HCIESecurityDay9：5个实验理解NATServer

作者：mobiledu2502860957 | 来源：互联网 | 2023-09-24 18:25

NATServer与目的NAT的区别和联系NATServer是一种静态目的NAT技术，与基于策略的静态目的NAT一样，都可以用于解决私网IP与公网IP

NAT Server与目的NAT的区别和联系

NAT Server是一种静态目的NAT技术&＃xff0c;与基于策略的静态目的NAT一样&＃xff0c;都可以用于解决私网IP与公网IP存在固定映射关系的场景&＃xff0c;但是基于策略的目的NAT在一条策略中可以匹配多个地址段&＃xff0c;且支持地址排除功能&＃xff0c;配置更为灵活。NAT Server可以逐条配置地址转换关系&＃xff0c;命令简单清晰。

两者还有如下区别

1、nat server 配置后创建静态server-map表项&＃xff0c;destination-nat不创建

2、nat server 优先级高于destination-nat&＃xff0c;首包到达防火墙后先进行nat server处理查server-map表&＃xff0c;查不到server-map表的情况下&＃xff0c;再进行destination-nat处理

3、nat server不配置no-reverse的情况下&＃xff0c;双向都可以进行nat转换&＃xff0c;destination-nat只能单向nat转换。

实验一&＃xff1a;公网用户通过NAT Server访问内部服务器

需求和拓扑

某公司在网络边界处部署了FW作为安全网关。为了使私网Web服务器和FTP服务器能够对外提供服务&＃xff0c;需要在FW上配置NAT Server功能。除了公网接口的IP地址外&＃xff0c;公司还向ISP申请了一个IP地址&＃xff08;1.1.1.10&＃xff09;作为内网服务器对外提供服务的地址。网络环境如图1所示&＃xff0c;其中Router是ISP提供的接入网关。

操作步骤

1、配置接口地址&＃xff0c;划分安全区域

2、配置路由

ip route-static 2.2.2.0 255.255.255.0 1.1.1.254

3、配置安全区域

security-policyrule name 1source-zone untrustdestination-zone dmzsource-address 2.2.2.0 mask 255.255.255.0destination-address 10.2.0.0 mask 255.255.255.0service ftpservice httpservice icmpaction permit

4、配置nat server

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.7 ftp no-reverse
nat server 1 protocol tcp global 1.1.1.10 www inside 10.2.0.8 www no-reverse
nat server 2 protocol icmp global 1.1.1.10 inside 10.2.0.7 no-reverse

验证和分析

不做任何操作&＃xff0c;直接检查fw的server-map

[f1]dis fire server-map
2022-02-11 00:57:51.620 Current Total Server-map : 3Type: Nat Server, ANY -> 1.1.1.10:80[10.2.0.8:80], Zone:---, protocol:tcpVpn: public -> publicType: Nat Server, ANY -> 1.1.1.10[10.2.0.7], Zone:---, protocol:icmpVpn: public -> publicType: Nat Server, ANY -> 1.1.1.10:21[10.2.0.7:21], Zone:---, protocol:tcpVpn: public -> public

在公网client上分别访问1.1.1.10提供的ftp和http服务后&＃xff0c;检查fw的session table

[f1]dis fire sess table
2022-02-11 00:57:54.200 Current Total Sessions : 2ftp VPN: public --> public 2.2.2.2:2049 &＃43;-> 1.1.1.10:21[10.2.0.7:21]http VPN: public --> public 2.2.2.2:2051 --> 1.1.1.10:80[10.2.0.8:80]

在访问了ftp服务后&＃xff0c;再检查一次server-map表项&＃xff0c;发现多了一条aspf表项&＃xff0c;说明ftp的数据通道也是由aspf动态建立的。

Type: ASPF, 2.2.2.2 -> 1.1.1.10:2049[10.2.0.7:2049], Zone:---Protocol: tcp(Appro: ftp-data), Left-Time:00:00:00Vpn: public -> public

如果我们使用ftp主动模式&＃xff0c;这条aspf的server-map表项是下面这样的。

Type: ASPF, 10.2.0.7[1.1.1.10] -> 2.2.2.2:2053, Zone:---Protocol: tcp(Appro: ftp-data), Left-Time:00:00:13Vpn: public -> public

