CheckPointNat配置讲述.doc

一、概述 1.1 Nat简介 网络地址转换(NAT,Network Address Translation)被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。借助于NAT，私有(保留)地址的内部网络通过路由器发送数据包时，私有地址被转换成合法的IP地址，一个局域网只需使用少量IP地址(甚至是1个)即可实现私有地址网络内所有计算机与Internet的通信需求。 　　NAT将自动修改IP报文头申的源IP地址和目的IP地址，Ip地址校验则在NAT处理过程中自动完成。有些应用程序将源IP地址嵌入到IP报文的数据部分中，所以还需要同时对报文进行修改，以匹配IP头中已经修改过的源IP地址。否则，在报文数据都分别嵌入IP地址的应用程序就不能正常工作。 2 NAT实现方式 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat 和 端口多路复用OverLoad。 静态转换是指将内部网络的私有IP地址转换为公有IP地址，IP地址对是一对一的，是一成不变的，某个私有IP地址只转换为某个公有IP地址。借助于静态转换，可以实现外部网络对内部网络中某些特定设备(如服务器)的访问。 动态转换是指将内部网络的私有IP地址转换为公用IP地址时，IP地址对是不确定的，而是随机的，所有被授权访问上Internet的私有IP地址可随机转换为任何指定的合法IP地址。也就是说，只要指定哪些内部地址可以进行转换，以及用哪些合法地址作为外部地址时，就可以进行动态转换。动态转换可以使用多个合法外部地址集。当ISP提供的合法IP地址略少于网络内部的计算机数量时。可以采用动态转换的方式。 端口多路复用(Port address Translation,PAT)是指改变外出数据包的源端口并进行端口转换，即端口地址转换(PAT，Port Address Translation).采用端口多路复用方式。内部网络的所有主机均可共享一个合法外部IP地址实现对Internet的访问，从而可以最大限度地节约IP地址资源。同时，又可隐藏网络内部的所有主机，有效避免来自internet的攻击。因此，目前网络中应用最多的就是端口多路复用方式。Network Address Translation (NAT)通俗的来说，是通过一个地址来替换另一个地址，NAT能够改变源和目的的数据包内的IP地址，这个意思就是说，当一个内网的数据包经过防火墙NAT后去访问外网时，外网的将会看到的是和源不是相同的一个地址，相反，当从外网去访问内网的时候，外网数据包到达防火墙后会匹配防火墙中的NAT Base，随后将数据包请求丢到匹配成功的内网地址 Checkpoint安全网关支持两种模式的NAT： Static Nat:每个私网地址被静态的翻译成为相对应的公网地址，在一个内网中存在一些的客户端，而每个客户端都翻译成为不同的公网地址，这是多台客户端对多个公网地址的翻译形式，Static Nat能够允许所有的客户端通过其所处的安全网关进行互联网访问，例如，通过Static NAT，内部应用服务器能够发布到公网中 Hide Nat:一个公网地址被用于一个存在多台客户端的内网时，Hide Nat就是一对多的翻译形式，Hide Nat能够允许所有的连接通过唯一的安全网关设备 Checkpoint能够对其定义的多种Network Object进行NAT功能的实现，主要包括：网段、主机、地址池以及动态的主机，并且支持两种的配置方式，手工的NAT和自动的NAT 手工的创建NAT相对自动的NAT来说要比较灵活，举个例子来说，除了对IP地址进行翻译，你还可以对你所访问服务的目的端口进行翻译，端口号的翻译是一个Static Nat形式，只能是从一个端口翻译成为另一个端口 Checkpoint防火墙Nat具体的配置类型有以下四种： 自动Hide Nat 自动Static Nat 手工Hide Nat 手工Static Nat 2.2 Hide Nat Hide Nat是一种隐藏的NAT地址转换方式，是种一对多的方式，如同Cisco的）手工配置Hide Nat 1．定义需要被翻译和翻译后的Network Object 2．进入NAT Rule，在ORIGINAL PACKET面板中,选择需要翻译的源地址、目的地址 3.在TRANSLATED PACKET PACKET面板中，选择被翻译后的源地址，或者目的地址及服务端口,并且选择Hide模式 4．配置完成后，出现如下图： 2.3 Static Nat Static Nat是一对一的NAT地址转换方式，是将