dst-address [eif egress-interface] – 指定该规则中流量应符合的条件。 eif egress-interface - 指定流量的出接口。 addressbook trans-to-ad