可见建立方向是不同的&＃xff0c;相同点是始发方向都不会确定端口号&＃xff0c;这当然没法做到像session table那样的精确和安全&＃xff0c;但这毕竟只是临时通道&＃xff0c;你可以理解成它是对多通道协议的妥协&＃xff0c;但同时又何尝不是一种迂回和捷径呢&＃xff1f;

我们如果和上一篇讲目的NAT的实验进行对比的话&＃xff0c;很容易发现它的优点&＃xff0c;配置简单&＃xff0c;不需要再配置地址池和nat-policy&＃xff0c;甚至我们还可以不去做no-reverse的限制&＃xff0c;让私网设备主动去访问公网&＃xff0c;但同时我们也发现它并不能做到目的nat那样的灵活应用&＃xff0c;比如我们只有一个公网地址&＃xff0c;就没有办法让公网用户同时ping通私网的不同设备&＃xff0c;但是在目的nat中&＃xff0c;我们就可以使用端口对地址的映射来解决&＃xff08;参考&＃xff09;。

谁更优秀呢&＃xff1f;很难给你准确的答案啊&＃xff0c;只能说具体场景具体判断吧。当然这也正是网工的魅力所在。

实验二&＃xff1a;双出口环境下公网用户通过NAT Server访问内部服务器&＃xff08;双出口属于不同安全区域&＃xff09;

需求和拓扑

某公司在网络边界处部署了FW作为安全网关&＃xff0c;通过两个ISP接入Internet。为了使私网FTP服务器能够对外提供服务&＃xff0c;需要在FW上配置指定zone参数的NAT Server功能。除了公网接口的IP地址外&＃xff0c;公司还向ISP1和ISP2分别申请了1.1.1.10和2.2.2.10作为内网服务器对外提供服务的地址。网络环境如图所示&＃xff0c;其中Router是ISP1和ISP2提供的接入网关。

操作步骤

1、配置接口地址和安全区域

2、配置路由

ip route-static 1.1.2.0 255.255.255.0 1.1.1.254
ip route-static 1.1.3.0 255.255.255.0 2.2.2.254

3、配置安全策略

security-policyrule name 1source-zone untrust1source-zone untrust2destination-zone trustdestination-address 10.2.0.0 mask 255.255.255.0service ftpaction permit

4、配置nat server

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.10 ftp no-reverse
nat server 1 protocol tcp global 2.2.2.10 ftp inside 10.2.0.10 ftp no-reverse

验证和分析

检查server-map表项

[f1]dis fire server-map
2022-02-11 11:27:52.940 Current Total Server-map : 2Type: Nat Server, ANY -> 2.2.2.10:21[10.2.0.10:21], Zone:---, protocol:tcpVpn: public -> publicType: Nat Server, ANY -> 1.1.1.10:21[10.2.0.10:21], Zone:---, protocol:tcpVpn: public -> public

server-map表项的内容只有目的地址和端口转换前后的信息&＃xff0c;不包括源地址和端口的信息。将表项翻译成文字就是&＃xff1a;任意客户端向2.2.2.10&＃xff1a;21发起访问时&＃xff0c;报文的目的地址和端口就会被转换成10.2.0.10&＃xff1a;21。

检查session table

[f1]dis fire sess table
2022-02-11 11:27:47.460 Current Total Sessions : 2ftp VPN: public --> public 1.1.2.1:2049 &＃43;-> 1.1.1.10:21[10.2.0.10:21]ftp VPN: public --> public 1.1.3.1:2049 &＃43;-> 2.2.2.10:21[10.2.0.10:21]

实验三&＃xff1a;双出口环境下公网用户通过NAT Server访问内部服务器&＃xff08;双出口属于同一安全区域&＃xff09;

需求和拓扑

某公司在网络边界处部署了FW作为安全网关&＃xff0c;通过两个ISP接入Internet。为了使私网FTP服务器能够对外提供服务&＃xff0c;需要在FW上配置指定no-reverse参数的NAT Server功能。除了公网接口的IP地址外&＃xff0c;公司还向ISP1和ISP2分别申请了1.1.1.10和2.2.2.10作为内网服务器对外提供服务的地址。

