防火墙动态地址转换

华赛 安全 培训 教材

幻灯片 1

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 2

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 3

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 4

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 5

早在上世纪 90年代初，有关 RFC文档就提出 IP地址耗尽的可能性。基于 TCP/IP协议的 Web应用使互联网迅速扩张，IPv4地址申请量越来越大。互联网可持续发展的问题日益严重。中国的运营商每年向 ICANN申请的 IP地址数量为全球最多。曾经有专家预言，根据互联网的发展速度， 2010年左右，到全球可用的 IPv4地址资源将全部耗尽。 IPv6的提出，就是为了从根本上解决 IPv4地址不够用的问题。IPv6地址集将地址位数从 IPv4的 32位扩展到了 128位。对于网络应用来说，这样的地址空间几乎是无限大。因此 IPv6技术可以从根本上解决地址短缺的问题。但是，IPv6

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

面临着技术不成熟、更新代价巨大等尖锐问题，要想替换现有成熟且广泛应用的IPv4网络，还有很长一段路要走。

既然不能立即过渡到IPv6网络，那么必须使用一些技术手段来延长IPv4的寿命。而技术的发展确实有效延缓了IPv4地址的衰竭，专家预言的地址耗尽的情况并未出现。其中广泛使用的技术包括无类域间路由（CIDR， Classless

Inter-Domain Routing）、可变长子网掩码（VLSM， Variable Length Subnet Mask）和网络地址转换（NAT， Network Address Translation）。

PDF 文件使用 "pdfFactory Pro" 试用版本创建

华赛 安全 培训 教材

幻灯片 6

内网使用私网地址，外网使用公网地址，如果没有 NAT将私网地址转换为公网地址，会造成通信混乱，最直接的后果就是无法通信。使用私网地址和外网进行通信，必须使用 NAT技术进行地址转换，保证通信正常。

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 7

NAT是将 IP数据报文报头中的 IP地址转换为另一个 IP地址的过程，主要用于实现内部网络(私有 IP地址)访问外部网络(公有 IP地址)的功能。从实现上来说，一般的 NAT转换设备(实现 NAT功能的网络设备)都维护着一张地址转换表，所有经过 NAT转换设备并且需要进行地址转换的报文，都会通过这个表做相应的修改。地址转换的机制分为如下两个部分： 1.内部网络主机的 IP地址和端口转换为 NAT转换设备外部网络地址和端口。

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

2. 外部网络地址和端口转换为NAT转换设备内部网络主机的IP地址和端口。 也就是<私有地址+端口>与<公有地址+端口>之间的转换。

NAT转换设备处于内部网络和外部网络的连接处。内部的PC与外部服务器的交互报文全部通过该NAT转换设备。常见的NAT转换设备有路由器、防火墙等。

PDF 文件使用 "pdfFactory Pro" 试用版本创建

华赛 安全 培训 教材

幻灯片 8

华赛 安全 培训 教材

对于内外网络用户，感觉不到IP地址转换的过程，整个过程对于用户来说是透明的。

对内网用户提供隐私保护，外网用户不能直接获得内网用户的IP地址、服务等信息，具有一定的安全性。

通过配置多个相同的内部服务器的方式可以减小单个服务器在大流量时承担的压力，实现服务器负载均衡。

NAT的不足

由于需要对数据报文进行IP地址的转换，涉及IP地址的数据报文的报头不能被加密。在应用协议中，如果报文中有地址或端口需要转换，则报文不能被加密。例如，不能使用加密的FTP连接，否则FTP的port命令不能被正确转换。 网络监管变得更加困难。例如，如果一个黑客从内网攻击公网上的一台服务器，那么要想追踪这个攻击者很难。因为在报文经过NAT转换设备的时候，地址经过了转换，不能确定哪台才是黑客的主机。

从实现上来说，业界的路由器、防火墙一般都能实现NAT的功能，NAT几乎成为了一个网络设备主流配置之一。下面就结合华为赛门铁克防火墙介绍NAT的实现机制。

PDF 文件使用 "pdfFactory Pro" 试用版本创建

华赛 安全 培训 教材

幻灯片 9

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 10

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

幻灯片 11

防火墙设备引入了一个安全概念—区域，这是防火墙区别于路由器的主要特征。区域是一个或多个接口的组合，具有相应的安全级别。在防火墙上，由 Trust区域向 Untrust域和 DMZ域主动发起连接时，NAT检测相应的数据连接是否需要进行 NAT转换。如果要进行 NAT转换，在 IP转发的出口处完成，报文的源地址(私有地址)被转换成公网地址。在 IP层的入口处，NAT对回复报文进行还原，报文的目的地址(公网地址)被还原成内网地址。在实际应用中，用户可能希望某些内部的主机具有访问 Internet

的权利，而某些主机没有。即当 NAT进程查看数据包报头内容时，如果发现源 IP地址是为

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net

华赛 安全 培训 教材

那些不允许访问外部网络的内部主机所拥有的，将不进行NAT转换。这就是一个对地址转换进行控制的问题。

华为赛门铁克防火墙利用访问控制列表（ACL， Access Control List）限制地址转换。只有满足访问控制列表条件的数据报文才可以进行地址转换。这可以有效地控制地址转换的使用范围，使特定主机能够有权访问Internet。

NAT在实际中涉及到多种应用，比如内部服务器、双向NAT、应用层网关等。在不同的应用场景，采用不同的方案。

PDF 文件使用 "pdfFactory Pro" 试用版本创建

华赛 安全 培训 教材

幻灯片 12

outbound方向 NAT是最基础的 NAT应用，也是使用最为广泛的应用方式。根据其地址转换方式，可以分为一对一、多对多和多对一转换方式。

PDF文件使用"pdfFactory Pro"试用版本创建 http://doc.guandang.net