Nat server技術原理和配置過程

來源：公眾號【網絡技術干貨圈】

作者：圈圈

ID：wljsghq

Nat server技術原理

Nat server：指定公有地址:端口和私有地址:端口形成一對一映射關系——映射表。這也是Nat server與其他nat的區(qū)別之一，Nat server可以指定端口進行映射。

網絡topo如下：

配置過程：

FW：

首先對FW進行配置，給接口配置IP、掩碼。

順便把接口服務打開，為了方便直接開啟所有服務。（生產中建議按需開啟）

創(chuàng)建域，并將接口加入。

創(chuàng)建策略。

##配置IP
[USG6000V1]intg1/0/0
[USG6000V1-GigabitEthernet1/0/0]ipadd192.168.1.25424
[USG6000V1-GigabitEthernet1/0/0]service-manageallp
[USG6000V1-GigabitEthernet1/0/0]intg1/0/1
[USG6000V1-GigabitEthernet1/0/1]ipadd200.1.1.124
[USG6000V1-GigabitEthernet1/0/1]service-manageallpermit
[USG6000V1-GigabitEthernet1/0/1]q

##端口加入域
[USG6000V1]firewallzonedmz
[USG6000V1-zone-dmz]addintg1/0/0
[USG6000V1-zone-dmz]q

[USG6000V1]firewallzoneuntrust
[USG6000V1-zone-untrust]addintg1/0/1
[USG6000V1-zone-untrust]q

##放行策略
[USG6000V1]security-policy
[USG6000V1-policy-security]rulename1
[USG6000V1-policy-security-rule-1]source-zonedmz
[USG6000V1-policy-security-rule-1]destination-zoneuntrust
[USG6000V1-policy-security-rule-1]source-address192.168.1.024
[USG6000V1-policy-security-rule-1]actionpermit

[USG6000V1]security-policy
[USG6000V1-policy-security]rulename2
[USG6000V1-policy-security-rule-2]source-zoneuntrust
[USG6000V1-policy-security-rule-2]destination-zonedmz
[USG6000V1-policy-security-rule-2]destination-address192.168.1.024
[USG6000V1-policy-security-rule-2]actionpermit

##配置默認路由
[USG6000V1]iproute-static0.0.0.00.0.0.0200.1.1.2

##基于端口映射
[USG6000V1]natserverprotocoltcpglobal200.1.1.18888inside192.168.1.180

R2：
配置接口IP即可。

[Huawei]intg0/0/0
[Huawei-GigabitEthernet0/0/0]ipadd200.1.1.224
[Huawei-GigabitEthernet0/0/0]intg0/0/1
[Huawei-GigabitEthernet0/0/1]ipadd172.16.1.25424

驗證：

給server和client配置IP。

??

如下所示：Client可以成功訪問內網內網服務器。

也可以查看會話表信息

[USG6000V1]disfirewallsessiontableverbose

會話表不存在的原因，可能是：

訪問報文沒有到達防火墻。

訪問報文被防火墻安全策略丟包。

防火墻沒有到內網服務器的路由。

防火墻防攻擊導致丟包，例如IP spoofing。

如果會話表項存在，但是服務器響應報文數(shù)量為0，可能的原因：服務器服務未開啟，中間設備沒有到虛擬IP地址段的路由：

displayfirewallsessiontableverbosesourceglobal10.100.10.100destinationglobal192.168.10.100
httpVPN:public-->publicID:a48f3fdcb655030b65720d507
Zone:untrust-->trustTTL:2400Left:2359
RecvInterface:GigabitEthernet1/0/7
Interface:GigabitEthernet1/0/0NextHop:192.168.10.1MAC:00-03-fa-56-c2-4c
<--packets:9?bytes:8772?-->packets:8bytes:728//8表示發(fā)送給服務器報文的數(shù)量，9表示服務器響應報文數(shù)量
10.100.10.100:63334-->192.168.10.100:80PolicyName:SSLVPN

以上就是Nat Server配置過程及驗證，如果問題望指出，希望可以一起進步，加油~