基于地址对象的源地址转换
深信服下一代防火墙设备功能配置系列 地址转换功能
深信服下一代防火墙设备功能配置系列二：地址转换功能
案例需求:
某客户拓扑图如下，客户需要让内网用户和服务器群都能够通过NGAF防火墙上网，此时需要在NGAF设备上添加源地址转换规则，将192.168.1.0/24和172.16.1.0/24上网的数据经过NGAF后转换成 1.2.1.1，也就是NGAF设备出接口ETH1的IP地址。
配置详述：
1.在配置源地址转换规则之前，首先要在网络配置中定义好接口所属的区域，在对象定义中定义好内网网段所属的IP组。
因此，将ETH1接口定义为外网区域，ETH2定义为内网区域。
网段17
2.16.1.0/24和192.168.1.0/24定义成内网IP组。
2.在地址转换栏目中新增地址转换策略并启用该策略。
同时，设置源区域和IP组，用于设置需要进行源地址转换即匹配此条规则的源IP条件，只有来自指定的源区域和指定IP组的数据才会匹配该规则、进行源地址转换。
3.设置外网区域为目标区域，数据到哪个目标区域、访问哪些目标IP组、或者从哪个接口出去的数据，才匹配该规则。
同时，将源地址转换设置为出接口地址，即外网接口地址。
4.保存并启用该策略。
防火墙操作手册
防火墙日常操作1.1 管理器登陆界面（贴图）图（2）登陆界面注：默认登录用户名：superman；口令：talentIP地址:防火墙100.100.100.11.2 系统基本信息状态查看（贴图）选择系统管理> 基本信息，在“基本信息”处可以查看当前设备的型号、软件平台版本、各个功能模块版本、许可证版本、VRC用户最大数值等。
在“安全服务”处查看系统提供的安全服务功能。
在“网络接口信息”处可以查看网络接口的工作模式、接口地址以及是否启用等信息。
如下图所示：图（3）基本信息1.3 运行信息查看运行信息指的是当前系统CPU、内存等系统资源的占用情况以及当前通过防火墙建立的连接信息。
1）选择系统管理> 运行信息，用户可以在“系统状态”页签查看设备的系统日期、设备当前CPU占用情况、内存的使用情况以及当前系统不间断运行的时间。
2）在“当前连接”页签可以查看当前（用户访问此菜单时刻）通过防火墙建立的连接信息。
每一条连接信息包括如下内容：当前连接正在建立还是已经拆除连接、当前连接所使用的协议、连接的源/目的地址和端口号、该连接是否应用源NAT/目的NAT 策略、该连接建立过程中源地址发送的数据报文个数、目的地址发送的数据报文的个数等信息。
当连接数量较多时，可以在“条数”处选择一次查看多少条连接信息：可选30、100或1000。
也可以通过点击“上一页”和“下一页”翻页查看信息。
点击“刷新”按钮可以在界面显示最新的连接信息。
在“源IP”、“源端口”、“目的IP”、“目的端口”和“协议”处可以输入一个或多个查询参数，并点击“查找”按钮，则在下面会显示查询的结果信息。
当输入多个查询参数时，同时满足这些条件的连接信息才会显示在列表中。
也可以点击某条连接信息对应的删除图标删除该条连接信息。
点击“清空连接表”一次性删除所有的连接信息。
点击“端口－>服务名”按钮，可以实现对目的端口的识别功能，对常见知名端口翻译为对应的协议，如监控中看到TCP:80的可自动识别为HTTP协议。
源地址转换
F5 源地址转换初步接触F5的网络管理员可能会被F5的源地址转换搞迷糊，因为F5有多种情况下需要使用源地址转换，而且源地址转换的方法也有几种，本文就简单叙述一下F5源地址转换。
需要做源地址转换的情况：⏹内部网络主动发起请求，要求访问外部网络的服务时；⏹单臂部署F5，外部网络主动发起请求，要求访问内部网络的服务时；两种情况下，源地址转换的配置方法都是一样的。
配置源地址转换方法一：转换为出口所属VLAN的IP 或者出口所属VLAN 的浮动IP。
配置：定义一个SNA T转换项，在转换地址部分选择Automap 。
转换规则：单机部署时，数据包到达F5后，F5会将其源IP转换为出口所属VLAN的IP。
双机部署时，数据包到达F5后，F5会将其源IP转换为出口所属VLAN的浮动IP。
适用情况：内部电脑不多（外出会话数不会超过65535），而且外出数据包源地址转换没有特殊要求的情况。
方法二：转换为特定的IP地址或者IP地址池。
配置：定义一个SNAT pool，然后定义一个SNAT转换项，在转换地址部分选择定义的SNAT pool 。
转换规则：数据包到达F5后，F5会从SNA T pool里面依次取出一个IP，然后将数据包的源IP转换为该IP。
适用情况：内部电脑很多（外出会话数会超过65535），而且外出数据包源地址转换没有特殊要求的情况。
