NAT地址转换+多出口智能选路，附加实验内容

本章主要讲：基于目标IP、双向地址的转换

注意：基于目标NAT进行转换 ---基于目标IP进行地址转换一般是应用在服务器端口映射；

NAT的基础知识

1、服务器映射

服务器映射是基于目标端口进行转换，同时端口号也可以进行修改；

服务器映射可能会触环：

条件：

当服务是http时，防火墙上有缺省指向外界，路由器有该接口的IP指向防火墙

我们的服务器映射是做在虚拟IP上的(虚拟接口也可以做端口映射，且这个虚拟IP的网段和边界接口IP不是在同一个网段

情况：

--1、那么当我们从右边路由器访问这个服务时，正常访问80端口完全ok；

--2、当我们从右边外界访问这个服务时，访问的端口不是80端口，就会发生环路；

如：外界数据包发过来，我们的防火墙就会首先尝试进行一个nat地址转换；这里因为端口号不一样，而服务器映射是需要看端口号是否符合要求才会进行转换的；

显然这里端口号不一样就不会进行相应的转换；即使IP一样也不行，需要看端口和IP

而这里转换不了之后，下一步就是匹配路由表；一旦匹配路由表就会匹配上缺省，然后又将数据包丢回路由器了，而路由器匹配上路由发现边界接口的IP是在防火墙上，所以又会丢回来；------触环

解决办法：在缺省路由那个设备上设置空接口，也叫空接口路由；

提问：如果端口映射的接口IP是属于防火墙边界的直连网段的，那么还会不会触环？

不会，因为你看，老样子；

当数据包过来防护墙后，防火墙会先尝试NAT地址转换；显然端口不一样，转换不了；

然后会匹配路由表，因为这边路由表是有缺省和直连路由，这里显然就会匹配上直连路由，而他知道刚刚这个数据包就是从那边直连网段所在接口进来的；

所以他不会再传进去了，那么他会干嘛；当然是最后尝试发送一个ARP，最后再挣扎一下，看是否还有本网段内还有没有漏的；

---空接口也是路由，他叫空接口路由，只是子网掩码比较长

空接口一般是设置在缺省路由所在设备上；

2、NAT和路由谁先谁后

当然是NAT先，进行转换之后再路由；

安全策略的先后：安全策略是必须要一个区域和另一个区域的匹配；所以安全区域的先后取决于数据包刚刚进来的时候源和目标是否是同一个区域；

是同一个区域就需要先NAT转换；

不是同一个区域就先安全策略再nat；

当NAT地址转换设置成出接口转换时，且数据包也是从这个接口出去的，此时其实转换的地址可以是别的边界接口的地址；

我想说的是：nat地址出去的时候怎么转换的，回来的时候肯定也是用相同地址进行转换，即使出去和回来的接口不一样且nat还是出接口转换也不会改变这个规则；

如：

当这里做了一个服务器映射，是21 IP接口上做的

数据包从路由器发向防火墙，且防火墙的两个边界接口都是设置成的出接口地址转换；

当数据包是从21接口进来的，所以数据包在公网的时候，数据包的目标IP肯定就是21；

当数据包又从12接口出去的时候，这时做地址转换其实还是会按着进来的那两个地址进行转换；

所以出去的时候，即使我们是从12接口出去的，但是我们的源地址依然是进来的时候的目标地址21；

nat地址转换规则不会变，即使进来和出去的接口不一致也不会改变

出接口的地址转换可以用其他的出接口地址进行转换

注意：地址转换是首选nat，但是如果没有nat，server map表在老化之前也用来给防火墙用作地址转换；

3、策略路由

抓取目标流量，同时设置路由，然后让抓取的流量往我单独设置的这条路由上走；

---就是修改流量的轨迹，让他按我指定的方向走；

4、双向地址转换：源IP和目标IP都进行转换，端口是否需要转换看需求设置的nat策略

当我们的内部pc想通过公网访问内部服务器时，那么我们的数据包首先从pc来到我们的防洪墙，

--1、如果此时我们的防洪墙做的是基于源IP进行地址转换：显然这样是访问不到内部的服务器的；因为一旦转换，两个都是公网IP，防火墙通过缺省就会丢到路由器，路由器找不到就会直接丢包；

--2、如果我们此时是基于目标进行地址转换：我们的数据包就会把目标修改为内部服务器的真实IP，然后数据包成功来到这个服务器；但是服务器回包的时候，发现目标就是本网段的（因为我们的源IP一直没变，一直是私网的），所以此时我们的服务器就会直接向pc回包，不会去防火墙；

因为前面我的目标IP是服务器公网IP，现在回来的数据包发送者，即源IP不是公网IP，所以这个tcp连接会建立失败，因为前后对不上；这样我们就不能在这个服务器上面进行资源获取； ---但是ping可以通，因为ping只管发送和回复，所以他才不会管回来的包的源IP是谁,他才不会管回来的包发送者是谁；

--3、如果我们此时是基于双向nat进行地址转换：我们的数据包首先还是会去到防火墙，然后防火墙就会把我的源IP和目标IP进行转换，注意此时的源IP转换之后必须不是在本网段的，不然还是会出现2的问题；当然，为了还满足上网需求，我们应该将源IP转换之后的IP变成公网的IP，所以最后源IP转换成了公网IP，目标IP转换成了私网IP；

发送给服务器后，服务器回包，发现目标IP是不属于本网段的，是公网的，然后也是发送给防火墙，然后防火墙再重新转换回来；服务器发送的源私网IP变成了开始的服务器的公网IP，目标公网IP变成了开始的私网IP；这样回复给了pc，这样pc看是目标发送给我的，就会成功建立tcp连接；

补充：服务器端口映射可以不用真实接口IP，因为数据包进来就会被端口地址映射，所以不是说要必须要外界能和这个IP进行通信，才能用这个IP地址；