思科ASA系列防火墻NAT解析

文/白海 郭代麗

思科ASA系列防火墻NAT解析

文/白海1郭代麗2

網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT, Network Address Translation)屬接入廣域網(wǎng)(WAN)技術(shù)，是一種將私有（保留）地址轉(zhuǎn)化為合法IP地址的轉(zhuǎn)換技術(shù)，它被廣泛應(yīng)用于各種類型Internet接入方式和各種類型的網(wǎng)絡(luò)中。防火墻都運(yùn)行NAT，主要原因是：公網(wǎng)地址不夠使用；隱藏內(nèi)部IP地址，增加安全性；允許外網(wǎng)主機(jī)訪問DMZ。

動(dòng)態(tài)NAT和PAT

在圖1中，內(nèi)部主機(jī)訪問外網(wǎng)和DMZ時(shí)，都需要轉(zhuǎn)換源地址，配置方法如下：

FW(config)# nat (inside) 1 10.0.1.0 255.255.255.0指定需要轉(zhuǎn)換的源地址。其NAT ID為1。用于匹配global命令中的NAT ID。

FW(config)# global (outside) 1 61.136.150.10-61.136.150.20

油菜技術(shù)組利用高產(chǎn)創(chuàng)建這個(gè)平臺(tái)，開展了品種比較、密度、免耕、夏播、煙后舊膜利用、地膜油菜、油菜-蠶豆套種、油菜-蘿卜等蔬菜間作、油菜-玉米套種、品種展示等試驗(yàn)示范32組次，讓項(xiàng)目區(qū)農(nóng)戶看得到、學(xué)得到，提高了群眾科學(xué)種田的積極性，努力為山區(qū)農(nóng)民節(jié)本增收探索新途徑。

指定用于替代源地址的地址池。其NAT ID為“1”，表明內(nèi)口NAT ID為1的地址將被替換為地址池中的地址。該方式即為動(dòng)態(tài)NAT。

FW(config)# global (dmz) 1 10.0.2.20

指定用于替代源地址的唯一地址。其NAT ID為“1”，表明內(nèi)口NAT ID為1的地址都將被替換為同一地址（10.0.2.20）。該方式即為動(dòng)態(tài)PAT。

在預(yù)處理工藝試驗(yàn)結(jié)果基礎(chǔ)上進(jìn)行響應(yīng)面設(shè)計(jì)，采用Design-Expert 8.0.5軟件對(duì)試驗(yàn)數(shù)據(jù)進(jìn)行回歸分析，并預(yù)測(cè)最佳配方。通過最小二乘法擬合二次多項(xiàng)方程，分析4個(gè)因素不同水平對(duì)馬鈴薯脆片綜合評(píng)價(jià)的影響。

收到來自內(nèi)網(wǎng)的IP包后，防火墻首先根據(jù)路由表確定應(yīng)將包發(fā)往哪個(gè)接口，然后執(zhí)行地址轉(zhuǎn)換。

靜態(tài)NAT

在圖1中，為使外部用戶可訪問DMZ中的服務(wù)器，除適當(dāng)應(yīng)用ACL外，還需將服務(wù)器的IP地址（10.0.2.1）映射（靜態(tài)轉(zhuǎn)換）為公網(wǎng)地址（如61.136.151.1），靜態(tài)轉(zhuǎn)換命令如下：本例中子網(wǎng)掩碼為255.255.255.255，表示只轉(zhuǎn)換一個(gè)IP

特點(diǎn)：占用的資源較少。內(nèi)、外部主機(jī)均可主動(dòng)建立連接，如圖3所示。

靜態(tài)PAT

在圖1中，欲完成10.0.2.1:8080（TCP）到61.136.152.1:80（TCP）的靜態(tài)映射，命令如下：

在不斷的實(shí)踐過程中，高職院校實(shí)驗(yàn)課程教學(xué)團(tuán)隊(duì)建設(shè)仍然存在片面認(rèn)知和不夠重視的情況，其主要原因有以下幾點(diǎn)。