方法三：根据特定的源IP或者目标IP转换为相应的IP。
配置：定义一个iRule 实现地址判断和源IP转换，定义一个匹配所有目标的VS，然后引用定义的iRule。
转换规则：数据包到达F5后，F5 会检查其源IP或/和目标IP，然后根据iRule的逻辑决定将数据包的源IP转换为哪个IP。
适用情况：需要根据数据包的来源或/和目标IP转换数据包的源IP，比如多链路时。
rule irule_outbound {when LB_SELECTED {if {[IP::remote_addr equals 192.168.1.1] } {snatpool snat_192.168.1.1}elseif {[IP::remote_addr equals 192.168.10.1] } {snatpool snat_192.168.10.1}else {snat automap}}}virtual vs_outbound {destination any:anypersist dest_addrrule irule_outbound}。
深信服防火墙地址转换
设置不需要进行DOS检测的地址 设置DOS检测参数，建 议使用推荐参数。
勾选后，当设备检测到DOS攻 配置完成， 击时，将产生日志记录 点击保存
注意事项
1.设置DOS/DDOS“外网防护”时，数据包按照从上往下的顺序匹配， 当匹配到任何一个攻击行为后，便将数据包丢弃，不会再往下匹配。 如果数据包没有匹配到前面的攻击行为，则会继续往下匹配。
SANGFOR NGAF 防火墙功能介绍
培训内容
地址转换功能介绍
培训目标
了解源地址转换，目的地址转换，双向地址转换的
应用场景，掌握源地址转换，目的地址转换，双向 地址转换的设置方法。
DOS/DDOS防护功能介绍
了解DOS和DDOS功能的作用和应用场景，掌握
DOS和DDOS功能的推荐配置方法。
其它功能介绍
配置完成，点 击确定保存 点击确定，保存配置 每目的IP激活阈值：当多个攻击者发送给同一目标地址的 SYN TCP握手报文达到激活阈值时，则 启用Syn-cookie 代理。 每目的IP丢包阈值：当多个攻击者发送给同一目标地址的 SYN TCP握手报文达到丢包阈值时，后续请求被丢弃。 配置完成，点击确定保存 每源IP阈值：从一个源攻击者发送给对应区域的目标 ip集 合的SYN TCP握手报文达到阈值时，后续请求被丢弃。
点击可选择IP协议报文防护类型
点击可选择TCP协议 报文防护类型 勾选后，当检测 到有攻击时，则 阻断攻击数据包
勾选后对于检测到的 攻击进行日志记录 配置完成，点击提交
DOS/DDOS防护
内网防护配置介绍：
勾选即开启内网DOS防护
发起DOS攻击的区域 设置哪些地址允许经过防火墙， 若选择“仅允许以下IP 地址数 据包通过“，那么没有填写的 地址将直接丢弃。 选择内网环境，若内网是三层 环境，一定不能勾选第二项
基于Netfilter的网络地址转换研究与实现
—
—
—
—
—
—
—
—
．
ｉ ｅ 使得 诸如 数 据 包 过 滤 、 络 连 接 跟 踪 、 ｆｔｒ ｌ 网 网络
地址 转换 （ Ａ ） 分 布式 拒 绝 服 务 攻 击 （ Ｄ Ｓ ＮＴ 、 Ｄ Ｏ）
Ｏ Ｔ３个 Ｈ ｏ Ｕ ｏｋ点注册 钩 子 函数 ， ３个 Ｈ ｏ 这 ｏｋ点
的钩 子 函数 最后 都 会 调用 ｉ — ｏ ｔ ｌ（ 对 相 应 ｐ ｄ —ａ ｅ ） ｔ ｂ 的表 和钩子 点 的规 则进行 遍历 一 。当数 据包 到
数据 包重组 ， 再转 入 Ｎ ｔ ｔ 的 Ｎ —Ｐ Ｌ Ｃ Ｌ Ｉ ｅ ｆｅ ｉ ｒ ｌ Ｆ Ｉ— Ｏ Ａ ＿Ｎ
Ｎ Ｔ技术 ¨ 。 目前 Ｎ Ｔ技术更 多地使用 在将一 Ａ ｊ Ａ 个私有 的内部 地址 ， 映射为接入服务供应 商所提供 的公共 地址 ， 以实 现 Ｉｅｎｔ ｎ ｒｅ 的互 相通信 。Ｎ Ｔ技 ｔ Ａ 术 能使 内部地址得 到隐藏 ， 攻击者想对私 有 网络 若 内的机器进行攻击 ， 则其需要 知道如何连接 到 内部
ＦＲ Ｒ 的 Ｈｏ Ｏ ＷＡ Ｄ ｏｋ点 ， 用 所 有 在 该 点 注 册 的 调
Ｈｏ ｏｋ函数 。之 后 调 用 ｉ—ｏ ａｄ ｆ ｉ （ ， 入 ｐ ｆ ｒ— ｎｓ ） 转 ｗ ｒ ｉ ｈ
第 ４层 。具 体步骤 如表 １所示 。 从表 １可看 出 ， 一个 发往本 地 的数 据包 ， 经 要
主机 。这样 Ｎ Ｔ技术 不 仅让 有 限 的可用 Ｉ Ａ Ｐ地址 为更 多的用 户实现互联提供 了可能 ， 为私有 网络 更 内部 的主机提供了安全保障 。Ｓ Ａ Ｎ Ｔ的通 常用 途是
的 Ｈ ｏ ， 用所有在该点注册 的 Ｈ ｏ ｏｋ点 调 ｏｋ函数 。
