从应用的视角谈NAT

简介

前段时间,有朋友让我介绍以下在VyOS下如何配置端口转发NAT。我查了一下资料,发现市面上介绍NAT的文章都过于学术化,甚至有些晦涩难懂。有鉴于此,本文试图从应用的视角来介绍常见的NAT及在VyOS上的配置。

从技术的角度来区分,我们常用的NAT可以分为源地址转换SNAT和目标地址转换DNAT两种类型。VyOS/EdgeOS上,两种NAT与接口和防火墙的关系可以参考下图。

下面我们就介绍NAT的各种应用场景以及配置方法。

NAT应用

SNAT

顾名思义,SNAT主要应用于从内网访问外网的场景。我们知道,一般运营商只给宽带接入分配一个IP地址。流量从WAN口出去,就必须转换为外网IP地址,否则远端服务器的回传流量无法路由回本地。

在出口为静态地址,例如192.0.0.1时,可以使用SNAT。VyOS的配置如下:

configure
set nat source rule 100 outbound-interface eth0
set nat source rule 100 translation address 192.0.0.1
commit;save;exit

Masquerade是SNAT的一种实现形式,主要应用于出口是动态地址的场景。

configure
set nat source rule 100 outbound-interface pppoe0
set nat source rule 100 translation address 'masquerade'
commit;save;exit

在某些特殊场景下,我们希望排除NAT,例如IPSec是按照两端地址进行匹配的,如果相应的流量NAT后,就源地址就会变化,导致流量无法进入隧道,这时候就需要使用下面的配置对相应的流量排除。注意,和防火墙策略一样,NAT策略是按照规格序号从小到大先后执行的,因此,需要把排除策略放到前面。

configure
set nat source rule 10 destination address '10.0.0.0/24'
set nat source rule 10 'exclude'
set nat source rule 10 outbound-interface 'eth0'
set nat source rule 10 source address '192.168.0.0/24'
commit;save;exit

端口转发

有些时候,我们会在家里部署NAS,视频监控等应用。当我们出门在外,希望能访问家里的DNS或者查看监控视频,这时候就需要用到DNAT,因为回访的流量是从外到内,目标地址是家里路由器的外网地址,进入到内网,需要转化成指定的内网设备地址。这就是我们常说的端口转发,是DNAT最常见的应用场景。

配置端口转发时,需要指定相关的协议(tcp/udp/tcp_udp)以及相应的端口号。常用的端口号可以参见Wikipedia。端口转发只适用于TCP或者UDP协议。

下面的配置将协议为TCP或者UDP,并且端口为52800或者52810的流量转发到192.168.0.100主机上。

configure
set nat destination rule 100 description 'demo dnat application'
set nat destination rule 100 inbound-interface pppoe0
set nat destination rule 100 protocol tcp_udp
set nat destination rule 100 port 52800,52810
set nat destination rule 100 translation address 192.168.0.100
commit;save;exit

1:1 NAT

在商业应用中,如果你有两个或以上的静态IP地址,你可以将其中一个IP匹配到某个服务器或者第二级路由器上。这时候就会用到1:1NAT,也就是一个外网IP对应一个内网IP,也被称作双向NAT。由于1:1NAT不受限于协议,所有流量都会被转发到内网IP,相应的该内网IP的出口流量也都使用指定的外网IP。

下面的范例中,把WAN口eth1的一个IP地址(192.0.2.30),转化为内网eth0上另一个IP地址(192.168.1.10)。

configure
set nat destination rule 2000 description '1-to-1 NAT example'
set nat destination rule 2000 destination address '192.0.2.30'
set nat destination rule 2000 inbound-interface 'eth1'
set nat destination rule 2000 translation address '192.168.1.10'
set nat source rule 2000 description '1-to-1 NAT example'
set nat source rule 2000 outbound-interface 'eth1'
set nat source rule 2000 source address '192.168.1.10'
set nat source rule 2000 translation address '192.0.2.30'
commit;save;exit

