《计算机网络安全基础与技能训练》课件第6章.ppt

9.地址转换(NAT)和端口转换(PAT)1)?NAT操作进行NAT操作时，首先必须定义IPPool，提供给内部IP地址转换的地址段，接着定义内部网段。PIX525(config)#global(outside)100-00netmaskPIX525(config)#nat(outside)1如果是内部全部地址都可以转换出去，则：PIX525(config)#nat(outside)1nat命令配置语法如下：nat(if_name)nat_idlocal_ip[netmark]其中，if_name表示内网接口名字，例如inside；nat_id用来标识全局地址池，使它与其相应的global命令相匹配；local_ip表示内网被分配的ip地址，例如表示内网所有主机均可以对外访问；netmark表示内网ip地址的子网掩码。例如：PIX525(config)#nat(inside)100表示启用nat，内网的所有主机都可以访问外网，用0可以代表再如：PIX525(config)#nat(inside)1表示只有这个网段内的主机可以访问外网。2)?PAT操作某些情况下，外部地址是很有限的，有些主机必须单独占用一个IP地址，必须解决的是公用一个外部IP(222.20.16.201)，则必须多配置一条命令，这种方式称为(PAT)，这样就能解决更多用户同时共享一个IP，有点像代理服务器的功能。配置如下：PIX525(config)#global(outside)100-00netmaskPIX525(config)#global(outside)101netmaskPIX525(config)#nat(outside)110.?DHCPServer在内部网络，为了集中管理和充分利用有限的IP地址，都会启用动态主机分配IP地址服务器(DHCPServer)，CiscoFirewallPIX都具有这种功能。下面简单配置DHCPServer，地址段为00～.200。DNS：主8，备7；主域名称：；DHCPClient通过PIXFirewall。则DHCPServer配置命令如下：PIX525(config)#dhcpdaddress00-00insidePIX525(config)#dhcpdns87PIX525(config)#dhcpdomain11.静态端口重定向在PIX6.0以上版本，增加了端口重定向(PortRedirectionwithStatics)的功能，允许外部用户通过一个特殊的IP地址或端口通过FirewallPIX传输到内部指定的内部服务器。通过使用这种功能，就可以发布内部www、FTP、Mail等服务器，因为这种方式并不是直接连接，而是通过端口重定向，所以使得内部服务器很安全。端口重定向的命令格式为：static[(internal_if_name,external_if_name)]{global_ip|interface}local_ip[netmaskmask][max_cons[max_cons[emb_limit[norandomseq]]]static[(internal_if_name,external_if_name)]{tcp|udp}{global_ip|interface}local_ip[netmaskmask][max_cons[max_cons[emb_limit[norandomseq]]]举例如下：(1)外部用户直接访问地址9telnet(端口23)，通过PIX重定向到内部主机9的Telnet端口。PIX525(config)#static(inside,outside)tcp9telnet9telnetnetmask5500(2)外部用户直接访问地址9FTP(端口21)，通过PIX重定向到内部的FTPServer。PIX525(config)#static(inside,outside)tcp9ftpftpnetmask5500(3)外部用户直接访问地址08www(端口80)，通过PIX重定向到内部192.168.123的主机的www。PIX525(config)#static(