[计算机]06-地址转换排错.pptVIP

网络地址翻译排错 目标 描述NetScreen地址转换选项及应用 使用排错工具发现NAT的配置错误 地址转换需求 对于外出会话的NAT 一般用于一台内部客户机到外部服务器的访问 需要把源地址从一个私有地址转换为一个公有地址 对于入站会话的NAT 一般用于外部客户端到内部服务器的访问 需要把目的地址从公有地址转换为私有地址 对外出会话的源转换 基于接口的NAT 仅支持从trust到untrust zone的流量 处于trust zone的接口默认为NAT模式 出站(untrust) 接口提供转换地址 一般发生端口转换 基于策略的NAT-src 转换基于策略生效 作用于任意zone间的流量 可开启或关闭端口转换 转换用地址可以是： 出站接口地址 DIP池中的地址 基于接口的NAT举例 Telnet 从客户端 A () 至服务器 B (54) 接口NAT的Debug 接口NAT的Debug (续) 基于策略的源地址NAT举例 从客户端A () 到服务器 B (54) Telnet 使用了DIP 池, 开启了fix-port DIP 池的详细信息 无对于源地址的特定映射 下一个有效地址从池中抽取 基于策略的源地址NAT的Debug 基于策略的源地址NAT的Debug (续) 带IP Shift 的源地址NAT 允许映射入站接口的一段地址为DIP池中的一段地址。 举例 - 01 - 02 - 03 - 04 - 05 无法检查所用的地址是否超出了转换范围 使用IP Shift的NAT-src 举例 使用IP Shift 的NAT-src 举例 使用IP Shift 的NAT-src 举例 Debug NAT-src中的IP Shift 使用IP Shift的NAT-src– 私有地址不在转换范围内 使用IP Shift的NAT-src– 私有地址不在转换范围内(续) 源地址转换的常见问题 对于不期望转换的情况! 基于接口的NAT默认是启用的 丢失的/不可用的DIP DIP空间不足 常出现在标准的DIP池中未启用端口转换的情况下 IP shift – 地址超出范围 对入站会话的目的转换 NAT-dst 单向转换 端口转换的启用或禁用 入站目的地址对静态路由的需求 映射: 一对一; 一对多; 多对多 VIP 一对多 使用端口号确定相关服务器 优先于NAT-dst 只用于Untrust zone的接口 NAT-dst 的包处理 基于策略的NAT-dst – 策略设置 ns208- get address private Total 3 address and 0 groups in address book. private Addresses: Name Address Netmask Flag Comments Any 02 All Addr Dial-Up VPN 55 55 02 Dial-Up VPN Addr web-svr 55 00 ns208- get policy id 4 id 4, name none, from zone public to zone private action Permit, status enabled src Any, dst web-svr, serv HTTP Policies on this vpn tunnel: 0 nat dst map to 54, url filtering OFF 基于策略的NAT-dst – 路由表 基于策略的NAT-dst举例 基于策略NAT-dst 的Debug 基于策略NAT-dst的Debug (续) VIP 举例 VIP举例 – 会话信息 VIP 的Debug举例 - Telnet VIP的Debug举例 – Telnet (续) VIP的Debug举例 - HTTP VIP的Debug举例 – HTTP (续) 目的地址转换的常见问题 在private zone的缺少或不正确的“公开” 地址 没有到 “公开” 目的地址的路由 转换前和转换后的路由不在同一zone VIP未映射至正确的地址/端口 双向转换 Mapped IP 一对一的映射 优先于NAT-dst MIP举例 MIP的Debug举例 MIP 的Debug举例 MIP的常见问题 无入站策略 映射不正确 总结 本章内容包括: 地址转换选项 对地址转换的排错技术 问题回顾 描述基于接口的NAT的局限性. 在使用NAT-src时，如何确定外出数据包的源地址? 哪个优