USG防火墙NAT业务特性与配置.pptx

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2012,Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,#,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright 2012 Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,#,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2012,Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,#,谢谢,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2012,Huawei Technologies Co.,Ltd.All rights reserved.,英文标题,:32-35pt,颜色,:R153 G0 B0,内部使用字体,:,FrutigerNext LT Medium,外部使用字体,:Arial,中文标题,:30-32pt,颜色,:R153 G0 B0,字体,:,黑体,英文正文,:20-22pt,子目录,(2-5,级,):18pt,颜色,:,黑色,内部使用字体,:,FrutigerNext LT Regular,外部使用字体,:Arial,中文正文,:18-20pt,子目录,(2-5,级,):18pt,颜色,:,黑色,字体,:,细黑体,配色参考方案：,建议同一页面内不超过四种颜色，以下是,13,组配色方案，同一页面内只选择一组使用。（仅供参考）,客户或者合作伙伴的标志放在右上角,.,Page,#,谢谢,USG,防,火墙,NAT,业务特性与配置,前 言,随着因特网的快速发展，它所面临的两个最迫切的问题就是,IP,地址的匮乏和路由规模的扩大。对此，长期的和短期的解决方案都有所发展，那就是网络地址转换（,NAT,）和,IPv6,（下一代因特网协议）技术。在,IPv6,技术尚在研究中且还未完全取代现有的,IPv4,网络的情况下，短期解决方案,NAT,技术对于缓解目前的地址缺乏问题显得尤为重要。,Page,1,培训目标,学完本课程后，您应该能：,描,述,NAT,技术的原理,描,述,USG,防,火墙的各种,NAT,特性,描,述,USG,防,火墙各,NAT,特性的基本组网与配置,Page,2,目 录,NAT,技术原理,USG,防,火墙,NAT,特性与配置,Page,3,NAT,基本原理,NAT,（,Network Address Translation,，地址转换）是将,IP,数据报报头中的,IP,地址转换为另一个,IP,地址的过程,Page,4,PC,202.130.10.3,Server,202.120.10.2,Server,192.168.1.2,PC,192.168.1.3,USG,Eth0/0/1,202.169.10.1,Eth0/0/0,192.168.1.1,Trust,Untrust,数据报,1,源：,192.168.1.3,目的：,202.120.10.2,数据报,2,源：,202.120.10.2,目的：,202.169.10.1,数据报,1,源：,202169.10.1,.,目的：,202.120.10.2,数据报,2,源：,202.120.10.2,目的：,192.168.1.3,Internet,目 录,NAT,技术原理,USG,防,火墙,NAT,特性与配置,Page,5,NAT/PAT,地址转换,Page,6,定义地址池,USG2100nat address-group 1 202.38.160.1 202.38.160.4,NAT,地址转换,USG2100nat-policy,interzone untrust trust inbound,USG2100-nat-policy-interzone-trust-untrust-inboundpolicy,1,USG2100-nat-policy-interzone-trust-untrust-inbound-1action,source-nat,USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group,1,no-pat,PAT,地址转换,USG2100nat-policy interzone untrust trust inbound,USG2100-nat-policy-interzone-trust-untrust-inboundpolicy 1,USG2100-nat-policy-interzone-trust-untrust-inbound-1action source-nat,USG2100-nat-policy-interzone-trust-untrust-inbound-1address-group 1,内网用户,地址池最多支持,4096,个,地址,USG,内网,Internet,地址池,202.38.160.1,202.38.160.2,202.38.160.3,202.38.160.4,策略,NAT,Page,7,定义地址池,USG2100nat,address-group 1 202.38.160.1 202.38.160.4,配置策略,NAT,USG2100natpolicy interzone trust untrust outbound,USG2100-nat-policy-interzone-trust-untrust-outboundpolicy 1,USG2100-nat-policy-interzone-trust-untrust-outbound-1policy source 10.1.1.1 0,USG2100-nat-policy-interzone-trust-untrust-outbound-1 action source-nat,USG2100-nat-policy-interzone-trust-untrust-outbound-1 address-group 1,PC2,PC1,USG,内网用户,内网,Internet,设置控制,PC1,可以通过,NAT,访问,Internet,，而,PC2,则不行,10.1.1.1/32,10.1.1.2/32,NAT ALG,功能,NAT,和,NAPT,只能对,IP,报文的头部地址和,TCP/UDP,头部的端口信息进行转换。