什么是雙向NAT

　　雙向NAT指的是在轉換過程中同時轉換報文的源信息和目的信息。雙向NAT不是一個單獨的功能，而是源NAT和目的NAT的組合。雙向NAT是針對同一條流，在其經過防火墻時同時轉換報文的源地址和目的地址

外網用戶訪問內部服務器

當外部網絡中的用戶訪問內部服務器時，使用該雙向NAT功能同時轉換該報文的源和目的地址可以避免在內部服務器上設置網關，簡化配置。

當Host訪問Server時，FW的處理過程如下：

1. FW對匹配雙向NAT處理的策略的報文進行地址轉換。

2. FW從目的NAT地址池中選擇一個私網IP地址替換報文的目的IP地址，同時使用新的端口號替換報文的目的端口號。

3. 判斷是否滿足安全策略的要求，通過安全策略后從源NAT地址池中選擇一個私網IP地址替換報文的源IP地址，同時使用新的端口號替換報文的源端口號，并建立會話表，然后將報文發(fā)送至Intranet。

4. FW收到Server響應Host的報文后，通過查找會話表匹配到建立的表項，將報文的源地址和目的地址替換為原先的IP地址，將報文源和目的端口號替換為原始的端口號，然后將報文發(fā)送至Internet

私網用戶訪問內部服務器

私網用戶與內部服務器在同一安全區(qū)域同一網段時，私網用戶希望像外網用戶一樣，通過公網地址來訪問內部服務器的場景。

當Host訪問Server時，FW的處理過程如下：

1. FW對匹配雙向NAT處理的策略的報文進行地址轉換。

2. FW從目的NAT地址池中選擇一個私網IP地址替換報文的目的IP地址，同時使用新的端口號替換報文的目的端口號。

3. 判斷是否滿足安全策略的要求，通過安全策略后從源NAT地址池中選擇一個公網IP地址替換報文的源IP地址，同時使用新的端口號替換報文的源端口號，并建立會話表，然后將報文發(fā)送至Server。

4. FW收到Server響應Host的報文后，通過查找會話表匹配到建立的表項，將報文的源地址和目的地址替換原先的IP地址，將報文源和目的端口號替換為原始的端口號，然后將報文發(fā)送至host。

雙向NAT實驗

• 上一篇：防火墻雙機熱備-VRRP技術介紹
• 下一篇：Cisco 7600系列路由器防御 DoS 攻擊