【防火墙域内双向NAT技术】

相关技术介绍

NAT转换技术

防火墙相关技术

实验目的

1.使外网用户通过公网映射的ip地址顺利访问内网服务器
2.使内网用户成功访问内网
3.使内网用户可以通过公网映射的ip地址访问内网主机

实验拓扑图展示

基础实验配置

接口配置省略（如图所示）

将1/0/1口和1/0/0口分别加入untrust和trust区域

[firework]firewall zone untrust
[firework-zone-untrust]add interface GigabitEthernet 1/0/1
[firework]firewall zone trust
[firework-zone-untrust]add interface GigabitEthernet 1/0/0

在防火墙上配置外网主机到内网服务器的安全策略和nat server

配置从外网到内网的安全策略

[firework]security-policy
[firework-policy-security]rule name to_trust
[firework-policy-security-rule-to_trust]source-zone untrust
[firework-policy-security-rule-to_trust] destination-zone trust
[firework-policy-security-rule-to_trust] destination-address 192.168.1.0 mask 255.255.255.0
[firework-policy-security-rule-to_trust]action permit

配置从外网到内网的NAT server

[firework]nat server global 100.1.1.2 inside 192.168.1.3

发现可以ping通

在防火墙上配置内网主机到外网的安全策略和nat策略

配置从内网到外网的安全策略

[firework]security-policy
[firework-policy-security]rule name to_untrust
[firework-policy-security-rule-to_trust]source-zone trust
[firework-policy-security-rule-to_trust]destination-zone untrust
[firework-policy-security-rule-to_trust]destination-address 100.1.1.0 mask 255.255.255.0
[firework-policy-security-rule-to_trust]action permit

配置从外网到内网的NAT策略（采用easy-ip的方式)

[firework]nat-policy
[firework-policy-security]rule name to_untrust
[firework-policy-security-rule-to_trust]source-zone trust
[firework-policy-security-rule-to_trust]destination-zone untrust
[firework-policy-security-rule-to_trust]destination-address 100.1.1.0 mask 255.255.255.0
[firework-policy-security-rule-to_trust]action source-nat easy-ip

发现也可以ping通

在防火墙上配置内网主机到访问内网服务器

因为在同一个安全区域里面，所以不需要配置安全策略，只需配置nat策略即可

当内网主机访问内网服务器是会出现一个现象，内网主机发送给服务器的目标地址和回应时的源ip地址不同，像这样：
发出去时：192.168.1.2->100.1.1.2 192.168.1.2->192.168.1.3
回应时：192.168.1.3->192.168.1.2
因此，无法建立tcp连接，导致ping不同

所以需要在防火墙上面配置nat策略转换源ip地址。
下面是代码命令

[firework]nat address-group 1
[firework-address-group-1]section 0 100.1.1.4 100.1.1.5
[firework]quit
[firework]nat-policy
[firework-policy-nat]rule name to_server
[firework-policy-nat-rule-to_server]source-zone trust
[firework-policy-nat-rule-to_server]destination-zone trust
[firework-policy-nat-rule-to_server]action source-nat address-group 1

结果显示可以ping通。

在防火墙上面G1/0/0抓包

发出去时：192.168.1.2->100.1.1.2 100.1.1.5->192.168.1.3
回应时：192.168.1.3->100.1.1.5 100.1.1.2->192.168.1.2
结果显示没问题

感谢各位观看！！！