NATPAT和代理(加速)服務(wù)器集成地址轉(zhuǎn)換出現(xiàn)的背景NAT的工作原理NetworkAddressTranslation，網(wǎng)絡(luò)地址轉(zhuǎn)換NAT實(shí)現(xiàn)方式靜態(tài)轉(zhuǎn)換（StaticTranslation）動(dòng)態(tài)轉(zhuǎn)換（DynamicTranslation）端口多路復(fù)用（PortAddressTranslation，PAT）NAT概述NAT包含4類地址NAT的轉(zhuǎn)換條目簡單轉(zhuǎn)換條目擴(kuò)展轉(zhuǎn)換條目NAT的術(shù)語與轉(zhuǎn)換表NATInternetPC目的IP=源IP=5經(jīng)過路由器后的包目的IP=5源IP=PC訪問服務(wù)器的包目的IP=源IP=5服務(wù)器返回PC的包5目的IP=5源IP=經(jīng)過路由器后的包轉(zhuǎn)換轉(zhuǎn)換內(nèi)部外部內(nèi)部局部地址外部局部地址外部全局地址內(nèi)部全局地址靜態(tài)轉(zhuǎn)換和動(dòng)態(tài)轉(zhuǎn)換

NAT實(shí)現(xiàn)方法的工作過程2-1Internet外部主機(jī)BSASADADANATNAT轉(zhuǎn)換表協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP:2312345PATNAT實(shí)現(xiàn)方法的工作過程2-2Internet外部主機(jī)BSASADADANATNAT轉(zhuǎn)換表協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP:1492:1492:23TCP:1493:1493:8012345NAT的優(yōu)點(diǎn)節(jié)省公有合法IP地址處理地址重疊增強(qiáng)靈活性安全性NAT的缺點(diǎn)延遲增大配置和維護(hù)的復(fù)雜性不支持某些應(yīng)用，可以通過靜態(tài)NAT映射來避免NAT的特性NAT路由器平臺(tái)配置NAT配置步驟接口IP地址配置使用訪問控制列表定義哪些內(nèi)部主機(jī)能做NAT決定采用什么公有地址，靜態(tài)或地址池Router(config)#ipnatpoolpool-name

star-ip

end-ip{netmasknetmask|prefix-lengthprefix-length}[typerotary]指定地址轉(zhuǎn)換映射Router(config)#ipnatinsidesourcestaticlocal-ip

global-ip[extendable]Router(config)#ipnatinsidesourcelistaccess-list-numberpoolpool-name[overload]在內(nèi)部和外部端口上啟用NATNAT的配置定義地址池靜態(tài)NAT地址映射動(dòng)態(tài)NAT或PAT地址映射將內(nèi)網(wǎng)地址、靜態(tài)轉(zhuǎn)換為合法的外部地址31、32，以便訪問外網(wǎng)或被外網(wǎng)訪問靜態(tài)NAT配置4-1～54/24………內(nèi)部網(wǎng)絡(luò)30NAT內(nèi)部端口NAT外部端口InternetF1/0F0/0設(shè)置外部端口的IP地址：設(shè)置內(nèi)部端口的IP地址：建立靜態(tài)地址轉(zhuǎn)換Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3048Router(config-if)#noshut靜態(tài)NAT配置4-2Router(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshutRouter(config)#ipnatinsidesourcestatic30Router(config)#ipnatinsidesourcestatic31在內(nèi)部和外部端口上啟用NAT配置默認(rèn)路由靜態(tài)NAT配置4-3Router(config)#interfaceFastEthernet0/0Router(config-if)#ipnatoutsideRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipnatinsideRouter(config)#iproute29靜態(tài)NAT配置4-4InternetSASA31DA31DANATNAT轉(zhuǎn)換表協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP31TCP3230NAT建立NAT端口映射關(guān)系配置實(shí)例NAT端口映射Router(config)#ipnatinsidesourcestaticprotocollocal-ipUDP/TCP-portglobal-ipUDP/TCP-port[extendable]Router(config)#ipnatinsidesourcestatictcp80318080extendableInternet31

