CheckPoint Nat配置

一、概述

1.1 Nat简介

网络地址转换(NAT,Network Address Translation)被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。

借助于NAT，私有(保留)地址的"内部"网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址(甚至是1个)即可实现私有地址网络内所有计算机与Internet的通信需求。

NAT将自动修改IP报文头申的源IP地址和目的IP地址，Ip 地址校验则在NAT处理过程中自动完成。有些应用程序将源IP 地址嵌入到IP报文的数据部分中，所以还需要同时对报文进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据都分别嵌入IP地址的应用程序就不能正常工作。

1.2 NAT实现方式

NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和端口多路复用OverLoad。

静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换

为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。

动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问上Internet 的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。

端口多路复用(Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。

二、Checkpoint Nat

2.1 Checkpoint Nat配置类型

Network Address Translation (NAT)通俗的来说，是通过一个地址来替换另一个地址，NAT能够改变源和目的的数据包内的IP地址，这个意思就是说，当一个内网的数据包经过防火墙NAT后去访问外网时，外网的将会看到的是和源不是相同的一个地址，相反，当从外网去访问内网的时候，外网数据包到达防火墙后会匹配防火墙中的NAT Base，随后将数据包请求丢到匹配成功的内网地址

Checkpoint安全网关支持两种模式的NAT：

Static Nat:每个私网地址被静态的翻译成为相对应的公网地址，在一个内网中存在一些的客户端，而每个客户端都翻译成为不同的公网地址，这是多台客户端对多个公网地址的翻译形式，Static Nat能够允许所有的客户端通过其所处的安全网关进行互联网访问，例如，通过Static NAT，内部应用服务器能够发布到公网中Hide Nat:一个公网地址被用于一个存在多台客户端的内网时，Hide Nat就是一对多的翻译形式，Hide Nat能够允许所有的连接通过唯一的安全网关设备

Checkpoint能够对其定义的多种Network Object进行NAT功能的实现，主要包括：网段、主机、地址池以及动态的主机，并且支持两种的配置方式，手工的NAT和自动的NAT

手工的创建NAT相对自动的NAT来说要比较灵活，举个例子来说，除了对IP地址进行翻译，你还可以对你所访问服务的目的端口进行翻译，端口号的翻译是一个Static Nat形式，只能是从一个端口翻译成为另一个端口

Checkpoint防火墙Nat具体的配置类型有以下四种：自动Hide Nat

自动Static Nat

手工Hide Nat

手工Static Nat

2.2 Hide Nat

Hide Nat是一种隐藏的NAT地址转换方式，是种一对多的方式，如同Cisco的PAT一样，借用一个地址来隐藏自己的真实地址,Checkpoint防火墙可以复用防火墙本身的接口地址或者指定的一个IP地址来隐藏身后的一个地址段，也可以是一台PC，具体配置方法如下：

在事先定义好的Nerwork Objects 中双击需要配置Hide Nat 的Network Object，在选择Nat窗口——选择自动的地址转换（Add Automatic Translation）——在翻译类型中选择Hide

模式，并且选择是通过防火墙接口IP地址来隐藏还是通过指定的

一个IP来隐藏，指定的IP地址可以是一个真实的物理地址，也可以是一个虚地址

在配置好自动Hide Nat之后，在Nat Rule Base中，会自动产

生Nat条目，如下图：

手工配置Hide Nat相对自动Hide Nat来说要比较灵活，手工Hide Nat不仅可以进行IP地址翻译，还可以根据访问目的服务的端口来进行翻译，但端口的翻译只能是一对一的访问。

在配置手工Nat策略之前，我们先要了解下Nat配置面板的各项参数的概念，如下图：

ORIGNAL PACKET(原始数据包) TRANSLATED PACKET（转换后的包）Source（源地址） Source(转换后的源)

Destnation(目的地址) Destnation(转换后的目的地址) Service(服务) Service（转换后的服务）

Install(指需要安装Nat策略的Gateway)

Original(保持不变)

手工配置Hide Nat

1．定义需要被翻译和翻译后的Network Object

2．进入NAT Rule，在ORIGINAL PACKET面板中,选择需要翻译的源地址、目的地址

3.在TRANSLATED PACKET PACKET面板中，选择被翻译后的源地址，或者目的地址及服务端口,并且选择Hide模式

4．配置完成后，出现如下图：

2.3 Static Nat

Static Nat是一对一的NAT地址转换方式，是将一个网段或者一台客户端的地址翻译为一个指定的地址

2.3.1 配置自动Static Nat：

在事先定义好的Nerwork Objects 中双击需要配置Static的Nerwork Object，在选择Nat窗口——选择自动的地址转换（Add Automatic Translation）——在翻译类型中选择Static模式，——在Translate to ip窗口填写需要被翻译后的地址在配置好自动Static Nat之后，在Nat Rule Base中，会自动产生Nat条目，如下图：

2.3.2 配置手工Static Nat：

1．定义需要被翻译和翻译后的Network Object

2．进入NAT Rule，在ORIGINAL PACKET面板中,选择需要翻译的源地址、目的地址

3.在TRANSLATED PACKET PACKET面板中，选择被翻译后的源地址，或者目的地址及服务端口,并且选择Static模式

4．配置完成后，出现如下图：

三、其他说明

3.1 全局Nat属性说明：

根据现场环境及配置NAT地址转换的需求，需要在全局属性设置相应的参数，如下图：

Automatic Nat rules：自动NAT全局参数设置

Allow bi-driectional Nat(for more details see help):允许双向的Nat地址翻译

Translate destination on client side：允许翻译目的客户端地址

Automatic ARP Configuration:允许自动发布ARP

Merge manual proxy ARP Configuration:合并手工代理ARP Manual NAT rules:手工NAT全局参数设置

IP POOL NAT：地址池NAT