搜索
1一、概述1.1Nat简介网络地址转换(NAT,NetworkAddressTranslation)被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。借助于NAT，私有(保留)地址的内部网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址(甚至是1个)即可实现私有地址网络内所有计算机与Internet的通信需求。NAT将自动修改IP报文头申的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据都分别嵌入IP地址的应用程序就不能正常工作。1.2NAT实现方式NAT的实现方式有三种，即静态转换StaticNat、动态转换DynamicNat和端口多路复用OverLoad。静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换2为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。端口多路复用(PortaddressTranslation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PAT，PortAddressTranslation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。3二、CheckpointNat2.1CheckpointNat配置类型NetworkAddressTranslation(NAT)通俗的来说，是通过一个地址来替换另一个地址，NAT能够改变源和目的的数据包内的IP地址，这个意思就是说，当一个内网的数据包经过防火墙NAT后去访问外网时，外网的将会看到的是和源不是相同的一个地址，相反，当从外网去访问内网的时候，外网数据包到达防火墙后会匹配防火墙中的NATBase，随后将数据包请求丢到匹配成功的内网地址Checkpoint安全网关支持两种模式的NAT：StaticNat:每个私网地址被静态的翻译成为相对应的公网地址，在一个内网中存在一些的客户端，而每个客户端都翻译成为不同的公网地址，这是多台客户端对多个公网地址的翻译形式，StaticNat能够允许所有的客户端通过其所处的安全网关进行互联网访问，例如，通过StaticNAT，内部应用服务器能够发布到公网中HideNat:一个公网地址被用于一个存在多台客户端的内网时，HideNat就是一对多的翻译形式，HideNat能够允许所有的连接通过唯一的安全网关设备Checkpoint能够对其定义的多种NetworkObject进行NAT功能的实现，主要包括：网段、主机、地址池以及动态的主机，并且支持两种的配置方式，手工的NAT和自动的NAT4手工的创建NAT相对自动的NAT来说要比较灵活，举个例子来说，除了对IP地址进行翻译，你还可以对你所访问服务的目的端口进行翻译，端口号的翻译是一个StaticNat形式，只能是从一个端口翻译成为另一个端口Checkpoint防火墙Nat具体的配置类型有以下四种：自动HideNat自动StaticNat手工HideNat手工StaticNat2.2HideNatHideNat是一种隐藏的NAT地址转换方式，是种一对多的方式，如同Cisco的PAT一样，借用一个地址来隐藏自己的真实地址,Checkpoint防火墙可以复用防火墙本身的接口地址或者指定的一个IP地址来隐藏身后的一个地址段，也可以是一台PC，具体配置方法如下：52.2.1配置自动HideNat：在事先定义好的NerworkObjects中双击需要配置HideNat的NetworkObject，在选择Nat窗口——选择自动的地址转换（AddAutomaticTranslation）——在翻译类型中选择Hide模式，并且选择是通过防火墙接口IP地址来隐藏还是通过指定的一个IP来隐藏，指定的IP地址可以是一个真实的物理地址，也可以是一个虚地址在配置好自动HideNat之后，在NatRuleBase中，会自动产生Nat条目，如下图：62.2.2手工配置HideNat手工配置HideNat相对自动HideNat来说要比较灵活，手工HideNat不仅可以进行IP地址翻译，还可以根据访问目的服务的端口来进行翻译，但端口的翻译只能是一对一的访问。在配置手工Nat策略之前，我们先要了解下Nat配置面板的各项参数的概念，如下图：ORIGNALPACKET(原始数据包)TRANSLATEDPACKET（转换后的包）Source（源地址）Source(转换后的源)Destnation(目的地址)Destnation(转换后的目的地址)Service(服务)Service（转换后的服务）Install(指需要安装Nat策略的Gateway)Original(保持不变)7手工配置HideNat1．定义需要被翻译和翻译后的NetworkObject2．进入NATRule，在ORIGINALPACKET面板中,选择需要翻译的源地址、目的地址3.在TRANSLATEDPACKETPACKET面板中，选择被翻译后的源地址，或者目的地址及服务端口,并且选择Hide模式4．配置完成后，出现如下图：82.3StaticNatStaticNat是一对一的NAT地址转换方式，是将一个网段或者一台客户端的地址翻译为一个指定的地址2.3.1配置自动StaticNat：在事先定义好的NerworkObjects中双击需要配置Static的NerworkObject，在选择Nat窗口——选择自动的地址转换（AddAutomaticTranslation）——在翻译类型中选择Static模式，——在Translatetoip窗口填写需要被翻译后的地址在配置好自动StaticNat之后，在NatRuleBase中，会自动产生Nat条目，如下图：92.3.2配置手工StaticNat：1．定义需要被翻译和翻译后的NetworkObject2．进入NATRule，在ORIGINALPACKET面板中,选择需要翻译的源地址、目的地址3.在TRANSLATEDPACKETPACKET面板中，选择被翻译后的源地址，或者目的地址及服务端口,并且选择Static模式4．配置完成后，出现如下图：10三、其他说明3.1全局Nat属性说明：根据现场环境及配置NAT地址转换的需求，需要在全局属性设置相应的参数，如下图：AutomaticNatrules：自动NAT全局参数设置Allowbi-driectionalNat(formoredetailsseehelp):允许双向的Nat地址翻译Translatedestinationonclientside：允许翻译目的客户端地址11AutomaticARPConfiguration:允许自动发布ARPMergemanualproxyARPConfiguration:合并手工代理ARPManualNATrules:手工NAT全局参数设置IPPOOLNAT：地址池NAT