netscreen网络地址翻译nat方法总结和实验

网络地址翻译方法总结和实验一、前言................................................................................................... 错误!未定义书签。

二、源网络地址转换(NAT-Src) .............................................................. 错误!未定义书签。

一.不带DIP .............................................................................................. 错误!未定义书签。

二.带DIP .................................................................................................. 错误!未定义书签。

一). 1对1映射 ................................................................................ 错误!未定义书签。

二). 1对多映射 ............................................................................... 错误!未定义书签。

三).多对1 映射 ............................................................................ 错误!未定义书签。

四).多对多映射 ............................................................................. 错误!未定义书签。

三、Netscreen防火墙各种地址翻译方法的特点总结.......................... 错误!未定义书签。

四、地址翻译方法实验........................................................................... 错误!未定义书签。

１. Netscreen防火墙的地址翻译实验环境...................................... 错误!未定义书签。

２. Netscreen防火墙的策略地址翻译实验...................................... 错误!未定义书签。

3.1 由外向内的地址翻译........................................................... 错误!未定义书签。

3.2 由内向外的地址翻译........................................................... 错误!未定义书签。

３. Netscreen防火墙的接口地址翻译实验...................................... 错误!未定义书签。

4.1 MIP地址翻译.......................................................................... 错误!未定义书签。

4.2 VIP地址翻译 .......................................................................... 错误!未定义书签。

４. 将MIP和VIP用策略地址翻译替代实验 ................................. 错误!未定义书签。

5.1 MIP地址翻译的替代.............................................................. 错误!未定义书签。

5.2 VIP地址翻译的替代 .............................................................. 错误!未定义书签。

一、前言Juniper防火墙的几种常用功能主要是指基于策略的NAT的实现，包括：MIP、VIP和DIP，这三种常用功能主要应用于防火墙所保护服务器提供对外服务。

MIPMIP是“一对一”的双向地址翻译（转换）过程。

通常的情况是：当你有若干个公网IP地址，又存在若干的对外提供网络服务的服务器（服务器使用私有IP地址），为了实现互联网用户访问这些服务器，可在Internet出口的防火墙上建立公网IP地址与服务器私有IP地址之间的一对一映射（MIP），并通过策略实现对服务器所提供服务进行访问控制。

VIPMIP是一个公网IP地址对应一个私有IP地址，是一对一的映射关系；而VIP 是一个公网IP地址的不同端口（协议端口如：21、25、110等）与内部多个私有IP地址的不同服务端口的映射关系。

通常应用在只有很少的公网IP地址，却拥有多个私有IP地址的服务器，并且，这些服务器是需要对外提供各种服务的。

DIPDIP的应用一般是在内网对外网的访问方面。

当防火墙内网端口部署在NAT 模式下，通过防火墙由内网对外网的访问会自动转换为防火墙设备的外网端口IP地址，并实现对外网（互联网）的访问，这种应用存在一定的局限性。

解决这种局限性的办法就是DIP，在内部网络IP地址外出访问时，动态转换为一个连续的公网IP地址池中的IP地址。

特别是在当你的网络出现双链路的时候，DIP 的配置更是出色。

二、源网络地址转换(NAT-Src)Writer:wwiinngd为了保护内网或IP地址紧缺和另一些原因，需要把源IP地址转换为别一个地址，这就是源网络地址转换.目的：学习NETSCREEN 204 的NAT-Src配置NA T-Src有带DIP的和不带DIP的DIP(动态IP)池提供了可用的地址，使通过NETSCREEN 执行的NAT-Src策略后，从池中提取地址使用一.不带DIPUntrust区图1WEBUI:work > Interfaces (List) > ethernet1 > EditZone Name: TrustIP Address/Netmask:Interface Mode: NATNetwork > Interfaces (List) > ethernet2 > EditZone Name: UnTrustIP Address/Netmask:Interface Mode: Route2.设置策略Policies > (From: Trust，To: Untrust) New::Source Address:Address Book Entry: AnyDestination Address:Address Book Entry: AnyService: ANYAction: PermitLogging: ( 选择)在CLI下面:set interface ethernet1 zone trustset interface ethernet1 ipset interface ethernet1 natset interface ethernet2 zone untrustset interface ethernet2 ipset interface ethernet2 routeset policy from trust to untrust Any Any ANY permit log设置二个区段再加一条策略就行，默认二个区是不通的(5GT除外)，从UnTrust 区来看，所有信息也是从NETSCREEN E2口出来的.我们可以从防火墙的日志中看到。

图2图3二.带DIP1对1映射: 地址池只有一个IP ，所以一台机映射一个IP1对多映射: 地址池只有多个IP ，所以一台机从池中每次取一个IP 映射多对1(一定要开PAT) 映射: 地址池只有一个IP ，但通过PAT ，最多可以支持64，500(65535-1023)台机，每台机用不同的端口多对多映射: 地址池有多个IP ，也有多台机，可以从池中取IP 映射，也可以指定那台机映射为那个IP一). 1对1映射192.168.1.1/24ethernet1192.168.2.1/24ethernet2NetScreenTrust 区Untrust 区192.168.2.5/24192.168.1.164/24虚拟SwitchSwitchDIP 池图4只有一台机在Trust区连到UnTtust区，从UnTtust区来看，他是从DIP池分配的IP。

WEBUI:1.设置接口Network > Interfaces (List) > ethernet1 > EditZone Name: TrustIP Address/Netmask:Interface Mode: NATNetwork > Interfaces (List) > ethernet2 > EditZone Name: UnTrustIP Address/Netmask:Interface Mode: Route2.设置DIP池Network > Interfaces (List) > ethernet2 > Edit > DIP > New，ID: 5IP Address Range: ~Port Translation: ( 选择)In the same subnet as the interface IP or its secondary IPs: ( 选择)# Port Translation就是PAT，选上后，每次用的端口也不同，但要是对端口有特殊要求的时候就不要选上。

3.设置IP>>HOSTObjects > Addresses > List > New:Address Name: host1IP/Netmask: ( 选择),Zone: Trust4.设置策略，且指定DIPPolicies > (From: Trust, To: Untrust) New::Source Address: Address Book Entry: AnyDestination Address: Address Book Entry: AnyService: ANYAction: PermitLogging: ( 选择)> Advanced:NAT:Source Translation: (选择)(DIP on): 5 ( -在CLI下面:set interface ethernet1 zone trustset interface ethernet1 ipset interface ethernet1 natset interface ethernet2 zone untrustset interface ethernet2 ipset interface ethernet2 routeset interface ethernet2 dip 5set address trust host1set policy id 3 from Trust to Untrust host1 any ANY nat src dip-id 5 permit log 从Trust区的PING到Untrust ，我们可以从防火墙的日志中看到。