华为防火墙之NAT技术_防火墙nat培训资料

1.源NAT

源NAT技术对IP报文的源地址进行转换，将私网IP地址转换成公网IP地址，使大量私网用户可以利用少量公网IP地址访问Internet，大大减少了对公网IP地址的消耗。

源NAT转换的过程如下图所示，当私网用户访问Internet的报文到达防火墙时，防火墙将报文的源IP地址由私网地址转换为公网地址；当回程报文返回至防火墙时，防火墙再将报文的目的地址由公网IP地转换为私网地址。整个NAT转换过程对于内部网络中的用户和Internet上的主机来说是完全透明的。

NAT地址池是一个虚拟的概念，它形象地把“公网IP地址的集合”比喻成一个“放IP地址的池子或容器”，防火墙在进行地址转换时就是从NAT地址池中挑选出一个公网IP地址，然后对私网IP地址进行转换。挑选哪个公网IP地址是随机的，和配置时的顺序、IP地址大小等因素都没有关系。

配置NAT地址池的命令如下：

[FW] nat address-group 1 202.1.1.2 202.1.1.5  //配置包含4个公网地址的地址池
1

NAT地址池配置完成后，会被NAT策略所引用。NAT策略与安全策略相似，也是由条件和动作组成。不同的是，NAT策略中的动作是“源NAT转换”和“不进行NAT转换”，当动作是“源NAT转换”时必须引用NAT地址池，如下图所示：

多条NAT策略之间存在匹配顺序，如果报文命中了某一条NAT策略，就会按照该NAT策略中引用的地址池来进行地址转换；如果报文没有命中某条NAT策略，则会向下继续查找。

NAT No-PAT

“No-PAT”表示不进行端口转换，所以NAT No-PAT方式只转换IP地址，故也称为“一对一地址转换”。

下面以图4-3所示的组网环境为例介绍No-PAT方式的配置过程，假设防火墙和Web服务器之间路由可达。

NAT No-PAT方式的配置过程如下：

①配置NAT地址池

[FW] nat address-group 1 202.1.1.2 202.1.1.3  ∥地址池中配置两个公网IP地址
1

②配置NAT策略

[FW] nat-policy interzone trust untrust outbound
[FW-nat-policy-interzone-trust-untrust-outbound] policy 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] policy souree 192.168.0.0 0.0.0.255   ∥匹配条件
[FW-nat-policy-interzone-trust-untrust-outbound-1] action source-nat  //动作为进行源NAT转换
[FW-nat-policy-interzone-trust-untrust-outbound-1]address-group 1 no-pat //弓用NAT 地址池并指定转换方式为No-PAT
[FW-nat-policy-interzone-trust-untrust-outbound-1] quit
[FW-nat-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6
7

③配置安全策略

• 安全策略的作用是控制报文能否通过防火墙；
• NAT策略的作用是对报文进行地址转换；

配置NAT的时候也需要配置安全策略允许报文通过。由于防火墙对报文进行安全策略处理发生在进行NAT策略处理之前，所以安全策略的源地址应该是进行NAT转换之前的私网地址。

[FW] policy interzone trust untrust outbound
[FW-policy-interzone-trust-untrust-outbound] policy 1
[FW-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-untrust-outbound-1] action permit
[FW-policy-interzone-trust-untrust-outbound-1] quit
[FW-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6

④配置黑洞路由

黑洞路由是一个让报文“有去无回”的路由，它的效果就是让防火墙丢弃命中黑洞路由的报文。为了避免产生路由环路，在防火墙上必须针对地址池中的公网IP地址配置黑洞路由。

[FW] ip route-static 202.1.1.2 32 NULL0
[FW] ip route-static 202.1.1.3 32 NULL 0
1
2

NAT No-PAT方式会生成Server-map表，而且生成了正向和反向两条表项。

在NAT No-PAT的转换方式中，一个公网IP地址不能同时被多个私网用户使用，其实并没有起到节省公网IP地址的效果。

NAPT

NAPT（Network Address and Port Translation）表示网络地址和端口转换，即同时对IP地址和端口进行转换，也可称为PAT(PAT不是只转换端口的意思，而是IP地址和端口同时转换）。NAPT是一种应用最广泛的地址转换方式，可以利用少量的公网IP地址来满足大量私网用户访问Internet的需求。

