思科NAT详解

思科NAT详解6.16 网络地址转换（NAT）NAT也称为IP地址伪装，可以用来将在一个网络（内部网络）中使用的IP地址转换成在另一个网络（外部网络）中使用的IP地址。

NAT技术主要用于隐藏内部网络的IP地址（使用RFC 1918私有地址）。

这种伪装技术可以用来隐藏真实的网络身份，因此可以视为一种安全技术。

NAT设备会执行以下两个进程。

1．用一个映射的地址取代一个真实的地址，这个映射地址是在目的网络中可路由的地址。

2．为返回流量执行反向地址转换。

防火墙状态化监控会通过维护一个转换表来跟踪所有穿越安全设备的连接，同时通过这个列表，设备可以查找到数据包先前出站请求时的源地址，以此来验证入站数据包的目的地址并将它转发过去。

6.16.1 NAT控制（NAT Control）防火墙始终是最应支持NAT的设备，因为它要最大程度地保障网络的灵活性和安全性。

在最新版本的安全设备上，它可以实现NAT控制功能。

当外部通信需要用到地址转换规则的时候，NAT控制功能会接管防火墙，并且确保地址转换行为与7.0之前的版本是一致的。

NAT控制特性按照如下方式工作。

如果禁用NAT控制功能，防火墙在没有配置NAT规则的情况下会转发所有从较高安全级别接口（如内部接口）去往较低安全级别接口（如外部接口）的流量。

当流量从较低安全级别接口去往较高安全级别接口时，防火墙只会放行那些能够与访问列表匹配的流量。

在这种模式下，不需要配置NAT规则。

如果启用NAT控制功能，设备会使用NAT（这种情况下必须配置NAT）来匹配需求。

当NAT 控制功能启用时，从较高安全级别接口（如内部接口）去往较低安全级别接口（如外部接口）的数据包也必须匹配某条NAT规则，否则这个数据包就会被丢弃（把nat命令与global或static命令结合使用）。

从较低安全级别接口去往较高安全级别接口的流量也需要进行NAT 转换，而访问列表中有匹配项的流量可以通过防火墙并得到转发。

设备在默认情况下的配置为no nat-control（即NAT控制禁用模式）。

在7.0及后续版本中，这个配置可以根据需要进行修改。

若打算启用NAT控制功能，要在全局配置模式下输入nat-control，如下所示。

1.hostname(config)# nat-control注释：路由防火墙模式的单模和多模两种模式都支持nat-control命令。

当启用了nat-control时，每个内部地址都必须具有一个相应的内部NAT规则。

同样，如果在一个接口上启用了外部动态NAT，那么每个外部地址也必须要有一个相应的外部NAT规则才能通过防火墙。

在默认情况下，NAT控制功能是禁用的（命令为no nat-control）。

命令no nat-control 可使内部主机在防火墙上没有NAT规则的情况下就可以与外部网络通信。

从本质上讲，安全设备在NAT功能被禁用的情况下不会对任何数据包执行地址转换功能。

要在全局禁用NAT 控制，可以在全局配置模式下使用命令no nat-control。

1.hostname(config)# no nat-controlno nat-control和nat 0（identity NAT）这两条命令是有区别的。

identity NAT需要流量始发于高安全级别的接口。

而命令no nat-control则没有这方面的要求，而且也不需要使用static命令放行来自低安全级别接口（从外部接口到内部接口）的流量；它只需要配置一条访问策略--例如，放行能够与ACL匹配且存在相应路由条目的流量。

下面进行一下总结，流量从较高安全级别的接口去往较低安全级别的接口。

被标识为出站流量。

防火墙会放行所有IP流量，除非访问列表、认证或授权对该流量进行了限制。

至少需要使用以下命令之一。

--nat、nat 0、global、static。

流量从较低安全级别的接口去往较高安全级别的接口被标识为入站流量。

从外部到内部的连接。

需要进行入站流量的放行。

防火墙会丢弃所有数据包，除非在其到达的接口下应用了access-list，并明确要求放行该数据包。

如果使用了认证和授权，则还会有进一步的流量限制。

至少需要使用以下命令之一。

--加载ACL的nat 0、static和入站接口入站方向的access-list。

6.16.2 NAT的类型NAT有很多类型，安全设备上可以配置的有以下类型。

动态NAT。

动态端口地址转换（PAT）。

静态NAT。

静态PAT。

6.16.2.1 动态NAT动态NAT可以将一组真实（私有）地址转换成公网地址，这些公网地址都是从一个注册（公网）地址的地址池中取出来的，所有公网地址都是在目标网络上可路由的。

