admin管理员组文章数量:1534201
2024年3月8日发(作者:)
一、概述
1.1 Nat简介
网络地址转换(NAT,Network Address Translation)被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单,NAT不仅完美地解决了lP地址不足的问题,而且还能够有效地避免来自网络外部的攻击,隐藏并保护网络内部的计算机。
借助于NAT,私有(保留)地址的"内部"网络通过路由器发送数据包时,私有地址被转换成合法的IP地址,一个局域网只需使用少量IP地址(甚至是1个)即可实现私有地址网络内所有计算机与Internet的通信需求。
NAT将自动修改IP报文头申的源IP地址和目的IP地址,Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中,所以还需要同时对报文进行修改,以匹配IP头中已经修改过的源IP地址。否则,在报文数据都分别嵌入IP地址的应用程序就不能正常工作。
1.2 NAT实现方式
NAT的实现方式有三种,即静态转换Static Nat、动态转换Dynamic Nat 和 端口多路复用OverLoad。
静态转换是指将内部网络的私有IP地址转换为公有IP地址,IP地址对是一对一的,是一成不变的,某个私有IP地址只转换
1
为某个公有IP地址。借助于静态转换,可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。
动态转换是指将内部网络的私有IP地址转换为公用IP地址时,IP地址对是不确定的,而是随机的,所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说,只要指定哪些内部地址可以进行转换,以及用哪些合法地址作为外部地址时,就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。
端口多路复用(Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换,即端口地址转换(PAT,Port
Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问,从而可以最大限度地节约IP地址资源。同时,又可隐藏网络内部的所有主机,有效避免来自internet的攻击。因此,目前网络中应用最多的就是端口多路复用方式。
2
二、Checkpoint Nat
2.1 Checkpoint Nat配置类型
Network Address Translation (NAT)通俗的来说,是通过一个地址来替换另一个地址,NAT能够改变源和目的的数据包内的IP地址,这个意思就是说,当一个内网的数据包经过防火墙NAT后去访问外网时,外网的将会看到的是和源不是相同的一个地址,相反,当从外网去访问内网的时候,外网数据包到达防火墙后会匹配防火墙中的NAT Base,随后将数据包请求丢到匹配成功的内网地址
Checkpoint安全网关支持两种模式的NAT:
Static Nat:每个私网地址被静态的翻译成为相对应的公网地址,在一个内网中存在一些的客户端,而每个客户端都翻译成为不同的公网地址,这是多台客户端对多个公网地址的翻译形式,Static
Nat能够允许所有的客户端通过其所处的安全网关进行互联网访问,例如,通过Static NAT,内部应用服务器能够发布到公网中
Hide Nat:一个公网地址被用于一个存在多台客户端的内网时,Hide Nat就是一对多的翻译形式,Hide Nat能够允许所有的连接通过唯一的安全网关设备
Checkpoint能够对其定义的多种Network Object进行NAT功能的实现,主要包括:网段、主机、地址池以及动态的主机,并且支持两种的配置方式,手工的NAT和自动的NAT
3
手工的创建NAT相对自动的NAT来说要比较灵活,举个例子来说,除了对IP地址进行翻译,你还可以对你所访问服务的目的端口进行翻译,端口号的翻译是一个Static Nat形式,只能是从一个端口翻译成为另一个端口
Checkpoint防火墙Nat具体的配置类型有以下四种:
自动Hide Nat
自动Static Nat
手工Hide Nat
手工Static Nat
2.2 Hide Nat
Hide Nat是一种隐藏的NAT地址转换方式,是种一对多的方式,如同Cisco的PAT一样,借用一个地址来隐藏自己的真实地址,Checkpoint防火墙可以复用防火墙本身的接口地址或者指定的一个IP地址来隐藏身后的一个地址段,也可以是一台PC,具体配置方法如下:
4
2.2.1配置自动Hide Nat:
在事先定义好的Nerwork Objects 中双击需要配置Hide Nat的Network Object,在选择Nat窗口——选择自动的地址转换(Add Automatic Translation)—— 在翻译类型中选择Hide模式,并且选择是通过防火墙接口IP地址来隐藏还是通过指定的一个IP来隐藏,指定的IP地址可以是一个真实的物理地址,也可以是一个虚地址
在配置好自动Hide Nat之后,在Nat Rule Base中,会自动产生Nat条目,如下图:
5
2.2.2 手工配置Hide Nat
手工配置Hide Nat相对自动Hide Nat来说要比较灵活,手工Hide
Nat不仅可以进行IP地址翻译,还可以根据访问目的服务的端口来进行翻译,但端口的翻译只能是一对一的访问。
在配置手工Nat策略之前,我们先要了解下Nat配置面板的各项参数的概念,如下图:
ORIGNAL PACKET(原始数据包) TRANSLATED PACKET(转换后的包)
Source(源地址) Source(转换后的源)
Destnation(目的地址) Destnation(转换后的目的地址)
Service(服务) Service(转换后的服务)
Install(指需要安装Nat策略的Gateway)
Original(保持不变)
6
手工配置Hide Nat
1.定义需要被翻译和翻译后的Network Object
2.进入NAT Rule,在ORIGINAL PACKET面板中,选择需要翻译的源地址、目的地址
3.在TRANSLATED PACKET PACKET面板中,选择被翻译后的源地址,或者目的地址及服务端口,并且选择Hide模式
4.配置完成后,出现如下图:
7
2.3 Static Nat
Static Nat是一对一的NAT地址转换方式,是将一个网段或者一台客户端的地址翻译为一个指定的地址
2.3.1
配置自动Static Nat:
在事先定义好的Nerwork Objects 中双击需要配置Static的Nerwork Object,在选择Nat窗口——选择自动的地址转换(Add
Automatic Translation)—— 在翻译类型中选择Static模式,——在Translate to ip窗口填写需要被翻译后的地址
在配置好自动Static Nat之后,在Nat Rule Base中,会自动产生Nat条目,如下图:
8
2.3.2
配置手工Static Nat:
1.定义需要被翻译和翻译后的Network Object
2.进入NAT Rule,在ORIGINAL PACKET面板中,选择需要翻译的源地址、目的地址
3.在TRANSLATED PACKET PACKET面板中,选择被翻译后的源地址,或者目的地址及服务端口,并且选择Static模式
4.配置完成后,出现如下图:
9
三、其他说明
3.1 全局Nat属性说明:
根据现场环境及配置NAT地址转换的需求,需要在全局属性设置相应的参数,如下图:
Automatic Nat rules:自动NAT全局参数设置
Allow bi-driectional Nat(for more details see help):允许双向的Nat地址翻译
Translate destination on client side:允许翻译目的客户端地址
10
Automatic ARP Configuration:允许自动发布ARP
Merge manual proxy ARP Configuration:合并手工代理ARP
Manual NAT rules:手工NAT全局参数设置
IP POOL NAT:地址池NAT
11
版权声明:本文标题:CheckPoint Nat配置 内容由热心网友自发贡献,该文观点仅代表作者本人, 转载请联系作者并注明出处:https://m.elefans.com/dianzi/1709912161a239619.html, 本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容,一经查实,本站将立刻删除。
发表评论