原标题：安全HCIE防火墙精品实验之源NAT基础篇（二）

NAPT（Network Address Port Translation，网络地址端口转换），与NAT No-pat区别在于NAPT不仅转换IP包中的IP地址，还会对TCP、UDP等源端口执行转换。NAPT是多对一转换方式，多个内网主机可以使用一个公网IP实现对互联网的访问。

一、实验拓扑

拓扑图-1

实验拓扑图-1要求实现Trust区域 HTTP Client、PC1访问Untrust区域HTTP Server，因为Client、PC1在内网，Server在外网，需要在FW1部署NAPT技术实现。

1.1 基本配置

表1是拓扑中接口、IP地址、安全区域规划：

1.2 实验步骤

步骤1 在FW1上将各接口划入相应安全区域。

<FW1>system-view //进入system-view

Enter system view, return user view with Ctrl+Z.

[FW1]firewall zone trust

[FW1-zone-trust]addinterface GigabitEthernet 1/0/1//将FW1的内网接口G1/0/1划入Trust区域

[FW1-zone-trust]quit

[FW1]firewall zone untrust

[FW1-zone-untrust]addinterface GigabitEthernet 1/0/2//将FW1的外网接口G1/0/2划入Utrust区域

[FW1-zone-untrust]quit

步骤2 在FW1上定义NAT地址池

[FW1]nat address-group 1

[FW1-address-group-1]mode pat //在公网地址池中定义NAPT转换方式

[FW1-address-group-1]section0 202.100.1.100 202.100.1.100 //定义公网地址池公网IP范围，只定义了一个公网IP

步骤3 在FW1配置NAT策略

[FW1]nat-policy

[FW1-policy-nat]rule name Source_NAT

[FW1-policy-nat-rule-Soure_NAT]source-zone trust

[FW1-policy-nat-rule-Soure_NAT]destination-zone untrust

[FW1-policy-nat-rule-Soure_NAT]source-address 172.16.1.0 24//定义哪些私网主机做源NAT转换访问外网server

[FW1-policy-nat-rule-Soure_NAT]action source-nat address-group 1 //关联公网地址池

步骤4 在FW1配置安全策略

[FW1]security-policy

[FW1-policy-security]rule name A

[FW1-policy-security-rule-A]source-address 172.16.1.1 32

[FW1-policy-security-rule-A]source-address 172.16.1.2 32//定义NAT转换前的私网IP地址 *因为华为防火墙安全策略检查在NAT策略之前，如果源IP定义的是转换后的公网IP，则流量无法通过检查

[FW1-policy-security-rule-A]source-zone trust

[FW1-policy-security-rule-A]destination-zone untrust

[FW1-policy-security-rule-A]service http //允许HTTP业务通过

[FW1-policy-security-rule-A]service icmp //允许ICMP业务通过

[FW1-policy-security-rule-A]action permit

步骤5 在FW1、R1与R2上配置路由

[FW1]ip route-static 0.0.0.0 0.0.0.0 202.100.1.2 //在FW1配置默认路由指向公网下一跳R2

[FW1]ip route-static 172.16.1.0 255.255.255.0 10.1.11.1//在FW1配置去往私网主机的路由

[R1]ip route-static 0.0.0.0 0.0.0.0 10.1.11.2 //在R1配置默认路由指向FW1边界

[R2]ip route-static 202.100.1.100 32 202.100.1.1//防火墙FW1上NAT地址池与公网接口地址不在一个网段，路由器R2需配置一条到达NAT地址池的路由

NAPT配置与NAT No-PAT是一样的，区别在nat address group中需要定义mode pat表示NAPT转换模式。

二、 实验分析

A. 在HTTP Client上访问HTTP Server，在PC1 ping HTTP Server：

图-2

图-3

当HTTP Client的TCP流量、以及PC1的ICMP流量抵达防火墙，按照FW1对于报文处理流程，类似NAT No-PAT，在匹配NAT策略之前，首先安全策略需要检查通过。

B. 安全策略检查通过之后，NAT策略对流量执行NAPT转换，查看防火墙会话表：

图-4

图4是HTTP Client访问Server的TCP协议报文流量172.16.1.1:2061[202.100.1.100:2049]--> 100.1.1.1:80，其中源IP 172.16.1.1被转换成nat address group中的公网IP 202.100.1.100，同时TCP源端口2061被转换成2049，因为TCP协议报文流有端口号，即可以被NAPT执行端口转换。

但是对于没有端口号的ICMP协议报文流，FW1上会话表中关于ICMP五元组信息的端口是如何生成的呢？

图-5

图5是PC1去ping访问Server的ICMP协议报文流 172.16.1.2：43637[ 202.100.1.100:2049] --> 100.1.1.1:2048，PC1访问Server的ICMP流量源IP也被转换成nat address group中的公网IP 202.100.1.100，即多对一转换，Client与PC公用一个公网IP访问外网Server，同时ICMP报文流的源端口43637被转换至2049。

那么ICMP协议报文流的端口号从何而来？对于ICMP报文流，是提取ICMP报文中的Id值做源端口，目的端口固定为2048，观察PC1访问Server的ICMP报文：

图-6

图6是FW1收到PC1发送至Server的初始ICMP报文，发现Id值43637，提取至会话表中当作ICMP协议的源端口（NAPT转换后是2049），这也就不难解释FW1会话表关于ICMP的五元组信息了。通过FW1的会话表我们还发现HTTP Client、PC1访问Server的流量源端口都被转成2049这个端口，考虑一下，转换后的公网IP、端口都是一样的，这好像是NAPT转换冲突啊。

其实TCP、ICMP协议在FW1会话表中体现的五元组还是有不不同的部分，那就是目的端口，TCP报文流目的端口是80、ICMP报文流目的端口是2048，我们还是可以通过目的端口区分两组不同的报文流的，只要五元组不完全相同，我们是不必担心NAPT转换冲突问题的。注意，NAPT不会像NAT No-PAT生成Server-map表项：

图-7

NAPT主要用于让内网大量主机访问互联网，如果为每个数据流建立Server-map表项，会占用设备资源。

以上是对源NAT基础实现的介绍，如果想让外网Client访问内网Server，我们应该怎么做呢？下期分享防火墙NAT Server实现方式：

下期再见！！

责任编辑：