NAT前后，源地址不變

啟用NAT控制后（通常NAT控制都處于啟用狀態(tài)），內(nèi)部主機(jī)的地址必須經(jīng)過NAT，方可與其他接口所連接的網(wǎng)絡(luò)進(jìn)行通信。在實(shí)踐中，有時(shí)某些源地址并無改變的必要，甚至不允許改變。

要求：內(nèi)部子網(wǎng)125.221.40.0/24在NAT后，地址與真實(shí)地址相同。

據(jù)了解，瑞豐生態(tài)投產(chǎn)應(yīng)用的“碳能結(jié)晶”技術(shù)作為一款具有國(guó)際領(lǐng)先地位的新型肥料產(chǎn)品的生產(chǎn)工藝，目前在國(guó)內(nèi)還未廣泛應(yīng)用。“碳能結(jié)晶”工藝技術(shù)利用了生物酶的催化作用，將有機(jī)酸類水溶性碳營(yíng)養(yǎng)物質(zhì)和無機(jī)鹽類大中微量元素養(yǎng)分反應(yīng)形成復(fù)鹽結(jié)晶，通過該工藝升級(jí)的新型功能肥料產(chǎn)品的水溶性得到了進(jìn)一步提高，對(duì)于土壤修護(hù)、植物碳營(yíng)養(yǎng)補(bǔ)充也具有良好的功效。

解決方法一:“Identity NAT”

特點(diǎn)：支持策略NAT（本文不涉及），僅允許內(nèi)部主機(jī)主動(dòng)建立連接，如圖2所示。

圖2 單向連接

內(nèi)網(wǎng)主機(jī)通過域名訪問DMZ中WWW服務(wù)器的過程標(biāo)示于圖4-2-4中：①內(nèi)網(wǎng)主機(jī)運(yùn)行瀏覽器，向DNS服務(wù)器發(fā)送DNS請(qǐng)求；②DNS服務(wù)器以地址61.136.151.1回復(fù)；③防火墻接收到回復(fù)報(bào)文后，送DNS檢測(cè)引擎進(jìn)行處理。檢測(cè)引擎檢索到NAT配置“static (dmz,outside) 61.136.151.1 10.0.2.1 dns”，將DNS回復(fù)報(bào)文中的地址61.136.151.1改寫為10.0.2.1（NAT配置中的關(guān)鍵字DNS是必須的，否則防火墻不進(jìn)行改寫操作）；④將經(jīng)過修改后DNS回復(fù)送內(nèi)網(wǎng)主機(jī)；⑤內(nèi)網(wǎng)主機(jī)向DMZ中的服務(wù)器發(fā)送HTTP請(qǐng)求。

特點(diǎn)：可指定目的接口，內(nèi)、外部主機(jī)均可主動(dòng)建立連接，如圖3所示。

解決方法三：“NAT exemption”

地址。若參數(shù)形如“10.0.2.0 61.136.151.0 netmask 255.255.255.0”，則表示要完成一個(gè)子網(wǎng)到另一個(gè)子網(wǎng)的靜態(tài)轉(zhuǎn)換。

圖3 雙向連接

NAT與DNS記錄重寫

在圖4所示場(chǎng)景中，DMZ中服務(wù)器的真實(shí)地址（10.0.2.1）已映射為外部地址（61.136.151.1）。DNS服務(wù)器位于外網(wǎng)，其中包含可將syr.tgcep.edu.cn解析為外部地址61.136.151.1的A記錄。

外網(wǎng)用戶可通過域名或外部地址正常訪問WWW服務(wù)器。內(nèi)部用戶可通過真實(shí)地址（10.0.2.1）訪問WWW服務(wù)器，但是，如果內(nèi)部用戶需要通過域名訪問WWW服務(wù)器，則需要將域名解析為真實(shí)地址10.0.2.1。

可以在啟用防火墻的DNS檢測(cè)功能（在默認(rèn)情況下，該功能處于啟用狀態(tài)）后，通過DNS記錄重寫實(shí)現(xiàn)這一功能。

致：富士通掃描儀用戶、合作伙伴

小學(xué)生思維、理解能力有限，但對(duì)新鮮事物、動(dòng)態(tài)事物、鮮艷的色彩和圖案等具有強(qiáng)烈的好奇心和興趣。因此，教師在借助微課進(jìn)行課堂教學(xué)時(shí)，應(yīng)緊緊抓住學(xué)生這一特征，將晦澀難懂的抽象知識(shí)，借助微課制作軟件，以直觀、間接的動(dòng)態(tài)視頻形式展示給學(xué)生，從而激發(fā)學(xué)生的探索興趣，集中學(xué)生的注意力。

