信息安全技術(shù)（HCIA-Security）（微課版）（第2版） 課件 第7、8章 網(wǎng)絡(luò)地址轉(zhuǎn)換NAT技術(shù)、防火墻雙機(jī)熱備技術(shù)

網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)網(wǎng)絡(luò)空間是億萬(wàn)民眾共同的精神家園。網(wǎng)絡(luò)空間天朗氣清、生態(tài)良好，符合人民利益;網(wǎng)絡(luò)空間烏煙瘴氣、生態(tài)惡化，不符合人民利益。誰(shuí)都不愿生活在充滿(mǎn)虛假、詐騙、攻擊、謾罵、恐怖、色情、暴力的網(wǎng)絡(luò)空間。文字學(xué)習(xí)雪人計(jì)劃，中國(guó)互聯(lián)網(wǎng)崛起拓展主題愛(ài)國(guó)主義、科技強(qiáng)國(guó)、技能強(qiáng)國(guó)學(xué)完本課程后，您將能夠:了解NAT的應(yīng)用場(chǎng)景掌握NAT的技術(shù)原理掌握防火墻的NAT配置網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射N(xiāo)AT應(yīng)用場(chǎng)景NAT產(chǎn)生背景IPv4地址日漸枯竭；IPv6技術(shù)不能立即大面積替換；各種延長(zhǎng)IPv4壽命的技術(shù)不斷出現(xiàn)，NAT就是其中之一。NAT的優(yōu)點(diǎn)與缺點(diǎn)優(yōu)點(diǎn)：實(shí)現(xiàn)IP地址復(fù)用，節(jié)約寶貴的地址資源。地址轉(zhuǎn)換過(guò)程對(duì)用戶(hù)透明。對(duì)內(nèi)網(wǎng)用戶(hù)提供隱私保護(hù)。可實(shí)現(xiàn)對(duì)內(nèi)部服務(wù)器的負(fù)載均衡。缺點(diǎn)：網(wǎng)絡(luò)監(jiān)控難度加大。限制某些具體應(yīng)用。NAT技術(shù)的基本原理NAT技術(shù)通過(guò)對(duì)IP報(bào)文頭中的源地址或目的地址進(jìn)行轉(zhuǎn)換，可以使大量的私網(wǎng)IP地址通過(guò)共享少量的公網(wǎng)IP地址來(lái)訪(fǎng)問(wèn)公網(wǎng)。內(nèi)網(wǎng)用戶(hù)FTPServer將私網(wǎng)源地址替換為公網(wǎng)地址將公網(wǎng)目的地址替換為私網(wǎng)地址目的IP：源IP：目的IP：源IP：目的IP：源IP：目的IP：源IP：NAT分類(lèi)源NAT地址池方式出接口地址方式（EasyIP）服務(wù)器映射靜態(tài)映射（NATserver）網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射N(xiāo)AT應(yīng)用場(chǎng)景源NAT地址池方式(1)不帶端口轉(zhuǎn)換的地址池方式。此種方式為一對(duì)一的IP地址的轉(zhuǎn)換，端口不進(jìn)行轉(zhuǎn)換。丟棄Untrust轉(zhuǎn)換Trust源

目的源1目的源NAT地址池方式(2)帶端口轉(zhuǎn)換的地址池方式。將不同的內(nèi)部地址映射到同一公有地址的不同端口號(hào)上，實(shí)現(xiàn)多對(duì)一地址轉(zhuǎn)換。：7111：7112：7113Untrust轉(zhuǎn)換Trust源1源端口X

目的源源端口Y目的EasyIP出接口地址方式(EasyIP)。：7111：7112：7113源1目的源

目的Untrust轉(zhuǎn)換TrustNATALG

NAT

ALG（ApplicationLevelGateway，應(yīng)用級(jí)網(wǎng)關(guān)）是特定的應(yīng)用協(xié)議的轉(zhuǎn)換代理，可以完成應(yīng)用層數(shù)據(jù)中攜帶的地址及端口號(hào)信息的轉(zhuǎn)換。以太網(wǎng)首部IP首部TCP首部應(yīng)用數(shù)據(jù)以太網(wǎng)尾部NAT可以轉(zhuǎn)換的部分﹖NATALG實(shí)現(xiàn)原理FTP主動(dòng)模式下的NATALG應(yīng)用。私網(wǎng)公網(wǎng)HostNATALG

<------>1FTPServerHost與FTPServer之間建立控制連接發(fā)送PORT報(bào)文（,1084）ALG處理PORT報(bào)文載荷已被轉(zhuǎn)換（1,

