2 usg防火墙业务特性与配置.pptxVIP

USG防火墙NAT业务特性与配置

前言随着因特网的快速发展，它所面临的两个最迫切的问题就是IP地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（NAT）和IPv6（下一代因特网协议）技术。在IPv6技术尚在研究中且还未完全取代现有的IPv4网络的情况下，短期解决方案——NAT技术对于缓解目前的地址缺乏问题显得尤为重要。Page1

培训目标学完本课程后，您应该能：描述NAT技术的原理描述USG防火墙的各种NAT特性描述USG防火墙各NAT特性的基本组网与配置Page2

目录NAT技术原理USG防火墙NAT特性与配置Page3

NAT基本原理NAT（NetworkAddressTranslation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程Page4PCServerServerPCUSGEth0/0/1Eth0/0/0TrustUntrust数据报1源：目的：数据报2源：目的：数据报1源：.目的：数据报2源：目的：Internet

目录NAT技术原理USG防火墙NAT特性与配置Page5

NAT/PAT地址转换Page6定义地址池[USG2100]nataddress-group1NAT地址转换[USG2100]nat-policyinterzoneuntrusttrustoutbound[USG2100-nat-policy-interzone-trust-untrust-outbound]policy1[USG2100-nat-policy-interzone-trust-untrust-outbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-outbound-1]address-group1no-patPAT地址转换[USG2100]nat-policyinterzoneuntrusttrustoutbound[USG2100-nat-policy-interzone-trust-untrust-outbound]policy1[USG2100-nat-policy-interzone-trust-untrust-outbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-outbound-1]address-group1内网用户地址池最多支持4096个地址USG内网Internet地址池

策略NATPage7定义地址池[USG2100]nataddress-group1配置策略NAT[USG2100]nat-policyinterzonetrustuntrustoutbound[USG2100-nat-policy-interzone-trust-untrust-outbound]policy1[USG2100-nat-policy-interzone-trust-untrust-outbound-1]policysource0[USG2100-nat-policy-interzone-trust-untrust-outbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-outbound-1]address-group1PC2PC1USG内网用户内网Internet设置控制PC1可以通过NAT访问Internet，而PC2则不行/3/32

NATALG功能NAT和NAPT只能对IP报文的头部地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如ICMP、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，就可能导致问题。例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时FTP服务器将表现为不可达。Page8

ASPF+NAT+ALGPage9用户USG防火墙NatoutboundFTPserver0三次握手防火墙创建地址映射Servermap表项:20001<->:22787三次握手Port89,3Port78,33200PortCommandOKRE