H3C防火墙NAT类型及处理顺序
H3C防火墻NAT處理順序
本文主要適用于H3C V7版本防火墻，介紹了NAT的基本類型和執(zhí)行順序。相關(guān)內(nèi)容很多援引H3C官方產(chǎn)品文檔，NAT類型及相關(guān)說(shuō)明以官方文檔為準(zhǔn)。
1 NAT類型及配置說(shuō)明
H3C V7產(chǎn)品支持的NAT按照組網(wǎng)方式可分為以下幾種：
(1) 傳統(tǒng)NAT
報(bào)文經(jīng)過(guò)NAT設(shè)備時(shí)，在NAT接口上僅進(jìn)行一次源IP地址轉(zhuǎn)換或一次目的IP地址轉(zhuǎn)換。對(duì)于內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文，在出接口上進(jìn)行源IP地址轉(zhuǎn)換；對(duì)于外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的報(bào)文，在入接口上進(jìn)行目的地址IP地址轉(zhuǎn)換。
(2) 兩次NAT
報(bào)文入接口和出接口均為NAT接口。報(bào)文經(jīng)過(guò)NAT設(shè)備時(shí)，先后進(jìn)行兩次NAT轉(zhuǎn)換。對(duì)于內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文和外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的報(bào)文，均在入接口進(jìn)行目的IP地址轉(zhuǎn)換，在出接口進(jìn)行源IP地址轉(zhuǎn)換。這種方式常用于支持地址重疊的VPN間互訪。
(3) 雙向NAT
報(bào)文經(jīng)過(guò)NAT設(shè)備時(shí)，在NAT接口上同時(shí)進(jìn)行一次源IP地址轉(zhuǎn)換和一次目的IP地址轉(zhuǎn)換。對(duì)于內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文，在出接口上同時(shí)進(jìn)行源IP地址和目的IP地址的轉(zhuǎn)換；對(duì)于外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的報(bào)文，同時(shí)在入接口上進(jìn)行目的地址IP地址和源IP地址的轉(zhuǎn)換。這種方式常用于支持內(nèi)網(wǎng)用戶主動(dòng)訪問(wèn)與之地址重疊的外網(wǎng)資源。
(4) NAT hairpin
NAT hairpin功能用于滿足位于內(nèi)網(wǎng)側(cè)的用戶之間或內(nèi)網(wǎng)側(cè)的用戶與服務(wù)器之間通過(guò)NAT地址進(jìn)行訪問(wèn)的需求。開(kāi)啟NAT hairpin的內(nèi)網(wǎng)側(cè)接口上會(huì)對(duì)報(bào)文同時(shí)進(jìn)行源地址和目的地址的轉(zhuǎn)換。它支持兩種組網(wǎng)模式：
?P2P：位于內(nèi)網(wǎng)側(cè)的用戶之間通過(guò)動(dòng)態(tài)分配的NAT地址互訪。
?C/S：位于內(nèi)網(wǎng)側(cè)的用戶使用靜態(tài)配置的NAT地址訪問(wèn)內(nèi)網(wǎng)服務(wù)器。
按照實(shí)現(xiàn)方式，可將NAT分為以下幾種：
(1) 靜態(tài)方式
靜態(tài)地址轉(zhuǎn)換是指外部網(wǎng)絡(luò)和內(nèi)部網(wǎng)絡(luò)之間的地址映射關(guān)系由配置確定，該方式適用于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間存在固定訪問(wèn)需求的組網(wǎng)環(huán)境。靜態(tài)地址轉(zhuǎn)換支持雙向互訪：內(nèi)網(wǎng)用戶可以主動(dòng)訪問(wèn)外網(wǎng)，外網(wǎng)用戶也可以主動(dòng)訪問(wèn)內(nèi)網(wǎng)。
(2) 動(dòng)態(tài)方式