12487）FTPServer向Host發(fā)起數(shù)據(jù)連接（,

30041,12487）FTPServer向Host發(fā)起數(shù)據(jù)連接（,

3004,1084）在已經(jīng)建立的數(shù)據(jù)連接上進(jìn)行數(shù)據(jù)傳輸網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射N(xiāo)AT應(yīng)用場(chǎng)景NATServer-內(nèi)部服務(wù)器內(nèi)部服務(wù)器(NatServer)功能是使用一個(gè)公網(wǎng)地址來(lái)代表內(nèi)部服務(wù)器對(duì)外地址。在防火墻上，專(zhuān)門(mén)為內(nèi)部的服務(wù)器配置一個(gè)對(duì)外的公網(wǎng)地址來(lái)代表私網(wǎng)地址。對(duì)于外網(wǎng)用戶(hù)來(lái)說(shuō)，防火墻上配置的外網(wǎng)地址就是服務(wù)器的地址。DMZuntrust公網(wǎng)地址真正的地址WWW服務(wù)器外網(wǎng)用戶(hù)轉(zhuǎn)換源IP地址目的源IP地址目的NATServer與ServerMap表(1)配置NATServer時(shí)，設(shè)備會(huì)自動(dòng)生成Server-map表項(xiàng)，用于存放Global地址與Inside地址的映射關(guān)系。舉例：servermap表項(xiàng)IP協(xié)議承載的協(xié)議類(lèi)型轉(zhuǎn)換后的公網(wǎng)地址內(nèi)部server實(shí)際地址[NGFW]natserverserver1protocoltcpglobalinsideType：NatServer,ANY->:21[:21],Zone:---,protocol:tcpVpn:public-->publicType：NatServerReverse,[]->ANY,Zone:---，protocol:tcpVpn:public-->public,counter:1NATServer與ServerMap表(2)指定no-reverse參數(shù)后，設(shè)備生成的Server-map表只有正方向。舉例：servermap表項(xiàng)[NGFW]natserverserver1protocoltcpglobalinsideno-reverseType:NatServer,ANY->[],Zone:---,protocol:tcpVpn:public->public網(wǎng)絡(luò)地址轉(zhuǎn)換原理源NAT技術(shù)服務(wù)器映射N(xiāo)AT應(yīng)用場(chǎng)景NAT典型應(yīng)用場(chǎng)景配置舉例應(yīng)用場(chǎng)景分析源應(yīng)用NATServer應(yīng)用DMZ區(qū)域Untrust區(qū)域Trust區(qū)域192.168.０.1/24/29/24防火墻源NAT配置(WEB)配置NAT地址池。防火墻源NAT配置(WEB)配置源NAT策略。在本例中是為了實(shí)現(xiàn)trust區(qū)域的用戶(hù)訪(fǎng)問(wèn)untrust區(qū)域internet的資源，因此源安全區(qū)域?yàn)閠rust，目的安全區(qū)域?yàn)閡ntrust。選擇配置的地址池防火墻NATServer配置(WEB)配置內(nèi)部Web和FTP服務(wù)器。外部地址和內(nèi)部地址，外部地址為供外部用戶(hù)訪(fǎng)問(wèn)的公網(wǎng)IP地址，內(nèi)部地址為局域網(wǎng)服務(wù)器地址。防火墻NATServer配置(WEB)配置域間安全轉(zhuǎn)發(fā)策略。HTTP服務(wù)器配置類(lèi)似。防火墻源NAT配置(CLI)配置域間訪(fǎng)問(wèn)規(guī)則。指定源地址為網(wǎng)段。（具體配置步驟省略）配置地址池。配置源NAT策略。[NGFW]nataddress-group1[NGFW-nat-address-group-1]section[NGFW]nat-policy[NGFW-policy-nat]rulenamenat1[NGFW-policy-nat-rule-nat1]source-zonetrust[NGFW-policy-nat-rule-nat1]destination-zoneuntrust[NGFW-policy-nat-rule-nat1]source-address24[NGFW-policy-nat-rule-nat1]actionnataddress-group1防火墻NATServer配置(CLI)配置內(nèi)部Web和FTP服務(wù)器。配置域間包過(guò)濾規(guī)則。