8080

80協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP:8031:8080將內(nèi)部地址～54轉(zhuǎn)換為合法地址31～90，以便訪問Internet動(dòng)態(tài)NAT配置3-1～54/24………內(nèi)部網(wǎng)絡(luò)30NAT內(nèi)部端口NAT外部端口InternetF0/0F1/0設(shè)置外部端口的IP地址：設(shè)置內(nèi)部端口的IP地址：動(dòng)態(tài)NAT配置3-2定義訪問控制列表定義合法IP地址池實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換在內(nèi)部和外部端口上啟用NAT，以及配置默認(rèn)路由與靜態(tài)NAT配置相同Router(config)#access-list1permit55Router(config)#ipnatpooltest03190netmask92Router(config)#ipnatinsidesourcelist1pooltest0Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3092Router(config-if)#noshuRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshu動(dòng)態(tài)NAT配置3-3InternetSASA31DA31DANATNAT轉(zhuǎn)換表協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP31TCP3230將內(nèi)部網(wǎng)絡(luò)地址～54轉(zhuǎn)換為合法的地址31/29，以便訪問InternetPAT配置5-1～54/24………內(nèi)部網(wǎng)絡(luò)30NAT內(nèi)部端口NAT外部端口InternetF0/0F1/0設(shè)置外部端口的IP地址：設(shè)置內(nèi)部端口的IP地址：PAT配置5-2

定義訪問控制列表：定義合法IP地址池：實(shí)現(xiàn)網(wǎng)絡(luò)地址轉(zhuǎn)換：在內(nèi)部和外部端口上啟用NAT，以及配置默認(rèn)路由與靜態(tài)NAT配置相同Router(config)#access-list1permit55Router(config)#ipnatpoolonlyone3131netmask48Router(config)#ipnatinsidesourcelist1poolonlyoneoverload進(jìn)行端口復(fù)用Router(config)#interfaceFastEthernet0/0Router(config-if)#ipaddress3092Router(config-if)#noshuRouter(config)#interfaceFastEthernet1/0Router(config-if)#ipaddressRouter(config-if)#noshuPAT配置5-3InternetSASA31DA31DANATNAT轉(zhuǎn)換表協(xié)議內(nèi)部用局部IP地址內(nèi)部用全局IP地址外部用全局IP地址TCP:102831:1028TCP:1121231:1121230復(fù)用路由器外部接口地址PAT配置5-4～54/24………內(nèi)部網(wǎng)絡(luò)動(dòng)態(tài)IPInternetF0/0F1/0定義內(nèi)部訪問列表定義合法的IP地址池由于直接使用外部接口地址，所以不再定義IP地址池設(shè)置復(fù)用動(dòng)態(tài)IP地址轉(zhuǎn)換在內(nèi)部和外部端口上啟用NAT，以及配置默認(rèn)路由與靜態(tài)NAT配置相同PAT配置5-5Router(config)#access-list1permit55Router(config)#ipnatinsidesourcelist1interfaceFastEthernet0/0overload外部接口驗(yàn)證NAT的配置查看NAT轉(zhuǎn)換條目Router#showipnattranslations[verbose]verbose：顯示詳細(xì)的NAT轉(zhuǎn)換條目信息Router#showipnattranslationsProInsideglobalInsidelocalOutsidelocalOutsideglobalicmp:6002:60023:60023:6002icmp:15488:154883:154883:15488icmp:14225:142253:142253:14225icmp:14481:144813:144813:14481---------Router#showipnattranslationsverboseProInsideglobalInsidelocalOutsidelocalOutsideglobalIcmp:31634:316343:316343:31634create00:00:14,use00:00:14timeout:60000,left00:00:45,Map-Id(In):1,flags:extended,use_count:0,entry-id:36,lc_entries:0---------create00:34:40,use00:27:57timeout:0,flags:static,use_count:0,entry-id:1,lc_entries:0靜態(tài)NAT條目PAT動(dòng)態(tài)條目協(xié)議內(nèi)部全局地址內(nèi)部局部地址外部局部地址外部全局地址NAT轉(zhuǎn)換條目的創(chuàng)建時(shí)間、使用時(shí)間、超時(shí)時(shí)間值靜態(tài)NAT條目永遠(yuǎn)存在查看NAT統(tǒng)計(jì)信息Router#showipnatstatistics默認(rèn)情況下UDP超時(shí)值：5分鐘DNS超時(shí)值：1分鐘TCP超時(shí)值：24小時(shí)更改超時(shí)時(shí)間配置NAT轉(zhuǎn)換條目超時(shí)時(shí)間Router(config)#ipnattranslation{dns-timeout|icmp-timeout|tcp-timeout|udp-timeout}{seconds|never}清除NAT轉(zhuǎn)換表中的所有條目Router#clearipnattranslation*清除包含內(nèi)部轉(zhuǎn)換的轉(zhuǎn)換條目Router#clearipnattranslationinsidelocal-ipglobal-ip清除包含外部轉(zhuǎn)換的轉(zhuǎn)換條目Router#clearipnattranslationoutsidelocal-ipglobal-ip清除NAT轉(zhuǎn)換條目靜態(tài)NAT條目不會(huì)被清除常見問題ACL阻止轉(zhuǎn)換后的流量進(jìn)行地址轉(zhuǎn)換的ACL不全overload參數(shù)漏配不對(duì)稱路由問題動(dòng)態(tài)地址池IP地址范圍配置錯(cuò)誤動(dòng)態(tài)地址池與靜態(tài)轉(zhuǎn)換地址重疊Inside和outside接口配置錯(cuò)誤NAT的故障處理2-1NAT故障的排除檢查物理設(shè)備和NAT配置通過show命令查看NAT的各種信息通過debugipnat命令跟蹤NAT操作NAT故障處理2-2R1#debugipnatIPNATdebuggingison*Mar100:03:56.875:NAT:s=->,d=[52225]*Mar100:03:57.667:NAT*:s=->,d=[52481]*Mar100:03:57.811:NAT*:s=,d=->[52481]s＝表示源地址是d＝表示目的地址是->表示將地址轉(zhuǎn)換為