junipersrx防火墙配置管理手册
Juniper SRX系列防火墙配置管理手册目录一、JUNOS操作系统介绍 (3)层次化配置结构 (3)JunOS配置管理 (4)SRX主要配置内容 (4)二、SRX防火墙配置操作举例说明 (5)初始安装 (5)设备登陆 (5)设备恢复出厂介绍 (5)设置root用户口令 (5)设置远程登陆管理用户 (6)远程管理SRX相关配置 (6)配置操作实验拓扑 (7)策略相关配置说明 (7)策略地址对象定义 (8)策略服务对象定义 (8)策略时间调度对象定义 (8)添加策略配置举例 (9)策略删除 (10)调整策略顺序 (10)策略失效与激活 (10)地址转换 (10)Interface based NAT 基于接口的源地址转换 (11)Pool based Source NAT基于地址池的源地址转换 (12)Pool base destination NAT基于地址池的目标地址转换 (12)Pool base Static NAT基于地址池的静态地址转换 (13)路由协议配置 (14)静态路由配置 (14)OSPF配置 (15)交换机Firewall限制功能 (22)限制IP地 (22)限制MAC地址 (22)三、SRX防火墙常规操作与维护 (23)设备关机 (23)设备重启 (23)操作系统升级 (24)密码恢复 (24)常用监控维护命令 (25)Juniper SRX Branch系列防火墙配置管理手册说明SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。
目前Juniper公司的全系列路由器产品、交换机产品和SRX安全产品均采用统一源代码的JUNOS操作系统，JUNOS是全球首款将转发与控制功能相隔离，并采用模块化软件架构的网络操作系统。
JUNOS作为电信级产品的精髓是Juniper真正成功的基石，它让企业级产品同样具有电信级的不间断运营特性，更好的安全性和管理特性，JUNOS软件创新的分布式架构为高性能、高可用、高可扩展的网络奠定了基础。
深信服防火墙地址转换讲解
DOS/DDOS防护
外网防护配置介绍：
选择要保护的目标服务器或者服务器组 自定义名称和描述 选择DOS/DDOS攻击发起 方所在的区域 若设备在每秒单位内接口收到 源区域所有地址的ARP包超过 阈值时，则会被认为是攻击
配置完成，点击确定保存
选择需要进行 不同的数据包类型，攻击 DOS/DDOS攻击检 勾选需要进行异常报 勾选需要进 方法和设备的检测方法都 测 的数据包类型， 若设备在每秒单位内收到来 文侦测的 TCP协议报 行异常报文 不一样，可根据需求选择 并配置检测阈值， 自源区域的单个IP地址/端口 文类型。。 侦测的IP协 数据包类型。 当设备在每秒单位 扫描包个数超过阈值，则会 议报文类型 配置外网防护时，除内容里特别注明不能勾 注意：“ IP数据块分片传 内收到来自源区域 被认为是攻击 选的项外，其它均可以勾选，勾选后，请注 输防护”建议不要勾选 访问同一个目标IP 意设置好阈值，建议使用默认的阈值。 的数据包超过所设 点击可选择DOS/DDOS 置的阈值时，则会 攻击防护类型 被认为是攻击。 点击可选择数据包 攻击防护类型
点击可选择IP协议报文防护类型
点击可选择TCP协议 报文防护类型 勾选后，当检测 到有攻击时，则 阻断攻击数据包
勾选后对于检测到的 攻击进行日志记录 配置完成，点击提交
DOS/DDOS防护
内网防护配置介绍：
勾选即开启内网DOS防护
发起DOS攻击的区域 设置哪些地址允许经过防火墙， 若选择“仅允许以下IP 地址数 据包通过“，那么没有填写的 地址将直接丢弃。 选择内网环境，若内网是三层 环境，一定不能勾选第二项
大连接数，减少网络损耗。
注：连接数控制只匹配源区域。
连接数控制
配置介绍：
Juniper SRX 防火墙配置管理手册
Juniper SRX系列防火墙配置管理手册目录一、JUNOS操作系统介绍 (3)1.1 层次化配置结构 (3)1.2 JunOS配置管理 (4)1.3 SRX主要配置内容 (4)二、SRX防火墙配置操作举例说明 (5)2.1 初始安装 (5)2.1.1 设备登陆 (5)2.1.2 设备恢复出厂介绍 (5)2.1.3 设置root用户口令 (5)2.1.4 设置远程登陆管理用户 (6)2.1.5 远程管理SRX相关配置 (6)2.2 配置操作实验拓扑 (7)2.3 策略相关配置说明 (7)2.3.1 策略地址对象定义 (8)2.3.2 策略服务对象定义 (8)2.3.3 策略时间调度对象定义 (8)2.3.4 