操作步骤

1、配置接口地址和安全区域

2、配置路由

ip route-static 1.1.2.0 255.255.255.0 1.1.1.254
ip route-static 1.1.3.0 255.255.255.0 2.2.2.254

双出口环境中&＃xff0c;还需要考虑两个ISP中的公网用户使用哪个公网地址访问私网服务器的问题。如果防火墙上只是配置了缺省路由&＃xff0c;那么私网的回包就可能从错误的出接口发出&＃xff0c;不能回到始发者。所以要配置明细路由&＃xff0c;让防火墙严格按照公网地址选路&＃xff0c;但是如果公网地址数量很大&＃xff0c;配置起来工作量就很大&＃xff0c;不太现实....

防火墙提供了源进源出功能&＃xff0c;即&＃xff1a;请求报文从哪条路径进入&＃xff0c;响应报文就依然沿着同样的路径返回&＃xff0c;而不用查路由表来确定出接口&＃xff0c;保证了报文从同一个接口进出。

所以&＃xff0c;这一步也可以不配置路由而是用源进源出配合默认网关搞定。

具体命令是

[FW] interface GigabitEthernet 1/0/1
redirect-reverse next-hop 1.1.1.254
gateway 1.1.1.254
[FW] interface GigabitEthernet 1/0/2
redirect-reverse next-hop 2.2.2.254
gateway 2.2.2.254

3、配置安全策略

security-policyrule name 1source-zone untrustdestination-zone trustdestination-address 10.2.0.0 mask 255.255.255.0service ftpaction permit

4、配置nat server

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.10 ftp no-reverse
nat server 1 protocol tcp global 2.2.2.10 ftp inside 10.2.0.10 ftp no-reverse

注意这里一定要加no-reverse。不配的话都没有办法敲下命令。

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.10 ftp
nat server 1 protocol tcp global 2.2.2.10 ftp inside 10.2.0.10 ftp
Error:Incomplete command found at &＃39;^&＃39; position.

验证和分析

为什么要加no-reverse呢&＃xff1f;我们可以分析以下&＃xff0c;如果可以不加no-reverse&＃xff0c;就可以生成反向的server-map表项&＃xff0c;这个表项一定是目的地址和端口转换前后都是any的。具体应该是这样的。

Type: Nat Server Reverse, 10.2.0.10[1.1.1.10] -> ANY, Zone:---, protocol:tcp
Vpn: public -> public, counter: 1
Type: Nat Server Reverse, 10.2.0.10[2.2.2.10] -> ANY, Zone:---, protocol:tcp
Vpn: public -> public, counter: 1

第一条吧报文的源地址由10.2.0.10转换为1.1.1.10&＃xff0c;另一条把报文的源地址由10.2.0.10转换为2.2.2.10&＃xff0c;除此之外&＃xff0c;两条表项是完全一样的。那作为防火墙&＃xff0c;如果这样的报文来了&＃xff0c;我该怎么处理呢&＃xff1f;我凌乱了。

所以一定要加上no-reverse&＃xff0c;这样就不会生成反向的server-map表&＃xff0c;也不会出现上面的问题了。

那如果我们非得实现私网服务器主动访问公网的需求呢&＃xff1f;比如我们想知道公网的client在线否&＃xff0c;那我们只有在nat server的基础上再做源nat了。

做源nat的话稍微有点麻烦。首先得做trust到untrust的安全策略。

security-policy
rule name 2source-zone trustdestination-zone untrustsource-address 10.2.0.10 mask 255.255.255.255service icmpaction permit

其次得配置源nat地址池&＃xff0c;因为我们只有两个公网地址&＃xff0c;所以只好复用他们了。不过逻辑上还是讲得通&＃xff0c;因为nat server时也是使用它们做私网server的公网地址嘛。

nat address-group 1 0mode patsection 0 1.1.1.10 nat address-group 2 0mode patsection 0 2.2.2.10