Hairping NAT

假定我们在内网运行了一个web服务器,我们可以通过DNAT开启外网访问。如果我们也要从内网访问,如果使用同样的URL,而DNS解析出来的目标地址是我们的外网地址,导致内网无法访问。这时候,就可以使用Hairping NAT来解决这个问题。

Hairping NAT的工作原理是在内网接口eth1配置地址转换,将所有来自eth1,并且是访问本地的特定端口的流量(原目标地址根据DNS解析为本地WAN口IP),转换目标地址为服务器的内网IP。

同时还要配置一个返程策略,让返回流量的源地址变换为外网IP,这样,从客户端看起来,就好像直接访问了该外网IP。

首先,我们配置一个常规的端口转发:

configure
set nat destination rule 100 description 'Regular destination NAT from external'
set nat destination rule 100 destination port 80
set nat destination rule 100 inbound-interface 'pppoe0'
set nat destination rule 100 protocol 'tcp'
set nat destination rule 100 translation address '192.168.0.100'

接下来我们配置Hairping NAT 的DNAT部分,让内网来的流量重新定位到服务器的内网IP。

set nat destination rule 110 description 'NAT Reflection: INSIDE'
set nat destination rule 110 destination port '80'
set nat destination rule 110 inbound-interface 'eth1'
set nat destination rule 110 protocol 'tcp'
set nat destination rule 110 translation address '192.168.0.100'

最后,我们再为Hairping NAT配置相应的返程策略。

set nat source rule 110 description 'NAT Reflection: INSIDE'
set nat source rule 110 destination address '192.168.0.0/24'
set nat source rule 110 outbound-interface 'eth1'
set nat source rule 110 protocol 'tcp'
set nat source rule 110 source address '192.168.0.0/24'
set nat source rule 110 translation address 'masquerade'

防火墙策略

由于WAN口的缺省防火墙策略是drop,也就是拒绝未经许可的流量。因此对于所有的DNAT,还需要配置相匹配的防火墙策略。防火墙的策略配置,请参考如何理解EdgeOS/VyOS防火墙一文。

从应用的视角谈NAT》有94个想法

  1. Кожгалантерея

    [url=https://izdeliya-iz-kozhi-moskva.ru]изделия из кожи[/url]

    Добро пожаловать на сайт интернет-магазина производителя изделий из натуральной кожи. Мы выбрали этот вещь, потому который он неподвластен времени, он вечно выглядит стильно и в то же время долговечен. Он также свидетельствует о хорошем вкусе и благородно стареет, благодаря чему служит долгие годы. Мы специализируемся на кожаных кошельках из высококачественной кожи (нубук). Общество существует более 10 лет и постоянно совершенствует внутреннее выполнение камер и карманов в соответствии с требованиями и рекомендациями наших клиентов. Таким образом, наши кошельки уже давнымдавно входят в число самых популярных кошельков для рынке
    изделия из кожи

    回复
  2. Ноотропы

    [url=https://nootropy-moskva.ru]Ноотропы в Москве[/url]

    Ноотропил содержит действующее сущность пирацетам, которое относится к группе психостимуляторов.
    Пирацетам действует, влияя для энергетические изменения в клетках центральной нервной системы (ЦНС), увеличивая использование кислорода и глюкозы.

    Ноотропил показан для лечения:

    когнитивные расстройства (такие наподобие память, мышление, ориентация, воззрение, счет, обучение, стиль и оценка), вызванные заболеванием мозга (исключая болезни Альцгеймера)
    дислексические расстройства у детей сразу с логопедом
    Ноотропы в Москве

    回复
  3. Ремонты

    [url=https://remont-v-novostrojke-pod-kljuch.ru]ремонт квартир в москве[/url]

    Улучшение квартиры: сколь стоит, якобы спланировать? Дешевый улучшение пошагово Вне зависимости через того, довольно ли ремонт в квартире большим alias маленьким, к нему следует подготовиться. Узнайте, сколько стоит улучшение квартиры, наподобие подготовиться к ремонту и с чего начать. Мы представляем вкратце советы по ремонту. Коль вы планируете заниматься улучшение в квартире, вам понадобится хорошая планировка и … интересные идеи чтобы обновления квартиры. Точная планировка ремонта квартиры позволит избежать хаоса, дорогостоящих ошибок и стресса. Прежде чем приступить к ремонту своей квартиры, подумайте в первую очередь, что вы хотите сделать, и с карандашом в руке определите, сколь денег вы можете потратить для ремонт. Рекомендуем: Прейскурант для строительные услуги. Который прейскурант на услуги сообразно ремонту ванных комнат?
    ремонт квартир в москве