添加策略配置举例 (9)2.3.5 策略删除 (10)2.3.6 调整策略顺序 (10)2.3.7 策略失效与激活 (10)2.4 地址转换 (10)2.4.1 Interface based NAT 基于接口的源地址转换 (11)2.4.2 Pool based Source NAT基于地址池的源地址转换 (12)2.4.3 Pool base destination NAT基于地址池的目标地址转换 (12)2.4.4 Pool base Static NAT基于地址池的静态地址转换 (13)2.5 路由协议配置 (14)静态路由配置 (14)OSPF配置 (15)交换机Firewall限制功能 (22)限制IP地 (22)限制MAC地址 (22)三、SRX防火墙常规操作与维护 (23)3.2设备关机 (23)3.3设备重启 (23)3.4设备配置倒入 (24)3.5设备抓包 (24)3.6操作系统升级 (24)3.7密码恢复 (25)3.8常用监控维护命令 (26)Juniper SRX Branch系列防火墙配置管理手册说明SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品，JUNOS集成了路由、交换、安全性和一系列丰富的网络服务。
天融信NGFW4000-UF千兆防火墙白皮书
网络卫士防火墙系统NGFW4000-UF系列产品说明天融信TOPSEC® 北京市海淀区上地东路1号华控大厦 100085电话：+8610-82776666传真：+8610-82776677服务热线：+8610-8008105119http: //版权声明本手册的所有内容，其版权属于北京天融信公司（以下简称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。
本手册没有任何形式的担保、立场倾向或其他暗示。
若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，天融信及其员工恕不承担任何责任。
本手册所提到的产品规格及资讯仅供参考，有关内容可能会随时更新，天融信恕不承担另行通知之义务。
版权所有不得翻印© 1995-2009天融信公司商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。
TopSEC®天融信信息反馈NGFW 4000-UF系列产品说明目录1产品概述 (1)2关键技术 (2)1）灵活的接口扩展能力 (2)2）安全高效的TOS操作系统 (2)3）集成多种安全引擎：FIREWALL+IPSEC+SSL+ANTIVIRUS+IPS (3)4）完全内容检测CCI技术 (3)3产品特点介绍 (3)4产品功能 (9)5运行环境与标准 (15)6典型应用 (17)1）典型应用一：在大型网络中的应用 (17)2）典型应用二：虚拟防火墙应用 (18)3）典型应用三：AA模式双机热备 (19)7产品资质 (20)1产品概述网络卫士系列防火墙NGFW4000-UF（NetGuard FireWall）系列产品，是天融信公司积累多年网络安全产品开发与实践经验的应用最为广泛的千兆防火墙。
它继承了天融信公司十多年来在安全产品研发中的积累的多项成果，以自主知识产权的网络安全操作系统TOS （Topsec Operating System）为系统平台，采用开放性的系统架构及模块化的设计思想，充分体现了天融信公司在长期的产品开发和市场推广过程中对于用户需求的深刻理解。
萎于连终跟踪的源地址转换技术研究与应用
（） Ｅ 请求新连接的分组， Ｈ Ｔ １Ｎ Ｗ 如 Ｔ Ｐ请求； （） Ｓ Ａ ＬＳ Ｅ 属于 当前连接的一部分的 ２Ｅ Ｔ Ｂ Ｉ Ｄ： Ｈ
分组 ；
’ ） Ｅ Ａ Ｅ 请求新连接的分组， （ Ｒ Ｌ Ｔ Ｄ： ３ 但是它也是
连接跟踪 （ｏｎｃ ｏ ｒ ｋｎ） 顾名思义， Ｃ ｎ ｅｔ ｎ ａ ｉ ， ｉ Ｔ ｃ ｇ 就 是跟踪并且记录连接状态。Ｌｎｘ为每一个 经过网 ｉ ｕ 络堆栈的数据包，生成一个新的连接记录项 （ｏ． Ｃｎ ｎｃｏ ｎ ｙ 。 ｅｔ ｎ ｔ ） 此后， ｉ Ｅ ｒ 所有属于此连接的数据包都被
唯一地分 配 给这个 连 接， 标识 连接 的状态 。 线跟 并 连
当前连接的一部分， 如消极 Ｆ Ｐ连接 ， Ｔ 其连接端 口
是 ２ ，但 是 其传 输端 口却是 １２ ０ ０ ４以上 的未 使用 端
口；
（）Ｎ ＬＤ：不 属 于 连接 跟 踪 表 内任何 连 接 ４ ＩＶＡ Ｉ
的分组 。
＿
