HC120119002 USG防火墙NAT业务特性与配置.pptx

Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:40-47pt 副标题:26-30pt字体颜色:反白内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:35-47pt字体:黑体 副标题:24-28pt字体颜色:反白字体:细黑体USG防火墙NAT业务特性与配置Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.前言随着因特网的快速发展，它所面临的两个最迫切的问题就是IP地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（NAT）和IPv6（下一代因特网协议）技术。在IPv6技术尚在研究中且还未完全取代现有的IPv4网络的情况下，短期解决方案NAT技术对于缓解目前的地址缺乏问题显得尤为重要。Page1Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.培训目标学完本课程后，您应该能：l描述NAT技术的原理l描述USG防火墙的各种NAT特性l描述USG防火墙各NAT特性的基本组网与配置Page2Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录NAT技术原理技术原理USG防火墙NAT特性与配置Page3Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.NAT基本原理NAT（Network Address Translation，地址转换）是将IP数据报报头中的IP地址转换为另一个IP地址的过程Page4PC202.130.10.3Server202.120.10.2Server192.168.1.2PC192.168.1.3USGEth0/0/1202.169.10.1Eth0/0/0192.168.1.1TrustUntrust数据报1源：192.168.1.3目的：202.120.10.2数据报2源：202.120.10.2目的：202.169.10.1数据报1源：202.169.10.1.目的：202.120.10.2数据报2源：202.120.10.2目的：192.168.1.3InternetCopyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.目录NAT技术原理USG防防火墙火墙NAT特性与配置特性与配置Page5Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.NAT/PAT地址转换Page6l定义地址池USG2100nat address-group 1 202.38.160.1 202.38.160.4 l NAT地址转换USG2100nat-policy interzone untrust trust inbound USG2100-nat-policy-interzone-trust-untrust-inboundpolicy 1 USG2100-nat-policy-interzone-trust-untrust-inbound-1action source-nat USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group 1 no-patl PAT地址转换USG2100nat-policy interzone untrust trust inbound USG2100-nat-policy-interzone-trust-untrust-inboundpolicy 1 USG2100-nat-policy-interzone-trust-untrust-inbound-1action source-nat USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group 1内网用户地址池最多支持4096个地址USG内网Internet地址池202.38.160.1202.38.160.2202.38.160.3202.38.160.4Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.策略NATPage7l定义地址池 USG2100nat address-group 1 202.38.160.1 202.38.160.4 l 配置策略NATUSG2100nat-policy interzone trust untrust outbound USG2100-nat-policy-interzone-trust-untrust-outboundpolicy 1 USG2100-nat-policy-interzone-trust-untrust-outbound-1policy source 10.1.1.1 0 USG2100-nat-policy-interzone-trust-untrust-outbound-1 action source-nat USG2100-nat-policy-interzone-trust-untrust-outbound-1 address-group 1PC2PC1USG内网用户内网Internet设置控制PC1可以通过NAT访问Internet，而PC2则不行10.1.1.1/3210.1.1.2/32Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.NAT ALG功能NAT和NAPT只能对IP报文的头部地址和TCP/UDP头部的端口信息进行转换。对于一些特殊协议，例如ICMP、FTP等，它们报文的数据部分可能包含IP地址或端口信息，这些内容不能被NAT有效的转换，就可能导致问题。例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时FTP服务器将表现为不可达。Page8Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.ASPF+NAT+ALGPage9用户192.168.0.1USG防火墙Nat outbound202.1.0.1FTP server19.49.10.10三次握手防火墙创建地址映射Servermap表项 202.1.0.1:20001 192.168.0.1:22787三次握手Port 192.168.0.1 89,3Port 202.1.0.1 78,33200 Port Command OKRETR Sample.txtRETR Sample.txt200 Port Command OK150 Opening ASCII connection150 Opening ASCII connectionSYN dest 202.1.0.1:2001检测Servermap表项，命中后根据表项进行Nat转换192.168.0.1:22787202.1.0.1:20001192.168.0.1:22787SYN dest 192.168.0.1:22787Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page10映射内部服务器 配置NAT SERVER服务器 USG2100nat server protocol tcp global 202.110.1.241 ftp inside 10.100.5.100 ftpWEB 服务器DMZ10.110.5.101:80FTP 服务器10.110.5.100:21202.110.1.241:21S0:202.110.1.24110.110.5.10110.110.5.100外网用户USG内网Internet内网用户202.110.1.241:80Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.双向NATPage11 配置NAT SERVER服务器USG2100nat server global 192.168.1.20 inside 202.1.1.10USG2100nat server global 202.1.1.20 inside 192.168.1.10trustuntrust192.168.1.1192.168.1.10202.1.1.1202.1.1.10Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.域内NATPage12 配置同一域内NATUSG nat address-group 1 202.1.1.11 202.1.1.11USG nat-policy zone trust USG-nat-policy-zone-trust policy 0 USG-nat-policy-zone-trust-0 policy source 192.168.1.0 0.0.0.255 USG-nat-policy-zone-trust-0 action source-nat USG-nat-policy-zone-trust-0 address-group 1防火墙配置了nat server global 202.1.1.10 inside 192.168.1.20internet192.168.1.10客户端服务器192.168.1.20192.168.1.1202.1.1.1Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.Page13为为MPLS VPN 用户提供统一的用户提供统一的 Internet 访问访问NAT 多实例VPN-2MPLS COREVPN-3VPN-1PEPECECEVPN-1CECECEVPN-2Internet采用不同的VLAN子接口对应不同VPN的方式，防火墙和PE设备连接USGPEVPN3用户VPN2用户VPN1用户USG上独立地保存三份NAT表，可以承担不同VPN用户的地址转换服务目的地址NAT配置ACL过滤规则USG2100 acl 3000USG2100-acl-adv-3000 rule permit ip source 10.1.1.10 0 destination 2.2.2.0 0.0.0.255配置需要作目的NAT的acl规则USG2100 firewall zone trustUSG2100-zone-trust destination-nat 3000 address 200.200.200.3 将10.1.1.10-2.2.2.0 变换为10.1.1.10-200.200.200.3 GGSNGSRUSGWAP网关Eth1/0/010.1.1.1/24Eth1/0/3200.200.200.1/24Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.英文标题:32-35pt 颜色:R153 G0 B0内部使用字体:FrutigerNext LT Medium外部使用字体:Arial中文标题:30-32pt 颜色:R153 G0 B0字体:黑体英文正文:20-22pt子目录(2-5级):18pt 颜色:黑色内部使用字体:FrutigerNext LT Regular外部使用字体:Arial中文正文:18-20pt子目录(2-5级):18pt 颜色:黑色字体:细黑体 配色参考方案：建议同一页面内不超过四种颜色，以下是13组配色方案，同一页面内只选择一组使用。（仅供参考）客户或者合作伙伴的标志放在右上角.问题NAT技术的优缺点有哪些？P谢谢