    回复
  4. Телевизоры

    [url=https://rejting-televizorov.ru]рейтинг телевизоров[/url]

    Сейчас сложно представить любое местонахождение комфортным без телевизора. Современные телевизоры обладают множеством характеристик, которые могут повлиять для избрание той разве иной модели. Пройдемся методически по самым важным из них.
    Решаем вопрос с местом
    Перед покупкой загодя определите, в какое местность в доме вы поставите тож повесите телевизор и сделайте замеры. Это разом определит круг вашего поиска и не подходящие сообразно размерам модели дозволительно довольно на первом же этапе исключить.
    рейтинг телевизоров

    回复
  5. Нарколог

    [url=https://narkologicheskaya-clinica-nb.ru]наркологическая клиника[/url]

    Алкогольная и наркотическая зависимости – это главнейшие бичи человека, которые портят не всего карьеру, но также снова и разрушают организм.

    В современном мире, который просто переполнен соблазнами различного уровня, человеку сложно удержаться на плаву и избежать пагубных желаний рисковать наркотики и алкоголь.

    Бешеные ритмы жизни непроходимо многих сбивают с выбранного пути, и эти человек начинают привыкать к бутылке.
    наркологическая клиника

    回复
  6. 슬롯머신사이트

    Removing elements that cause friction with your audience isn’t always easy, sometimes it requires design tweaks that not everyone can do – but if you can, it’s well worth doing if it fits with your overall blogging strategy.
    If you are using any type of captcha’s that your readers have to fill in before they can comment – remove them.
    슬롯머신사이트

    回复
  7. 크레이지슬롯

    If you want to take things to the next level, it’s important to remember that every tactic or marketing channel you implement on your blog needs to be
    For example, there are some blog posts where I don’t actively encourage comments because I have different conversion goals (another idea I touched upon last week) such as encouraging email sign ups.
    크레이지슬롯

    回复
  8. 카지노사이트

    The benefits are there; leverage social proof, get instant feedback, get closer to your audience, develop relationships and boost engagement.
    Despite the benefits of blog comments, you need to seriously consider how they will fit into your overall blogging strategy.
    카지노사이트

    回复
  9. Видеорегистраторы

    [url=https://vybor-videoregistrator.ru]как выбрать видеорегистратор[/url]

    Выбор видеорегистратора, какой нам дают производители, баста широк. Кто-то считает, который не нуждаться отдавать больше 2 500 рублей, и рискуют попасть для ненадежную модель, обладающую ограниченным функционалом. В лучшем случае, без проблем она прослужит 3 месяца.

    Регистраторы ради 3 000 — 4 500 рублей уже более благовидный вариация, только в них обычно вышли дополнительных функций. Чаще всего покупатели выбирают модели именно из этого сегмента.
    как выбрать видеорегистратор

    回复
  10. телевизоры

    [url=https://vybrat-televizor.ru]как выбрать телевизор[/url]

    Современные телевизоры имеют Smart-платформу с медиаплеером, YouTube, онлайн-кинотеатром и магазином приложений. Но имеют отличия:

    WebOS — платформа от LG. Хорошо оптимизирована, имеет оболочку с понятным, минималистичным интерфейсом. В магазине маленький выбор приложений.

    Tizen — операционная способ, разработанная Samsung. От предыдущей отличается токмо визуально. Поддерживает систему умного дома.

    Android TV — платформа через Google. Интерфейс и производительность уступают конкурентам. В Google Take up имеется беспредельный коллекция игр и приложений.

    как выбрать телевизор

    回复
  11. idn Poker

    Ϝirszt off I would like to ѕay great bloɡ! I had a quick
    quеstion that I’d like too ask if you do not mind.
    I was curious too find out how you center yourself and clear your heaɗ before writing.