最后做源nat策略&＃xff0c;注意要根据两个地址池做两个策略哦。&＃xff08;哎&＃xff0c;确实麻烦了&＃xff09;

nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.2.0.10 mask 255.255.255.255destination-address 1.1.2.1 mask 255.255.255.255action source-nat address-group 1rule name 2source-zone trustdestination-zone untrustsource-address 10.2.0.10 mask 255.255.255.255destination-address 1.1.3.1 mask 255.255.255.255action source-nat address-group 2

实验四&＃xff1a;双出口环境下不同ISP的公网用户通过同一个公网IP地址访问内部服务器&＃xff08;源进源出&＃xff09;

需求和拓扑

某公司在网络边界处部署了FW作为安全网关&＃xff0c;通过两个ISP接入Internet。公司内网的FTP服务器只向ISP1申请了一个公网IP地址&＃xff08;1.1.1.10&＃xff09;对外提供服务&＃xff0c;ISP1和ISP2的外网用户都通过ISP1的这个公网地址访问FTP服务器。

操作步骤

1、配置接口地址和安全区域

2、配置源进源出和默认网关

interface GigabitEthernet1/0/1ip address 1.1.1.1 255.255.255.0gateway 1.1.1.254redirect-reverse next-hop 1.1.1.254interface GigabitEthernet1/0/2ip address 2.2.2.2 255.255.255.0gateway 2.2.2.254redirect-reverse next-hop 2.2.2.254

3、配置安全策略

security-policyrule name 1destination-zone trustdestination-address 10.2.0.0 mask 255.255.255.0service ftpaction permit

4、配置nat server

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.10 ftp no-reverse

5、r1/r2/r3配静态路由

//R1
ip route-static 1.1.10.0 255.255.255.0 1.1.1.1
ip route-static 3.3.3.3 255.255.255.255 13.1.1.3
//R2
ip route-static 1.1.1.10 255.255.255.255 2.2.2.2
ip route-static 3.3.3.3 255.255.255.255 23.1.1.3
//R3形成负载
ip route-static 1.1.1.10 255.255.255.255 13.1.1.1
ip route-static 1.1.1.10 255.255.255.255 23.1.1.2

验证和分析

登录后检查fw的session table和server-map

[f1]dis fire server-map
2022-02-11 14:28:29.730 Current Total Server-map : 2Type: ASPF, 3.3.3.3 -> 1.1.1.10:2050[10.2.0.10:2050], Zone:---Protocol: tcp(Appro: ftp-data), Left-Time:00:00:12Vpn: public -> publicType: Nat Server, ANY -> 1.1.1.10:21[10.2.0.10:21], Zone:---, protocol:tcpVpn: public -> public[f1]dis fire sess table
2022-02-11 14:28:31.090 Current Total Sessions : 3ftp-data VPN: public --> public 3.3.3.3:2052 --> 1.1.1.10:2050[10.2.0.10:2050
]ftp VPN: public --> public 3.3.3.3:2049 &＃43;-> 1.1.1.10:21[10.2.0.10:21]ftp VPN: public --> public 3.3.3.3:2051 &＃43;-> 1.1.1.10:21[10.2.0.10:21]
[f1]

实验五&＃xff1a;私网用户使用公网地址访问内部服务器

需求和拓扑

某公司在网络边界处部署了FW作为安全网关。为了使私网Web服务器和FTP服务器能够对外提供服务&＃xff0c;需要在FW上配置NAT Server功能。另外&＃xff0c;和两台服务器同在一个安全区域&＃xff0c;并且IP地址同在一个网段的PC D也需要访问这两台服务器。由于公司希望PC D可以使用公网地址访问内部服务器&＃xff0c;因此还需要在FW上配置源NAT功能。

除了公网接口的IP地址外&＃xff0c;公司还向ISP申请了两个公网IP地址&＃xff0c;其中1.1.1.10作为内网服务器对外提供服务的地址&＃xff0c;1.1.1.11作为PC D地址转换后的公网地址。网络环境如图1所示&＃xff0c;其中Router是ISP提供的接入网关。

操作步骤

1、配置接口地址和安全区域

2、不需要配置路由

3、不需要配置安全策略

4、配置nat server

nat server 0 protocol tcp global 1.1.1.10 ftp inside 10.2.0.8 ftp no-reversenat server 1 protocol tcp global 1.1.1.10 8080 inside 10.2.0.7 www no-reverse