NAPT方式和NATNo-PAT方式在配置上的区别仅在于：NAPT方式的NAT策略在引用NAT 地址池时，不配置关键字“no-pat”，其他的配置都是一样的。

### ①配置NAT地址池
[FW] nat address-group 1 202.1.1.2 202.1.1.3  ∥地址池中配置两个公网IP地址
### ②配置NAT策略
[FW] nat-policy interzone trust untrust outbound
[FW-nat-policy-interzone-trust-untrust-outbound] policy 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] policy souree 192.168.0.0 0.0.0.255   ∥匹配条件
[FW-nat-policy-interzone-trust-untrust-outbound-1] action source-nat  //动作为进行源NAT转换
[FW-nat-policy-interzone-trust-untrust-outbound-1]address-group 1  //弓用NAT 地址池
[FW-nat-policy-interzone-trust-untrust-outbound-1] quit
[FW-nat-policy-interzone-trust-untrust-outbound] quit
### ③配置安全策略
[FW] policy interzone trust untrust outbound
[FW-policy-interzone-trust-untrust-outbound] policy 1
[FW-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-untrust-outbound-1] action permit
[FW-policy-interzone-trust-untrust-outbound-1] quit
[FW-policy-interzone-trust-untrust-outbound] quit
### ④配置黑洞路由
[FW] ip route-static 202.1.1.2 32 NULL0
[FW] ip route-static 202.1.1.3 32 NULL 0
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

NAPT方式不会生成Server-map表。

出接口地址方式

出接口地址方式（Easy-IP） 指的是利用出接口的公网IP地址作为NAT转换后的地址，也同时转换地址和端口，一个公网IP地址可以同时被多个私网用户使用，可以看成是NAPT方式的一种“变体”。

出接口地址方式（Easy-IP）在公网IP是动态变化的情况下使用。

Easy-IP方式无需配置NAT地址池，也不用配置黑洞路由，只需在NAT策略中指定出接口即可，下面以图4-4所示的组网环境为例介绍Easy-IP方式的配置过程。

(1)配置NAT策略

[FW] nat-policy interzone trust untrust outbound
[FW-nat-policy-interzone-trust-untrust-outbound] poliey 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] policy souree 192.168.0.0 0.0.0.255
[FW-nat-policy-interzone-trust-untrust-outbound-1] action souree-nat
[FW-nat-policy-interzone-trust-untrust-outbound-1]easy-ip GigabitEthernetl/0/2 //指定出接口
[FW-nat-policy-interzone-trust-untrust-outbound-1] quit
[FW-nat-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6
7

(2)配置安全策略

[FW] policy interzone trust untrust outbound
[FW-policy-interzone-trust-untrust-outbound] policy 1
[FW-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-untrust-outbound-1] action permit
[FW-policy-interzone-trust-untrust-outbound-1] quit
[FW-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6

和NAPT一样，Easy-IP方式也不会生成Server-map表。

Smart NAT

Smart NAT方式也叫作“聪明的NAT”，这是因为它融合了NAT No-PAT方式和
NAPT方式的特点。

假设SmartNAT方式使用的地址池中包含N个IP，其中一个IP被指定为预留地址，另外N-1个地址构成地址段1（sectionl）。进行NAT地址转换时，Smart NAT会先使用section1进行NAT No-PAT方式的转换，即一对一的地址转换。当section1中的IP都被占用后，SmartNAT才使用预留地址进行NAPT方式的转换，即多对一的地址转换。

上图组网环境，Smart NAT方式的配置过程如下：

（1）配置NAT地址池

[FW] nat address-group 1
[FW-address-group-1] mode no-pat local
[FW-address-group-1] smart-nopat 202.1.1.3  //预留地址
[FW-address-group-1] section 1 202.1.1.2 202.1.1.2  //section中不能包含预留地址
[FW-address-group-]] quit
1
2
3
4
5

（2）配置NAT策略

[FW] nat-poliey interzone trust untrust outbound
[FW-nat-policy-interzone-trust-untrust-outbound] policy 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-nat-policy-interzone-trust-untrust-outbound-1] action souree-nat
[FW-nat-policy-interzone-trust-untrust-outbound-1] address-group 1 /∥弓用NAT地址池
[FW-nat-policy-interzone-trust-untrust-outbound-1] quit
[FW-nat-policy-interzone-trust-untrust-outbound] quít
1
2
3
4
5
6
7