    I’ve had a tough time clearing myy thߋughts in getting my thߋughts out there.
    I do take pleasure in writing but it just seems
    like thе first 10 to 15 minnutes are wasted just trying
    to figure out how to begin. Any suggestiօns or tips?
    Thanmk you!

    my websіte – idn Poker

    回复
  12. idn poker

    ValuaƄle informɑtion. Fortunate me I found your website by chance, and I’m surprised why
    thiѕ twist of fate diid not tߋoҝ place іn advance!

    I bookmkɑrҝed it.

    Look into my blog … idn poker

    回复
  13. Техника

    [url=https://spravka-454.ru]техника и электроника[/url]

    Изначальной целью всемирной паутины было получение новой информации, изучение какого-либо материала. Всетаки люди начали внушать эту разработку практически во безвыездно области своей жизнедеятельности. Достоинство этого заключается в книга, что так век существенно упрощается. В онлайн-сферу перешло и доход нужных товаров. Сейчас, зайдя в интернет, позволительно купить буквально который угодно. Для разных сайтах продаются и платье, и мелочи, и крупная дорогая техника. Но трескать и недостатки онлайн-покупок – велик опасность столкнуться с мошенниками. Чистый этого избежать и совершить удачное приобретение?
    техника и электроника

    回复
  14. judi slot online

    Do you mind іf Iquote a coupⅼe of ʏour posts as log as I provide credit and sources
    back to your weblog? My website iѕ in the exact
    same niche as yours and my visitors would realy benefit from a lot off
    the informatіon you provide here. Please let me know if this okay with
    you. Appreciate it!

    Also visit my ѕite – judi slot online

    回复
  15. Телевизоры

    [url=https://vybor-televizora.ru]Как выбрать телевизор[/url]

    В специализированных магазинах техники представлен объемистый запас телевизоров на всякий чувство и кошелек. Расскажем, сообразно каким критериям выбрать хорошее устройство.

    1. Размер имеет важность
    Который величина обязан иметь телевизор? Это зависит от того места, где его планируют установить. Важно оценить свободное пространство чтобы техники, измерить габариты и записать их. После, с этой информацией отправитес в магазин. Позже замеры понадобятся присутствие выборе подходящей модели.

    2. Диагональ
    Диагональ подбирают в зависимости от размера помещения. Разумеется, чем она больше, тем ярче выражен эффект погружения. Однако не стоит из-за этого получать самый огромный телевизор

    Справка! Идеальной считается расстояние от 1,2 прежде 2,5 диагоналей.
    Как выбрать телевизор

    回复
  16. sg918kiss.com

    Hello! I realize this is somewhat off-topic however I needed to ask.
    Does running a well-established website such as yours require a lot of work?
    I’m brand new to operating a blog however I do write in my diary
    daily. I’d like to start a blog so I can share my personal experience and feelings online.
    Please let me know if you have any recommendations or tips for new
    aspiring bloggers. Appreciate it!

    my blog :: download ace333 ios (sg918kiss.com)

    回复
  17. love138 id test

    Wonderful beat ! I wish to apprentice while you amend your web site, how can i subscribe for a weblog site?
    The account helped me a applicable deal. I have been tiny bit acquainted of this your broadcast offered bright clear concept

    Feel free to visit my web blog … love138 id test

    回复
  18. Смартфоны

    [url=https://vybor-smartfona.ru]какой фирмы смартфон выбрать[/url]

    Перед приобретением смартфона покупатели задаются вопросом: какого производителя выбрать? Появилось большое мера брендов, обычным потребителям сложно встречать качественное складка сообразно приятной цене. В списке производители будут занимать от худшего к лучшему.
    какой фирмы смартфон выбрать

    回复
  19. Автоломбард

    [url=https://avtolombard-kredit.ru]деньги под залог[/url]

    Мы выдаем займы без залога автомобиля в городе Москва под такие транспортные средства:

    Легковые авто отечественного производства возрастом до 10 лет и иностранного до 15 лет
    Грузовой транспорт любой грузоподъемности, грузовики с открытыми и крытыми кузовами, платформами, тягачи с полуприцепами
    Спецтехника: экскаваторы, погрузчики, эвакуаторы, тракторы и т.д.
    Мотоциклы
    Рыночная стоимость определяется сотрудниками нашей компании, сумма ограничивается 3.5 млн рублей и 80% от рыночной стоимости автомобиля.
    деньги под залог

    回复
  20. zovrelioptor

    The other day, while I was at work, my cousin stole my apple ipad and tested to see if it can survive a forty foot drop, just so she can be a youtube sensation. My apple ipad is now destroyed and she has 83 views. I know this is completely off topic but I had to share it with someone!

    回复
  21. Столы

    [url=https://loft-massiv.ru]купить стол[/url]

    Дабы напрасно не потреблять деньги, нужно тщательно продумать для чего покупается питание, где он будет защищать, каким Вы его представляете и какую сумму можете потратить на его приобретение. Рано понимая, что надлежит искать, Вы сможете бегло найти подходящую сообразно всем параметрам модель.

    Нынешние производители используют ради изготовления столов разнообразные материалы, зачастую удачно комбинируя их. Самые популярные это ДСП и МДФ. Они обладают достаточной прочностью, гибкостью и долговечностью. Их цена колоссально привлекательна. Для бюджетных моделей также применяют HPL пластик. Изделия из него имеют отличный наружный ландшафт, практичны и служат долгий период. Другие намерение пластика используют чтобы изготовления легких и простых столов. Натуральное дерево довольно цениться дороже, оно имеет приманка преимущества. Каждый из перечисленных материалов около дополнении стеклом тож металлом позволяет создать оригинальную и доступную мебель.

    купить стол

    回复
  22. Комоды

    [url=https://mebel-alkor.ru]купить комод[/url]

    Перед тем как купить комод, нужно определиться в каком помещение он будет установлен. Это может быть прихожая, гостиная, спальня или детская. Чтобы не ошибиться с габаритами изделия, нужно четко знать размеры отведенного для него места. Одним из важных критериев при выборе комода является комната и ее назначение, потому что в разных помещениях он будет выполнять совершенно разные функции.
    купить комод

    回复
  23. Авточехлы

    [url=https://pokraska-vv99.ru]авто чехлы[/url]

    Всегда изделия выполнены из материалов, безопасных для человека и животных. Между подобных предложений в Красноярске авточехлы нашего магазина выделяются оптимальным соотношением характеристик и стоимости. В каталоге представлены комплекты чтобы передних и задних сидений, полные комплекты чтобы всех кресел, чехлы на одно кресло.

    На безвыездно авточехлы валюта зависит от материала, из которого они произведены. У нас есть товары из гладкой полиэстеровой ткани, прочной трехмерной сетки. Представлены модели с красочной фотопечатью. Особенно стоит выделить изделия из мягкой полиуретановой кожи. Привлекательная цена на кожаные авточехлы – одно из ряда преимуществ этого прочного, дышащего современного материала, не поддающегося морозу и жаре.
    авто чехлы

    回复
  24. http://tinyurl.com/y5fq3kda

    I do believe all of the ideas you have offered for your post.

    They’re really convincing and can certainly work. Nonetheless, the posts
    are very quick for novices. Could you please lengthen them a bit from next time?

    Thank you for the post.

    回复
  25. dating sites was

    Heya i’m for the first time here. I came across
    this board and I in finding It really useful & it helped me out much.
    I am hoping to present something back and aid others
    such as you helped me.

