基于IP地址的目的地址转换

╰+哭是因爲堅強的太久メ 2024-03-23 18:58 51阅读 0赞

#### 基本需求 ####

由于来自INTERNET的对政府、企业的网络攻击日益频繁，因此需要对内网中向外网提供访问服务的关键设备进行有效保护。采用目的地址NAT可以有效地将内部网络地址对外隐藏。

![db5c1aca2e904f5fa946143d88a4e403.png][]

图中：公网Internet用户需要通过防火墙访问WEB服务器，为了隐藏服务器在内网中的真实地址172.16.1.2，使用公网地址202.99.27.201作为用户的访问地址。

#### 配置要点 ####

*  定义区域资源：area\_eth1。
 *  定义WEB服务器真实地址对应地址资源。
 *  定义WEB服务器的公网虚拟IP地址资源。
 *  定义地址转换策略。

#### WebUI配置步骤 ####

1）选择 **资源管理** **>** **区域**，点击“添加”，定义区域资源。

设置内网区域area\_eth0与属性eth0绑定且禁止访问。

![1f795d1b58fe4c048b722e9076cc9023.png][]

外网区域area\_eth1与属性eth1绑定且允许访问。

![4fb8d219f21349be9466969835e0e3cc.png][]

2) 定义WEB服务器的内网真实地址资源。

选择 **资源管理** **>** **地址**，选择“主机”页签，点击“添加”，系统出现添加主机资源的页面，如下图所示。![0f8ad9952cad4fb59cfdbb0ffc627e74.png][]

3）定义WEB服务器的公网IP地址资源

选择 **资源管理** **>** **地址**，选择“主机”页签，点击“添加”，系统出现添加主机资源的页面，如下图所示。

![5183f919daa648fd810f647cb2eea3c5.png][]

4）定义目的地址转换策略

在导航菜单选择 **防火墙** **>** **地址转换**，进入地址转换规则列表界面，点击“添加”进入NAT规则配置界面，如下图所示，选择“目的转换”选项设定目的地址转换策略。

![a4b0b80be8ca40db9eb7913c23820c44.png][]

a）选择“源”页签，打开“高级”属性设置按钮，添加NAT规则的源，在“选择源AREA”中选择源区域为area\_eth1。

![c82dc83a334b40238554a4c93d392e60.png][]

b）选择“目的”页签添加NAT规则的目的，WEB服务器的公网IP地址资源：MAP\_IP。

![d9b72a1cc7924ce989c592068807f3b6.png][]

c）选择“服务”页签，选择服务HTTP（TCP：80）。

![6a8e998f39fb4faabf2f17db2cbe5e7b.png][]

d）设置目的地址转换规则。定义目的地址转换为固定地址的转换规则：设置转换后的地址为WEB\_server如下图所示。

![44201a8c14eb4f56a95bff10d231b5b2.png][]

启用规则”处选择启用，此为默认选项。

“目的地址转换为”中选择WEB\_server。

“目的端口转换为”由于内网WEB服务器用标准的80端口向外网提供WEB服务，因此选择“不作转换”

设置完成后，点击“确定”按钮，完成目的NAT规则设置。

#### CLI配置步骤 ####

1）设置区域area\_eth1，定义缺省属性为允许访问：

\#**define area add name** *area\_eth1* **access** on **attribute** *eth1*

设置区域area\_eth0，定义缺省属性为禁止访问：

\#**define area add name** *area\_eth0* **access** off **attribute** *eth0*

2）定义WEB服务器真实地址资源：

\#**define host add name** *WEB\_server* **ipaddr** *172.16.1.2*

3）定义WEB服务器公网地址资源

\#**define host add name** *MAP\_IP* **ipaddr** *202.99.27.201*

4）设置地址转换规则

\#**nat policy add** **srcarea** *area\_eth1* **orig\_dst** *MAP\_IP* **orig\_service** *http* **trans\_dst** *WEB\_server*

#### 注意事项 ####

1）定义目的地址转换策略时，只需目的地址，不能指定目的区域或目的VLAN。

2）如果WEB服务器提供WEB服务使用的不是标准的80端口，而是自定义的端口号，则定义地址转换策略时，在“目的端口转换为”处应填写服务器的真实应用端口。具体配置方法请参见“基于端口的目的地址转换”配置案例。

[db5c1aca2e904f5fa946143d88a4e403.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/903af34f25c747c081b020e758518863.png
[1f795d1b58fe4c048b722e9076cc9023.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/1f1ed67009df4f37b11ceaa29414779d.png
[4fb8d219f21349be9466969835e0e3cc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/2817a39cbdac422ca25123d4318dc95f.png
[0f8ad9952cad4fb59cfdbb0ffc627e74.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/bfd1acf0f1774149b5bc6b04e492c233.png
[5183f919daa648fd810f647cb2eea3c5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/f067dc6f0913464b84cae5b5db928838.png
[a4b0b80be8ca40db9eb7913c23820c44.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/2dd3ea90e7154dd786c62f60592dbfda.png
[c82dc83a334b40238554a4c93d392e60.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/9485f660bd714d4baf0facd15316def5.png
[d9b72a1cc7924ce989c592068807f3b6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/34134707cf14476db3d92228a63fc9e8.png
[6a8e998f39fb4faabf2f17db2cbe5e7b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/4ae7ff485f334aedb60e5880f29f32d7.png
[44201a8c14eb4f56a95bff10d231b5b2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/9bbe037bb9d34ebbbe507b28c8945251.png