CheckPoint NAT 详解V2

CheckPoint NAT v.2大家好，上次那个文档写完后，一段时间没关心就忘记补全了，现在把上次留下的问题解决了NAT配置的类型自动配置：(不会出现ARP问题）a. Hide NAT ————PATb. Static NAT手动配置 (只要不是转换成物理口地址，就会出现ARP问题）a.Hide NAT ——源ANY，目的ANY，服务ANY，转换后源为Gateway的物理口，目的ANY，服务ANY(当手动配置Hide时，只要你配置转换后的IP（来自于物理口）不会出现代理ARP问题。

b.Static NATc.Port Translation手动配置是非常拼音的而且不会出现任何关于Proxy ARP的问题，但是如果我们需要做一些特殊需要的转换，例如：端口转换，就需要使用手动配置了，手动配置最大的问题就是Proxy ARP. 只要Hide NAT,转换是一个物理口就不存在问题，如果是非物理口就存在Proxy ARP的问题。

必须要新建一个node.为PAT后的地址（非物理口）.这个新地址的ARP状态为incomplete。

本文所有描述的IP情况都以此Top为准为什么NAT需要ARP协助其实是代理 ARP，当外边有ARP Request,请求内部服务器的ARP时，比如访问218.18.100.100,但是防火墙物理地址是218.18.100.10,如果没有ARP这个时候，防火墙认为你询问的218.18.100.100不是我，将包丢弃（这样的话，Static转换肯定通不了) 思科的防火墙，路由器，默认都启用了proxy-arp功能。

当外部请求的地址是，我内部静态转换出来的地址时，路由器，防火墙有义务做一个代理ARP的功能，对ARP Request做回应，100的目的的MAC地址，就是我这张网卡的MAC地址。

放心交换我，我会帮你处理后续的事情。

在思科路由器，防火墙，不担心这个问题。

如把Inside，PAT到外部接口时，会发现ARP和物理口地址一样，这就是代理ARP起的作用。

我们从Outside能够收到ICMP的ECHO和show arp 218.18.100.254所体现出来的Incomplete, 很容易明白这是Proxy-Arp的问题。

Static NAT方法：当把Inside的 192.168.20.1 静态转换为外部的218.18.100.11,必须先添加一个Node,因为这是未知的新IP。

但是转换后发现，在outside, 对于218.18.100.11的arp, oustide解析不到，所以包无法封装,最终导致Nat不成功。

原因是CheckPoint SecurePlatform没有开启代理ARP功能，如果是自动NAT就没有这个问题了，解决办法：解决方法修改系统文件：expert进入专家模式1.修改/etc/rc.local#!/bin/sh##This script will be executed *after* all the other init scripts.#You can put your own initialiation stuff in here if you don't#want to do the full Sys V style init stuff.echo 1> /proc/sys/net/ipv4/conf/<外部接口>/proxy_arproute add -host <转换后地址> gateway <真实地址>arp -s <转换后地址> <外部接口MAC> pub2.修改/etc/sysctl.conf#This is Proxy_ARP confnet.ipv4.conf.all.proxy_arp=1net.ipv4.conf.default.proxy_arp=13.重启i 插入编辑 , “ESC+: 然后wq! 会发现218.18.100.11的ARP有了,也就是代理ARP起作用没有修改系统文件之前第一个show arp，第二个show arp 为修改完后实现目标：1.当内部源为inside_server(192.168.20.1)访问外部任何目的，地址将转换为new_NAT (218.18.100.11)2.当外部源为ANY 访问new_NAT,将转换为访问Inside_server。