[USG]natserverwwwserverprotocoltcpglobal80inside8080[USG]natserverftpserverprotocoltcpglobalftpinsideftp[USG]security-policy[USG-policy-security]rulenamep1[USG-policy-security-rule-p1]source-zoneuntrust[USG-policy-security-rule-p1]destination-zonedmz[USG-policy-security-rule-p1]destination-address32[USG-policy-security-rule-p1]servicehttp[USG-policy-security-rule-p1]actionpermit[USG-policy-security]rulenamep2[USG-policy-security-rule-p2]source-zoneuntrust[USG-policy-security-rule-p2]destination-zonedmz[USG-policy-security-rule-p2]destination-address32[USG-policy-security-rule-p2]serviceftp[USG-policy-security-rule-p2]actionpermit雙向NAT技術(shù)雙向NAT兩種應(yīng)用場(chǎng)景:NATServer+源NAT域內(nèi)NAT域間雙向NAT為了簡(jiǎn)化配置服務(wù)器至公網(wǎng)的路由，可在NATServer基礎(chǔ)上，增加源NAT配置。DMZUntrust源NAT私網(wǎng)IP地址Internet用戶(hù)內(nèi)網(wǎng)服務(wù)器真正IP地址對(duì)外公網(wǎng)地址域內(nèi)雙向NAT防火墻將用戶(hù)的請(qǐng)求報(bào)文的目的地址轉(zhuǎn)換成FTP服務(wù)器的內(nèi)網(wǎng)IP地址，源地址轉(zhuǎn)換成用戶(hù)對(duì)外公布的IP地址。防火墻將FTP服務(wù)器回應(yīng)報(bào)文的源地址轉(zhuǎn)換成對(duì)外公布的地址，目的地址轉(zhuǎn)換成用戶(hù)的內(nèi)網(wǎng)IP地址。Trust域服務(wù)器公網(wǎng)地址用戶(hù)公網(wǎng)地址內(nèi)網(wǎng)用戶(hù)服務(wù)器以下哪些選項(xiàng)是NAT技術(shù)產(chǎn)生的原因()IP地址資源不足保護(hù)內(nèi)網(wǎng)服務(wù)器真實(shí)的IP地址某些特定的業(yè)務(wù)需要便于對(duì)設(shè)備進(jìn)行管理NAT的技術(shù)原理NAT幾種應(yīng)用方式防火墻NAT典型場(chǎng)景配置防火墻雙機(jī)熱備技術(shù)網(wǎng)上網(wǎng)下要同心聚力、齊抓共管,形成共同防范社會(huì)風(fēng)險(xiǎn)、共同構(gòu)筑同心圓的良好局面。要維護(hù)網(wǎng)絡(luò)空間安全及網(wǎng)絡(luò)數(shù)據(jù)的完整性、安全性、可靠性，提高維護(hù)網(wǎng)絡(luò)空間安全能力。文字學(xué)習(xí)北斗導(dǎo)航：未來(lái)世界的眼睛拓展主題愛(ài)國(guó)主義、科技強(qiáng)國(guó)、技能強(qiáng)國(guó)學(xué)完本課程后，您將能夠:掌握雙機(jī)熱備技術(shù)原理掌握雙機(jī)熱備基礎(chǔ)配置雙機(jī)熱備技術(shù)原理雙機(jī)熱備基本組網(wǎng)與配置雙機(jī)熱備技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示，內(nèi)部用戶(hù)和外部用戶(hù)的交互報(bào)文全部通過(guò)FirewallA。如果FirewallA出現(xiàn)故障，內(nèi)部網(wǎng)絡(luò)中所有以FirewallA作為默認(rèn)網(wǎng)關(guān)的主機(jī)與外部網(wǎng)絡(luò)之間的通訊將中斷，通訊可靠性無(wú)法保證。FirewallA/24PC服務(wù)器內(nèi)部網(wǎng)絡(luò)/24路由器冗余部署方案路由器組網(wǎng)中通過(guò)VRRP協(xié)議實(shí)現(xiàn)設(shè)備冗余：RouterAMasterRouterBBackupRouterCBackup備份組VirtualIPAddressPC服務(wù)器內(nèi)部網(wǎng)絡(luò)/24VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用為防火墻上多個(gè)區(qū)域提供雙機(jī)備份功能時(shí)，需要在每一臺(tái)防火墻上配置多個(gè)VRRP備份組。DMZTrustUntrustUSGA/24MasterUSGBBackup/24備份組1VirtualIPAddress備份組2VirtualIPAddress備份組3VirtualIPAddressVRRP在防火墻應(yīng)用中存在的缺陷傳統(tǒng)VRRP方式無(wú)法實(shí)現(xiàn)主、備用防火墻狀態(tài)的一致性。USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會(huì)話(huà)表項(xiàng)Server(5)(6)(8)實(shí)際連線(xiàn)報(bào)文流徑(9)VRRP用于防火墻多區(qū)域備份為了保證所有VRRP備份組切換的一致性，在VRRP的基礎(chǔ)上進(jìn)行了擴(kuò)展，推出了VGMP（VRRPGroupManagementProtocol）來(lái)彌補(bǔ)此局限。DMZTrustUntrustUSGA/24vUSGB/24備份組2備份組3備份組1VGMP管理組VGMP管理組helloackVGMP基本原理當(dāng)防火墻上的VGMP為Active/Standby狀態(tài)時(shí)，組內(nèi)所有VRRP備份組的狀態(tài)統(tǒng)一為Active/Standby狀態(tài)。