20100726_天清汉马USG系列_NAT配置指南_V3.2

天清汉马USG一体化安全网关NAT配置指南(V3.2)版权声明启明星辰公司版权所有，并保留对本手册及本声明的最终解释权和修改权。

本手册的版权归启明星辰公司所有。

未得到启明星辰公司书面许可，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其部分或全部用于商业用途。

免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。

启明星辰公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但启明星辰公司不对本手册中的遗漏、不准确或错误导致的损失和损害承担责任。

User’s Manual Copyright and DisclaimerCopyrightCopyright Venus Info Tech Inc.All rights reserved.The copyright of this document is owned by Venus Info Tech Inc.Without the prior written permission obtained from Venus Info Tech Inc.,this document shall not be reproduced and excerpted in any form or by any means,stored in a retrieval system,modified,distributed and translated into other languages, applied for a commercial purpose in whole or in part.DisclaimerThis document and the information contained herein is provided on an“AS IS”basis.Venus Info Tech Inc.may make improvement or changes in this document,at any time and without notice and as it sees fit.The information in this document was prepared by Venus Info Tech Inc.with reasonable care and is believed to be accurate.However,Venus Info Tech Inc.shall not assume responsibility for losses or damages resulting from any omissions, inaccuracies,or errors contained herein.目录1版本信息 (1)2技术简介 (1)3常见组网方案与配置 (2)3.1源NAT转换 (2)3.2多对一 (2)3.2.1.1.建立内部地址对象 (2)3.2.1.2.建立NAT表项 (3)3.2.1.3.建立相关安全策略 (3)3.3多对多 (4)3.3.1.1.建立内部地址对象 (4)3.3.1.2.建立NAT地址池 (5)3.3.1.3.建立NAT表项 (5)3.3.1.4.建立相关安全策略 (6)3.3.1.5.注意事项 (7)3.4目的地址转换 (7)3.5目的端口转换 (7)3.5.1.1.建立地址对象 (7)3.5.1.2.建立NAT地址池 (8)3.5.1.3.建立NAT表项 (9)3.5.1.4.建立相关安全策略 (9)3.5.1.5.注意事项 (10)3.6目的地址转换 (10)3.6.1.1.建立地址对象 (11)3.6.1.2.建立NAT地址池 (11)3.6.1.3.建立NAT表项 (12)3.6.1.4.建立相关安全策略 (12)3.6.1.5.注意事项 (13)3.7静态NAT转换 (13)3.7.1.1.建立内部服务器地址 (13)3.7.1.2.建立NAT表项 (14)3.7.1.3.建立相关安全策略 (14)3.7.1.4.注意事项 (15)4特殊网络拓扑解决方案 (16)4.1常见DNAT应用方案一 (16)4.2常见DNAT应用方案二 (17)5与其他相关模块配合使用 (17)5.1NAT与IPSEC隧道共同使用 (17)5.2注意事项 (18)5.3源NAT与L2TP（L2TP+IPSEC） (18)5.4注意事项 (18)5.5目的NAT与L2TP (19)5.6注意事项 (19)5.7目的NAT与L2TP+IPSEC (19)5.8注意事项 (19)5.9源NAT与SSL VPN (19)5.10注意事项 (20)5.11目的NAT与SSL VPN (20)5.12注意事项 (20)6备注 (20)1版本信息手册版本V3.2产品版本V2.6.3.2发布状态发布发布时间2010年07月31日备注信息无2技术简介NAT即网络地址转换，最初是由RFC1631（目前已由RFC3022替代）定义，用于私有地址向公有地址的转换，以解决公有IP地址短缺的问题。

后来随着NAT 技术的发展及应用的不断深入，NAT更被证明是一项非常有用的技术，可用于多种用途，如：提供了单向隔离，具有很好的安全特性；可用于目标地址的映射，使公有地址可访问配置私有地址的服务器；另外还可用于服务器的负载均衡和地址复用等。

NAT分为源NAT和目的NAT。

源NAT是基于源地址的NAT，可细分为动态NAT、PAT和静态NAT。

动态NAT和PAT是一种单向的针对源地址的映射，主要用于内网访问外网，减少公有地址的数目，隐藏内部地址。

动态NAT指动态地将源地址转换映射到一个相对较小的地址池中，对于同一个源IP，不同的连接可能映射到地址池中不同的地址；PAT是指将所有源地址都映射到同一个地址上，通过端口的映射实现不同连接的区分，实现公网地址的共享。

