实战手记之Advanced NAT

最近一台CheckPoint防火墙出了问题：在事件查看器中可以查到“No License for Routers”的错误，经常死机。这个错误在CheckPoing文档中没有记录, 据说是有一个“路由器管理模块”没有购买。最后发现，其实只要在安装正式License时不要将试用License去掉就没有这个问题。

在等待有关方面支持的同时，我们将该防火墙撤下来，暂时用路由器实现原来由防火墙完成的地址转换、访问控制等部分功能，新旧拓朴图如下：

设置方法比较简单:

如果临时使用的交换机SW不支持VLAN,则可以在路由器内网端口上使用secondary address，注意这样做会把DMZ跟内网出口混在一起，要在内网多层交换机上设置好访问控制列表，阻止通过DMZ入侵内网。配置形如：
interface FastEthernet0/0
ip address 202.1.1.1 255.255.255.252
ip access-group 101 in
ip nat outside
 !
interface FastEthernet1/0
ip address 192.168.1.254 255.255.255.0 secondary
ip address 10.0.0.1 255.255.255.0
ip nat inside
 !
ip nat pool inet 202.2.2.1 202.2.2.9 netmask 255.255.255.0
ip nat inside source list 1 pool inet overload
ip nat inside source static 192.168.1.230 202.2.2.230
ip nat inside source static 192.168.1.231 202.2.2.231
ip classless
ip route 0.0.0.0 0.0.0.0 202.1.1.2
ip route 10.0.0.0 255.0.0.0 10.0.0.254
 !
access-list 1 permit 10.0.0.0 0.0.0.255
access-list 101 permit tcp any any established
access-list 101 permit tcp any host 202.2.2.230 eq domain
access-list 101 permit tcp any host 202.2.2.231 eq www

如果SW支持VLAN，则可以路由器端口做Trunk, 或用不同的路由器端口分别连接不同VLAN，使DMZ与Inside分开。

需要注意的是，内网的多层交换机上一般用默认路由指向出口的路由器/防火墙，现在路由器用静态路由指向内网，这里有形成环路的危险。因为在内网，10.0.0.0/8被子网化，如果一台机器访问10.0.0.0/8中一个不存在的子网时，多层交换机只有默认路由匹配而将包转发到出口路由器，而出口路由器路由表中最匹配的是指向多层交换机的10.0.0.0/8, 所以将包返回给多层交换机。这其实是一种路由汇总问题, 解决的方法是是多层交换机上设定： ip route 10.0.0.0 255.0.0.0 null 0。

上面的拓朴图是只有一个出口的情况，如果该客户除了Internet出口，还有到上级单位HQ的出口，拓朴图如：

 
这时候配置就有点难度了，要做两个NAT:
interface Ethernet0
ip address 192.168.1.254 255.255.255.0
ip nat inside
ip policy route-map out
 !
interface Serial0
description connect to Internet
ip address 202.1.1.1 255.255.255.0
ip nat outside
 !
interface Serial1
description connect to HQ
ip address 10.221.1.1 255.255.255.0
ip nat outside
 !
ip nat inside source route-map o202 interface Serial0 overload
ip nat inside source route-map o10 interface Serial1 overload
ip classless
ip route 10.0.0.0 255.0.0.0 10.221.1.254
ip route 0.0.0.0 0.0.0.0 202.1.1.2
 !
access-list 101 deny ip any 10.0.0.0 0.255.255.255
access-list 101 permit ip any any
access-list 102 permit ip any 10.0.0.0 0.255.255.255
route-map o202 permit 10
match ip address 101
set interface Serial0
 !
route-map o10 permit 10
match ip address 102
set interface Serial1
 !
route-map out permit 10
match ip address 102
set interface Serial1
 !
route-map out permit 20
match ip address 101
set interface Serial0
 !

感觉Checkpoint的总体拥有成本比较高，比如技术支持的费用，软件升级费用等，不是一般的用户能吃得消的。相比之下Cisco的产品技术被较多的人掌握，技术支持和软件升级等成本比较低，总体拥有成本相对就会低得多。Cisco价格透明虽然将价格竞争白热化，使集成商无利可图，但对用户来说却不是坏事。对集成商来说，也许是时候把增值服务和产品分开销售了。