（3）配置安全策略

[FW] policy interzone trust untrust outbound
[FW-policy-interzone-trust-untrust-outbound] policy 1
[FW-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-untrust-outbound-1] action permit
[FW-policy-interzone-trust-untrust-outbound-1] quit
[FW-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6

（4）配置黑洞路由

[FW] ip route-static 202.1.1.2 32 NULL0
[FW] ip route-static 202.1.1.3 32 NULL 0
1
2

三元组 NAT

为了解决P2P业务和NAT共存的问题，需要用到一种新的地址转换方式：三元组 NAT

三元组 NAT在进行转换时，仅和源IP地址、源端口和协议类型这3个元素有关，这也正是“三元组”NAT名字的由来。

三元组 NAT的两个特点：

• 对外呈现端口一致性
• 支持外网主动访问

目前华为USG9500系列防火墙V300R001版本支持三元组NAT方式，对于USG2000/5000/6000系列防火墙来说，可以通过配置User-defined协议的ASPF来保证P2P业务的正常运行。下面结合下图所示的组网环境，给出三元组NAT的配置过程，三元组NAT不能配置黑洞路由，否则会影响业务。

（1）配置NAT地址池

[FW] nat address-group 1  //指定模式为三元组NAT方式
[FW-address-group-]] mode full-cone local
[FW-address-group-1] section 1 202.1.1.2 202.1.1.3
[FW-address-group-1] quit
1
2
3
4

（2）配置NAT策略

[FW] nat-policy interzone trust untrust outbound
[FW-nat-policy-interzone-trust-untrust-outbound] policy 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] policy souree 192.168.0.0 0.0.0.255
[FW-nat-policy-interzone-trust-untrust-outbound-1] aetion souree-nat  //引用NAT地址：池
[FW-nat-policy-interzone-trust-untrust-outbound-1] address-group 1
[FW-nat-policy-interzone-trust-untrust-outbound-1] quit
[FW-nat-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6
7

（3）配置安全策略

[FW] policy interzone trust untrust outbound
[FW-policy-interzone-trust-untrust-outbound] poliey 1
[FW-policy-interzone-trust-untrust-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-untrust-outbound-1] action permit
[FW-policy-interzone-trust-untrust-outbound-1] quit
[FW-policy-interzone-trust-untrust-outbound] quit
1
2
3
4
5
6

多出口场景下的源NAT

某企业在内部网络的出口处部署了防火墙作为出口网关，通过ISP1和ISP2两条链路连接到Internet,企业内部网络中的PC有访问Internet的需求，如下图；

选路的方式有多种，比如配置两条缺省路由（等价路由）或者配置明细路由，根据报文的目的地址进行选路；比如配置策略路由，根据报文的源地址进行选路。这里主要介绍NAT功能。

无论使用哪种选路方式，结果无非就是两种：报文走ISP1的链路出去，或者走ISP2的链路出去。不管是走哪条链路，只要在报文发出去之前把报文中私网地址转换成相应的公网地址，源NAT的作用就完成了。

通常情况，我们把防火墙与ISP1和ISP2相连的两个接口分别加入到不同的安全区域，然后基于内部网络所在安全区域（通常是Trust区域）与这两个接口所在安全区域之间配置源NAT策略，如下图所示：

假设ISP1分配的公网地址是1.1.1.10_{1.1.1.12，ISP2分配的公网地址是2.2.2.10}2.2.2.12，NAPT方式的源NAT配置如下：

（1）将接口分别加入到不同的安全区域

[FW] firewall zone trust
[FW-zone-trust] add interface GigabitEthernet1/0/1
[FW-zone-trust] quit
[FW] firewall zone name isp1
[FW-zone-ispl] set priority 10
[FW-zone-ispl] add interface GigabitEthernet1/0/2
[FW-zone-ispl] quit
[FW] firewall zone name isp2
[FW-zone-isp2] set priority 20
[FW-zone-isp2] add interface GigabitEthernet1/0/3
[FW-zone-isp2] quit
1
2
3
4
5
6
7
8
9
10
11