動(dòng)態(tài)地址轉(zhuǎn)換是指內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的地址映射關(guān)系在建立連接的時(shí)候動(dòng)態(tài)產(chǎn)生。該方式僅支持單向發(fā)起訪問(wèn)，通常適用于內(nèi)部網(wǎng)絡(luò)有大量用戶需要訪問(wèn)外部網(wǎng)絡(luò)的組網(wǎng)環(huán)境。動(dòng)態(tài)地址轉(zhuǎn)換存在兩種轉(zhuǎn)換模式：
?NO-PAT模式
NO-PAT（Not Port Address Translation）模式下，一個(gè)外網(wǎng)地址同一時(shí)間只能分配給一個(gè)內(nèi)網(wǎng)地址進(jìn)行地址轉(zhuǎn)換，不能同時(shí)被多個(gè)內(nèi)網(wǎng)地址共用。當(dāng)使用某外網(wǎng)地址的內(nèi)網(wǎng)用戶停止訪問(wèn)外網(wǎng)時(shí)，NAT會(huì)將其占用的外網(wǎng)地址釋放并分配給其他內(nèi)網(wǎng)用戶使用。該模式下，NAT設(shè)備只對(duì)報(bào)文的IP地址進(jìn)行NAT轉(zhuǎn)換，同時(shí)會(huì)建立一個(gè)NO-PAT表項(xiàng)用于記錄IP地址映射關(guān)系，并可支持所有IP協(xié)議的報(bào)文。
?PAT模式
PAT（Port Address Translation）模式下，一個(gè)NAT地址可以同時(shí)分配給多個(gè)內(nèi)網(wǎng)地址共用。該模式下，NAT設(shè)備需要對(duì)報(bào)文的IP地址和傳輸層端口同時(shí)進(jìn)行轉(zhuǎn)換，且只支持TCP、UDP和ICMP（Internet Control Message Protocol，互聯(lián)網(wǎng)控制消息協(xié)議）查詢報(bào)文。采用PAT方式可以更加充分地利用IP地址資源，實(shí)現(xiàn)更多內(nèi)部網(wǎng)絡(luò)主機(jī)對(duì)外部網(wǎng)絡(luò)的同時(shí)訪問(wèn)。
目前，PAT支持兩種不同的地址轉(zhuǎn)換模式：
?Endpoint-Independent Mapping（不關(guān)心對(duì)端地址和端口轉(zhuǎn)換模式）：只要是來(lái)自相同源地址和源端口號(hào)的報(bào)文，不論其目的地址是否相同，通過(guò)PAT映射后，其源地址和源端口號(hào)都被轉(zhuǎn)換為同一個(gè)外部地址和端口號(hào)，該映射關(guān)系會(huì)被記錄下來(lái)并生成一個(gè)EIM表項(xiàng)；并且NAT設(shè)備允許所有外部網(wǎng)絡(luò)的主機(jī)通過(guò)該轉(zhuǎn)換后的地址和端口來(lái)訪問(wèn)這些內(nèi)部網(wǎng)絡(luò)的主機(jī)。這種模式可以很好的支持位于不同NAT網(wǎng)關(guān)之后的主機(jī)進(jìn)行互訪。
?Address and Port-Dependent Mapping（關(guān)心對(duì)端地址和端口轉(zhuǎn)換模式）：對(duì)于來(lái)自相同源地址和源端口號(hào)的報(bào)文，相同的源地址和源端口號(hào)并不要求被轉(zhuǎn)換為相同的外部地址和端口號(hào)，若其目的地址或目的端口號(hào)不同，通過(guò)PAT映射后，相同的源地址和源端口號(hào)通常會(huì)被轉(zhuǎn)換成不同的外部地址和端口號(hào)。與Endpoint-Independent Mapping模式不同的是，NAT設(shè)備只允許這些目的地址對(duì)應(yīng)的外部網(wǎng)絡(luò)的主機(jī)可以通過(guò)該轉(zhuǎn)換后的地址和端口來(lái)訪問(wèn)這些內(nèi)部網(wǎng)絡(luò)的主機(jī)。這種模式安全性好，但由于同一個(gè)內(nèi)網(wǎng)主機(jī)地址轉(zhuǎn)換后的外部地址不唯一，因此不便于位于不同NAT網(wǎng)關(guān)之后的主機(jī)使用內(nèi)網(wǎng)主機(jī)轉(zhuǎn)換后的地址進(jìn)行互訪。
(3) 內(nèi)部服務(wù)器