在客戶升級(jí)版本后，如果不使用遷移命令,從外網(wǎng)的訪問將不受NAT的限制,可以正常訪問。

解決方法二:“Static Identity NAT”

ASA 8.3 的NAT

ASA 8.3 版本對(duì)NAT 的語(yǔ)法進(jìn)行了革命的改變不再支持NAT-Control，使用了更加靈活和更加易于組合object /object-group的新方式。遷移命令如下,

欲實(shí)現(xiàn)DNS重寫，需要在配置地址映射時(shí)，加入關(guān)鍵字DNS。就本例而言，相關(guān)配置如下：

（作者單位：1為三峽電力職業(yè)學(xué)院；2為三峽大學(xué)）

聲明函

竭盡全力推進(jìn)重點(diǎn)水利工程建設(shè)。加快推進(jìn)長(zhǎng)泰枋洋水利樞紐工程、蓮花水庫(kù)工程、水庫(kù)水閘除險(xiǎn)加固工程、流域整治工程建設(shè)。

步驟3 利用式(12),對(duì)模糊一致性矩陣R′ 進(jìn)行行和歸一化處理,從而求得權(quán)重向量a=(a1,a2,…,am)。

感謝廣大用戶、合作伙伴多年來對(duì)富士通掃描儀產(chǎn)品的大力支持。近期在市場(chǎng)上出現(xiàn)不正常價(jià)格的富士通掃描儀產(chǎn)品，這些低價(jià)產(chǎn)品包裝箱和機(jī)身的產(chǎn)品標(biāo)簽被惡意篡改，更甚者掃描儀內(nèi)的序列號(hào)也被更改。以上行為嚴(yán)重影響了富士通產(chǎn)品的形象及破壞市場(chǎng)秩序。我們嚴(yán)厲譴責(zé)這種不道德、嚴(yán)重的侵權(quán)行為并對(duì)參與者保留一切法律追究權(quán)利。

鑒于以上情況，我司作出以下聲明：

楊川(1999-)，男，四川工商學(xué)院電子信息工程學(xué)院學(xué)生，主要研究方向?yàn)樾盘?hào)與通信原理。E-mail:1685058064@qq.com

1. 任何富士通掃描儀產(chǎn)品機(jī)身的標(biāo)簽一旦被毀壞、改動(dòng)，一律不能享受我司正常的保修、維修及備件供應(yīng)服務(wù)；

2. 富士通對(duì)于侵權(quán)行為的參與者保留一切法律追究權(quán)利；

3. 如果對(duì)產(chǎn)品的真?zhèn)钨|(zhì)疑，請(qǐng)撥打服務(wù)熱線：800 830 6790查詢。

最后，為保障閣下的利益，在選購(gòu)富士通掃描儀產(chǎn)品時(shí)，務(wù)必選擇我司授權(quán)代理商。可登錄富士通中國(guó)網(wǎng)站 http://cn.fujitsu.com，查詢授權(quán)代理商資料。

余昌胤對(duì)記者說，通過優(yōu)質(zhì)醫(yī)療技術(shù)的創(chuàng)新引領(lǐng)，醫(yī)院大批的臨床科室積極發(fā)展各類優(yōu)質(zhì)醫(yī)療技術(shù)，尤其是在介入、微創(chuàng)、腔鏡以及內(nèi)鏡等技術(shù)領(lǐng)域取得了較大突破和進(jìn)展，多項(xiàng)技術(shù)在貴州省乃至西南地區(qū)處于領(lǐng)先水平，為患者提供了更為優(yōu)質(zhì)、高效、便捷、安全的醫(yī)療服務(wù)。近年來，患者滿意度不斷提升，住院患者滿意度均在90%以上，吸引了大批外地患者慕名前來醫(yī)院就診。

特此聲明！

富士通香港有限公司

2011年8月16日