（2）配置两个NAT地址池

[FW] nat address-group 1 1.1.1.10 1.1.1.12
[FW] nat address-group 2 2.2.2.10 2.2.2.12
1
2

（3）基于不同的域间关系配置两条NAT策略

[FW] nat-policy interzone trust ispl outbound
[FW-nat-policy-interzone-trust-isp1-outbound] policy 1
[FW-nat-policy-interzone-trust-isp1-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-nat-policy-interzone-trust-isp1-outbound-1] action source-nat
[FW-nat-policy-interzone-trust-ispl-outbound-1] address-group 1
[FW-nat-policy-interzone-trust-isp1-outbound-1] quit
[FW-nat-policy-interzone-trust-ispl-outbound] quit
[FW] nat-policy interzone trust isp2 outbound
[FW-nat-policy-interzone-trust-isp2-outbound] policy 1
[FW-nat-policy-interzone-trust-isp2-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-nat-policy-interzone-trust-isp2-outbound-1] action source-nat
[FW-nat-policy-interzone-trust-isp2-outbound-1] address-group 2
[FW-nat-policy-interzone-trust-isp2-outbound-1] quit
[FW-nat-policy-interzone-trust-isp2-outbound] quit
1
2
3
4
5
6
7
8
9
10
11
12
13
14

（4）基于不同的域间关系配置两条安全策略

[FW] policy interzone trust isp1 outbound
[FW-policy-interzone-trust-ispl-outbound] policy 1
[FW-policy-interzone-trust-isp1-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-ispl-outbound-1] action permit
[FW-policy-interzone-trust-ispl-outbound-1] quit
[FW-policy-interzone-trust-ispl-outbound] quit
[FW] policy interzone trust isp2 outbound
[FW-policy-interzone-trust-isp2-outbound] policy 1
[FW-policy-interzone-trust-isp2-outbound-1] policy source 192.168.0.0 0.0.0.255
[FW-policy-interzone-trust-isp2-outbound-1] action permit
[FW-policy-interzone-trust-isp2-outbound-1] quit
[FW-policy-interzone-trust-isp2-outbound] quit

1
2
3
4
5
6
7
8
9
10
11
12
13

（5）配置黑洞路由

[FW] ip route-static 1.1.1.10 32 NULL 0
[FW] ip route-static 1.1.1.11 32 NULL 0
[FW] ip route-static 1.1.1.12 32 NULL 0
[FW] ip route-static 2.2.2.10 32 NULL 0
[FW] ip route-static 2.2.2.11 32 NULL 0
[FW] ip route-static 2.2.2.12 32 NULL 0
1
2
3
4
5
6

华为防火墙源NAT技术对比

2.NAT Server

NAT Server（服务器映射）基本原理

针对服务器的地址转换——NAT Server（服务器映射），服务器对公网用户提供服务时使用；

参照上图，NAT Server的配置过程如下：

（1）配置NAT Server

将服务器的私网地址10.1.1.2映射成公网地址1.1.1.1

[FW] nat server global 1.1.1.1 inside 10.1.1.2
1

如果服务器同时存在多种协议和端口的服务项，按上述配置会将服务器上所有服务项都发布到公网上，这样会带来安全风险。我们可以只将服务器上特定的服务项对公网发布，从而避免服务项全发布带来的风险。

例如，将服务器上80端口的服务项映射为9980端口供公网用户访问，配置如下：

[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80
1

（2）配置安全策略

NAT Server场景下，为了让公网用户能够访问私网服务器，配置安全策略时策略的目的地址是服务器的私网地址；

[FW] policy interzone dmz untrust inbound
[FW-policy-interzone-dmz-untrust-inbound] policy 1
[FW-policy-interzone-dmz-untrust-inbound-1] policy destination 10.1.1.2 0
[FW-policy-interzone-dmz-untrust-inbound-1] policy service service-set http
[FW-policy-interzone-dmz-untrust-inbound-1] action permit
[FW-policy-interzone-dmz-untrust-inbound-1] quit
[FW-policy-interzone- dmz-untrust-inbound] quit
1
2
3
4
5
6
7

