人类现在对计算机网络的使用已经扩展到各个领域，而计算机网络的设计者当时无法想象互联网能有今天这样的规模。任何一个接入互联网的计算机、手机以及智能电视，要想在互联网中畅游，必须有一个合法的IP地址。而IP地址，曾经以为足以容纳全球的计算机，但是在今天看来，已经严重枯竭。IPV6的出现就是为了解决地址不足的问题，但在IPV6普及之前，需要有一个过渡技术——NAT。NAT的出现缓解了地址不足的问题，它可以让同一局域网内60000多用户可以同时使用一个合法IP地址访问互联网。关于Cisco设备的NAT技术，不清楚的朋友本人推荐博文——网络地址转换——NAT技术 今天主要介绍华为设备的NAT技术。

博文大纲： 一、华为设备NAT的分类； 二、如何解决源地址转换场景下的环路和无效ARP问题； 三、Server-map表的作用； 1.通过Server-map表来解决FTP数据传输的问题； 2.Server-map表在NAT中的作用； 四、NAT对报文的处理流程； 五、各种常用的NAT的配置方法； 1.NAT NO-PAT配置方式； 2.NAPT配置方式； 3.Easy-IP配置方式； 4.NAT server配置方式；

在内外网的边界，流量有出、入两个方向，所以NAT技术包含源地址转换和目标地址转换两类。一般情况下，源地址转换主要用于解决内部局域网计算机访问Internet的场景；而目标地址转换主要是用于解决Internet用户访问局域网服务器的场景，目标地址转换通常被称为服务器地址映射。

华为设备支持的源地址转换方式有：

本篇博文主要介绍前三种源地址转换。

华为设备的目标地址转换技术主要是NAT Server，可以基于IP地址转换，也可以基于“IP+端口+协议”进行转换。

在配置华为NAT转换时，经常会配置黑洞路由来解决路由环路和大量的无效ARP报文，关于其如何产生，大概就是，在有些NAT的转换方式中，是为了解决内网连接Internet，而映射出了一个公有IP，通过映射后的公网地址访问互联网。那么，若此时有人通过internet来访问这个映射出来的公有IP，就会产生路由环路及大量无效的ARP报文。若要详细说起来，又是很麻烦，但是解决这两个问题很简单，就是配置黑洞路由（将internet主动访问映射出来的地址的流量指定到空接口null 0）。这样就不会形成路由环路和产生大量ARP报文的情况。

需要配置黑洞路由的几种常见的NAT转换方式，如图：

华为的防火墙时基于状态化转发数据包，针对首个包严格执行策略检查，一旦被策略允许，将生成会话表，而同一个会话的后续包及返回报因为能够匹配会话表，将直接通过防火墙，不需要进行额外的策略检查，从而提高了转发效率。但是在有些情况下，仅仅依懒会话表不能转发某些特殊应用的流量。例如：FTP服务，其在主动模式下的工作流程图，如下： 由此可以看出，当客户端要求主动连接FTP服务器时，一点问题都没有；但是当FTP服务器主动发起请求时，就会发生FTP连接失败的情况。华为防火墙就是通过Server-map表来解决类似问题的。Server-map表记录应用层的关键信息，包括目标地址、目标端口和协议烈性，和会话表类似，匹配了Server-map表的数据流也可直接通过防火墙，如图：

这样就可以解决FTP服务器主动发起请求时，就不会导致FTP服务连接失败的情况。

Server-map表和会话表的区别：

Server-map表除了解决类似FTP服务的问题外，Server-map表也被应用在NAT技术中。当在防火墙上配置某些类型的NAT后，在防火墙上会生成server-map表，默认生成两个server-map条目，分别是正向条目和反向条目（Reverse），如图：

Server-map表在NAT中的作用是：

小结：

防火墙接口从收到一个保温到最终发送出去需要经历一系列的处理流程，而NAT只是其中一项任务。NAT的配置受到路由即安全策略的影响，所以了解NAT对报文的处理流程对配置NAT有非常大的帮助。NAT对报文的处理流程图，如下：

NAT处理报文的流程如下： （1)防火墙收到报文后，首先检查报文是否匹配Server-map中的条目，如果是，则根据表项转换报文的目标地址，然后进行步骤（3）处理；否则进行步骤（2）处理。 （2）查找是否存在目标NAT的相关配置，如果是，并且符合NAT条件，则转换目标地址后进行步骤（3）处理；否则直接进行步骤（3）处理。 （3）根据报文的目标地址查找路由表，如果存在目标路由，则进行步骤（4）处理；否则丢弃报文。 （4）依次匹配安全策略中的规则，如果策略允许报文通过，则进行步骤（5）处理；否则丢弃报文。 （5）查找是否存在源NAT的相关配置及是否符合NAT条件，如果是，则转换源地址后进行步骤（6）处理；否则直接进行步骤（6）处理。 （6）在发送报文之前创建会话，后续和返回的报文可以直接匹配会话表转发。 （7）防火墙发送报文。

**注意：**因为防火墙处理报文的顺序是目标地址转换→安全策略→源地址转换，所以在NAT环境中，安全策略的源地址应该是源地址转换之前的地址，目标地址应该是目标地址转换后的地址。

PC1通过202.106.0.20~21地址与PC2实现通信！ 建议：实验环境尽量不要使用防火墙的G0/0/0接口，该接口默认是管理接口，并且由大量的默认配置。

**注意：**NAT策略不同于安全策略，安全策略是针对经过的数据流做规则检查：匹配的数据包或者转发，或者丢弃，安全策略决定了流量能否通过防火墙；而NAT策略对经过的数据流做规则检查，匹配的数据包或者做地址转换，或者不做地址转换，NAT策略决定了哪些流量需要NAT转换。

PC进行验证： 防火墙进行验证：

实验拓补与NAT NO-PAT一样！（在NAT NO-PAT基础上也可），为了初学者可以看懂，本人就重新部署网络设备了！

PC1通过202.106.0.100地址与PC2实现通信！

PC1进行验证： 防火墙进行验证：

实验拓补与NAT NO-PAT一样！（在NAPT基础上也可），为了初学者可以看懂，本人就重新部署网络设备了！

PC1通过防火墙接口地址与PC2实现通信！

PC1进行验证： 防火墙进行验证：

互联网用户通过202.106.0.20访问DMZ区域中的FTP服务器。

验证效果：

自行进行验证！从防火墙的会话表中，可以看出效果！

———————— 本文至此结束，感谢阅读 ————————