在實(shí)際應(yīng)用中，內(nèi)網(wǎng)中的服務(wù)器可能需要對(duì)外部網(wǎng)絡(luò)提供一些服務(wù)，例如給外部網(wǎng)絡(luò)提供Web服務(wù)，或是FTP服務(wù)。這種情況下，NAT設(shè)備允許外網(wǎng)用戶通過(guò)指定的NAT地址和端口訪問(wèn)這些內(nèi)部服務(wù)器，NAT內(nèi)部服務(wù)器的配置就定義了NAT地址和端口與內(nèi)網(wǎng)服務(wù)器地址和端口的映射關(guān)系。
(4) NAT444端口塊方式
NAT444是運(yùn)營(yíng)商網(wǎng)絡(luò)部署NAT的整體解決方案，它基于NAT444網(wǎng)關(guān)，結(jié)合AAA服務(wù)器、日志服務(wù)器等配套系統(tǒng)，提供運(yùn)營(yíng)商級(jí)的NAT，并支持用戶溯源等功能。在眾多IPv4向IPv6網(wǎng)絡(luò)過(guò)渡的技術(shù)中，NAT444僅需在運(yùn)營(yíng)商側(cè)引入二次NAT，對(duì)終端和應(yīng)用服務(wù)器端的更改較小，并且NAT444通過(guò)端口塊分配方式解決用戶溯源等問(wèn)題，因此成為了運(yùn)營(yíng)商的首選IPv6過(guò)渡方案。
以下僅介紹入方向靜態(tài)地址轉(zhuǎn)換（nat static inbound）、出方向靜態(tài)地址轉(zhuǎn)換（nat static outbound）、入方向動(dòng)態(tài)地址轉(zhuǎn)換（nat inbound）、出方向動(dòng)態(tài)地址轉(zhuǎn)換（nat static outbound）、NAT服務(wù)器映射（nat server）等五種常用NAT類型。
1.1 入方向靜態(tài)地址轉(zhuǎn)換（nat static inbound）
入方向靜態(tài)地址轉(zhuǎn)換用于實(shí)現(xiàn)一個(gè)內(nèi)部私有網(wǎng)絡(luò)地址/網(wǎng)段/地址對(duì)象組與一個(gè)外部公有網(wǎng)絡(luò)地址/網(wǎng)段/地址對(duì)象組之間的轉(zhuǎn)換，具體過(guò)程如下：
? 對(duì)于經(jīng)過(guò)該接口發(fā)送的內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文，將其目的IP地址與指定的內(nèi)網(wǎng)IP地址/網(wǎng)段/地址對(duì)象組進(jìn)行匹配，并將匹配的目的IP地址轉(zhuǎn)換為指定的外網(wǎng)地址/網(wǎng)段/地址對(duì)象組中的地址。
? 對(duì)于該接口接收到的外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的報(bào)文，將其源IP地址與指定的外網(wǎng)IP地址/網(wǎng)段/地址對(duì)象組進(jìn)行匹配，并將匹配的源IP地址轉(zhuǎn)換為指定的地址/網(wǎng)段/地址對(duì)象組中的地址。
如果接口上配置的靜態(tài)地址轉(zhuǎn)換映射中指定了acl參數(shù)，則僅對(duì)符合指定ACL permit規(guī)則的報(bào)文進(jìn)行地址轉(zhuǎn)換。
基于地址對(duì)象組的入方向靜態(tài)地址轉(zhuǎn)換引用的IPv4地址對(duì)象組中，只能存在一個(gè)主機(jī)對(duì)象（host）或者一個(gè)子網(wǎng)對(duì)象（subnet），否則引用不生效。
1.2 出方向靜態(tài)地址轉(zhuǎn)換（nat static outbound）
出方向靜態(tài)地址轉(zhuǎn)換通常應(yīng)用在外網(wǎng)側(cè)接口上，用于實(shí)現(xiàn)一個(gè)內(nèi)部私有網(wǎng)絡(luò)地址到一個(gè)外部公有網(wǎng)絡(luò)地址的轉(zhuǎn)換，具體過(guò)程如下：
? 對(duì)于經(jīng)過(guò)該接口發(fā)送的內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文，將其源IP地址與指定的內(nèi)網(wǎng)IPv4地址/網(wǎng)段/地址對(duì)象組進(jìn)行匹配，并將匹配的源IP地址轉(zhuǎn)換為外網(wǎng)IPv4地址/網(wǎng)段/地址對(duì)象組中的地址。