5、配置源NAT和地址池

nat address-group 1 0mode patsection 0 1.1.1.11 1.1.1.11
nat-policyrule name 1source-zone trustdestination-zone trustsource-address 10.2.0.6 mask 255.255.255.255service ftpservice httpaction source-nat address-group 1

验证和分析

[f1]dis fire sess table
2022-02-11 14:42:22.520 Current Total Sessions : 2ftp-data VPN: public --> public 10.2.0.6:2050[1.1.1.11:2050] --> 1.1.1.10:204
9[10.2.0.8:2049]ftp VPN: public --> public 10.2.0.6:2049[1.1.1.11:2048] &＃43;-> 1.1.1.10:21[10.2.
0.8:21]
http VPN: public --> public 10.2.0.6:2060[1.1.1.11:2049] --> 1.1.1.10:8080[10
.2.0.7:80][f1]dis fire server-map
2022-02-11 14:42:27.110 Current Total Server-map : 3Type: ASPF, 10.2.0.6[1.1.1.11] -> 1.1.1.10:2049[10.2.0.8:2049], Zone:---Protocol: tcp(Appro: ftp-data), Left-Time:00:00:03Vpn: public -> publicType: Nat Server, ANY -> 1.1.1.10:8080[10.2.0.7:80], Zone:---, protocol:tcpVpn: public -> publicType: Nat Server, ANY -> 1.1.1.10:21[10.2.0.8:21], Zone:---, protocol:tcpVpn: public -> public

以上实验拓扑和完整配置已打包&＃xff0c;关注并回复nat server获得。

推荐阅读

format
WordPress Duplicator 0.4.4 版本存在跨站脚本攻击漏洞分析

在对WordPress Duplicator插件0.4.4版本的安全评估中，发现其存在跨站脚本（XSS）攻击漏洞。此漏洞可能被利用进行恶意操作，建议用户及时更新至最新版本以确保系统安全。测试方法仅限于安全研究和教学目的，使用时需自行承担风险。漏洞编号：HTB23162。 ... [详细]

蜡笔小新 2024-11-10 13:16:43
spring
优化后的标题：深入探讨网关安全：将微服务升级为OAuth2资源服务器的最佳实践

本文深入探讨了如何将微服务升级为OAuth2资源服务器，以订单服务为例，详细介绍了在POM文件中添加 `spring-cloud-starter-oauth2` 依赖，并配置Spring Security以实现对微服务的保护。通过这一过程，不仅增强了系统的安全性，还提高了资源访问的可控性和灵活性。文章还讨论了最佳实践，包括如何配置OAuth2客户端和资源服务器，以及如何处理常见的安全问题和错误。 ... [详细]

蜡笔小新 2024-11-09 16:13:27
express
兆芯X86 CPU架构的演进与现状（国产CPU系列）

本文详细介绍了兆芯X86 CPU架构的发展历程，从公司成立背景到关键技术授权，再到具体芯片架构的演进，全面解析了兆芯在国产CPU领域的贡献与挑战。 ... [详细]

蜡笔小新 2024-11-14 15:04:34
express
EST：西湖大学鞠峰组污水厂病原菌与土著反硝化细菌是多重抗生素耐药基因的活跃表达者...

点击蓝字关注我们编译：祝新宇校稿：鞠峰、袁凌论文ID原名：PathogenicandIndigenousDenitrifyingBacte ... [详细]

蜡笔小新 2024-11-13 21:09:41
format
CentOS 7 中配置开机自动挂载 NFS 的解决方案

本文详细介绍了在 CentOS 7 系统中配置 fstab 文件以实现开机自动挂载 NFS 共享目录的方法，并解决了常见的配置失败问题。 ... [详细]

蜡笔小新 2024-11-13 12:05:24
match
DVWA学习笔记系列：深入理解CSRF攻击机制

DVWA学习笔记系列：深入理解CSRF攻击机制 ... [详细]