    回复
  26. or dating sites

    Hello there! This is kind of off topic but I need
    some guidance from an established blog. Is it difficult to set up your own blog?
    I’m not very techincal but I can figure things out pretty fast.
    I’m thinking about setting up my own but I’m not sure where to begin. Do
    you have any tips or suggestions? With thanks

    回复
  27. Регистрация

    [url=https://xn——5cdbjefpac1bb5aslga6chdvhq6hykla.xn--p1ai/]временная регистрация[/url]

    Санкт-Петербург – северная драгоценность и признанная культурная столица России, манит к себе всетаки больше активных и амбициозных людей. Приезжая сюда в стремлении реализовать приманка мечты человек сталкиваются с множеством проблем. Одна из них – уведомить королевство о своем местопребывании – оформить временную регистрацию.
    Согласно Закону РФ через 25.06.1993 N 5242-1 (ред. от 03.04.2017) “О праве граждан Российской Федерации для свободу передвижения, избрание места пребывания и жительства в пределах Российской Федерации”, ст.5: «Регистрация гражданина Российской Федерации сообразно месту пребывания производится в срок, не превышающий 90 дней со дня прибытия гражданина в жилое помещение. Регистрация по месту пребывания производится без снятия гражданина с регистрационного учета по месту жительства».
    временная регистрация

    回复
  28. this scoliosis

    Excellent goods from you, man. I’ve keep in mind your stuff prior to and you are simply extremely magnificent.
    I actually like what you have received right here, really like
    what you’re saying and the way in which during
    which you say it. You are making it enjoyable and you still
    care for to keep it wise. I cant wait to learn much
    more from you. That is really a terrific site.

    回复
  29. Матрасы

    [url=https://matras-kharkov.pp.ua]ортпедические матрасы[/url]

    Буде у вас возникают сомнения тож вопросы во эпоха выбора матраса, наши менеджеры с удовольствием помогут определиться с материалами и составом

    Вероятно изготовление нестандартных размеров сообразно индивидуальным требованиям. Наиболее популярные размеры можно выбрать в каталоге сиречь подобрать в зависимости от конструкции матраса: для независимых пружинах, тонкие беспружинные матрасы, скрученные поролоновые модели. Также матрас дозволительно подобрать по высоте.

    Который ортопедический матрас лучше купить?
    Существует три основных критерия, только которые нуждаться вертеть забота накануне, чем покупать новоявленный ортопедический матрас:

    жесткость:
    людям в возрасте прежде 25 лет специалисты рекомендуют извлекать ортопедические матрасы средней и высокой жесткости (без пружины). Чем старше лицо, тем мягче матрац
    ортопедические матрасы

    回复
  30. dating sites when

    Hmm it appears like your blog ate my first comment (it was super long) so I
    guess I’ll just sum it up what I submitted and say, I’m thoroughly enjoying your blog.

    I too am an aspiring blog writer but I’m still new to
    everything. Do you have any helpful hints for first-time blog writers?

    I’d definitely appreciate it.

    回复
  31. Потолки

    [url=https://natyazhnoy-potolok-v-kieve.pp.ua]натяжные потолки[/url]

    Что такое натяжные потолки? Это эффективные, современные и безопасные элементы внутренней отделки, которые становятся совершенно более популярными. Натяжной потолок – это гибкий вещество из пленки ПВХ с тефлоновым покрытием, натянутой сообразно периметру профилей. Он может быть выполнен в различных фактурах, цветах и заключать любую графику. Фольга, используемая чтобы укладки, имеет комнатную температуру. Это значит, что для нем не конденсируется вода, поэтому натяжные потолки можно устанавливать не единственно в комнате, только и в ванной. Достоинством потолков такого типа является кроме и то, который они устойчивы к любой деформации. Кроме того, они позволяют скрыть неприглядную отделку потолков иначе инсталляций. Надежда натяжных потолков зеркальный натяжной потолок Зеркальный Они позволяют зрительно увеличить комнату следовать счет отражения света и освещения комнаты. Они идеально подходят чтобы элегантных ресторанов, бассейнов либо кабинетов врача, беспричинно якобы придают помещению холод и чистоту. Матовые натяжные потолки Неясный Они остаются неизменными предварительно 10 лет. Неглянцевые потолки производят чувство идеально выполненной отделки. Они понравятся любителям минимализма и простоты, хоть и не окажутся удачным решением в квартирах, которые следует оптически увеличивать. Натяжные потолки с принтом УФ-печать Есть возможность монтировать качественные отпечатки. Это может надевать любая графика, в том числе в 3D формате.
    натяжные потолки

    回复

发表评论

邮箱地址不会被公开。