? 對(duì)于該接口接收到的外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的報(bào)文，將其目的IP地址與指定的外網(wǎng)IPv4地址/網(wǎng)段/地址對(duì)象組進(jìn)行匹配，并將匹配的目的IP地址轉(zhuǎn)換為內(nèi)網(wǎng)IPv4地址/網(wǎng)段/地址對(duì)象組中的地址。
如果接口上配置的靜態(tài)地址轉(zhuǎn)換映射中指定了acl參數(shù)，則僅對(duì)符合指定ACL permit規(guī)則的報(bào)文進(jìn)行地址轉(zhuǎn)換。
基于地址對(duì)象組的出方向靜態(tài)地址轉(zhuǎn)換引用的IPv4地址對(duì)象組中，只能存在一個(gè)主機(jī)對(duì)象（host）或者一個(gè)子網(wǎng)對(duì)象（subnet），否則引用不生效。
1.3 入方向動(dòng)態(tài)地址轉(zhuǎn)換（nat inbound）
入方向動(dòng)態(tài)地址轉(zhuǎn)換功能通常與接口上的出方向動(dòng)態(tài)地址轉(zhuǎn)換（nat outbound）、內(nèi)部服務(wù)器（nat server）或出方向靜態(tài)地址轉(zhuǎn)換（nat static outbound）配合，用于實(shí)現(xiàn)雙向NAT應(yīng)用，不建議單獨(dú)使用。
入接口動(dòng)態(tài)地址轉(zhuǎn)換的具體過(guò)程如下：
? 對(duì)于該接口接收到的外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的首報(bào)文，將與指定的ACL permit規(guī)則匹配的報(bào)文的源IP地址轉(zhuǎn)換為地址組中的地址。
? 在指定了no-pat reversible參數(shù)，并且已經(jīng)存在NO-PAT表項(xiàng)的情況下，對(duì)于經(jīng)過(guò)該接口發(fā)送的內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的首報(bào)文，將其目的IP地址與NO-PAT表項(xiàng)進(jìn)行匹配，并將目的IP地址轉(zhuǎn)換為匹配的NO-PAT表項(xiàng)中記錄的外網(wǎng)地址。
需要注意的是，該方式下的地址轉(zhuǎn)換不支持Easy IP功能。
1.4 出方向動(dòng)態(tài)地址轉(zhuǎn)換（nat outbound）
出方向動(dòng)態(tài)地址轉(zhuǎn)換通常應(yīng)用在外網(wǎng)側(cè)接口上，用于實(shí)現(xiàn)一個(gè)內(nèi)部私有網(wǎng)絡(luò)地址到一個(gè)外部公有網(wǎng)絡(luò)地址的轉(zhuǎn)換，具體過(guò)程如下：
? 對(duì)于經(jīng)過(guò)該接口發(fā)送的內(nèi)網(wǎng)訪問(wèn)外網(wǎng)的報(bào)文，將與指定ACL permit規(guī)則匹配的報(bào)文源IP地址轉(zhuǎn)換為地址組中的地址。
? 在指定了no-pat reversible參數(shù)，并且已經(jīng)存在NO-PAT表項(xiàng)的情況下，對(duì)于經(jīng)過(guò)該接口收到的外網(wǎng)訪問(wèn)內(nèi)網(wǎng)的首報(bào)文，將其目的IP地址與NO-PAT表項(xiàng)進(jìn)行匹配，并將目的IP地址轉(zhuǎn)換為匹配的NO-PAT表項(xiàng)中記錄的內(nèi)網(wǎng)地址。
1.5 NAT服務(wù)器映射（nat server）
通過(guò)在NAT設(shè)備上配置內(nèi)部服務(wù)器，建立一個(gè)或多個(gè)內(nèi)網(wǎng)服務(wù)器內(nèi)網(wǎng)地址和端口與外網(wǎng)地址和端口的映射關(guān)系，使外部網(wǎng)絡(luò)用戶能夠通過(guò)配置的外網(wǎng)地址和端口來(lái)訪問(wèn)內(nèi)網(wǎng)服務(wù)器。內(nèi)部服務(wù)器通常配置在外網(wǎng)側(cè)接口上。
H3C V7產(chǎn)品中，NAT服務(wù)器映射可分為普通內(nèi)部服務(wù)器、負(fù)載分擔(dān)內(nèi)部服務(wù)器和基于ACL的內(nèi)部服務(wù)器三種。