（3）配置黑洞路由

NAT Server也需要配置黑洞路由，避免路由环路

[FW] ip route-static 1.1.1.1 32 NULL 0
1

多出口场景下的NAT Server

上图，防火墙作为出口网关，双出口、双ISP接入公网，NAT Server的配置通常需要一分为二，让一个私网服务器向两个ISP发布两个不同的公网地址供公网用户访问。一分为二的方法有两种。

方法一：将接入不同ISP的公网接口规划在不同的安全区域中，配置NAT Server时，带上zone参数，使同一个服务器向不同安全区域发布不同的公网地址，如下图所示：

假设私网服务器对ISP1发布的公网地址是1.1.1.20，对ISP2发布的公网地址是2.2.2.20，配置过程如下：

（1）将接口分别加入到不同的安全区域

[FW] firewall zone dmz
[FW-zone-dmz] add interface GigabitEthernet1/0/4
[FW-zone-dmz] quit
[FW] firewall zone name isp1
[FW-zone-ispl] set priority 10
[FW-zone-ispl] add interface GigabitEthernet1/0/2
[FW-zone-ispl] quit
[FW] firewall zone name isp2
[FW-zone-isp2] set priority 20
[FW-zone-isp2] add interface GigabitEthernet1/0/3
[FW-zone-isp2] quit
1
2
3
4
5
6
7
8
9
10
11

（2）配置带有zone参数的NAT Server

[FW] nat server zone isp1 protocol tcp global 1.1.1.20 9980 inside 172.16.0.2 80
[FW] nat server zone isp2 protocol tcp global 2.2.2.20 9980 inside 172.16.0.2 80
1
2

（3）基于不同的域间关系配置两条安全策略

[FW] policy interzone isp1 dmz inbound
[FW-policy-interzone-dmz-ispl-inbound] policy 1
[FW-policy-interzone-dmz-isp1-inbound-1] policy destination 172.16.0.2 0
[FW-policy-interzone-dmz-ispl-inbound-1] policy service service-set http
[FW-policy-interzone-dmz-isp1-inbound-1] action permit
[FW-policy-interzone-dmz-isp1-inbound-1] quit
[FW-policy-interzone-dmz-isp1-inbound] quit
[FW] policy interzone isp2 dmz inbound
[FW-policy-interzone-dmz-isp2-inbound] policy 1
[FW-policy-interzone-dmz-isp2-inbound-1] policy destination 172.16.0.2 0
[FW-policy-interzone-dmz-isp2-inbound-1] policy service service-set http
[FW-policy-interzone-dmz-isp2-inbound-1] action permit
[FW-policy-interzone-dmz-isp2-inbound-1] quit
[FW-policy-interzone-dmz-isp2-inbound] quit
1
2
3
4
5
6
7
8
9
10
11
12
13
14

（4）配置黑洞路由

[FW] ip route-static 1.1.1.20 32 NULL0
[FW] ip route-static 2.2.2.20 32 NULL 0
1
2

方法二：如果防火墙与ISP1和ISP2相连的两个接口在同一个安全区域内且无法调整，则通过配置NAT Server时带上no-reverse参数，使同一个服务器向外发布两个不同的公网地址，如下图所示：

上图中其他配置与方法一相同，不同的是配置带有no-reverse参数的NAT Server，配置如下：

[FW] nat server protocol tep global 1.1.1.20 9980 inside 172.16.0.2 80 no-reverse
[FW] nat server protocol tcp global 2.2.2.20 9980 inside 172.16.0.2 80 no-reverse
1
2

配置源进源出

如下图，如果防火墙只配置了缺省路由，用户通过ISP1通过GE1/0/2接口访问内部服务器，返回的数据有可能通过ISP2链路的GE1/0/3接口发出，数据就无法返回给用户，访问中断，避免此种情况出现就需要在防火墙上配置源进源出，即请求报文从某条路径进入，响应报文依然沿着同样的路径返回，而不用查找路由表来确定出接口，
保证了报文从同一个接口进出；

源进源出功能在接口上配置，防火墙连接ISP1和ISP2的两个接口上都需要配置。

假设ISP1提供的下一条地址是1.1.1.254，在接口GE1/0/2上开启源进源回功能的配置命令如下：

USG9500系列防火墙源进源出命令

[FW] interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2] redirect-reverse nexthop 1.1.1.254
1
2

USG2000/5000系列防火墙源进源出命令

[FW] interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2] reverse-route nexthop 1.1.1.254
1
2

