防火墻技術(shù)-12.1基于windowsnat實(shí)驗(yàn)上

防火墻技術(shù)基于windows的NAT防火墻實(shí)驗(yàn)121NAT技術(shù)介紹2源NAT技術(shù)實(shí)驗(yàn)3目的NAT技術(shù)實(shí)驗(yàn)4安裝RRAS5利用RRAS實(shí)現(xiàn)NAT目錄為什么使用NAT？使用單個(gè)IP地址支持基本的TCP負(fù)載分配沒(méi)有足夠的全局唯一的IP地址供網(wǎng)絡(luò)中的主機(jī)用來(lái)連接到internet更換internet服務(wù)提供商后，需要對(duì)網(wǎng)絡(luò)進(jìn)行重新編址合并兩個(gè)使用重疊地址空間的內(nèi)部網(wǎng)絡(luò)NAT實(shí)施NAT優(yōu)點(diǎn)：節(jié)省公共地址可減少編址方案重疊的情況發(fā)生將私有網(wǎng)絡(luò)轉(zhuǎn)化成公網(wǎng)時(shí)，無(wú)需要重新進(jìn)行編址NAT缺點(diǎn)：NAT會(huì)增加延遲無(wú)法進(jìn)行端到端的IP跟蹤NAT使某些在有效負(fù)載中使用IP地址的應(yīng)用無(wú)法運(yùn)行NAT術(shù)語(yǔ)內(nèi)部/外部：IP主機(jī)相對(duì)于NAT設(shè)備的物理位置。本地/全局：用戶相對(duì)于NAT設(shè)備的位置或視角。NAT術(shù)語(yǔ)參數(shù)描述內(nèi)部本地IP地址分配給內(nèi)部網(wǎng)絡(luò)中的主機(jī)的IP地址，通常這種地址來(lái)自RFC1918指定的私有地址空間。內(nèi)部全局IP地址內(nèi)部全局IP地址，對(duì)外代表一個(gè)或多個(gè)內(nèi)部本地IP地址，通常這種地址來(lái)自全局惟一的地址空間，通常是ISP提供的。外部全局IP地址外部網(wǎng)絡(luò)中的主機(jī)的IP地址，通常來(lái)自全局可路由的地址空間。外部本地IP地址在內(nèi)部網(wǎng)絡(luò)中看到的外部主機(jī)的IP地址，通常來(lái)自RFC1918定義的私有地址空間。簡(jiǎn)單轉(zhuǎn)換條目將一個(gè)IP地址映射到另一個(gè)IP地址（通常被稱為網(wǎng)絡(luò)地址轉(zhuǎn)換）的轉(zhuǎn)換條目。擴(kuò)展轉(zhuǎn)換條目將一個(gè)IP地址和端口對(duì)映射到另一個(gè)IP地址和端口（通常被稱為端口地址轉(zhuǎn)換）對(duì)的轉(zhuǎn)換條目。地址轉(zhuǎn)換技術(shù)分類(lèi)源NAT技術(shù)靜態(tài)地址轉(zhuǎn)換動(dòng)態(tài)地址轉(zhuǎn)換端口地址轉(zhuǎn)換（PAT）目的NAT技術(shù)7源NAT技術(shù)靜態(tài)NAT：按照一一對(duì)應(yīng)的方式將每個(gè)內(nèi)部IP地址轉(zhuǎn)換為一個(gè)外部IP地址，這種方式經(jīng)常用于企業(yè)網(wǎng)的內(nèi)部設(shè)備需要能夠被外部網(wǎng)絡(luò)訪問(wèn)到時(shí)。動(dòng)態(tài)NAT：將一個(gè)內(nèi)部IP地址轉(zhuǎn)換為一組外部IP地址（地址池）中的一個(gè)IP地址。超載（Overloading）NAT：動(dòng)態(tài)NAT的一種實(shí)現(xiàn)形式，利用不同端口號(hào)將多個(gè)內(nèi)部IP地址轉(zhuǎn)換為一個(gè)外部IP地址，也稱為PAT、NAPT或端口復(fù)用NAT。靜態(tài)NAT靜態(tài)NAT：按照一一對(duì)應(yīng)的方式將每個(gè)內(nèi)部IP地址轉(zhuǎn)換為一個(gè)外部IP地址，這種方式經(jīng)常用于企業(yè)網(wǎng)的內(nèi)部設(shè)備需要能夠被外部網(wǎng)絡(luò)訪問(wèn)到時(shí)。動(dòng)態(tài)NAT動(dòng)態(tài)NAT：將一個(gè)內(nèi)部IP地址轉(zhuǎn)換為一組外部IP地址（地址池）中的一個(gè)IP地址。多端口NAPTNAPT是動(dòng)態(tài)NAT的一種實(shí)現(xiàn)形式，NAPT利用不同的端口號(hào)將多個(gè)內(nèi)部IP地址轉(zhuǎn)換為一個(gè)外部IP地址，NAPT也稱為PAT或端口級(jí)復(fù)用NAT。目的NAT技術(shù)目的NAT也稱端口映射。采用nat技術(shù)的防火墻用來(lái)發(fā)布DMZ區(qū)域中某一端口服務(wù)的技術(shù)。例如：當(dāng)將NAT外網(wǎng)端口地址的80端口映射為內(nèi)網(wǎng)一臺(tái)Web服務(wù)器的80端口，那么當(dāng)外網(wǎng)用戶訪問(wèn)nat外端口地址的80端口時(shí)，請(qǐng)求會(huì)被轉(zhuǎn)發(fā)到內(nèi)網(wǎng)web服務(wù)器的80端口。