NAT和智能选路的总结

当然不存在会话表的话，只有首包可以创建会话表（逻辑上的首包例如tcp协议的首包是svn，icmp首包一定是request请求报文，dhcp的话首包是基于udp的，udp没首包）。然后再看serverMap表，不能把端口号全部放空，我们必须知道它用的哪一个端口号，然后使用serverMap表开一个隐形通道，让它允许创会话表。然后在查看路由表，必须存在路由。在进行包过滤规则，这里就是进行安全策略的第一个动作也就是访问控制。有nat就进行nat匹配。以上看完了就创建会话表，然后在转发报文。

NAT的分类

NAT

静态NAT

动态NAT

Napt

一对多 --- easy ip

多对多的NAPT

服务器映射

静态nat是一对一

动态nat是多对多

多对一的玩法就一个easy ip，从那个接口流出来的就用哪一个接口的ip做做转发

动态nat/多对于多的napt 地址池中的地址

注意

不过选择这些之前记得配置安全策略，必须要先放空。Nat策略是一个转换的策略。安全是一个放空的策略。

一对多 --- easy ip

注意

源NAT是在安全策略之后执行转换。安全策略和安全策略的执行顺序：先安全后nat。BG区的流量是转换前的地址，先通过转换前的安全地址放通之后在做NAT转换。

安全策略关注五元组，nat会影响五元组。

多对多的NAPT

允许端口地址转换其实就是运用的napt的技术(pat)

PAT则是把内部地址映射到外部网络的一个IP地址的不同端口上。

PAT是一种将私有IP地址和端口号映射为公共IP地址和不同的端口号的技术，也称为NAPT（Network Address Port Translation）。

在PAT中，多个内部主机可以共享同一个公共IP地址，通过不同的端口号来区分不同的主机。

PAT通过修改端口号来实现多个内部主机同时使用同一个公共IP地址与外部网络通信，这种映射是一对多的关系。

健康状态检查---无非就是提前去测试。

为什么要配置黑洞路由

空接口路由-黑洞路由(防环)

黑洞路由--就是路由指向空接口

路由黑洞--就是汇总路由里有不存在的路由，最怕的是怕对方设备存在缺省。

配置 192.168.0.0 Null 0

为什么要去配置空接口路由：

配置黑洞路由就是会使公网地址池中的地址都生成一条指向其自身的空接口，这里主要是为了应对公网地址和出接口地址不在同一个网段的情况，因为在这种情况下，如果公网用户访问地址池中的公网地址，将可能造成环路，所以，需要通过空接口防环；如果公网地址池地址和出接口在同一个网段，也可以勾选该选项，这种情况下虽然不会出现环路，但是，有了这个黑洞路由，可以减少ARP报文的出现；

引出来的其他问题

这个从pc6 ping12.0.0.5 也就是FW1的1/0/1接口的漂浮地址。结果就是大量的ICMP在这个接口上看见。

在r5有路由地址到12.0.0.0/24的路由，然后FW1上面有缺省指向r5，因为从一个接口进在从同一个接口出是不会触发安全策略的，然后r5查表指向FW1

如果改成同一条网段，12.0.0.0/24

不会在出环，虽然不会ping通，为什么呢?

解决

用到这个图

走到路由表就是直连，然后就看能不能命中包过滤规则也不能命中包过滤规则跟之前也是一样的。

原因：

缺省直接发给对方设备，不需要去访问mac地址，之前那个是知道ISP的，也就是知道ISP的mac地址，发给它下一条。

直连的话需要先arp协议去本地直连路由访问去目标地址的mac地址，然后再去发，访问到了在把封装的二层发出。

又要一个问题为什么去匹配空接口不去匹配直连：

匹配空接口，没有匹配直连接口是因为最长匹配原则，空接口是32位

建议还是勾选上黑洞路由，它也会减少arp的报文。

安全区域是局域区域来进行划分的，但是最底层是局域接口来进行划分的

从一个接口进在从同一个接口出是不会触发安全策略的

三元组和五元组

（都是针对NAPT技术）

五元组NAT --- 通过源IP，源端口，目标IP，目标端口，协议五个参数来标定一次NAT的转

换，如果任何一个参数发生变化，都需要更换端口来进行转换。

三元组NAT --- 仅识别源IP，源端口和协议三个参数来区分一次NAT的链接。

端口预分配 --- 可以设定端口转换使用的端口范围

源IP地址数量限制 --- 可以设定一个公网IP地址转换的源IP地址的数量，比如设置为1，则公网IP地址在会话表老化之前，只能针对一个源IP地址进行转换

保留IP地址 ---- 可以将不需要使用的公网IP地址放置在保留IP地址中，则在进行转换的时候，不会使用该地址转换

动态nat

动态nat不会去识别服务类型，设计不到服务

主要会去产生servers-map表，有这个表就可以去转换对应的ip地址

为什么后面我改成http服务就ping不了了但是网上都是说不识别服务?

也是第一次这个流量根本没被抓住，也就压根没触发自己写的策略，所以压根不会做转换，先将这个用any ping一下，会出现一直service-map表。那个上面的只是抓流量的。有了service-map表后面在ping，这个策略依然不会命中

就是不勾端口允许转换

关于三元组的一个问题

想法和思路

Nat转换无非就是在绘画表找工写nat转换的内容，但是已经依靠service-map表重新创建会话了，压根就不需要再去匹配nat策略，不用去抓那个流量。但是老化时间到了，需要重新去触发nat策略，重新去创建表。

目标NAT

服务器映射

安全区域 ---- 写的是被允许访问该服务器设备所在的区域。

注意：源NAT的执行在安全策略之后，目标NAT的执行在安全策略之前；

双向NAT

如果pc端是基于目的的NAT到达防火墙，那么不会改变源ip地址，防火墙会改变目标ip地址，然后到达服务器时服务器就直接指向pc不会去防火墙，但是pc只认识防火墙，pc不会建邻，会直接丢包。

多出口NAT

源NAT

1，将不同的接口放置在不同的区域中，基于区域做NAT策略

2，将不同的接口放在同一个区域，基于接口做NAT策略

目标NAT

1，可以分区域配置两个服务器映射

2，也可以是同一个区域。注意，如果是同一个区域，不能将两条服务器映射策略同时

开启"允许服务器访问公网"

智能选路

就近选路 --- 根据访问的节点所在的运营商选择对应的运营商线路

策略路由

策略路由 --- PBR --- 策略路由其实也是一种策略，他不仅可以按照现有的路由表进行转发，而且可以根据用户指定的策略进行路由选择的机制，从更多维度决定报文是如何转发的。

策略路由和路由策略

策略路由
它不会影响路由表的生成，设备的路由表是已经存在而且稳定的。
路由策略
和策略路由不同，路由策略是用来影响路由表最终生成的结果的，比如我可以用 route-map 匹配 ACL 之后修改 OSPF 网络中的 COST，这样一来对应的路由在插入路由表时 COST 列就会产生相应的变化。再比如可以匹配 ACL 一些源地址信息，然后修改下一跳的出口或 IP

路由策略一般与 BGP 结合使用的比较常见。