资源描述
单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2012,Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2012,Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Page,谢谢,USG,防,火墙,NAT,业务特性与配置,USG防火墙NAT业务特性与配置,前 言,随着因特网的快速发展，它所面临的两个最迫切的问题就是,IP,地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（,NAT,）和,IPv6,（下一代因特网协议）技术。在,IPv6,技术尚在研究中且还未完全取代现有的,IPv4,网络的情况下，短期解决方案,NAT,技术对于缓解目前的地址缺乏问题显得尤为重要。,Page,1,前 言随着因特网的快速发展，它所面临的两个最迫切的问题就是,培训目标,学完本课程后，您应该能：,描,述,NAT,技术的原理,描,述,USG,防,火墙的各种,NAT,特性,描,述,USG,防,火墙各,NAT,特性的基本组网与配置,Page,2,培训目标学完本课程后，您应该能：Page2,目 录,NAT,技术原理,USG,防,火墙,NAT,特性与配置,Page,3,目 录NAT技术原理Page3,NAT,基本原理,NAT,（,Network Address Translation,，地址转换）是将,IP,数据报报头中的,IP,地址转换为另一个,IP,地址的过程,Page,4,PC,202.130.10.3,Server,202.120.10.2,Server,192.168.1.2,PC,192.168.1.3,USG,Eth0/0/1,202.169.10.1,Eth0/0/0,192.168.1.1,Trust,Untrust,数据报,1,源：,192.168.1.3,目的：,202.120.10.2,数据报,2,源：,202.120.10.2,目的：,202.169.10.1,数据报,1,源：,202.169.10.1,.,目的：,202.120.10.2,数据报,2,源：,202.120.10.2,目的：,192.168.1.3,Internet,NAT基本原理NAT（Network Address Tra,目 录,NAT,技术原理,USG,防,火墙,NAT,特性与配置,Page,5,目 录NAT技术原理Page5,NAT/PAT,地址转换,Page,6,定义地址池,USG2100nat address-group 1 202.38.160.1 202.38.160.4,NAT,地址转换,USG2100nat-policy,interzone untrust trust,outbound,USG2100-nat-policy-interzone-trust-untrust-inboundpolicy,1,USG2100-nat-policy-interzone-trust-untrust-inbound-1action,source-nat,USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group,1,no-pat,PAT,地址转换,USG2100nat-policy interzone untrust trust outbound,USG2100-nat-policy-interzone-trust-untrust-inboundpolicy 1,USG2100-nat-policy-interzone-trust-untrust-inbound-1action source-nat,USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group 1,内网用户,地址池最多支持,4096,个,地址,USG,内网,Internet,地址池,202.38.160.1,202.38.160.2,202.38.160.3,202.38.160.4,NAT/PAT地址转换Page6定义地址池内网用户地址池最多,策略,NAT,Page,7,定义地址池,USG2100nat,address-group 1 202.38.160.1 202.38.160.4,配置策略,NAT,USG2100nat-policy interzone trust untrust outbound,USG2100-nat-policy-interzone-trust-untrust-outboundpolicy 1,USG2100-nat-policy-interzone-trust-untrust-outbound-1policy source 10.1.1.1 0,USG2100-nat-policy-interzone-trust-untrust-outbound-1 action source-nat,USG2100-nat-policy-interzone-trust-untrust-outbound-1 address-group 1,PC2,PC1,USG,内网用户,内网,Internet,设置控制,PC1,可以通过,NAT,访问,Internet,，而,PC2,则不行,10.1.1.1/32,10.1.1.2/32,策略NATPage7定义地址池PC2PC1USG内网用户内网,NAT ALG,功能,NAT,和,NAPT,只能对,IP,报文的头部地址和,TCP/UDP,头部的端口信息进行转换。对于一些特殊协议，例如,ICMP,、,FTP,等，它们报文的数据部分可能包含,IP,地址或端口信息，这些内容不能被,NAT,有效的转换，就可能导致问题。,例如，一个使用内部,IP,地址的,FTP,服务器可能在和外部网络主机建立会话的过程中需要将自己的,IP,地址发送给对方。而这个地址信息是放到,IP,报文的数据部分，,NAT,无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时,FTP,服务器将表现为不可达。,Page,8,NAT ALG功能NAT和NAPT只能对IP报文的头部地址和,ASPF+NAT+ALG,Page,9,用户,192.168.0.1,USG,防,火墙,Nat,outbound,202.1.0.1,FTP,server,19.49.10.10,三次握手,防火墙创建地址映射,Servermap,表项,202.1.0.1:20001,192.168.0.1:22787,三次握手,Port,192.168.0.1,89,3,Port,202.1.0.1,78,33,200,Port,Command,OK,RETR,Sample.txt,RETR,Sample.txt,200,Port,Command,OK,150,Opening,ASCII,connection,150,Opening,ASCII,connection,SYN,dest,202.1.0.1:2001,检测,Servermap,表项，命中后根据表项进行,Nat,转换,192.168.0.1:22787,202.1.0.1:20001,192.168.0.1:22787,SYN,dest,192.168.0.1:22787,ASPF+NAT+ALGPage9用户USG防火墙FTP s,Page,10,映射内部服务器,配置,NAT SERVER,服务器,USG2100,nat,server protocol tcp global 202.110.1.241,ftp,inside 10.100.5.100,ftp,WEB,服务器,DMZ,10.110.5.101:80,FTP,服务器,10.110.5.100:21,202.110.1.241:21,S0:202.110.1.241,10.110.5.101,10.110.5.100,外网用户,USG,内网,Internet,内网用户,202.110.1.241:80,Page10映射内部服务器 配置NAT SERVER服,双向,NAT,Page,11,配置,NAT SERVER,服务器,USG2100,nat,server global 192.168.1.20 inside 202.1.1.10,USG2100,nat,server global 202.1.1.20 inside 192.168.1.10,trust,untrust,192.168.1.1,192.168.1.10,202.1.1.1,202.1.1.10,双向NATPage11 配置NAT SERVE,域内,NAT,Page,12,配置同一域内,NAT,USG nat address-group 1 202.1.1.11 202.1.1.11,USG nat-policy zone trust,USG-nat-policy-zone-trust policy 0,USG-nat-polic
展开阅读全文