(外部放行,NAT配置）手动配置Port‐Translation实验1：1.当源是Any访问这个转换后的地址的telnet3030,将被转换成访问inside_server的telnet.2.放行，外部流量访问转换后地址的telnet3030.如果成功，为外部访问218.18.100.11 3030, 转换为访问218.18.100.11 23 的话，下面的这句相当于没用。

inside(config)#line vty 0 5inside(config-line)#roinside(config-line)#rotary 30inside(config-line)#end但是，其实上，序号为6 的NAT，将会先作用，而没有到达7的转换，所有会有报错 outside#telnet 218.18.100.11 3030Trying 218.18.100.11, 3030 ...% Connection refused by remote host原因是没开启3030按照我的推断，将7调上去以后，在inside关掉3030,一样可以成功，telnet.这证明转换成功！视目以待！结果我推断错误;outside#telnet 218.18.100.11 3030Trying 218.18.100.11, 3030 ...% Destination unreachable; gateway or host down问题在哪呢？——问题出在我的摸拟器，外部接口莫名奇妙的default了。

加上地址再一测，成功，看来我的推断没错.Policy‐NAT实验2：1.当inside 访问 outside_server 的tcp port 23时，源地址转换为218.18.100.112.当inside 访问outside_server 的tcp port 3030时，源地址转换为218.18.100.10(物理口）3.当inside访问任何地址的任何服务时，源地址交转换成218.18.100.10(物理口）按这个原则，这一次(按上图的NAT顺序），当inside_server 访问 218.18.100.1 的tcp port 23时，将转换成218.18.100.11 而不是218.18.100.10, 又视目以待!结论：CheckPoint的NAT的顺序，完全看的是列表在其实的顺序，而不是像思科那样，有一个固定的原则，如：Policy NAT (using static + access-list command)Static NAT (using static command)Static PAT (using static command)Policy NAT (using nat + access-list command)Dynamic NAT (using nat command)Dynamic PAT (using nat command)这个实验的答案：放行：Multiple Static NAT (只能手工配置)同一个内部地址，要想同时拥有多个外部NAT地址的时候，需要配置多个static地址，方法不与单独一个Static NAT相同。

下面讲解一下：现在， 假如Inside那台路由器192.168.20.1，想要同时拥有Outside(218.18.100.100)，DMZ(10.1.1.100)网络的地址时，你会发现，如果是用自动配置NAT的方法，一个Node同时只有配置一个方向的地址。

所以，只有考虑手动配置方式。

一． 单台防火墙结构可以继续使用上面Static NAT的方法，同时写多个地址配置文件，如：1.修改/etc/rc.local#!/bin/sh##This script will be executed *after* all the other init scripts.#You can put your own initialiation stuff in here if you don't#want to do the full Sys V style init stuff.echo 1> /proc/sys/net/ipv4/conf/<外部接口Outside>/proxy_arproute add -host <218.18.100.100> gateway <192.168.20.1>arp -s <转换后地址> <外部接口MAC> pubecho 1> /proc/sys/net/ipv4/conf/<外部接口DMZ>/proxy_arproute add -host <转换后地址> gateway <192.168.20.1>arp -s <转换后地址> <外部接口MAC> pub//“< >“只是一个强调，不使用在脚本中2.修改/etc/sysctl.conf#This is Proxy_ARP confnet.ipv4.conf.all.proxy_arp=1net.ipv4.conf.default.proxy_arp=13.重启二． 多台防火墙结构做了Cluster后，如果手工方式配置NAT，则必须同时修改两台防火墙配置。

方法也比较简单：1.用Root权限登陆其中一个防火墙，进入$FWDIR/conf/目录，修改其中的local.arp文件。

也可以使用expert命令，进入$FWDIR/conf/目录，修改其中的local.arp文件. 如果没有则新建。

2.然后找到要映射到的目标网络的相应出口MAC地址，在这里如果你已经用SmartCenter配置了静态映射，你可以直接使用fw ctl arp 命令，查看MAC。

# fw ctl arpservername_if_dns_is_set (32.86.73.101) at aa‐bb‐cc‐dd‐ee‐ff interface 32.86.73.2你也可以在底层系统中，直接ifconfig查看MACLocal.arp文件语法格式：32.86.73.101转换后IP地址 AA:BB:CC:DD:EE:FF转换目标网络出口MAC //中间以空格隔开三． 配置SmartCenter策略，使NAT生效1. 首先，建立Node节点。