防火墙与nat以及双机热备

防火墙支持哪些NAT技术，主要应用场景是什么？

源NAT、Server NAT、域内双向NAT、域间双向NAT

• 源NAT主要应用于私网用户访问公网
• Server NAT主要用于内网服务器向公网提供服务
• 域内双向NAT主要用于内网用户通过域名或公网ip访问本地的内网服务器
• 域间双向NAT主要用于内网服务器需要避免配置公网路由（缺省路由）的情况下，则可以对外网用户的源IP地址也进行转换，转换后的源IP地址与服务器的私网地址在同一网段。这样内部服务器会将回应报文发给网关来转发回应报文。

当内网PC通过公网域名解析访问内网服务器时，会存在什么问题，如何解决？请详细说明

当内网pc通过公网域名访问内网服务器时，源ip不会被nat转换，所以服务器回包时会直接通过内网以内网ip回复，导致pc无法接受此包，无法正常与服务器通信。解决方案就是使用域内双向nat，将源地址一并转换，这样回包就能原路返回。

防火墙使用VRRP实现双机热备时会遇到什么问题，如何解决？详细说明

• 问题1：主防火墙挂掉后，VRRP会将流量转到备用防火墙，但是备用防火墙无法新建会话表，因为建立会话表需要首包，所以流量不能通过。
  解决方法：

  • 选择让用户重新发送流量：用户体验不佳
  • 关闭检测，直接通过，不安全
  • HRP 华为双机热备协议（Huawei Redundancy Protocol）
    可同步防火墙之间的ARP信息、NAT/PAT信息，以及防火墙上配置的安全策略信息等，能够保证在主备中的任何一个防火墙的回包流量能够顺利接收。而且还能监测主备防火墙之间的运行状态。

• 问题2：当主防火墙一边的链路断了，虽然VRRP能够进行链路追踪，进行主备切换，但另一边的设备并不知情，仍会错误地转发流量。
  解决