usg防火墙nat业务特性与配置

《usg防火墙nat业务特性与配置》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、USG防火墙NAT业务特性与配置前言随着因特网的快速发展，它所面临的两个最迫切的问题就是IP地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（NAT）和IPv6（下一代因特网协议）技术。在IPv6技术尚在研究中且还未完全取代现有的IPv4网络的情况下，短期解决方案——NAT技术对于缓解目前的地址缺乏问题显得尤为重要。Page1培训目标学完本课程后，您应该能：描述NAT技术的原理描述USG防火墙的各种NAT特性描述USG防火墙各NAT特性的基本组网与配置Page2目录NAT技术原理USG防火墙NAT特性与配置Page3NAT基本原理NAT（Networ

2、kAddressTranslation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程Page4PC202.130.10.3Server202.120.10.2Server192.168.1.2PC192.168.1.3USGEth0/0/1202.169.10.1Eth0/0/0192.168.1.1TrustUntrust数据报1源：192.168.1.3目的：202.120.10.2数据报2源：202.120.10.2目的：202.169.10.1数据报1源：202.169.10.1.目的：202.120.10.2数据报2源：202.120.10.2目的：192

3、.168.1.3Internet目录NAT技术原理USG防火墙NAT特性与配置Page5NAT/PAT地址转换Page6定义地址池[USG2100]nataddress-group1202.38.160.1202.38.160.4NAT地址转换[USG2100]nat-policyinterzoneuntrusttrustinbound[USG2100-nat-policy-interzone-trust-untrust-inbound]policy1[USG2100-nat-policy-interzone-trust-untrust-inbound-1]actionsource-na

4、t[USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group1no-patPAT地址转换[USG2100]nat-policyinterzoneuntrusttrustinbound[USG2100-nat-policy-interzone-trust-untrust-inbound]policy1[USG2100-nat-policy-interzone-trust-untrust-inbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-unt

5、rust-inbound-1]address-group1内网用户地址池最多支持4096个地址USG内网Internet地址池202.38.160.1202.38.160.2202.38.160.3202.38.160.4策略NATPage7定义地址池[USG2100]nataddress-group1202.38.160.1202.38.160.4配置策略NAT[USG2100]nat-policyinterzonetrustuntrustoutbound[USG2100-nat-policy-interzone-trust-untrust-outbound]policy1[USG21

6、00-nat-policy-interzone-trust-untrust-outbound-1]policysource10.1.1.10[USG2100-nat-policy-interzone-trust-untrust-outbound-1]actionsource-nat[USG2100-nat-policy-interzone-trust-untrust-outbound-1]address-group1PC2PC1USG内网用户内网Internet设置控制PC1可以通过NAT访问Internet，而PC2则不行10.1.1.1/3210.1.1.2/32NATALG功能NA

7、T和NAPT只能对IP报文的头部地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如ICMP、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，就可能导致问题。例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时FTP