防火墙中的NAT

防火墙的NAT

NAT分类

源NAT
- 基于源IP地址进行转换。
- 我们之前接触过的静态NAT，动态NAT，NAPT都属于源NAT，都是针对源IP地址进行转换的。源NAT主要目的是为了保证内网用户可以访问公网。
- 先执行安全策略，后执行NAT
目标NAT
- 基于目标IP地址进行转换。我们之前接触过的服务器映射 (端口映射) 就属于目标NAT。是为了保证公网用户可以访问内部的服务器。
双向NAT
- 同时转换源IP和目标IP地址。

详细分类可以参考

什么是NAT？NAT的类型有哪些？ - 华为 (huawei.com)https://info.support.huawei.com/info-finder/encyclopedia/zh/NAT.html

NAT配置

新建NAT

NAT类型
- NAT
- NAT64：ipv4 和ipv6的NAT转换。
转换模式
- 仅转换源地址 --- 源NAT
- 仅转换目的地址 --- 目标NAT
- 源地址和目的地址同时转换 --- 双向NAT
- 不做转换
转换后的数据包
- 把源地址转换成什么？
  - 地址池的地址 --- 多对多的NAPT或者动态NAT
  - 出接口地址 --- easy ip
新建安全策略
- 观察安全策略的源目区域：匹配的是私网地址，所以先执行安全策略，后执行源NAT，即源NAT是在安全策略之后执行。。

源NAT

新建地址池

地址池范围：可以单独指定地址，也可以指定一个范围（包含的关系）；
- 地址池中的IP是漂浮地址，不会再路由表中生成路由星系
健康状态检查：检查地址池中的地址是否可用。
- 可以通过各种协议去判断地址是否有效。
配置黑洞路由：黑洞里有即空接口路由，在NAT地址池中的地址，建议配置达到这个地址指向空接口的路由，不然，在特定情况下会出现环路。（主要针对地址池中的地址和出接口地址不在同一个网段中的场景）
允许端口地址转换：选择是否加Pat，决定了使用的是动态NAT还是NAPT的逻辑，是否允许端口转换。
- 高级
- NAT类型
  - 五元组：源IP、目标IP、源端口、目标端口、协议 ---- 这五个参数识别出的数据流经行端口转换。一个数据流出去才会换端口。
  - 三元组：源IP、源端口、协议。 --- 三个参数识别出的数据流进行端口转换。应对P2P场景下
- 端口预分配：与规定分配的端口范围。
- 源IP地址数量限制：限制一个IP地址对应多少个私网IP地址。
- 保留IP地址：保留某个IP地址不转换。

补充内容

现在静态NAT作用
- 入方向，跟服务器做一对一的映射。
easy ip 不产生server-map（display firewall server-map）
填写默认网关，则生产缺省静态
- 协议 Unr：(U)用户(n)网络(r)路由，一般情况由于策略生成的路由。
NAPT没有生成server-map表；根据不同的应用分配不同的端口号。颗粒度更细致一些，可以根据服务限制是否转换NAT
动态NAT不牵扯端口，不做服务检验，如果做服务检验可以新建NAT选择性拒绝服务。并且server-map中有内容。如果第一次触发动态NAT的策略，之后在短期内修改服务里面的内容，Ping还是能Ping同，因为server-map表短期内没有失效，仍然可以根据server-map表找到对应关系。
动态NAT创建完后，触发访问流量后会同时生成两条server-map的记录，其中一条是反向记录。反向记录小时前，相当于是一条静态NAT记录，外网的任意地址，在安全策略放通的情况下，是可以访问到内网的设备。基于端口的NAT转换，是不会生成server-map表的。

三元组

应对P2P场景下NAT转换。P2P ---peer to peer

三元组NAT是一种转换时同时转换地址和端口，实现多个私网共用一个或多个公网地址的地址转换方式。它允许Internet上的用户主动访问私网用户，与基于P2P技术的文件共享、语音通信、视频传输等业务可以很好的共存。当内网PC访问Internet时，如果FW采用五元组NAT（NAPT）方式进行地址转换，外部设备无法通过转换后的地址和端口主动访问内部PC。而三元组NAT可以很好的解决这个问题。因为三元组NAT有两个特点：（1）三元组NAT的端口不能复用，保证了内部PC对外呈现的端口的一致性，不会动态变化，但是公网地址利用率低（2）支持外部设备通过转换后的地址和端口主动访问内部PC。FW即便没有相应的安全策略，也允许此类访问报文通过。

因为P2P应在端口转换的情况下，识别五元组，将导致P2P客户端之间无法直接访问，不符合五元组的筛选条件，所以，这种场景下可以使用三元组NAT，放宽筛选条件，保证P2P客户端之间可以正常通信。

目标NAT

新建目标NAT

目标地址转换方式

公网地址与私网地址一对一转换 ---- 静态NAT
公网端口与私网地址一对一转换 ---- 公网端口映射给私网IP地址
公网端口与私网端口一对一转换 ---- 公网端口映射给私网端口 ---- 服务器映射
公网地址与私网端口一对一转换 ---- 公网地址映射给私网IP地址
随机转换为目的转换地址池中的地址

原始数据包 ---- 即数据包一开始的数据包，对应配置信息公网地址信息

转换后的数据包 ---- 转换后的数据包，对应配置信息是私网地址信息

转换后的地址池 ---- 目的转换地址池，数据有外部进来的时候使用，公网转换到私网的地址池。这里对应私网的服务器地址。

服务器映射

安全区域 --- 基于安全区域发布公网地址，该服务器只能被该安全区域的用户访问，其他安全区域的用户无法访问该服务器。---- 值的是需要访问服务器的设备所在的区域，即写源区域
公网地址 ---- 指定转换的公网IP（不能是出接口地址）
私网地址 ---- 服务器映射的私网地址，可以映射多个私网地址。但是需要公网地址和私网地址一对一对应。所以需要多个连续的公网地址
指定协议 ---- 指定映射协议
允许服务器使用公网地址上网 ---- 某些服务器需要更新服务等，需要使用公网联网，相当于自动生成源NAT。
配置黑洞路由 ---- 默认勾选防止出现环路，会自动生成一条指向公网IP地址的空接口路由。

补充

源NAT在安全策略之后执行，目标NAT在安全策略之前执行（因为自动生成的安全策略的目标地址是转换后的地址，说明需要先进行转换，再触发安全策略）
服务器映射生成server-map表

双向NAT

情况：私网服务器通过公网访问私网的服务器

此时由于是私网用户通过公网访问私网服务器，用户首先发生给防火墙请求建立TCP连接（发送SYN数据包），在防火墙上只进行了目标NAT地址转换，转换后的目标地址是私网内部的地址，防火墙只进行转发操作，转发给死亡的服务器。服务器接收到转发的SYN数据包，直接根据私网IP地址找到目标用户，请求建立TCP连接。此时由于在用户视角，与防火墙建立TCP，却是服务器回复。所以拒绝服务器建立的TCP连接。

防火墙抓包详细情况