USG6000系列防火墙源进源出命令

[FW] interface GigabitEthernet 1/0/2
[FW-GigabitEthernet1/0/2] gateway 1.1.1.254
[FW-GigabitEthernetl/0/2] reverse-route enable
1
2
3

3.双向NAT

源NAT+NAT Server技术被称为双向NAT；双向NAT不是一个单独的功能，而是源NAT和NAT Server的组合，是针对同一条流（例如公网用户访问私网服务器的报文)，在其经过防火墙时同时转换报文的源地址和目的地址。

源NAT根据报文在防火墙上的流动方向分为：域间NAT和域内NAT；

域间NAT：报文在两个不同的安全区域之间流动时对报文进行NAT转换，根据流动方向的不同，分为以下两类：

• NAT Inbound：报文由低安全级别的安全区域向高安全级别的安全区域方向流动时，对报文进行的转换。一般来说，这种情况是公网用户访问内部网络，不太常见。
• NAT Outbound：报文由高安全级别的安全区域向低安全级别的安全区域方向流动时，对报文进行的转换。私网用户访问 Internet的场景使用的都是NAT Outbound。

域内NAT：报文在同一个安全区域之内流动时对报文进行NAT转换，一般来说，域内NAT都会和NAT Server配合使用，单独配置域内NAT的情况较少见。

当域间NAT或域内NAT和NAT Server一起配合使用时，就实现了双向NAT。

双向NAT还要合理的设置安全区域的安全级别并规划网络——内网网络属于Trust区域（高安全级别），私网服务器属于DMZ区域（中安全级别），Internet属于Untrust 区域（低安全级别）。

NAT Inbound + NAT Server

上图，公网用户访问私网服务器，安全策略和黑洞路由的配置与前面介绍过的内容没有区别，这里不写配置了，NAT Server和源NAT的配置如下：

//NAT Server的配置
[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80

//源NAT的配置
[FW] nat address-group 1 10.1.1.100 10.1.1.100
[FW] nat-policy interzone untrust dmz inbound
[FW-nat-policy-interzone-dmz-untrust-inbound] policy 1
[FW-nat-policy-interzone-dmz-untrust-inbound-1] policy destination 10.1.1.2 0 //由于先进行NAT Server转换，再进行源NAT转换，所以此处的目的地址是NAT Server转换后的地址，即服务器的私网地址
[FW-nat-policy-interzone-dmz-untrust-inbound-1] action source-nat
[FW-nat-policy-interzone-dmz-untrust-inbound-1] address-group 1
[FW-nat-policy-interzone-dmz-untrust-inbound-1] quit
[FW-nat-policy-interzone-dmz-untrust-inbound] quit
1
2
3
4
5
6
7
8
9
10
11
12

通过下图来看一下报文的转换过程:公网用户访问私网服务器的报文到达防火墙时，目的地址(私网服务器的公网地址)经过NAT Server转换为私网地址，然后源地址经过NAT Inbound也转换为私网地址，且和私网服务器属于同一网段。这样报文的源地址和目的地址就同时进行了转换，即完成了双向NAT。当私网服务器的回应报文经过防火墙时，再次进行双向NAT转换，报文的源地址和目的地址均转换为公网地址。

配置NAT Inbound的好处是：NAT地址池中的地址配置成和私网服务器在同一网段，当私网服务器回应公网用户的访问请求时，发现自己的地址和目的地址在同一网段，此时私网服务器就不会去查找路由，而是发送ARP广播报文询问目的地址对应的MAC地址。防火墙会及时将连接私网服务器的接口的MAC地址发给私网服务器，告诉私网服务器：“把回应报文发送给我吧”，所以私网服务器将回应报文发送至防火墙，防火墙再对其进行后续处理。私网服务器上省去了查找路由的环节，也就不用设置网关了。

在这个场景中应用双向NAT时还有一个前提条件，那就是私网服务器与防火墙必须在同一个网段，否则就不能应用这个功能了。

域内NAT + NAT Server

域内NAT+NAT Server的场景多见于小型网络，如下图所示，管理员在规划网络时“偷懒”，将私网用户和私网服务器规划到同一个网络中，并将二者置于同一个安全区域。

