1、網絡地址轉換講解人：朱建英 2010、07通過完成此章節課程，您將可以： - 熟悉多種NAT應用的環境 - 掌握源NAT的配置及應用 - 掌握目的NAT的配置應用 - 掌握NAT與相關策略的配置章節目標 NAT的概念源NAT目的NATNAT匹配順序及相關策略議程：網絡地址轉換網絡地址轉換（Network Address Translation）簡稱為NAT是將IP數據包包頭中的IP地址轉換為另一個IP地址。當IP數據包通過路由器或者防火墻時，路由器或者防火墻會把IP數據包的源IP地址和/或者目的IP地址進行轉換。在實際應用中，NAT主要用于私有網絡訪問外部網絡或外部網絡訪問私有網絡的情況。 R

2、FC1918規定的三類私有地址如下： A類： - 55（/8） B類： - 55（/12） C類： - 55（/16）議程：網絡地址轉換NAT轉換過程（SNAT）IP: PCIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：IP包1應答報文源IP：目的IP：IP包1應答報文源IP：目的IP：ethernet0/0IP: ethernet0/1IP: Ser

3、verIP: TrustUntrustIP包1源IP：目的IP：IP包1源IP：目的IP：服務器應答報文源IP：目的IP：IP包1應答報文源IP：目的IP：ethernet0/0PCethernet0/1IP: ServerNAT轉換過程（DNAT）NAT的概念 源NAT目的NATNAT匹配順序及相關策略議程：網絡地址轉換SNAT（源NAT） 轉換源IP地址，從而隱藏內部IP地址或者分享IP有限的IP地址。根據工作模式分為以下三種：源NAT模式描述sta

4、tic靜態源NAT轉換即一對一的轉換。該模式要求被轉換到的地址條目（trans-to-address）包含的IP地址數與流量的源地址的地址條目（src-address）包含的IP地址數相同。dynamicip動態源NAT轉換即多對多的轉換。該模式將源地址轉換到指定的IP地址。每一個源地址會被映射到一個唯一的IP地址做轉換，直到指定地址全部被占用。dynamicport即PAT。多個源地址將被轉換成指定IP地址條目中的一個地址。如果不使用sticky，地址條目中的第一個地址將會首先被使用，當第一個地址的端口資源被用盡，第二個地址將會被使用。如果使用了sticky，每一個源IP產生的所有會話將被映

5、射到同一個固定的IP地址。防火墻NAT源NATNAT規則基于VRouter創建并生效配置源NAT(WebUI)配置源NAT(CLI)在NAT配置模式下，使用以下命令： snatrule id id before id | after id | top from src-address to dst-address eif egress-interface trans-to addressbook trans-to-address | eif-ip mode static | dynamicip | dynamicport sticky logid id 為SNAT規則指定ID號。before

6、id | after id | top 指定規則所在的位置from src-address to dst-address eif egress-interface 指定該規則中流量應符合的條件。eif egress-interface - 指定流量的出接口。addressbook trans-to-address | eif-ip 指定NAT轉換地址。mode static | dynamicip | dynamicport sticky 指定轉換模式。DCFOS支持三種轉換模式：static、dynamicip和dynamicport。 NAT的概念源NAT 目的NATNAT匹配順序及相關策

7、略議程：網絡地址轉換目的NATDNAT（目的NAT規則） 轉換目的IP地址，通常是將受防火墻保護的內部服務器（如WWW服務器或者SMTP服務器）的IP地址轉換成公網IP地址。 主要應用：通過IP映射或者端口映射對外發布服務器 根據工作模式分為以下兩種： VIP（端口映射） -該模式為一對多的映射，將公網某一IP的不同端口，映射到內網不 同IP的不同端口，解決公網IP有限時多個服務器需對外發布的需求 MIP（IP映射） -該模式為一對一的映射，端口一一對應不做轉換，通常用于公網IP 足夠時服務器的對外發布。配置目的NAT(WebUI)防火墻NAT目的NATNAT規則基于VRouter創建并生效

8、訪問發起IP目的虛擬IP訪問服務服務器真實ip配置DNAT（CLI） 在NAT配置模式下使用以下命令： dnatrule id id before id | after id | top from src-address to dst-address service service-name trans-to trans-to-address port port load-balance ping-track logNAT的概念源NAT目的NAT NAT匹配順序與相關策略議程：網絡地址轉換NAT分為源NAT和目的NAT，源NAT由多條源NAT規則組成目的NAT由多條目的NAT規則組成。當定義多

9、條NAT規則時需要根據需求移動NAT規則位置。NAT規則匹配順序 每一條NAT都有唯一一個ID號。流量進入防火墻時，防火墻對NAT規則進行順序查找，然后按照查找到的相匹配的第一條規則對流量的源IP做NAT轉換。但是，ID的大小順序并不是規則匹配順序。使用show snat/dnat命令列出的規則順序才是規則匹配順序。用戶可以移動已有的NAT規則從而改變規則的排列順序。 NAT規則通過WebUI調整NAT規則位置，在NAT規則編輯頁面：調整規則的排列順序，在NAT配置模式下使用以命令： snatrule move id before id | after id| top | bottom dnatrule move id before id | after id| top | bottom刪除規則，在NAT配置模式下使用以下命令： no snatrule id id no dnatrule id id調整NAT規則 編輯NAT規則順序防火墻策略配置訪問策略（WebUI） 服務器對應公網地址檢查NAT配置顯示NAT配置信息：