本期强叔将会给大家阐释三十二字真言的后半段:一分为二,源进源回;虚实变换,合二为一。
一分为二,源进源回
防火墙作为出口网关,双出口、双ISP接入公网时,配置NAT Server通常需要一分为二,让一个私网服务器向两个ISP发布两个不同的公网地址供访问。一分为二的方法有两种:
第一种是将接入不同ISP的公网接口规划在不同的安全区域中,配置NAT Server时,带上zone参数,使同一个服务器向不同安全区域发布不同的公网地址。
[FW] nat server zone untrust1 protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80
[FW] nat server zone untrust2 protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80
第二种是将接入不同ISP的公网接口规划在同一个安全区域中,配置NAT Server时,带上no-reverse参数,使同一个服务器向同一个安全区域发布两个不同的公网地址。
[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80 no-reverse
[FW] nat server protocol tcp global 2.2.2.2 9980 inside 10.1.1.2 80 no-reverse
看到这里小伙伴们就要问了,强叔强叔,上一期中你不是讲过no-reverse参数是用来除去反向Server map表项自断出路的吗,这里怎么又用到了呢?莫急莫急,且听强叔给你慢慢道来。
首先,我们来看下不带no-reverse参数直接配置上面两条命令会发生什么?
答案是不带no-reverse参数这两条命令压根就不能同时下发。
我们再尝试着逆向思考下,假如这两条命令能同时下发,会发生什么?
将上面的两条命令分别在两台防火墙上配置,然后查看各自生成的Server map表项。
很容易看出来,一台防火墙上的反向Server map表项是将报文的源地址由10.1.1.2转换为1.1.1.1,另一台防火墙上的反向Server map表项是将报文的源地址由10.1.1.2转换为2.2.2.2。试想下,如果这两个反向Server map表项同时出现在一台防火墙上会发生什么?——防火墙既可以将报文的源地址由10.1.1.2转换为1.1.1.1,又可以转换为2.2.2.2。于是乎,防火墙凌乱了~这就是两条命令不带no-reverse参数同时下发会带来的问题。如果配置时带上no-reverse参数,就不会生成反向Server map表项。没有了反向Server map表项,上述的问题也就不复存在了。
此外,一分为二时还会存在报文来回路径不一致的问题。例如,公网用户通过防火墙发布给ISP1的公网地址1.1.1.1访问服务器,服务器的响应报文到达防火墙后,防火墙根据目的地址查找路由表,可能会将响应报文由ISP2发送出去,这样就会导致访问速度过慢或无法访问。
为了避免这个问题,还需要在防火墙上增加一些的配置,保证报文的源进源回,即请求报文从某条路径进入,响应报文依然沿着同样的路径返回。
USG9000系列防火墙源进源回功能是通过在公网接口下配置redirect-reverse命令来实现的。例如上图中接入IPS1的公网接口GE1/0/1的源进源回功能配置如下:
[FW] interface GigabitEthernet 1/0/1
[FW-GigabitEthernet1/0/1] redirect-reverse next-hop 1.1.1.254
配置完成后,如果请求报文从GE1/0/1进入,则响应报文也强制从GE1/0/1发出,而不再是通过查找路由表来确定出接口。
USG2000/5000/6000系列防火墙源进源回功能配置思路与USG9000系列相同,配置命令为reverse-route next-hop next-hop-address。
虚实变换,合二为一
为了让小伙伴们能明白“虚实”二字的含义,需要大家随着强叔穿越到未来的双机热备站,提前了解一点双机热备的知识。
如下图所示的双机热备组网中,两台防火墙并不是直接使用GE0/0/1接口的实IP地址与公网通信,而是将GE0/0/1接口加入一个VRRP备份组,使用VRRP备份组的虚拟IP地址与公网通信。配置虚拟IP地址的同时,防火墙会自动为其生成一个虚MAC地址。
让我们再回到NAT站,强叔这里所说的 “实”指的就是物理接口的实MAC地址,“虚”指的就是虚MAC地址。
明白“虚实”的含义后,接下来强叔就要讲讲“虚实”在对NAT Server配置的影响。
首先,小伙伴们需要知道这样一个结论:当NAT Server公网地址与公网接口的地址在同一个网段时,防火墙会发送NAT Server公网地址的免费ARP请求报文。我们使用如下组网进行演示:
NAT Server的配置如下:
[FW] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80
在图示处抓包,可以看到防火墙发送的NAT Server公网地址的免费ARP请求报文。报文中携带的1.1.1.1的MAC地址为0000-00e0-bb01,正是公网接口GE0/0/1的MAC地址。
我们在eNSP上模拟了前面的双机热备组网,并在FW1(主设备)上配置了NAT Server:
[FW1] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80
命令一下发,设备就打印如下的IP地址冲突日志:
2014-05-11 10:02:22 FW1%%01ARP/4/DUP_IPADDR(l): Receive an ARP packet with
duplicate ip address 1.1.1.1 from GigabitEthernet0/0/1, source MAC is 0000-003a-f701!
日志中显示冲突源的MAC地址为0000-003a-f701,这个正是FW2的GE0/0/1接口的MAC。稍作分析,就能明白为什么会发生IP地址冲突了。
FW1上配置了NAT Server后,由于公网地址为1.1.1.1,和GE0/0/1接口的地址(1.1.1.2/24)在同一个网段,FW1会发送1.1.1.1的免费ARP请求报文。报文中携带的1.1.1.1的MAC地址为GE0/0/1接口的MAC 0000-0006-1901。同时,因为FW1和FW2处于双机热备状态,FW1上NAT Server的配置会同步到FW2上,而FW2 GE0/0/1接口的地址(1.1.1.3/24)和NAT Server公网地址也在同一个网段,这样FW2也会发送1.1.1.1的免费ARP请求报文。报文中携带的1.1.1.1的MAC地址为GE0/0/1接口的MAC 0000-003a-f701。于是,同一广播域中有两个MAC地址对应着同一个IP地址1.1.1.1,产生了IP地址冲突。
同时,由于FW1和FW2同时发送免费ARP请求报文,上行设备学习到的1.1.1.1的MAC也会在0000-0006-1901和0000-003a-f701之间不停的切换。如下图就是Client上查看到的ARP表项。
这样,从Client上访问1.1.1.1时,Client的网卡会时而用0000-0006-1901来封装报文,时而用0000-003a-f701来封装报文。如果用0000-0006-1901来封装报文,则报文会被发往FW1(主设备),业务访问正常。如果用0000-003a-f701来封装报文,则报文会被发往FW2(备设备)。由于FW2作为备设备时是不处理业务的,报文到达FW2后就会被丢弃。于是就会出现业务时通时不通的情况。
在配置命令中加上vrrp关键字就能解决这个问题。我们按如下命令重新配置:
[FW1] nat server protocol tcp global 1.1.1.1 9980 inside 10.1.1.2 80 vrrp 1
首先,设备上不再打印IP地址冲突日志了。在防火墙和上行交换机之间抓包我们会发现,只有主用防火墙会发送免费ARP报文,且报文中携带的1.1.1.1的MAC地址变成了0000-5e00-0101,VRRP备份组1的虚MAC地址。Client访问1.1.1.1时,网卡会使用0000-5e00-0101来封装报文。这样就能保证报文永远都是向主用设备转发了。是为虚实变换之间,合二为一也。
至此,NAT Server的三十二字真言阐释完毕。通过强叔的讲解,相信小伙伴们对NATServer的正反Server-map表项作用,配置命令中的两个重要的参数no-reverse、vrrp的使用方法,以及多出口NAT Server的配置等都有了更加全面和深入的了解了吧。