若普通內(nèi)部服務(wù)器或者負(fù)載分擔(dān)內(nèi)部服務(wù)器配置中引用了acl參數(shù)，則表示與指定的ACL permit規(guī)則匹配的報(bào)文才可以使用內(nèi)部服務(wù)器的映射表進(jìn)行地址轉(zhuǎn)換。需要注意的是，NAT僅關(guān)注ACL規(guī)則中定義的源IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)、傳輸層協(xié)議類型和VPN實(shí)例，不關(guān)注ACL規(guī)則中定義的其它元素。
普通的內(nèi)部服務(wù)器是將內(nèi)網(wǎng)服務(wù)器的地址和端口映射為外網(wǎng)地址和端口，允許外部網(wǎng)絡(luò)中的主機(jī)通過(guò)配置的外網(wǎng)地址和端口訪問(wèn)位于內(nèi)網(wǎng)的服務(wù)器。
2 NAT類型的應(yīng)用說(shuō)明
2.1 單一類型的特性與應(yīng)用
NAT各類型對(duì)報(bào)文的處理方式各有不同，其在不同方向的處理方式?jīng)Q定了最終應(yīng)用的效果。具體區(qū)別可見(jiàn)下表：
由此可知，以上各種類型的NAT中，靜態(tài)NAT適用于部分網(wǎng)絡(luò)雙向訪問(wèn)，動(dòng)態(tài)NAT適用于單方面發(fā)起對(duì)訪問(wèn)，NAT Server適用于單方面提供特定服務(wù)。
2.2 多種NAT類型的單次轉(zhuǎn)換組合應(yīng)用
對(duì)于一個(gè)復(fù)雜的網(wǎng)絡(luò)，其NAT需求往往并不單一，需要將多種NAT類型結(jié)合使用來(lái)達(dá)到相應(yīng)目的。以下介紹在不存在IP地址重疊的情況下，常見(jiàn)的單次NAT類型組合應(yīng)用：
場(chǎng)景一、內(nèi)網(wǎng)訪問(wèn)外網(wǎng)，同時(shí)內(nèi)網(wǎng)對(duì)外提供特定的服務(wù)
該場(chǎng)景下，要求對(duì)內(nèi)網(wǎng)出局的流量進(jìn)行源地址轉(zhuǎn)換，對(duì)外網(wǎng)訪問(wèn)內(nèi)網(wǎng)服務(wù)的流量進(jìn)行目的地址轉(zhuǎn)換。可實(shí)現(xiàn)的方案如下：
方案一：在外網(wǎng)接口同時(shí)部署NAT Outbound和NAT Server，最優(yōu)方案，推薦；
方案二：在內(nèi)網(wǎng)接口部署NAT Inbound，外網(wǎng)接口部署NAT Server；
方案三：在外網(wǎng)接口部署NAT Outbound和NAT Static Outbound，服務(wù)器對(duì)于外網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案四：在外網(wǎng)接口部署NAT Outbound，內(nèi)網(wǎng)接口部署NAT Static Inbound，服務(wù)器對(duì)于外網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案五：在內(nèi)網(wǎng)接口部署NAT inbound和NAT Static Inbound，服務(wù)器對(duì)于外網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案六：在內(nèi)網(wǎng)接口部署NAT Inbound，外網(wǎng)接口部署NAT Static Outbound，服務(wù)器對(duì)于外網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦。
針對(duì)以上六種方案，綜合安全性和部署維護(hù)的復(fù)雜度來(lái)考慮，推薦首選方案一，并將方案二作為備選。
場(chǎng)景二、外網(wǎng)訪問(wèn)內(nèi)網(wǎng)，并對(duì)內(nèi)網(wǎng)提供特定服務(wù)
該場(chǎng)景剛好與場(chǎng)景一類似，只是訪問(wèn)方向相反。事實(shí)上，無(wú)論是出于安全的角度還是出于管理維護(hù)的角度，都應(yīng)該避免該類場(chǎng)景的出現(xiàn)，如果確定有這樣的需求，也應(yīng)該盡量由外網(wǎng)來(lái)完成NAT部署。該場(chǎng)景要求對(duì)外網(wǎng)入局的流量進(jìn)行源地址轉(zhuǎn)換，對(duì)內(nèi)網(wǎng)訪問(wèn)外網(wǎng)服務(wù)的流量進(jìn)行目的地址轉(zhuǎn)換。可實(shí)現(xiàn)的方案如下：