当主机向特定目的发起连接时，安全设备会根据NAT规则映射的地址池转换主机源地址。

在连接没有断开之前，设备会一直维护这个地址转换，当会话终止时，这个地址转换才会被清除。

当同一台主机发起了另一个连接，不能保证它还能从地址池中获得相同的地址。

地址池地址的分配遵循先到先得的原则。

所以，鉴于转换后的地址会发生变化，当使用动态NAT时，目的网络的用户就无法发起入站连接。

动态NAT和PAT都只能用于单向连接。

图6-10所示为动态NAT的工作方式。

6.16.2.2 动态PAT动态PAT会把一组真实（私有）地址转换入一个单一的IP地址，方法是使用这个映射的IP 地址和源端口号的组合，从而产生一个唯一的会话。

因此，每个会话都有着不同源端口号，而所有这些端口号不同的数据包使用的都是同一个IP地址。

安全设备会把源地址和源端口号（第3层信息与第4层信息的组合）转换成映射的地址和一个大于1024的唯一端口号。

每个连接所进行的转换都是不同的，因为这些连接的源端口号各不相同。

在连接没有断开之前，设备会一直维护这个地址转换，当会话终止时，这个地址转换才会被清除。

但端口转换会在闲置时间超过30秒之后超时（超时时间无法进行配置）。

PAT可以使用单一的映射地址实现转换，因此能够节省可路由的地址资源。

安全设备的接口IP地址也可以作为PAT地址。

与动态NAT相似的是，当使用动态PAT时，目的网络的用户也无法发起入站连接。

图6-11所示为动态PAT的工作方式。

注释：对于一些数据流与控制路径不同的多媒体应用，PAT不能与之配合使用。

动态NAT和PAT可以一起使用。

在这种情况下，会首先把全局地址池中所有的地址都分配出去，当地址池中没有地址可用时，就会使用PAT转换，如图6-12所示。

6.16.2.3 配置动态NAT和PAT配置动态NAT和PAT要执行以下步骤。

步骤1 在给定接口下用nat命令定义需要转换的真实（私有）地址。

步骤2 配置相应的global命令来为出站接口指定映射地址池（在使用PAT时，这里使用一个地址）。

上述每一条命令中用都会使用NAT ID，这个数字可以将nat命令同global命令建立映射关系。

也就是说，NAT ID用来关联nat命令和global命令。

读者可以回到图6-10和图6-11的例子中查看相关的配置。

当用到了多个接口时，NAT ID可以用来将多个NAT规则关联到一起。

比如，NAT ID 1用来配置内部接口和DMZ接口的nat。

再用同样的ID 1配置外部接口的global命令。

这样，来自内部接口和DMZ接口的流量在流出外部接口时，会共享同一个映射地址池或同一个PAT地址。

例6-14对以上案例进行了演示。

例6-14 为内部接口和DMZ接口配置同样的NAT IDNAT ID也可以为现有接口关联多个global命令。

比如，外部接口和DMZ接口的global命令都使用NAT ID 1，再用同样的ID 1配置内部接口的nat命令来指定哪些内部流量在去往外部接口和DMZ接口时需要转换。

类似地，NAT ID 1可以用在DMZ接口上，而用在外部接口的global命令也用在DMZ流量上。

例6-15 为多条Global命令配置同样的NAT ID6.16.2.4 静态NAT静态NAT生成的是一个固定不变的（一对一）转换，将真实（私有）地址映射成公网地址。

每个连续的连接通过静态NAT都可以拥有一个固定的转换规则（映射的地址是一样的）。

由于映射的地址不变，所以目的网络的用户可以向被转换主机发起连接。

使用static命令可以为一个较高安全级别接口上的主机地址和一个较低安全级别接口上的主机地址建立一个永久性的关联。

静态NAT和PAT都可以用于双向连接。

图6-13所示为一个静态NAT的例子。

配置地址转换有很多方法，下面的例子中所示为其中的一些配置方案。

例6-16所示为如何为一个内部IP地址（10.1.1.1）到一个外部IP地址（209.165.200.1）配置静态NAT转换（固定转换）。

例6-16 配置内部NAT（一对一）静态转换例6-17所示为如何用静态映射为外部地址（209.165.200.15）到内部地址（209.165.200.6）配置一个外部NAT转换（固定转换）。

例6-17 配置外部NAT（一对一）静态转换例6-18所示为如何为一个有24位子网掩码的子网（一对一，主机对主机）配置一个静态的映射（固定转换）。

例6-18 配置内部NAT为整个子网执行（一对一）静态转换6.16.2.5 静态端口地址转换（PAT）静态PAT与静态NAT有些相似，它们的区别在于静态PAT可以为私有地址和转换后的地址指定第4层的端口信息。

当TFTP、HTTP和SMTP服务可以在本地网络的不同服务器上获得时，如果想要为公网用户提供单一的地址去访问这些服务，使用PAT是非常合适的。

为所有服务器定义多个静态语句，将这些服务器各自的真正IP地址映射到同一公有IP地址和不同端口的组合。

real_ip_A / public_ip_A / TFTP1. real_ip_B / public_ip_A / HTTP2. real_ip_C / public_ip_A / SMTP图6-14所示为如何为映射进同样的公有IP地址的多种服务配置静态PAT语句。

6.16.3 在启用NAT的情况下绕过NAT转换前文中已经提到过，在启用了NAT控制的情况下，每个发起的连接都需要有相应的NAT规则。

以下三种方法之一可以在启用了NAT控制的情况下，使特定主机能够绕过网络地址转换。

Identity NAT。

静态Identity NAT。

NAT免除（NAT Exemption）。

6.16.3.1 Identity NAT（nat 0命令）Identity NAT与动态NAT有些类似，但Identity NAT的真实与映射后的IP地址相同，因此无需配置映射的全局地址池。

只有"被转换的"主机可以实现NAT转换，返回流量可以放行。

Identity NAT只能实现单向通信，即使映射后的地址和真实地址一模一样，由外部发起的连接也不能进入内部网络。