關(guān)于防火墻

防火墻，其實就是用于實現(xiàn)Linux下訪問控制的功能的，它分為硬件和軟件防火墻兩種。無論是在哪個網(wǎng)絡(luò)中，防火墻工作的地方一定是在網(wǎng)絡(luò)的邊緣。而我們的任務(wù)就是需要去定義到底防火墻如何工作，這就是防火墻的策略、規(guī)則，以達到讓它對出入網(wǎng)絡(luò)的IP、數(shù)據(jù)進行檢測。

目前市面上比較常見的有三、四層的防火墻，叫做網(wǎng)絡(luò)層的防火墻，還有七層的防火墻，其實是代理層的網(wǎng)關(guān)。對于TCP/IP的七層模型來講，我們知道第三層是網(wǎng)絡(luò)層，三層的防火墻會在這層對源地址和目標地址進行檢測。但對于七層的防火墻，不管你源端口或者目標端口，源地址或者目標地址是什么，都將對你所有的東西進行檢查。所以，對于設(shè)計原理來講，七層防火墻更加安全，但是這卻帶來了效率更低。所以市面上通常的防火墻方案，都是兩者相互結(jié)合的。

NAT

網(wǎng)絡(luò)地址轉(zhuǎn)換（Network Address Translation）簡稱為NAT，是將IP數(shù)據(jù)包包頭中的IP地址轉(zhuǎn)換為另一個IP地址。當IP數(shù)據(jù)包通過設(shè)備時，設(shè)備會把IP數(shù)據(jù)包的源IP地址和/或者目的IP地址進行轉(zhuǎn)換。在實際應(yīng)用中，NAT主要用于私有網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)或外部網(wǎng)絡(luò)訪問私有網(wǎng)絡(luò)的情況。

要設(shè)置一個服務(wù)器防火墻，就要使用規(guī)則，每個規(guī)則指定在包中與什么匹配，以及對包執(zhí)行什么操作。

NAT的基本轉(zhuǎn)換過程

設(shè)備執(zhí)行NAT功能時，處于公有網(wǎng)絡(luò)和私有網(wǎng)絡(luò)的連接處。下圖描述了NAT的基本轉(zhuǎn)換過程：

如上圖所示，設(shè)備處于私有網(wǎng)絡(luò)和公有網(wǎng)絡(luò)的連接處。當內(nèi)部PC（10.1.1.2）向外部服務(wù)器（202.1.1.2）發(fā)送一個IP包時，IP包將通過設(shè)備。設(shè)備查看包頭內(nèi)容，發(fā)現(xiàn)該IP包是發(fā)向公有網(wǎng)絡(luò)的，然后它將IP包1的源地址10.1.1.2換成一個可以在Internet上選路的公有地址202.1.1.1，并將該IP包發(fā)送到外部服務(wù)器，與此同時，設(shè)備還在網(wǎng)絡(luò)地址轉(zhuǎn)換表中記錄這一映射。外部服務(wù)器給內(nèi)部PC發(fā)送IP包1的應(yīng)答報文（其初始目的地址為202.1.1.1），到達設(shè)備后，設(shè)備再次查看包頭內(nèi)容，然后查找當前網(wǎng)絡(luò)地址轉(zhuǎn)換表的記錄，用內(nèi)部PC的私有地址10.1.1.2替換目的地址。這個過程中，設(shè)備對PC和Server來說是透明的。對外部服務(wù)器來說，它認為內(nèi)部PC的地址就是202.1.1.1，并不知道10.1.1.2這個地址。因此，NAT“隱藏”了企業(yè)的私有網(wǎng)絡(luò)。

設(shè)備的NAT功能

設(shè)備的NAT功能將內(nèi)部網(wǎng)絡(luò)主機的IP地址和端口替換為設(shè)備外部網(wǎng)絡(luò)的地址和端口，以及將設(shè)備的外部網(wǎng)絡(luò)地址和端口轉(zhuǎn)換為內(nèi)部網(wǎng)絡(luò)主機的IP地址和端口。也就是“私有地址+端口”與“公有地址+端口”之間的轉(zhuǎn)換。

設(shè)備通過創(chuàng)建并執(zhí)行NAT規(guī)則來實現(xiàn)NAT功能。NAT規(guī)則有兩類，分別為源NAT規(guī)則（SNAT Rule）和目的NAT規(guī)則（DNAT Rule）。SNAT轉(zhuǎn)換源IP地址，從而隱藏內(nèi)部IP地址或者分享有限的IP地址；DNAT轉(zhuǎn)換目的IP地址，通常是將受設(shè)備保護的內(nèi)部服務(wù)器（如WWW服務(wù)器或者SMTP服務(wù)器）的IP地址轉(zhuǎn)換成公網(wǎng)IP地址。

結(jié)語

以上就是防火墻的NAT介紹！

天下數(shù)據(jù)Web應(yīng)用防火墻（云WAF）是基于 AI 引擎的一站式 Web 業(yè)務(wù)運營風險防護方案，幫助用戶應(yīng)對網(wǎng)站入侵，漏洞利用，掛馬，篡改，后門，爬蟲Bot，域名劫持等安全問題，為組織網(wǎng)站及Web業(yè)務(wù)安全運營保駕護航。詳詢天下數(shù)據(jù)客服400-6388-808。

本文鏈接：http://m.51huadong.com/cloundnews/11003626.html