此时，如果希望私网用户像公网用户一样，通过公网IP地址1.1.1.1访问私网服务器，就要在防火墙上配置NAT Server。但是仅仅配置NAT Server会有问题，如下图所示，私网用户访问私网服务器的报文到达防火墙后进行目的地址转换（1.1.1.1->10.1.1.2)，私网服务器回应报文时发现目的地址和自己的地址在同一网段，回应报文经交换机直接转发到私网用户，不会经过防火墙转发。

如果希望提高内部网络的安全性，使私网服务器的回应报文也经过防火墙处理，就需要配置域内NAT，将私网用户访问私网服务器的报文的源地址进行转换。转换后源地址可以是公网地址也可以是私网地址，只要不和私网服务器的地址在同一网段即可，这样私网服务器的回应报文就会被发送到防火墙。

黑洞路由的配置与前面介绍过的内容没有区别，这里就不给出具体配置了。下面是NAT Server和域内NAT的配置；

//NAT Server的配置
[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80

//域内NAT的配置
[FW] nat address-group 1 1.1.1.100 1.1.1.100  //公网地址或私网地址均可，不能和私网服务器的地址在同一网段
[FW] nat-policy zone trust
[FW-nat-policy-zone-trust] policy 1
[FW-nat-policy-zone-trust-1]policy destination 10.1.1.20 //由于先进行NAT Server转换，再进行域内NAT转换，所以此处的目的地址是NAT Server转换后的地址，即服务器的私网地址
[FW-nat-policy-zone-trust-1] action source-nat
[FW-nat-policy-zone-trust-1] address-group 1
[FW-nat-policy-zone-trust-1] quit
[FW-nat-policy-zone-trust] quit
1
2
3
4
5
6
7
8
9
10
11
12

报文的转换过程如下图所示；

如果在这个组网环境的基础上做一个变化，将私网用户和私网服务器通过不同的接口连接到防火墙，此时私网用户和私网服务器交互的所有报文都需要经过防火墙转发，所以只配置NAT Server是可以的。

4.NAT ALG

NAT ALG（Application Level Gateway)，即NAT的应用层网关。NAT ALG是一种穿越NAT设备的技术，防火墙在进行地址转换时，除了转换报文头中的IP地址信息，还转换报文载荷中携带的IP地址信息。下图展示了在防火墙上开启NAT ALG功能后，FTP协议的交互过程。

开启NATALG功能后，防火墙将PORT命令报文中携带的IP地址信息转换成了公网地址1.1.1.1，FTP服务器收到该报文后，就可以向1.1.1.1这个地址发起数据连接了。

此时，还需开启防火墙的ASPF功能，防火墙会为FTP的数据连接开辟隐形通道，使其绕过安全策略检查，直接穿越防火墙，从而使FTP服务器发起的数据连接请求报文顺利穿越防火墙，准确到达位于私网的FTP客户端。

FTP协议的完整交互过程如下图所示；

除了源NAT场景，NAT Server场景中也需要开启NAT ALG和ASPF功能。以FTP客户端位于公网、FTP服务器位于私网，并且FTP工作在被动模式为例，下图给出了FTP协议的完整交互过程。

如果网络中存在FTP、SIP、H323等这些多通道协议，在防火墙进行地址转换的场景中，一般都建议在防火墙上同时开启NAT ALG和ASPF功能，保证基于这些协议的业务能够正常运行。

目前绝大多数防火墙产品，都是由一条命令来同时开启ASPF和NAT ALG这两个功能，即在域间或域内配置detect命令开启ASPF功能后，同时就开启了NAT ALG功能。

针对几个典型协议，下表给出了执行detect命令后，防火墙上的处理方式。

5.NAT场景下黑洞路由的作用

对于源NAT来说：

• 如果NAT地址池地址与公网接口地址不在同一网段，必须配置黑洞路由；
• 如果NAT地址池地址与公网接口地址在同一网段，建议也配置黑洞路由。

对于指定了特定协议和端口的NAT Server来说：

• 如果NAT Server的Global地址与公网接口地址不在同一网段，必须配置黑洞路由；
• 如果NAT Server的Global地址与公网接口地址在同一网段，建议也配置黑洞路由。

除了防止路由环路、节省设备的系统资源，其实黑洞路由还有一个作用，那就是在防火墙上引入到OSPF中，发布给路由器。