NAT硬件防火墻配置在硬件防火墻上啟用NAT控制InsideLocalOutsideMappedPool101TranslationTable101NATInternetfw1(config)#nat-controlnat[(if_name)]nat_id

address[netmask][dns][[tcp]tcp_max_conns[emb_limit][norandomseq]]][udpudp_max_conns]firewall(config)#nat

命令啟用IP地址轉(zhuǎn)換fw1(config)#nat(inside)10011X.X.X.XNATInternetglobal

命令例子：fw1(config)#nat(inside)1

fw1(config)#global(outside)1

0-54firewall(config)#global[(if_name)]nat_id{mapped_ip[-mapped_ip]

[netmaskmapped_mask]}|interface110NATInternetrouteif_name

ip_address

netmask

gateway_ip[metric]firewall(config)#route

命令為接口定義靜態(tài)或默認(rèn)路由fw1(config)#routeoutside1fw1(config)#routeinside0211DefaultRoute02StaticRouteInternetfw1(config)#namesfw1(config)#namebastionhostfw1(config)#name1insidehost主機(jī)名到IP的映射：NAME命令在防火墻上配置一個(gè)名稱到IP的映射nameip_addressnamefirewall(config)#“bastionhost”.1“insidehost”1配置例子writeterminalinterfaceethernet0nameifoutsidesecurity-level0speed100duplexfullipaddressinterfaceethernet1nameifinsidesecurity-level100speed100duplexfullipaddress.Ethernet0Interfacename=outsideSecuritylevel=0IPaddress=Ethernet1Interfacename=insideSecuritylevel=100IPaddress=Internet配置例子interfaceethernet2nameifdmzsecurity-level50speed100duplexfullipaddresspasswd2KFQnbNIdI.2KYOUencryptedhostnamefw1namesnamebastionhostname1insidehost.Ethernet2Interfacename=dmzSecuritylevel=50IPaddress=Internet“insidehost”1“bastionhost”配置例子nat-controlnat(inside)100global(outside)10-54routeoutside1routeinside021MappedPool0-02“insidehost”1“bastionhost”.DefaultRouteStaticRouteInternetISA代理(加速)服務(wù)器37常見的防火墻簡介ISAServer2004/2006是微軟推出的面向企業(yè)級(jí)應(yīng)用的高級(jí)應(yīng)用層防火墻，融合了狀態(tài)檢測和代理型防火墻的特點(diǎn)。ISA防火墻可以為各種類型的網(wǎng)絡(luò)提供高級(jí)保護(hù)和快速、安全的Internet訪問38ISAServer2006功能概述ISAServer2006功能概述Internet防火墻安全服務(wù)器發(fā)布Web緩存服務(wù)器39ISAServer2006版本ISAServer2006標(biāo)準(zhǔn)版為小型企業(yè)、工作組和部門環(huán)境提供企業(yè)級(jí)防火墻和Web緩存的能力ISAServer2006企業(yè)版用于大容量Internet通信環(huán)境，提供了集中式服務(wù)器管理、多級(jí)訪問策略、服務(wù)器陣列群集，以及容錯(cuò)能力等。功能更強(qiáng)大，部署更復(fù)雜40規(guī)劃ISAServer2006的安裝ISAServer2006安裝注意事項(xiàng)綜合解決方案ISA防火墻Internet41ISAServer2006安裝注意事項(xiàng)ISA硬件要求：對(duì)象

