返回首页
当前位置: 网站首页>>协议大全>>NAT协议>>

高级NAT配置实例

时间:2008-09-10 来源: 作者: 点击:
最近一台CheckPoint防火墙出了问题:在事件查看器中可以查到No License for Routers的错误,经常死机。这个错误在CheckPoing文档中没有记录, 据说是有一个路由器管理模块没有购买。最后发现,其实只要在安装正式License时不要将试用License去掉就没有这个问题。 在等待
    最近一台CheckPoint防火墙出了问题:在事件查看器中可以查到“No License for Routers”的错误,经常死机。这个错误在CheckPoing文档中没有记录, 据说是有一个“路由器管理模块”没有购买。最后发现,其实只要在安装正式License时不要将试用License去掉就没有这个问题。
  在等待有关方面支持的同时,我们将该防火墙撤下来,暂时用路由器实现原来由防火墙完成的地址转换、访问控制等部分功能,新旧拓朴图如下:
   
  设置方法比较简单:
  如果临时使用的交换机SW不支持VLAN,则可以在路由器内网端口上使用secondary address,注意这样做会把DMZ跟内网出口混在一起,要在内网多层交换机上设置好访问控制列表,阻止通过DMZ入侵内网。配置形如:
  interface FastEthernet0/0
  ip address 202.1.1.1 255.255.255.252
  ip access-group 101 in
  ip nat outside
   !
  interface FastEthernet1/0
  ip address 192.168.1.254 255.255.255.0 secondary
  ip address 10.0.0.1 255.255.255.0
  ip nat inside
   !
  ip nat pool inet 202.2.2.1 202.2.2.9 netmask 255.255.255.0
  ip nat inside source list 1 pool inet overload
  ip nat inside source static 192.168.1.230 202.2.2.230
  ip nat inside source static 192.168.1.231 202.2.2.231
  ip classless
  ip route 0.0.0.0 0.0.0.0 202.1.1.2
  ip route 10.0.0.0 255.0.0.0 10.0.0.254
   !
  access-list 1 permit 10.0.0.0 0.0.0.255
  access-list 101 permit tcp any any established
  access-list 101 permit tcp any host 202.2.2.230 eq domain
  access-list 101 permit tcp any host 202.2.2.231 eq www
  如果SW支持VLAN,则可以路由器端口做Trunk, 或用不同的路由器端口分别连接不同VLAN,使DMZ与Inside分开。
   需要注意的是,内网的多层交换机上一般用默认路由指向出口的路由器/防火墙,现在路由器用静态路由指向内网,这里有形成环路的危险。因为在内网,10.0.0.0/8被子网化,如果一台机器访问10.0.0.0/8中一个不存在的子网时,多层交换机只有默认路由匹配而将包转发到出口路由器,而出口路由器路由表中最匹配的是指向多层交换机的10.0.0.0/8, 所以将包返回给多层交换机。这其实是一种路由汇总问题, 解决的方法是是多层交换机上设定: ip route 10.0.0.0 255.0.0.0 null 0。
  上面的拓朴图是只有一个出口的情况,如果该客户除了Internet出口,还有到上级单位HQ的出口,拓朴图如:
  
  这时候配置就有点难度了,要做两个NAT:
  interface Ethernet0
  ip address 192.168.1.254 255.255.255.0
  ip nat inside
  ip policy route-map out
   !
  interface Serial0
  description connect to Internet
  ip address 202.1.1.1 255.255.255.0
  ip nat outside
   !
  interface Serial1
  description connect to HQ
  ip address 10.221.1.1 255.255.255.0
  ip nat outside
   !
  ip nat inside source route-map o202 interface Serial0 overload
  ip nat inside source route-map o10 interface Serial1 overload
  ip classless
  ip route 10.0.0.0 255.0.0.0 10.221.1.254
  ip route 0.0.0.0 0.0.0.0 202.1.1.2
   !
  access-list 101 deny ip any 10.0.0.0 0.255.255.255
  access-list 101 permit ip any any
  access-list 102 permit ip any 10.0.0.0 0.255.255.255
  route-map o202 permit 10
  match ip address 101
  set interface Serial0
   !
  route-map o10 permit 10
  match ip address 102
  set interface Serial1
   !
  route-map out permit 10
  match ip address 102
  set interface Serial1
   !
  route-map out permit 20
  match ip address 101
  set interface Serial0
   !
  感觉Checkpoint的总体拥有成本比较高,比如技术支持的费用,软件升级费用等,不是一般的用户能吃得消的。相比之下Cisco的产品技术被较多的人掌握,技术支持和软件升级等成本比较低,总体拥有成本相对就会低得多。Cisco价格透明虽然将价格竞争白热化,使集成商无利可图,但对用户来说却不是坏事。对集成商来说,也许是时候把增值服务和产品分开销售了。
------分隔线----------------------------
顶一下
(3)
75%
踩一下
(1)
25%
------分隔线----------------------------
最新评论 查看所有评论
发表评论 查看所有评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 密码: 验证码:
推荐内容
  • 组建NAT服务器组

    基于NAT的网络规划曾经有一个朋友问我,他们单位有一个100台机器的大机房,要实现每一...

  • PPPoE + NAT设置

    电信最近力推的ADSL是一种性能价格比较好的Internet接入方式,适用于只需访问Internet...

  • 在cisco2621路由器上配置NAT

    Router#sh run Building configuration... Current configuration: ! version 12.0 se...

  • cisco设备配置NAT

    ! version 12.0 service timestamps debug uptime service timestamps log uptime no ...

  • IPsec与NAT共存

    现在,网络安全和网络地址转换的应用已经十分广泛。单就其中任何一种技术来说,都是很...

  • NAT协议的原理

    IP地址耗尽促成了CIDR的开发,但CIDR开发的主要目的是为了有效的使用现有的internet地...