ｔ ｓ ｔ ｉ ａ ｅ ｓ ａ ｃ ｅ ｏ ｗａ ｓ ｂ ｕ ＮＡＴ ｔｃｉ ｏ ｏ ｙ ｂ ｓ ｄｏ ｎ ｘ ｗｉ ｅｃ ｎ ｅ ｔ ｎ ｔ ｃ ｉ ｇ ｍｅ ｈ － ｉ ， ｓ ｐ ｒｒ ｅ ｒ ｈ ｄ ｔ ｙ ｏ ｔＳ ｃ ｈ ｐ ｅ ｗ ａ ￣ｅ ｔ ｌ ｇ ａ ｅ ｎ Ｌｉ ｕ ， ｔ ｔ ｏ ｎ ｃ ｉ ａ ｋ ｎ ｃ ａ ｎ ｈ ｈ ｏ ｒ ｎ ｓ ｄ ｓ ｎ ｔ ｅ ｔ ｏ ｓ ｕ ｃ ｅ ｏ ｋ ａ ｄ ｅ ｓ ｒ ｎ ｌｔ ｎ ｐ ｏ ｒ ｍ． ｉｍ， ｅ ｉ ｏ ｒ ｅｎ ｔ ｒ ｄ ｒ ｓ ａ ｓａｉ ｒ ｇ ａ ｇ ｈ ｗ ｗ ｔ ｏ
２ １ 年 ２月 ３日，全 球 互联 网 地 址 相 关管 ０１ 理 组 织 宣 布 ： 有 的互 联 网 Ｉ 地 址 已于 当天 被 “ 现 Ｉ ） 瓜 分 ” 毕 ， ） 址总库 已经枯竭 。 在虽 然 Ｉ 地址 是 完 Ⅱ地 好 Ｉ ）
地址转换技术
课程XXXX M000 0147地址转换技术11.1 地址转换 (410)课程XXXXM000 0147地址转换技术错误！文档中没有指定样式的文字。
M000 0147 地址转换技术Huawei Technologies11.1 地址转换基于TCP/IP 结构的仅仅属于一个特定组织的私有网络需要给内部每一个网络节点分配IP V4地址，如果使用向IP 地址分配机构申请的地址（我们称为公有地址），就会产生如下两个不利因素：●如果这个组织很大，那么会需要一笔可观的费用； ● 如果每一个组织都申请公有地址，会加速IP V4地址的耗尽过程；当然，如果全面升级至IP V6，那么地址资源紧缺问题会自然解决。
但这个升级过程尚未启动，即使启动，考虑到IPv4的广泛部署，这个过程也是漫长的。
让问题变得更加尖锐的是很多组织都希望自己的内部网络地址结构不为外界知晓从而确保安全性。
从网络内部和外部互相访问的特性来看，则希望对内部主动访问外部网络实施比较宽松的限制，而外部网络（以下简称外网）主动对内部网络（以下简称内网）的访问实施严格的限制：如只允许外界访问http 服务等。
地址转换（NAT ，Network Address Translation ）技术是满足上面所有这些需求的一个好办法，其大致工作环境如图11-16所示。
外部网络内部网络NAT路由器10.0.0.0/8图11-1 NAT 功能示意如上图所示，组织内部网络使用IANA 规定的“私有网络地址”。
IANA 规定三个网段的地址可作为私有地址使用。
它们是：10.0.0.0/8、172.16.0.0/16～172.31.0.0/16、192.168.0.0/16。
这三个地址范围不会被分配给公网节点，每个组织可以自由使用（即多个组织可能使用同一个私网地址范围）。
对于不需要和外界通信的网络，采用私有地址组建网络就可以正常实现网络内部的通信了。
但如果需要和外部通信，就必须通过一台路由器建立内部和外部网络之间的IP 互通性。
深信服防火墙地址转换
目的地址转换功能应用举例
步骤一：在【网络配置】的【接口/区域】中定义好接口地址和“区域”，在【对象定义】 的【IP组】中定义好 “外网接口IP”
目的地址转换功能应用举例
公网的数据 包的备公服服服过地公网务务务端地端来 址 网 访 器 器 的口 址 口，是地问私提真目设址的网供实 则进行转换
双向地址转换功能应用举例
2.对于“基于数据包的检测”、“基于报文的检测”的规则，在开启直 通的情况下仍然检测并丢包。
3.在配置DOS/DDOS攻击防护时，目标IP建议只填写服务器所在的IP组（ 不建议填写全部IP），且每个IP组中设置不超过400个IP地址。
其它功能介绍
连接数控制
连接数控制：设置单IP的最大并发连接数。当内网使用 P2P下载等应用时，在短时间内会发送很多连接，影响网络 设备的性能，此时可以使用“连接数控制”来限制单IP的最 大连接数，减少网络损耗。 注：连接数控制只匹配源区域。
连接数控制
配置介绍：
选择需要进 行连接数限 制的源区域 及源IP组
根据需求设定单 个IP最大并发连 接数的值
点击提交， 保存配置
DNS mapping
作用:DNS Mapping应用于内网用户通过公网域名访问内网的服务器，实现的 效果与双向地址转换规则一样。
与双向地址转换的区别： 1.设置DNS Mapping后，内网访问服务器的数据将不会经过防火墙设备，而是
源地址转换功能应用举例
规则匹配次 数，可用于 检测规则是 否配置正确
目的地址转换功能应用举例
需求：客户网络环境如图，AF防火 墙部署在网络出口，内网有WEB服 务器。客户需要将WEB服务器发布 到公网，让公网所有用户都可以通 过2.2.2.2访问到该服务器。
juniper防火墙基于policy的地址转换