要求CPU至少733MHz以上，推薦2.0GHz以上

內(nèi)存至少512MB，推薦2GB硬件空間至少150MB，如果使用緩存模式，需要NTFS分區(qū)操作系統(tǒng)Windows2000Server或WindowsServer2003網(wǎng)絡(luò)適配器必須為連接到ISAServer2006的每個(gè)網(wǎng)絡(luò)單獨(dú)準(zhǔn)備一個(gè)適配器，如果只有一個(gè)單適配器會(huì)自動(dòng)作為緩存模式42綜合解決方案小型企業(yè)解決方案對(duì)于小型企業(yè)而言，ISA2006可以放在公司局域網(wǎng)和Internet之間ISAServerInternet局域網(wǎng)43綜合解決方案中型企業(yè)解決方案在中型網(wǎng)絡(luò)中，可以部署成三宿主機(jī)外圍網(wǎng)絡(luò)形式ISAServerInternet局域網(wǎng)路由器DMZ區(qū)44安裝ISAServer2006ISAServer2006的組件陣列：是對(duì)一組ISA2006服務(wù)器的統(tǒng)一管理方式。陣列中所有服務(wù)器共享同樣的配置配置存儲(chǔ)服務(wù)器：用于存儲(chǔ)企業(yè)中全部陣列的配置信息，是ISA組件中最重要的部分ISA服務(wù)器服務(wù)：運(yùn)行防火墻、VPN和緩存服務(wù)的ISA服務(wù)器ISA服務(wù)器管理：用于管理企業(yè)和陣列成員的管理終端45域環(huán)境安裝ISA2006ISA2006安裝拓?fù)洌篒SAServer0/24/245/2482/24域環(huán)境安裝ISA2006安裝ISA2006教員演示操作過程47安裝ISA2006客戶端ISA2006支持以下3種類型的客戶端：FirewallClientSecureNATClientWebProxyClient483種客戶端的比較特性SecureNATFirewallWebProxy是否需要安裝否，但是需要修改網(wǎng)絡(luò)配置是否，但是需要配置瀏覽器操作系統(tǒng)支持任何支持TCP/IP協(xié)議的系統(tǒng)只有Windows操作平臺(tái)所有操作平臺(tái)，但是需要以Web應(yīng)用的方式協(xié)議支持TCP、HTTP、UDP、HTTPS、FTP及其他TCP、UDP之Winsock應(yīng)用程序HTTP、HTTPS、FTP以及Gopher用戶身份驗(yàn)證只要VPN客戶端需要需要服務(wù)器應(yīng)用程序不需要配置或安裝需要配置文件N/A49配置SecureNATClientSecureNATClient不需要安裝特定軟件，但必須正確設(shè)置默認(rèn)網(wǎng)關(guān)地址配置FirewallClientFirewallClient是安裝并啟用防火墻客戶端軟件的計(jì)算機(jī)防火墻客戶端可以把Windows用戶信息發(fā)送給ISAServer，提供身驗(yàn)證功能如果希望最大化ISA的功能，最好使用FirewallClient配置FirewallClient安裝FirewallClient配置WebProxyClientWebProxyClient不需要安裝任何的軟件，只要將客戶端計(jì)算機(jī)上的代理設(shè)置為ISAServer內(nèi)網(wǎng)卡的地址，同時(shí)指定端口號(hào)53企業(yè)和陣列企業(yè)是一個(gè)邏輯概念，類似于Windows中的域，是企業(yè)管理模型在防火墻軟件中的體現(xiàn)陣列是一組ISA計(jì)算機(jī)的組合。陣列的所有成員共享相同的配置，可以簡化對(duì)防火墻的管理54網(wǎng)絡(luò)結(jié)構(gòu)本地主機(jī)網(wǎng)絡(luò)內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)InternetISA防火墻55網(wǎng)絡(luò)模板為方便設(shè)置防火墻策略，ISA為用戶提供5個(gè)預(yù)定義的網(wǎng)絡(luò)模板邊緣防火墻：公司ISAServer有兩個(gè)網(wǎng)絡(luò)連接，一個(gè)連接內(nèi)部網(wǎng)絡(luò)，另一個(gè)連接外部網(wǎng)絡(luò)56網(wǎng)絡(luò)模板3向外圍網(wǎng)絡(luò)：ISAServer連接內(nèi)部網(wǎng)絡(luò)、外部網(wǎng)絡(luò)和外圍網(wǎng)絡(luò)的網(wǎng)絡(luò)拓?fù)?。外圍網(wǎng)絡(luò)即DMZ區(qū)域57網(wǎng)絡(luò)模板前端防火墻ISAServer連接外部網(wǎng)絡(luò)和外圍網(wǎng)絡(luò)的拓?fù)洌渥鳛榍岸朔阑饓?，?nèi)部還有一個(gè)防火墻，配置在后端保護(hù)內(nèi)部網(wǎng)絡(luò)58網(wǎng)絡(luò)模板后端防火墻連接外圍網(wǎng)絡(luò)和