來(lái)源：公眾號(hào)【網(wǎng)絡(luò)技術(shù)干貨圈】

作者：圈圈

ID：wljsghq

Nat server技術(shù)原理

Nat server：指定公有地址:端口和私有地址:端口形成一對(duì)一映射關(guān)系——映射表。這也是Nat server與其他nat的區(qū)別之一，Nat server可以指定端口進(jìn)行映射。

網(wǎng)絡(luò)topo如下：

配置過(guò)程：

FW：

首先對(duì)FW進(jìn)行配置，給接口配置IP、掩碼。

順便把接口服務(wù)打開(kāi)，為了方便直接開(kāi)啟所有服務(wù)。（生產(chǎn)中建議按需開(kāi)啟）

創(chuàng)建域，并將接口加入。

創(chuàng)建策略。

##配置IP
[USG6000V1]intg1/0/0
[USG6000V1-GigabitEthernet1/0/0]ipadd192.168.1.25424
[USG6000V1-GigabitEthernet1/0/0]service-manageallp
[USG6000V1-GigabitEthernet1/0/0]intg1/0/1
[USG6000V1-GigabitEthernet1/0/1]ipadd200.1.1.124
[USG6000V1-GigabitEthernet1/0/1]service-manageallpermit
[USG6000V1-GigabitEthernet1/0/1]q

##端口加入域
[USG6000V1]firewallzonedmz
[USG6000V1-zone-dmz]addintg1/0/0
[USG6000V1-zone-dmz]q

[USG6000V1]firewallzoneuntrust
[USG6000V1-zone-untrust]addintg1/0/1
[USG6000V1-zone-untrust]q

##放行策略
[USG6000V1]security-policy
[USG6000V1-policy-security]rulename1
[USG6000V1-policy-security-rule-1]source-zonedmz
[USG6000V1-policy-security-rule-1]destination-zoneuntrust
[USG6000V1-policy-security-rule-1]source-address192.168.1.024
[USG6000V1-policy-security-rule-1]actionpermit

[USG6000V1]security-policy
[USG6000V1-policy-security]rulename2
[USG6000V1-policy-security-rule-2]source-zoneuntrust
[USG6000V1-policy-security-rule-2]destination-zonedmz
[USG6000V1-policy-security-rule-2]destination-address192.168.1.024
[USG6000V1-policy-security-rule-2]actionpermit

##配置默認(rèn)路由
[USG6000V1]iproute-static0.0.0.00.0.0.0200.1.1.2

##基于端口映射
[USG6000V1]natserverprotocoltcpglobal200.1.1.18888inside192.168.1.180

R2：
配置接口IP即可。

[Huawei]intg0/0/0
[Huawei-GigabitEthernet0/0/0]ipadd200.1.1.224
[Huawei-GigabitEthernet0/0/0]intg0/0/1
[Huawei-GigabitEthernet0/0/1]ipadd172.16.1.25424

驗(yàn)證：

給server和client配置IP。

??

如下所示：Client可以成功訪問(wèn)內(nèi)網(wǎng)內(nèi)網(wǎng)服務(wù)器。

也可以查看會(huì)話表信息

[USG6000V1]disfirewallsessiontableverbose

會(huì)話表不存在的原因，可能是：

訪問(wèn)報(bào)文沒(méi)有到達(dá)防火墻。

訪問(wèn)報(bào)文被防火墻安全策略丟包。

防火墻沒(méi)有到內(nèi)網(wǎng)服務(wù)器的路由。

防火墻防攻擊導(dǎo)致丟包，例如IP spoofing。

如果會(huì)話表項(xiàng)存在，但是服務(wù)器響應(yīng)報(bào)文數(shù)量為0，可能的原因：服務(wù)器服務(wù)未開(kāi)啟，中間設(shè)備沒(méi)有到虛擬IP地址段的路由：

displayfirewallsessiontableverbosesourceglobal10.100.10.100destinationglobal192.168.10.100
httpVPN:public-->publicID:a48f3fdcb655030b65720d507
Zone:untrust-->trustTTL:2400Left:2359
RecvInterface:GigabitEthernet1/0/7
Interface:GigabitEthernet1/0/0NextHop:192.168.10.1MAC:00-03-fa-56-c2-4c
<--packets:9?bytes:8772?-->packets:8bytes:728//8表示發(fā)送給服務(wù)器報(bào)文的數(shù)量，9表示服務(wù)器響應(yīng)報(bào)文數(shù)量
10.100.10.100:63334-->192.168.10.100:80PolicyName:SSLVPN

以上就是Nat Server配置過(guò)程及驗(yàn)證，如果問(wèn)題望指出，希望可以一起進(jìn)步，加油~