地址转换一般分为三种情况:源地址转换(SNAT)、目的地址转换(DNAT)和双向地址转换。
一、源地址转换(SNAT):
源地址转换即内网地址访问外网时,将发起访问的内网IP地址转换为指定的IP地址,内网的多台主机可以通过同一个有效的公网IP地址访问外部网络。SNAT的特征是由内部地址主动发起连接。典型应用场景:将防火墙以路由模式部署在公网出口代理内网用户上网。
配置实例(防火墙版本8.0.7R2):
网络拓扑:
需求:网络环境如图,AF防火墙部署在网络出口,下接三层交换机,内网有PC和WEB服务器,要求:AF防火墙代理内网PC和服务器上网。
解决方案:在AF防火墙设备上做源地址转换。
步骤一:在【网络】的【接口/区域】中定义好接口地址和“区域”(WAN和LAN),在【对象】的【网络对象】中新增“内网”IP组:
步骤二:在【策略】的【地址转换】中新增“源地址转换”:
二、目的地址转换(DNAT):
目的地址转换也称为反向地址转换或地址映射。目的地址转换是一种单向的针对目标地址的地址转换,主要用于内部服务器以公网地址向外网用户提供服务的情况。DNAT的特征是由外部地址发起主动连接。
典型应用场景:
外网用户访问服务器所在网络出口线路的公网地址时,直接访问到内部服务器。(如WAN->LAN端口映射)
配置实例:
需求:网络拓扑见上面源地址转换。AF防火墙部署在网络出口,内网有WEB服务器。要求:将WEB服务器发布到公网,让公网所有用户都可以通过http://2.2.2.2访问到该服务器。
解决方案:在AF防火墙设备上做端口映射即目的地址转换。
步骤一:在【网络】的【接口/区域】中定义好接口地址和“区域”(WAN和LAN)。
步骤二:在【策略】的【地址转换】中新增“服务器映射”:
三、双向地址转换:
双向地址转换是指在一条地址转换规则中,同时包括源地址和目的地址的转换,匹配规则的数据流将被同时转换源IP地址和目标IP地址。
典型应用场景:
内网用户通过公网地址访问内网服务器(如Lan->Lan端口映射)
配置实例:
需求:网络拓扑见上面源地址转换。AF防火墙部署在网络出口,内网有WEB服务器,要求:将WEB服务器发布到公网,让公网和内网