方案一：在內(nèi)網(wǎng)接口同時(shí)部署NAT Outbound和NAT Server，最優(yōu)方案，推薦；
方案二：在外網(wǎng)接口部署NAT Inbound，內(nèi)網(wǎng)接口部署NAT Server；
方案三：在內(nèi)網(wǎng)網(wǎng)接口部署NAT Outbound和NAT Static Outbound，服務(wù)器對(duì)于內(nèi)網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案四：在內(nèi)網(wǎng)接口部署NAT Outbound，外網(wǎng)接口部署NAT Static Inbound，服務(wù)器對(duì)于內(nèi)網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案五：在外網(wǎng)接口部署NAT inbound和NAT Static Inbound，服務(wù)器對(duì)于內(nèi)網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦；
方案六：在外網(wǎng)接口部署NAT Inbound，內(nèi)網(wǎng)接口部署NAT Static Outbound，服務(wù)器對(duì)于內(nèi)網(wǎng)來(lái)說(shuō)處于完全可訪問(wèn)狀態(tài)，不推薦。
針對(duì)以上六種方案，綜合安全性和部署維護(hù)的復(fù)雜度來(lái)考慮，推薦首選方案一，并將方案二作為備選。
場(chǎng)景三、內(nèi)網(wǎng)和外網(wǎng)完全互訪
該場(chǎng)景要求對(duì)外網(wǎng)入局的流量和內(nèi)網(wǎng)出局的流量都進(jìn)行單向源地址轉(zhuǎn)換。出于安全考慮，實(shí)際部署時(shí)也應(yīng)避免該場(chǎng)景的發(fā)生，如果必要，應(yīng)盡量由外網(wǎng)完成入局流量的NAT。可實(shí)現(xiàn)的方案如下：
方案一：在外網(wǎng)接口和內(nèi)網(wǎng)接口都部署NAT Outbound，最優(yōu)方案，推薦；
方案二：在外網(wǎng)接口和內(nèi)網(wǎng)接口都部署NAT Inbound，最優(yōu)方案，推薦；
方案三：在外網(wǎng)接口同時(shí)部署NAT Outbound和NAT Inbound；
方案四：在內(nèi)網(wǎng)接口同時(shí)部署NAT Outbound和NAT Inbound。
針對(duì)以上四種方案，出于部署維護(hù)的復(fù)雜度來(lái)考慮，推薦首選方案一。
2.3 多種NAT類型的兩次轉(zhuǎn)換組合應(yīng)用
除開(kāi)常規(guī)需求場(chǎng)景外，還往往存在一些特殊的組網(wǎng)環(huán)境，需要更復(fù)雜的處理方式。如出于安全要求、或者因?yàn)榈刂分丿B的原因，要求我們?cè)趩蜗蛄髁恐型瑫r(shí)對(duì)源地址和目的地址進(jìn)行NAT。該情況下，通常不存在完全訪問(wèn)的可能，或者說(shuō)訪問(wèn)目標(biāo)必須是明確的一個(gè)地址或地址集合。出于運(yùn)維管理的考慮，也應(yīng)該盡量避免使用該場(chǎng)景的NAT，不能避免的也應(yīng)盡量由訪問(wèn)方進(jìn)行源地址轉(zhuǎn)換，被訪問(wèn)方進(jìn)行目的地址轉(zhuǎn)換。對(duì)于確定需要同時(shí)進(jìn)行源和目的地址NAT的，V7有兩種實(shí)現(xiàn)方式：可以通過(guò)在流量入口和出口各自進(jìn)行目的地址NAT和源地址NAT，即兩次NAT的方式來(lái)實(shí)現(xiàn)；也可以通過(guò)在一個(gè)接口上同時(shí)進(jìn)行源地址和目的地址NAT，即雙向NAT來(lái)實(shí)現(xiàn)。
場(chǎng)景一、內(nèi)網(wǎng)單向訪問(wèn)外網(wǎng)，地址重疊
方案一：在內(nèi)網(wǎng)接口部署NAT Static Outbound，在外網(wǎng)接口部署NAT Outbound，兩次NAT；