密级：公开文档编号：Study-201006 第 1版分册名称：Juniper基于policy的地址转换第 1册/共 1册【Juniper基于policy的地址转换】成都信诺瑞得网络科技有限公司总页数正文附录生效日期：编制：审核：批准：Juniper ScreenOS 基于Policy的源地址转换（NAT-SRC）配置示例Juniper ID：JPR29525 JNCIS-FWV/JNCIS-ER/JNSS-S设备型号及ScreenOS版本深圳（NetScreen ISG-1000）：Hardware Version: 3010(0)-(04), FPGA checksum: 00000000,VLAN1 IP (0.0.0.0)Software Version: 5.3.0r10.0, Type: Firewall+VPN网络拓朴如下：案例说明：1. 个人PC 通过ADSL 拨入互联网，然后通过L2TP 拨入到防火墙，实现对测试服务器（10.245.32.114）资源访问。
2.防火墙上的IPPOOL：192.168.68.1~192.168.68.254 在Trust 区段中是不可路由的。
3. 在防火墙上如何配置L2TP VPN 服务器请参考：NetScreen ISG-1000 远程VPN(Only L2TPUser)详细配置指南，本文档不详述。
4、本文档只是本人做的实验，以加深对基于Policy 的NAT-SRC 知识点的理解，正好有时间，记录之，以备忘。
难免有错误，欢迎指正。
只有一个IP地址DIP池（启用PAT）的NAT-SRC在绑定到trust 区段的ethernet1/2 接口上定义DIP 池4，DIP 池只包含单个IP 地址10.245.32.116，且缺省启用了PAT。
-------------------------------------------------------------------------------一、定义DIP通过WebUI 界面配置：通过CLI 命令行配置：set interface ethernet1/2 dip 4 10.245.32.116 10.245.32.116二、配置基于Policy的src-nat通过WebUI 界面配置：通过CLI 命令行配置：set policy from "dialup_sz" to "Trust" "Dial-Up VPN" "10.245.32.114/32" "PING" nat src dip-id 4 tunnel l2tp "l2tpvpn" log三、测试在个人PC 上通过l2tp 拨号到防火墙后成功获取地址：PPP adapter l2tpvpn:Connection-specific DNS Suffix . :Description . . . . . . . . . . . : WAN (PPP/SLIP) InterfacePhysical Address. . . . . . . . . : 00-53-45-00-00-00Dhcp Enabled. . . . . . . . . . . : NoIP Address. . . . . . . . . . . . : 192.168.68.1Subnet Mask . . . . . . . . . . . : 255.255.255.255Default Gateway . . . . . . . . . :DNS Servers . . . . . . . . . . . : 202.96.128.68202.96.128.110ping 目的IP 地址：C:\>ping 10.245.32.114 -tPinging 10.245.32.114 with 32 bytes of data:Reply from 10.245.32.114: bytes=32 time=79ms TTL=254Reply from 10.245.32.114: bytes=32 time=70ms TTL=254Reply from 10.245.32.114: bytes=32 time=70ms TTL=254查看防火墙Policy Log：只有一个IP地址DIP池（禁用PAT）的NAT-SRC在绑定到trust 区段的ethernet1/2 接口上定义DIP 池4，DIP 池只包含单个IP 地址10.245.32.116，且禁用了PAT。
SANGFOR_AF_6.8_源地址转换配置指导