静态NAT 是一种一对一的双向地址映射，主要用于内部服务器向外提供服务的情况。

在这种情况下，内部服务器可以主动访问外部，外部也可以主动访问这台服务器，相当于在内、外网之间建立了一条双向通道。

基于目标地址的NAT，称为目的NAT，可分为目标地址映射、目标端口映射、服务器负载均衡等。

基于目标地址的NAT也称为反向NAT或地址映射。

目的NAT是一种单向的针对目标地址的映射，主要用于内部服务器向外部提供服务的情况，它与静态NAT的区别在于它是单向的。

外部可以主动访问内部，内部却不可以主动访问外部。

另外，可使用目的NAT实现负载均衡的功能，即可以将一个目标地址转换为多个内部服务器地址。

也可以通过端口的映射将不同的端口映射到不同的机器上。

3常见组网方案与配置3.1源NAT转换最常见的NAT配置，由于IP资源有限，为满足多个内部网络用户同时访问外部网络的需要，通常使用源NAT转换。

源NAT转换分为两种：多个内部地址共同使用一个外部地址（即多对一）或多个内部地址使用多个外部地址（多对多）。

拓扑13.2多对一配置步骤（公网地址配置在WAN口ge3上）：3.2.1.1.建立内部地址对象单击“对象管理”菜单，选择建立“地址对象”，单击“新建”按钮。

为需要转化的内部地址建立地址对象，点击“提交”以使配置生效。

3.2.1.2.建立NAT表项单击“网络管理”菜单，选择“NAT”，选择“源地址转换”，单击“新建”按钮，在源地址下拉框中选择刚才建立的地址对象“内部地址”，在目标地址下拉框中选择“any”，选择服务为“any”，设置数据的出接口为“ge3”，设置转换后源地址为“出接口地址”。

如果需要对NAT转换的信息进行日志记录，则选中“Syslog日志”选择框。

点击“提交”以使配置生效。

3.2.1.3.建立相关安全策略单击“防火墙”菜单，选择“安全策略”，单击“新建”按钮，在源接口中选择用户内网接口“ge0”，地址名选择刚才建立的地址对象“内部地址”，目的接口选择用户外网接口“ge3”，选择服务为“any”，设置时间表为“always”，设置动作为“允许”。

点击“提交”以使配置生效。

此时“内部地址”中定义的用户可以访问ge3相连的公网的资源，在进行访问时，所有的内部地址都被转换成出接口ge3的地址。

3.3多对多配置步骤（公网地址配置在WAN口ge3上）：3.3.1.1.建立内部地址对象单击“对象管理”菜单，选择建立“地址对象”，单击“新建”按钮。

为需要转化的内部地址建立地址对象。

点击“提交”以使配置生效。

3.3.1.2.建立NAT地址池单击“网络管理”菜单，选择NAT，选择“NAT地址池”，单击“新建”按钮，设置地址池名称为“外部地址池”，外部地址起始地址为“202.112.238.10”，结束地址为“202.112.238.11”，并根据需要勾选“轮询”。

点击“提交”以使配置生效。

3.3.1.3.建立NAT表项单击“网络管理”菜单，选择“NAT”，选择“源地址转换”，单击“新建”按钮，在源地址下拉框中选择刚才建立的地址对象“内部地址”，在目标地址下拉框中选择“any”，选择服务为“any”，设置数据的出接口为“ge3”，设置转换后源地址为“外部地址池”。

如果需要对NAT转换的信息进行日志记录，则选中“Syslog日志”选择框。

点击“提交”以使配置生效。

3.3.1.4.建立相关安全策略单击“防火墙”菜单，选择“安全策略”，单击“新建”按钮，在源接口中选择用户内网接口“ge0”，地址名选择刚才建立的地址对象“内部地址”，目的接口选择用户外网接口“ge3”，选择服务为“any”，设置时间表为“always”，设置动作为“允许”。

点击“提交”以使配置生效。

此时“内部地址”中定义的用户可以访问ge3相连的公网的资源，在进行访问时，内部地址都被转换成“外部地址池”中的地址。

3.3.1.5.注意事项在多对多的源NAT转换时，所配置的NAT地址池的轮询规则：�源NAT地址转换，在未配置轮询时，地址采用一对一优先的方式，即相同的源地址原则上尽量使用相同的地址池地址；如果配置了轮询，地址池地址会逐个分配，也就是说，同一个源地址会被分配到地址池中不同的地址。

�在没有配置轮询的情况下，使用地址池地址是根据报文的源地址、目的地址算出一个偏移，结合地址池得出的转换的地址（有可能不是地址池的第一个地址）。

3.4目的地址转换通常公司内部有服务器需要对外提供访问服务时，可采用目的地址转换，常见的目的地址转换类型有两种：基于端口的目的地址转换（当只有一个外部地址，又需要对外提供服务时通常采用此方式）和目的IP地址转换。

拓扑23.5目的端口转换配置步骤（公网地址配置在WAN口ge3上）：3.5.1.1.建立地址对象单击“对象管理”菜单，选择建立“地址对象”，单击“新建”按钮。