方案二：在外網(wǎng)接口部署NAT Static Inbound，在內(nèi)網(wǎng)接口部署NAT Inbound，兩次NAT；
方案三：在外網(wǎng)接口同時(shí)部署NAT Static Inbound和NAT Outbound，雙向NAT；
方案四：在內(nèi)網(wǎng)接口同時(shí)部署NAT Static Outbound和NAT Inbound，雙向NAT。
場(chǎng)景二、外網(wǎng)單向訪問(wèn)內(nèi)網(wǎng)，地址重疊
方案一：在外網(wǎng)接口部署NAT Static Outbound，在內(nèi)網(wǎng)接口部署NAT Outbound，兩次NAT；
方案二：在內(nèi)網(wǎng)接口部署NAT Static Inbound，在外網(wǎng)接口部署NAT Inbound，兩次NAT；
方案三：在內(nèi)網(wǎng)接口同時(shí)部署NAT Static Inbound和NAT Outbound，雙向NAT；
方案四：在外網(wǎng)接口同時(shí)部署NAT Static Outbound和NAT Inbound，雙向NAT。
場(chǎng)景三、外網(wǎng)單向訪問(wèn)內(nèi)網(wǎng)特定服務(wù)，地址重疊
方案一：外網(wǎng)接口同時(shí)部署NAT Static Inbound和NAT Server，雙向NAT；
方案二：外網(wǎng)接口同時(shí)部署NAT Inbound和NAT Server，雙向NAT；
方案三：外網(wǎng)接口部署NAT Server，內(nèi)網(wǎng)接口部署NAT Static Outbound，兩次NAT；
方案四：外網(wǎng)接口部署NAT Server，內(nèi)網(wǎng)接口部署NAT Outbound，兩次NAT。
場(chǎng)景四、內(nèi)網(wǎng)和外網(wǎng)雙向互訪，地址重疊
方案一：在外網(wǎng)接口和內(nèi)網(wǎng)接口都部署NAT Static Outbound，兩次NAT；
方案二：在外網(wǎng)接口和內(nèi)網(wǎng)接口都部署NAT Static Inbound，兩次NAT；
方案三：在外網(wǎng)接口同時(shí)部署NAT Static Outbound和NAT Static Inbound，雙向NAT；
方案四：在內(nèi)網(wǎng)接口同時(shí)部署NAT Static Outbound和NAT Static Inbound，雙向NAT。
以上方案通常用于一一對(duì)應(yīng)的互訪，此外還可以組合使用本小節(jié)中場(chǎng)景一和場(chǎng)景二的解決方案來(lái)實(shí)現(xiàn)本場(chǎng)景的訪問(wèn)需求，只是會(huì)加大實(shí)施難度，并放大訪問(wèn)發(fā)起者的范圍，降低安全性（可通過(guò)ACL減緩）。
2.4 多種NAT類型組合應(yīng)用的注意事項(xiàng)
一、當(dāng)需要添加新的需求時(shí)，應(yīng)當(dāng)遵循安全、易管理、維護(hù)便捷的原則，盡量避免過(guò)于繁瑣的實(shí)現(xiàn)方式。能夠通過(guò)單一NAT類型實(shí)現(xiàn)的功能，盡量不用NAT類型組合。對(duì)于地址重疊問(wèn)題，應(yīng)盡量通過(guò)溝通協(xié)調(diào)的方式來(lái)避免，技術(shù)手段僅作為最終妥協(xié)的實(shí)現(xiàn)方式。
二、在復(fù)雜的NAT應(yīng)用場(chǎng)景中需要注意，當(dāng)采用NAT Outbound時(shí)會(huì)產(chǎn)生一條NAT地址去往NULL0的黑洞路由，如果該NAT地址也同時(shí)被用于入方向的NAT，在做了入方向的NAT所在接口上，其出方向的流量會(huì)因?yàn)楹诙绰酚啥槐籒AT模塊處理，進(jìn)而造成NAT失效。解決該問(wèn)題的方法為嚴(yán)格規(guī)劃NAT地址，避免在多種NAT類型中重復(fù)利用NAT地址。
三、由于入方向NAT涉及到額外路由配置的問(wèn)題，又存在上述可能造成故障的風(fēng)險(xiǎn)，在實(shí)際應(yīng)用場(chǎng)景中不推薦包含此類NAT的部署方式。