SANGFOR_AF_6.8_源地址转换配置指导深信服科技有限公司文档编号审核修订记录版本时间修订内容1.02016年7月目录1介绍 (3)1.1文档说明 (3)1.2读者对象 (3)1.3缩写和约定 (3)1.4使用反馈 (3)2功能简介 (4)3应用场景 (4)4必要条件说明 (4)5配置思路 (4)6配置方式及截图 (4)6.1确认需求 (5)6.2源地址转换配置方法及验证方法 (5)7注意事项 (8)1介绍1.1文档说明本文档深信服公司及其许可者版权所有，并保留一切权利。
未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式出版传播。
由于产品版本升级或其他原因，本手册内容有可能变更。
深信服保留在没有任何通知或者提示的情况下对本手册的内容进行修改的权利。
本手册仅作为使用指导，深信服尽全力在本手册中提供准确的信息，但是并不确保手册内容完全没有错误。
1.2读者对象本配置指导文档主要适用于如下工程师：✓网络或应用管理人员✓现场技术支持与维护人员✓负责网络配置和维护的网络管理员1.3缩写和约定本文中AF均指代SANGFOR NGAF设备或服务。
1.4使用反馈如果您在使用过程中发现本资料的任何问题，欢迎及时反馈给我们，可以通过反馈到深信服技术社区：感谢您的支持与反馈，我们将会做的更好！2功能简介NAT是作为一种解决IPv4地址短缺以避免保留IP地址困难的方案而流行起来的。
3应用场景测试地址转换的拓扑图，如下图：使用地址转换的应用场景：外网公网地址不够，但是内网多台PC需要上网。
4必要条件说明1.NGAF设备一台，要求有一个外网接口并且接上有公网地址，保证AF本身能上网。
2.在配置IPv4地址转换的情况下，内网接PC电脑或者服务器必须有一个路由口。
5配置思路源地址转换：内网用户访问公网服务器。
6配置方式及截图6.1确认需求首先了解内网需求在【防火墙】模块里面选择对应的地址转换功能，如下图：6.2源地址转换配置方法及验证方法1.选择【源地址转换】源区域为内网区域，源IP组为内网需要上网的ip地址或者选择全部;目的区域为外网区域，源地址转换的地址为出接口地址，具体配置如下图：源区域：需要访问公网服务器的用户所在的区域。
信息安全基础知识笔记05防火墙网络地址转换技术NAT（上）
信息安全基础知识笔记05防⽕墙⽹络地址转换技术NAT（上）信息安全基础知识笔记05防⽕墙⽹络地址转换技术NAT(上) 在之前的笔记中，我们已经介绍过⽹络地址转换技术（NAT）的实现原理，以及在路由器上的详细配置⽅法，所以本节笔记不再赘述。
具体可以根据以下链接查看： ⽹络基础知识笔记08：NAT⽹络地址转换(上) ⽹络基础知识笔记08：NAT⽹络地址转换(下) 本节笔记主要介绍在防⽕墙配置NAT实验的详细步骤（命令⾏和Web界⾯两种⽅式），以及在简单复习NAT原理和分类的基础上，再扩展⼀些防⽕墙配置NAT技术⼩知识。
NAT技术的基本原理 NAT技术通过对IP报⽂头中的源地址或⽬的地址进⾏转换，可以使⼤量的私⽹IP地址通过共享少量的公⽹IP地址来访问公⽹。
NAT是将IP数据报⽂报头中的IP地址转换为另⼀个IP地址的过程，主要⽤于实现内部⽹络（私有IP地址）访问外部⽹络（公有IP地址）的功能。
从实现上来说，⼀般的NAT转换设备（实现NAT功能的⽹络设备）都维护着⼀张地址转换表，所有经过NAT转换设备并且需要进⾏地址转换的报⽂，都会通过这个表做相应的修改。
地址转换的机制分为如下两个部分： ①内部⽹络主机的IP地址和端⼝转换为NAT转换设备外部⽹络地址和端⼝。
②外部⽹络地址和端⼝转换为NAT转换设备内部⽹络主机的IP地址和端⼝。
也就是<私有地址+端⼝>与<公有地址+端⼝>之间相互转换。
NAT转换设备处于内部⽹络和外部⽹络的连接处。
内部的PC与外部服务器的交互报⽂全部通过该NAT转换设备。
常见的NAT转换设备有路由器、防⽕墙等。
NAT分类 根据应⽤场景的不同，NAT可以分为以下三类： 源NAT（Source NAT）：⽤来使多个私⽹⽤户能够同时访问Internet。
①地址池⽅式：采⽤地址池中的公⽹地址为私⽹⽤户进⾏地址转换，适合⼤量的私⽹⽤户访问Internet的场景。
地址转换协议
地址转换协议地址转换协议（Address Translation Protocol，简称ATP）是一种网络协议，用于在不同网络之间进行地址转换。
它是网络通信中非常重要的一部分，可以实现不同网络之间数据的传输与交互。
ATP的主要功能是在不同网络之间进行地址的映射转换。
在实际应用中，我们经常遇到需要在不同网络之间传输数据的情况，但是由于不同网络使用不同的地址格式和编码规则，直接传输数据是不可行的。
这时，ATP就发挥了重要作用，它可以将源地址转换成目标地址，使得数据可以在不同网络之间正常传输。