狀態(tài)為Active的VGMP也會(huì)定期向?qū)Χ税l(fā)送HELLO報(bào)文，通知Standby端本身的運(yùn)行狀態(tài)（包括優(yōu)先級(jí)、VRRP成員狀態(tài)等）。DMZTrustUntrustUSGA/24USGB/24備份組2備份組3備份組1VGMPActiveVGMPStandbyhelloackVGMP組管理狀態(tài)一致性管理VGMP管理組控制所有的VRRP備份組統(tǒng)一切換。搶占管理當(dāng)原來(lái)出現(xiàn)故障的主設(shè)備故障恢復(fù)時(shí)，其優(yōu)先級(jí)也會(huì)恢復(fù)，此時(shí)可以重新將自己的狀態(tài)搶占為主。HRP基本概念HRP（HuaweiRedundancyProtocol）協(xié)議，用來(lái)實(shí)現(xiàn)防火墻雙機(jī)之間動(dòng)態(tài)狀態(tài)數(shù)據(jù)和關(guān)鍵配置命令的備份。VRRP組1VRRP組2VRRP組3①②③④⑤UntrustTrustDMZ會(huì)話(huà)表⑥FWAFWBHRP心跳接口兩臺(tái)FW之間備份的數(shù)據(jù)是通過(guò)心跳口發(fā)送和接收的，是通過(guò)心跳鏈路（備份通道）傳輸?shù)?。心跳口必須是狀態(tài)獨(dú)立且具有IP地址的接口，可以是一個(gè)物理接口（GE接口），也可以是為了增加帶寬，由多個(gè)物理接口捆綁而成的一個(gè)邏輯接口Eth-Trunk。心跳接口的狀態(tài)HRP心跳接口共有五種狀態(tài)：InvalidDownPeerdownReadyrunning雙機(jī)熱備的備份方式設(shè)備重啟后主備FW的配置自動(dòng)同步會(huì)話(huà)快速備份自動(dòng)備份手工批量備份雙機(jī)熱備技術(shù)原理雙機(jī)熱備基本組網(wǎng)與配置雙機(jī)熱備基本組網(wǎng)上下行業(yè)務(wù)接口工作在三層模式，連接二層設(shè)備時(shí)，需要在上下行的業(yè)務(wù)接口上配置VRRP備份組，使VGMP管理組能夠通過(guò)VRRP備份組監(jiān)測(cè)三層業(yè)務(wù)接口。USG_AMasterUSG_BBackup備份組1VirtualIPAddress/24G1/0/1/24PC1:0/24UntrustTrustG1/0/3/24G1/0/6/24G1/0/6/24G1/0/1/24G1/0/3/24備份組2VirtualIPAddress/24PC2:0/24VRRP備份組配置命令-CLI接口視圖下配置VRRP：執(zhí)行此命令時(shí)，指定active或standby參數(shù)后，即將該VRRP組加入了VGMP管理組的Active或Standby管理組。每個(gè)普通物理接口（GigabitEthernet接口）下最多配置255個(gè)VRRP組。vrrpvridvirtual-router-IDvirtual-ipvirtual-address[ip-mask|ip-mask-length]{active|standby}HRP配置命令-CLI指定心跳口啟用HRP備份功能啟用允許配置備用設(shè)備的功能啟用命令與狀態(tài)信息的自動(dòng)備份啟用會(huì)話(huà)快速備份hrpinterfaceinterface-typeinterface-number[remote{ip-address|ipv6-address}]hrpenablehrpstandbyconfigenablehrpauto-sync[config|connection-status]hrpmirrorsessionenableVRRP配置舉例-CLIUSG_A關(guān)于VRRP組1配置：USG_B關(guān)于VRRP組1的配置：[USG_A]interfaceGigabitEthernet1/0/1[USG_A-GigabitEthernet1/0/1]ipaddress24[USG_A-GigabitEthernet1/0/1]vrrpvrid1virtual-ipactive[USG_B]interfaceGigabitEthernet1/0/1[USG_B-GigabitEthernet1/0/1]ipaddress24[USG_B-GigabitEthernet1/0/1]vrrpvrid1virtual-ipstandbyHRP配置舉例-CLIUSG_A關(guān)于HRP配置：[USG_A]hrpenable[USG_A]hrpmirrorsessionenable[USG_A]hrpinterfaceGigabitEthernet1/0/6查看VRRP狀態(tài)-CLI查看處于VRRP備份組中的接口狀態(tài)信息：HRP_A<USG_A>displayvrrpinterfaceG1/0/3GigabitEthernet1/0/3|VirtualRouter2VRRPGroup:Activestate:ActiveVirtualIP:VirtualMAC:0000-5e00-0102PrimaryIP:PriorityRun:120PriorityConfig:100MasterPriority:120Preempt:YESDelayTime:0Adverti