对于一些特殊协议，例如,ICMP,、,FTP,等，它们报文的数据部分可能包含,IP,地址或端口信息，这些内容不能被,NAT,有效的转换，就可能导致问题。,例如，一个使用内部,IP,地址的,FTP,服务器可能在和外部网络主机建立会话的过程中需要将自己的,IP,地址发送给对方。而这个地址信息是放到,IP,报文的数据部分，,NAT,无法对它进行转换。当外部网络主机接收了这个私有地址并使用它，这时,FTP,服务器将表现为不可达。,Page,8,ASPF+NAT+ALG,Page,9,用户,192.168.0.1,USG,防,火墙,Nat,outbound,202.1.0.1,FTP,server,19.49.10.10,三次握手,防火墙创建地址映射,Servermap,表项,202.1.0.1:20001,192.168.0.1:22787,三次握手,Port,192.168.0.1,89,3,Port,202.1.0.1,78,33,200,Port,Command,OK,RETR,Sample.txt,RETR,Sample.txt,200,Port,Command,OK,150,Opening,ASCII,connection,150,Opening,ASCII,connection,SYN,dest,202.1.0.1:2001,检测,Servermap,表项，命中后根据表项进行,Nat,转换,192.168.0.1:22787,202.1.0.1:20001,192.168.0.1:22787,SYN,dest,192.168.0.1:22787,Page,10,映射内部服务器,配置,NAT SERVER,服务器,USG2100nat,server protocol tcp global 202.110.1.241,ftp,inside 10.100.5.100,ftp,WEB,服务器,DMZ,10.110.5.101:80,FTP,服务器,10.110.5.100:21,202.110.1.241:21,S0:202.110.1.241,10.110.5.101,10.110.5.100,外网用户,USG,内网,Internet,内网用户,202.110.1.241:80,双向,NAT,Page,11,配置,NAT SERVER,服务器,USG2100,nat,server global 192.168.1.20 inside 202.1.1.10,USG2100,nat,server global 202.1.1.20 inside 192.168.1.10,trust,untrust,192.168.1.1,192.168.1.10,202.1.1.1,202.1.1.10,域内,NAT,Page,12,配置同一域内,NAT,USG nat address-group 1 202.1.1.11 202.1.1.11,USG nat-policy zone trust,USG-nat-policy-zone-trust policy 0,USG-nat-policy-zone-trust-0 policy source 192.168.1.0 0.0.0.255,USG-nat-policy-zone-trust-0 action source-nat,USG-nat-policy-zone-trust-0 address-group 1,防火墙配置了,nat server global 202.1.1.10 inside 192.168.1.20,internet,192.168.1.10,客户端,服务器,192.168.1.20,192.168.1.1,202.1.1.1,Page,13,为,MPLS VPN,用户提供统一的,Internet,访问,NAT,多实例,VPN-2,MPLS CORE,VPN-3,VPN-1,PE,PE,CE,CE,VPN-1,CE,CE,CE,VPN-2,Internet,采用不同的,VLAN,子接口对应不同,VPN,的方式，防火墙和,PE,设备连接,USG,PE,VPN3,用户,VPN2,用户,VPN1,用户,USG,上,独立地保存三份,NAT,表，可以承担不同,VPN,用户的地址转换服务,目的地址,NAT,配置,ACL,过滤规则,USG2100,acl 3000,USG2100-acl-adv-3000,rule permit ip source 10.1.1.10 0 destination,2.2.2.0,0.0.0.255,配置需要作目的,NAT,的,acl,规则,USG2100,firewall zone trust,USG2100-zone-trust,destination-nat 3000 address,200.200.200.3,将,10.1.1.10-,2.2.2.0,变换为,10.1.1.10-,200.200.200.3,GGSN,GSR,USG,WAP,网关,Eth1/0/0,10.1.1.1/24,Eth1/0/3,200.200.200.1/24,问 题,NAT,技术的优缺点有哪些？,Page,15,华为职业认证通过者权益,通过,任一项,华为职业认证,，您,在华为在线学习网站,(,）,享有如下特权1,、华为,E-learning,课程学习,内容,：,所有华为职业认证,E-Learning,课程,，,扩展您在其他技术领域的技术知识,方式,：,请提交您的“华为账号”和注册账号的“,email,地址,”到,Learning,申请权限。,2,、华为培训教材下载,内容：华为职业认证培训教材,+,华为产品技术培训教材，,覆盖企业网络、存储、安全等多领域,方式,：登录华为在线学习网站，进入“华为培训,/,面授培训”，在具体课程页面即可下载教材。,3,、华为在线公开课,(LVC),优先参与,内容,：企业网络、,UC&C,、安全、存储等多领域的职业认证课程，华为讲师授课，开班人数有限,方式,：开班计划及参与方式请详见,(Enterprise Network Simulation Platform),是由华为提供的免费的、可扩展的、图形化网络仿真工具平台。主要对企业网路由器、交换机进行硬件模拟，完美呈现真实设备实景，支持大型网络模拟，让大家在没有真实设备的情况下也能够实验测试。,另外,华为建立了知识分享平台,华为认证论坛,。您可以在线与华为技术专家交流技术，与其他考生分享考试经验，,一起,学习华为产品技术,。,（,