ATP的工作原理是通过在源地址和目标地址之间建立映射表来实现地址转换。
在源设备发送数据时，ATP会检查源地址，并在映射表中查找对应的目标地址。
如果存在对应的映射关系，ATP会将源地址替换成目标地址，并将数据发送到目标设备。
而目标设备收到数据后，会根据映射表中的目标地址还原源地址，并进行相应处理。
映射表是ATP非常重要的组成部分，它记录了源地址和目标地址之间的对应关系。
映射表通常由网络管理员进行配置，可以手动输入源地址和目标地址的对应关系，也可以通过某些算法自动建立映射关系。
在实际应用中，映射表的维护工作非常重要，一旦映射关系发生变化，就需要及时更新映射表，以确保地址转换的准确性和及时性。
ATP在网络通信中有广泛的应用。
它可以用于不同网络之间的数据传输，使得不同网络中的设备可以进行正常的通信。
当我们需要将数据从一个网络传输到另一个网络时，ATP可以起到连接不同网络的桥梁作用。
在实际应用中，ATP的应用范围非常广泛，几乎涵盖了所有需要不同网络之间传输数据的场景。
但是ATP也存在一些问题和挑战。
首先，ATP需要维护映射表，这对于网络管理员来说是一个繁重的工作。
其次，当网络规模庞大时，映射表的规模也会随之增大，而这会给查找和更新带来困难。
此外，ATP在数据传输过程中可能会引入一定的延时，影响网络性能。
尽管ATP存在一些问题，但是它在网络通信中有着重要的作用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于地址对象的源地址转换
网络卫士防火墙的防火墙模块的源地址转换策略支持基于地址资源的源地址转换，可转换的地址资源包括单个主机、主机地址范围和子网，对源地址可以进行的转换方式有：将源地址固定映射为某一合法IP地址和将源地址动态映射某一网段或某一地址范围的地址。
基本需求
网络卫士防火墙的接口Eth0连接企业内网，内网为192.168.100.0/24，Eth0的IP地址为192.168.100.1；Eth1连接外网，Eth1的IP地址为202.10.10.1。
企业可用的公网IP 地址范围为202.10.10.1-202.10.10.10，网络拓扑结构的示意图如下所示。
图 1基于地址资源的源地址转换示意图
配置要点
定义内网地址资源，可定义的地址资源包括主机地址资源、范围地址资源、子网地址资源、区域和VLAN。
定义要转换的公网地址资源。
定义源地址转换策略。
WebUI配置步骤
1）选择资源管理> 区域，点击“添加”，定义区域资源。
设置内网区域area_eth0与属性eth0绑定且禁止访问。
外网区域area_eth1与属性eth1绑定且允许访问。
2）定义内部地址资源，选择资源管理> 地址，并选择相应页签，点击“添加”可以定义主机地址资源、地址范围资源和子网地址资源。
a）定义NAT主机资源：选择“子网”页签，点击“添加”。
b）定义NAT地址池：选择“范围”页签，点击“添加”。
3）定义NAT地址转换策略。
选择防火墙> 地址转换，点击右上角“添加”，进入NAT规则配置界面，如下图所示，选择“源转换”选项设定源地址转换策略。
a）点击“源”页签，添加NAT规则的源，内部地址资源：子网100.X。
如下图所示。
b）点击“目的”页签添加NAT规则的目的，外网区域：area_eth1。
c）设置源地址转换为地址池中地址的转换规则，设置为范围地址资源nat-pool。
也可以设置转换为固定地址对象的转换规则。
配置完成。
需要注意的是，系统默认情况下，在源地址转换同时也会转换源端口。
只有在上图中选择“源端口不作转换”时，数据包在经过防火墙时不改变源端口。
CLI配置步骤
1）定义区域资源
#define area add name area_eth1access on attribute eth1
#define area add name area_eth0access off attribute eth0
2）定义内网地址资源
#define subnet add name子网100.x ipaddr192.168.100.0 mask255.255.255.0 3）定义NAT地址池资源
#define range add name nat-pool ip1202.10.10.1ip2202.10.10.10
4）定义NAT地址转换规则
在地址池中动态选择转换后的IP
#nat policy add srcarea area_eth0 orig_src子网100.x dstarea area-eth1trans_src nat-pool enable yes
注意事项
系统默认情况下，在源地址转换同时也会转换源端口。