蜡笔小新 2024-11-11 13:19:51
ip
Java Socket 关键参数详解与优化建议

Java Socket 的 API 虽然被广泛使用，但其关键参数的用途却鲜为人知。本文详细解析了 Java Socket 中的重要参数，如 backlog 参数，它用于控制服务器等待连接请求的队列长度。此外，还探讨了其他参数如 SO_TIMEOUT、SO_REUSEADDR 等的配置方法及其对性能的影响，并提供了优化建议，帮助开发者提升网络通信的稳定性和效率。 ... [详细]

蜡笔小新 2024-11-09 21:38:05
ip
优化Nginx与PHP的高效配置方法

在优化Nginx与PHP的高效配置过程中，许多教程提供的配置方法存在诸多问题或不良实践。本文将深入探讨这些常见错误，并详细介绍如何正确配置Nginx和PHP，以实现更高的性能和稳定性。我们将从Nginx配置文件的基本指令入手，逐步解析每个关键参数的最优设置，帮助读者理解其背后的原理和实际应用效果。 ... [详细]

蜡笔小新 2024-11-09 18:24:15
ip
Linux网络配置详解：Firewalld与Netfilter机制解析及iptables应用

在Linux系统中，网络配置是至关重要的任务之一。本文详细解析了Firewalld和Netfilter机制，并探讨了iptables的应用。通过使用`ip addr show`命令来查看网卡IP地址（需要安装`iproute`包），当网卡未分配IP地址或处于关闭状态时，可以通过`ip link set`命令进行配置和激活。此外，文章还介绍了如何利用Firewalld和iptables实现网络流量控制和安全策略管理，为系统管理员提供了实用的操作指南。 ... [详细]

蜡笔小新 2024-11-09 12:37:55
spring
MySQL初级篇——字符串、日期时间、流程控制函数的相关应用

文章目录：1.字符串函数2.日期时间函数2.1获取日期时间2.2日期与时间戳的转换2.3获取年月日、时分秒、星期数、天数等函数2.4时间和秒钟的转换2. ... [详细]

蜡笔小新 2024-11-14 10:57:02
spring
Spring中的线程池处理机制

本文介绍了Spring 2.0引入的TaskExecutor接口及其多种实现，包括同步和异步执行任务的方式。文章详细解释了如何在Spring应用中配置和使用这些线程池实现，以提高应用的性能和可管理性。 ... [详细]

蜡笔小新 2024-11-14 10:13:01
spring
JavaWeb文件上传：前端实现与后端处理详解

在JavaWeb开发中，文件上传是一个常见的需求。无论是通过表单还是其他方式上传文件，都必须使用POST请求。前端部分通常采用HTML表单来实现文件选择和提交功能。后端则利用Apache Commons FileUpload库来处理上传的文件，该库提供了强大的文件解析和存储能力，能够高效地处理各种文件类型。此外，为了提高系统的安全性和稳定性，还需要对上传文件的大小、格式等进行严格的校验和限制。 ... [详细]

蜡笔小新 2024-11-11 19:50:46
format
如何使用 `org.apache.poi.openxml4j.opc.PackagePart` 类中的 `loadRelationships()` 方法及其代码示例详解

如何使用 `org.apache.poi.openxml4j.opc.PackagePart` 类中的 `loadRelationships()` 方法及其代码示例详解 ... [详细]

蜡笔小新 2024-11-10 07:30:36
ip
如何通过登录PHP网站实现校园内外差异化访问：内部免费而外部需付费

该大学网站采用PHP和MySQL技术，在校内可免费访问某些外部收费资料数据库。为了方便学生校外访问，建议通过学校账号登录实现免费访问。具体方案可包括利用学校服务器作为代理，结合身份验证机制，确保合法用户在校外也能享受免费资源。 ... [详细]

蜡笔小新 2024-11-10 03:11:33
ip
利用Struts1构建简易计算器：采用DispatchAction处理请求，动态Form优化开发流程，提供用户友好的错误提示

本文介绍了如何利用Struts1框架构建一个简易的四则运算计算器。通过采用DispatchAction来处理不同类型的计算请求，并使用动态Form来优化开发流程，确保代码的简洁性和可维护性。同时，系统提供了用户友好的错误提示，以增强用户体验。 ... [详细]

蜡笔小新 2024-11-09 19:48:22

mobiledu2502860957

这个家伙很懒，什么也没留下！

Tags | 热门标签

RankList | 热门文章