四、在存在地址重疊的情況下，建議在流量入口處進(jìn)行雙向NAT部署，避免引入路由沖突的風(fēng)險(xiǎn)。
3 NAT相關(guān)的安全策略處理
防火墻中存在大量的NAT和安全策略，因?yàn)椴煌瑥S商在數(shù)據(jù)處理流程上的差異，其產(chǎn)品NAT和安全策略之間的影響不盡相同。以下對(duì)H3C V7（后文簡(jiǎn)稱V7）產(chǎn)品的NAT和策略相關(guān)性進(jìn)行說(shuō)明。
3.1 策略相關(guān)說(shuō)明
V7中地址對(duì)象組、服務(wù)對(duì)象組，在策略定義中都是以名稱進(jìn)行調(diào)用的，除系統(tǒng)自定義的常用協(xié)議名、多數(shù)服務(wù)對(duì)象需自行定義和命名。
1、地址對(duì)象組定義：V7中地址和地址組對(duì)象定義方式完全一致，或者說(shuō)在實(shí)現(xiàn)上不存在地址和地址組對(duì)象的區(qū)別，在一個(gè)對(duì)象組中可以添加一個(gè)主機(jī)、一段地址或者嵌套另一個(gè)對(duì)象組作為成員。
object-group ip address 地址對(duì)象組名2
network host address 地址 //地址對(duì)象定義對(duì)象為主機(jī)
network subnet 地址段 掩碼 //地址對(duì)象定義對(duì)象為地址段
network group-object地址對(duì)象組名1 //地址對(duì)象組名1為預(yù)先定義的地址對(duì)象組
2、服務(wù)對(duì)象組定義：V7中服務(wù)對(duì)象組定義與地址對(duì)象組定義類似。
object-group service 服務(wù)對(duì)象組名2
service 協(xié)議 destination eq目的端口號(hào) //指定端口號(hào)
service 協(xié)議 destination gt參考端口號(hào) //比參考端口號(hào)大
service 協(xié)議 destination lt參考端口號(hào) //比參考端口號(hào)小
service 協(xié)議 destination rang 目的起始端口號(hào) 目的結(jié)束端口號(hào) //指定端口號(hào)范圍
service group-object服務(wù)對(duì)象組名1 //服務(wù)對(duì)象名1為系統(tǒng)預(yù)定義或手工預(yù)定義的服務(wù)對(duì)象組
3、策略定義說(shuō)明：V7策略中地址只能以地址對(duì)象組的方式進(jìn)行指定，不能直接使用IP地址或網(wǎng)段。
object-policy ip 策略名
rule 1 pass source-ip源地址對(duì)象組名 destination-ip 目的地址對(duì)象組名 service服務(wù)對(duì)象組名/系統(tǒng)預(yù)定義的服務(wù)名
rule 2 pass source-ip 源地址對(duì)象組名destination-ip目的地址對(duì)象組名 service 服務(wù)對(duì)象組名/系統(tǒng)預(yù)定義的服務(wù)名
4、區(qū)域定義：
security-zone name 定義的區(qū)域名
import interface 端口類型和端口號(hào)
5、域間應(yīng)用策略：策略定義后需要在安全域間應(yīng)用才能生效。
zone-pair security source 定義的區(qū)域名1 destination 定義的區(qū)域名2
object-policy apply ip 定義的策略名
3.2 策略定義中與NAT相關(guān)地址對(duì)象的處理
H3C在處理路由、NAT和安全策略和ACL時(shí)遵循如下處理順序：
由此可知，當(dāng)NAT和策略并存時(shí)，要使訪問(wèn)符合預(yù)期，策略中地址對(duì)象的定義遵循如下原則：
以上表格可能并不方便實(shí)際部署實(shí)施時(shí)的理解，下表從報(bào)文中IP地址的變化角度對(duì)不同類型NAT相關(guān)的策略處理進(jìn)行了描述。
總結(jié)
以上是生活随笔為你收集整理的H3C防火墙NAT类型及处理顺序的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