202.1.2.3:80--------10.10.10.100:80源地址：172.16.0.66目標(biāo)地址：202.106.0.68源端口：8080目標(biāo)端口：80源地址：202.106.0.68目標(biāo)地址:172.16.0.66源端口：80目標(biāo)端口：8080源地址：202.106.0.68目標(biāo)地址:202.46.0.83源端口：80目標(biāo)端口：80源地址：202.46.0.83目標(biāo)地址：202.106.0.68源端口：80目標(biāo)端口：80NAT服務(wù)器NAT客戶機(jī)WEB服務(wù)器202.106.0.68202.46.0.83172.16.0.66NAT工作過(guò)程N(yùn)AT工作過(guò)程（續(xù)）對(duì)于向外發(fā)出的數(shù)據(jù)包，NAT服務(wù)器將源IP地址和源TCP/UDP端口號(hào)轉(zhuǎn)換成一個(gè)公有的源IP地址和可能改變的端口號(hào)對(duì)于流入內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包，NAT服務(wù)器將目的地址和TCP/UDP端口轉(zhuǎn)換成私有的IP地址和最初的TCP/UDP端口號(hào)151NAT技術(shù)介紹2源NAT技術(shù)實(shí)驗(yàn)3目的NAT技術(shù)實(shí)驗(yàn)4安裝RRAS5利用RRAS實(shí)現(xiàn)NAT目錄實(shí)驗(yàn)案例1：PAT實(shí)現(xiàn)源NAT技術(shù)實(shí)驗(yàn)環(huán)境描述：在外網(wǎng)Internet有服務(wù)器，地址為100.100.100.200,上面部署了多種服務(wù)，要求內(nèi)網(wǎng)用戶可以通過(guò)nat技術(shù)轉(zhuǎn)換訪問(wèn)Internet，技術(shù)采用源PAT技術(shù)。16LANInternet內(nèi)網(wǎng)客戶端192.168.20.11/24NAT服務(wù)器web服務(wù)器192.168.20.250/24100.100.100.100/24IP地址：100.100.100.200/24網(wǎng)關(guān)：100.100.100.100/24內(nèi)網(wǎng)客戶端192.168.20.12/24實(shí)驗(yàn)案例2：多端口NAT技術(shù)實(shí)驗(yàn)環(huán)境描述：在NAT服務(wù)器外網(wǎng)端口，有從ISP分配到的100.100.100.100-110等一段地址，內(nèi)網(wǎng)通過(guò)多端口PAT技術(shù)訪問(wèn)Internet。17LANInternet內(nèi)網(wǎng)客戶端192.168.20.11/24NAT服務(wù)器web服務(wù)器192.168.20.250/24100.100.100.100/24100.100.100.101/24…100.100.100.110/24IP地址：100.100.100.200/24網(wǎng)關(guān)：100.100.100.100/24內(nèi)網(wǎng)客戶端192.168.20.12/24181NAT技術(shù)介紹2源NAT技術(shù)實(shí)驗(yàn)3目的NAT技術(shù)實(shí)驗(yàn)4安裝RRAS5利用RRAS實(shí)現(xiàn)NAT目錄目的NAT技術(shù)目的NAT也稱端口映射。采用nat技術(shù)的防火墻用來(lái)發(fā)布DMZ區(qū)域中某一端口服務(wù)的技術(shù)。例如：當(dāng)將NAT外網(wǎng)端口地址的80端口映射為內(nèi)網(wǎng)一臺(tái)Web服務(wù)器的80端口，那么當(dāng)外網(wǎng)用戶訪問(wèn)nat外端口地址的80端口時(shí)，請(qǐng)求會(huì)被轉(zhuǎn)發(fā)到內(nèi)網(wǎng)web服務(wù)器的80端口。202.1.2.3:80--------10.10.10.100:80實(shí)驗(yàn)案例3：目的NAT技術(shù)實(shí)驗(yàn)環(huán)境描述：在內(nèi)網(wǎng)192.168.20.11上開(kāi)啟了3389端口，配置NAT服務(wù)器的DNAT技術(shù)，實(shí)現(xiàn)Internet用戶在訪問(wèn)100.100.100.101時(shí)，訪問(wèn)20.11的遠(yuǎn)程桌面。20LANInternet內(nèi)網(wǎng)客戶端192.168.20.11/24NAT服務(wù)器web服務(wù)器192.168.20.250/24100.100.100.100/24100.100.100.101/24…100.100.100.110/24IP地址：100.100.100.200/24網(wǎng)關(guān)：100.100.100.100/24內(nèi)網(wǎng)客戶端192.168.20.12/24211NAT技術(shù)介紹2源NAT技術(shù)實(shí)驗(yàn)3目的NAT技術(shù)實(shí)驗(yàn)4安裝RRAS5利用RRAS實(shí)現(xiàn)NAT目錄遠(yuǎn)程訪問(wèn)服務(wù)概述遠(yuǎn)程訪問(wèn)服務(wù)(RemoteAccessService，RAS)允許客戶機(jī)通過(guò)撥號(hào)連接或虛擬專用網(wǎng)連接到公司局域網(wǎng),訪問(wèn)局域網(wǎng)資源RAS通常應(yīng)用于出差人員訪問(wèn)公司內(nèi)部局域網(wǎng)總公司與分公司之間實(shí)現(xiàn)網(wǎng)絡(luò)互訪22遠(yuǎn)程訪問(wèn)服務(wù)概述23遠(yuǎn)程訪問(wèn)服務(wù)提供了兩種連接方式撥號(hào)網(wǎng)絡(luò)虛擬專用網(wǎng)絡(luò)(VPN)內(nèi)部網(wǎng)絡(luò)RAS服務(wù)器公共網(wǎng)絡(luò)撥號(hào)用戶VPN用戶VPN撥號(hào)連接虛擬專用連接拔號(hào)網(wǎng)絡(luò)組件拔號(hào)網(wǎng)絡(luò)客戶端遠(yuǎn)程訪問(wèn)服務(wù)器WAN結(jié)構(gòu)遠(yuǎn)程訪問(wèn)協(xié)議LAN協(xié)議24RAS服務(wù)器調(diào)制解調(diào)器調(diào)制解調(diào)器內(nèi)部網(wǎng)絡(luò)公共交換電話網(wǎng)PSTN

