防火墙NAT策略处理流程

---

防火墙NAT策略处理流程

整个流程是一个严格的、顺序执行的决策链，其核心逻辑在于：先处理"目的"，再决定路由，最后处理"源" 。

第一阶段：入站与目的地址转换

1. 接收报文

   • 防火墙从任意接口接收到一个数据包。

2. 匹配NAT Server策略？

   • 判断 ：检查数据包的目的IP地址和端口，是否匹配一条预先配置的NAT Server（服务器映射）规则。
   • 是 → 执行目的NAT。将数据包的目的IP和端口转换为映射的内网服务器地址和端口。然后跳转到第4步（查找路由表）。
   • 否 → 继续下一步。

3. 匹配目的NAT策略？

   • 判断 ：检查是否匹配其他类型的目的NAT 策略（这可能是一种更通用或基于策略的目的转换，而不仅仅是静态的服务器映射）。
   • 是 → 执行目的NAT。转换目的地址。
   • 否 → 继续下一步。
   • 至此，所有关于"目的"的转换都已处理完毕。

第二阶段：路由决策与安全审查

4. 查找路由表

   • 根据经过目的NAT转换后的数据包目的IP地址，查询路由表，决定这个数据包应该从哪个接口转发出去。

5. 路由是否存在？

   • 否 → 流程结束，丢弃报文。
   • 是 → 继续下一步。

6. 匹配安全策略？

   • 判断：根据数据包的源/目的地址、端口、协议等信息，检查是否有一条安全策略允许此流量通过。
   • 禁止 → 流程结束，丢弃报文。
   • 允许 → 继续下一步。这是报文能够继续转发的关键许可。

第三阶段：出站与源地址转换

7. 匹配源NAT策略？
   • 判断 ：检查数据包的源IP地址是否匹配源NAT 策略（例如：NAT Static、出接口地址、NAT地址池等）。
   • 是 → 执行源NAT。将数据包的源IP地址（和端口）转换为公网地址（和端口）。
   • 否 → 保持源地址不变。

第四阶段：会话建立与转发

8. 创建会话

   • 将这条连接的五元组（源IP、目的IP、源端口、目的端口、协议）以及双向的NAT转换关系记录到会话表中。后续的返回报文将直接根据此会话表进行反向转换，无需再次匹配所有策略。

9. 发送报文

   • 将经过完整处理的数据包从正确的接口发送出去。

---

核心逻辑与要点提炼

• 顺序是铁律 ：目的NAT → 路由 → 安全策略 → 源NAT。这个顺序确保了：

  1. 路由查询基于真实的内网目的地址。
  2. 安全策略基于真实的路由路径进行判断。
  3. 源地址转换在出站前最后执行，符合"出门伪装"的逻辑。

• "迎客"与"出门"的对应：

  • 外网访问内网服务器 ：报文在阶段一（第2步） 命中NAT Server，完成"迎客"。它的源地址通常在阶段三（第7步） 不会被转换（除非配置了特殊策略）。
  • 内网访问外网 ：报文跳过阶段一 ，在阶段三（第7步） 命中源NAT（如NAT Static），完成"出门伪装"。

• 会话表是核心：它记录了NAT的双向"合同"，使得返回流量能够正确还原地址，保证通信的完整性。

这个流程精确地解释了不同NAT类型如何协同工作，共同构建了防火墙的地址转换基石。