綜合業(yè)務(wù)數(shù)字網(wǎng)ISDN

非對(duì)稱數(shù)字用戶線ADSL

點(diǎn)到點(diǎn)協(xié)議PPP串行線路網(wǎng)際協(xié)議SLIPMicrosoftRAS協(xié)議

TCP/IP,IPX,NetBEUI

VPN概述25家庭辦公I(xiàn)nternetVPN通道上海分公司北京總公司VPN服務(wù)器在公網(wǎng)上為兩個(gè)局域網(wǎng)開(kāi)辟一條安全的數(shù)據(jù)傳輸隧道節(jié)約成本，提高安全性虛擬專用網(wǎng)（VirtualPrivateNetwork，VPN）穿越公用網(wǎng)絡(luò)（如Internet）、安全的、點(diǎn)對(duì)點(diǎn)的連接VPN組件VPN客戶端VPN服務(wù)器隧道VPN連接隧道協(xié)議PPTPL2TPSSTP傳輸互聯(lián)網(wǎng)絡(luò)26LANInternet隧道VPN客戶端VPN服務(wù)器案例：配置遠(yuǎn)程訪問(wèn)服務(wù)某公司規(guī)模較大，有員工需要經(jīng)常出差，并且在出差期間需要訪問(wèn)位于公司內(nèi)部的文件服務(wù)器。應(yīng)如何解決這個(gè)問(wèn)題？27LANInternetVPN客戶機(jī)VPN服務(wù)器文件服務(wù)器200.100.100.1/24172.16.0.1/24200.100.100.2/24IP地址:172.16.0.2/24網(wǎng)關(guān):172.16.0.1/24案例：配置遠(yuǎn)程訪問(wèn)服務(wù)推薦步驟安裝路由與遠(yuǎn)程訪問(wèn)角色服務(wù)激活路由與遠(yuǎn)程訪問(wèn)服務(wù)配置遠(yuǎn)程訪問(wèn)服務(wù)器屬性配置端口配置用戶拔入權(quán)限配置客戶端連接28案例：配置遠(yuǎn)程訪問(wèn)服務(wù)安裝路由與遠(yuǎn)程訪問(wèn)角色激活路由與遠(yuǎn)程訪問(wèn)服務(wù)29案例：配置遠(yuǎn)程訪問(wèn)服務(wù)30配置遠(yuǎn)程訪問(wèn)服務(wù)器屬性常規(guī)安全I(xiàn)Pv4IPv6PPP安全日志案例：配置遠(yuǎn)程訪問(wèn)服務(wù)配置設(shè)備和端口設(shè)備是提供建立點(diǎn)到點(diǎn)連接端口的硬件或軟件調(diào)制解調(diào)器虛擬專用網(wǎng)絡(luò)協(xié)議設(shè)備可以支持一個(gè)或多個(gè)端口管理員可以更改設(shè)備的配置31案例：配置遠(yuǎn)程訪問(wèn)服務(wù)配置用戶拔入權(quán)限拔入權(quán)限限制用戶是否可以連接服務(wù)器32案例：配置遠(yuǎn)程訪問(wèn)服務(wù)配置客戶端連接客戶端新建VPN連接連接VPN服務(wù)器訪問(wèn)公司文件服務(wù)器33341NAT技術(shù)介紹2源NAT技術(shù)實(shí)驗(yàn)3