创建 NAT 策略

如需 NAT 策略的常规信息，请参见网络 > NAT 策略 。

利用 NAT 策略，可以基于源 IP 地址、目标 IP 地址和目标服务的匹配组合来灵活地控制网络地址转换。利用基于策略的 NAT，可以同时部署不同类型的 NAT。本节包含以下子节：

本章节中的示例将以下列 IP 地址为例，演示 NAT 策略的创建和激活。您可以在下述示例中替入您的 IP 地址，使用这些示例来创建适用于您的网络的 NAT 策略：

创建多对一 NAT 策略

多对一是 Dell SonicWALL 安全设备上最常见的 NAT 策略，利用这类策略可以将一组地址转换为一个地址。多数情况下，这意味着您正在使用内部“专用”IP 子网，并将所有出站请求转换为防火墙 WAN 接口（默认为 X1 接口）的 IP 地址，以便目的地将该请求视为来自防火墙 WAN 接口的 IP 地址，而不是来自内部专用 IP 地址。

此策略的设置和激活比较简单，请遵循以下步骤：

注：可针对防火墙其他接口后面的子网复制此策略 — 只需将发包来源替换为该接口后面的子网，调整源接口并添加另一条 NAT 策略即可。

创建多对多 NAT 策略

多对多 NAT 策略可用于将一组地址转换为另一组不同的地址。利用此策略，防火墙可使用多个地址来执行动态转换。如果多对多 NAT 策略包含带有相同网络前缀的初始源和已转换源，则 IP 地址的剩余部分将不会更改。

此策略的设置和激活比较简单，请遵循以下步骤：

部署此策略后，防火墙将使用我们所创建的范围内的四个可用 IP 地址动态映射出站流量。

您可以通过在 LAN 接口（默认为 X0 接口）安装位于扩展地址范围的多个系统（例如 192.168.10.10、
192.168.10.100 和 192.168.10.200）并从各个系统访问公共网站 http://www.whatismyip.com，来测试该动态映射。每个系统应显示来自我们已创建并关联到 NAT 策略的范围内的不同 IP 地址。

注：如果多对多 NAT 策略包含带有相同网络前缀的初始源和已转换源，则 IP 地址的剩余部分将不会更改。

创建用于出站流量的一对一 NAT 策略

用于出站流量的一对一 NAT 是防火墙中的另一类常见 NAT 策略，用于将内部 IP 地址转换为唯一 IP 地址。在您需要特定系统（例如服务器）在向其他目的地发起流量时使用特定 IP 地址时，这一策略非常有用。多数情况下，这类针对出站流量的一对一 NAT 策略用于将服务器的专用 IP 地址映射为公用 IP 地址，且与一条反射（镜像）策略（使得来自公共互联网的任何系统都能访问该服务器）以及一条匹配的防火墙访问规则（以允许此策略）配对。NAT 反射策略将在下一章节中介绍。

此策略的设置和激活比较简单，请遵循以下步骤：

部署此策略后，在服务器发起流出 WAN 接口（默认为 X1 接口）的流量时，防火墙会将该服务器的专用 IP 地址转换为公用 IP 地址。

可通过在服务器上打开 Web 浏览器并访问公共网站 http://www.whatismyip.com 来测试该一对一映射。该网站应显示您关联到刚刚创建的 NAT 策略中的专用 IP 地址的公用 IP 地址。

创建用于入站流量的一对一 NAT 策略

这是在前一章节中在选中创建反射策略的情况下创建的 NAT 策略的镜像策略。利用它，可以将外部公用 IP 地址转换为内部专用 IP 地址。在与“允许”访问策略配对使用时，利用此 NAT 策略，任何源都可以通过公用 IP 地址连接到内部服务器；防火墙负责处理专用地址与公用地址之间的转换。部署此策略后，在连接请求通过 WAN 接口（默认为 X1 接口）到达时，防火墙会将服务器的公用 IP 地址转换为专用 IP 地址。

下面，您将创建策略条目，以及允许对服务器进行 HTTP 访问的规则。您需要创建允许任何人通过 Web 服务器的公用 IP 地址对 Web 服务器发起 HTTP 连接的访问策略。

注：对于之前版本的固件，必须编写访问专用 IP 地址的规则。自 SonicOS 以来，这一情况发生了变化。如果编写访问专用 IP 地址的规则，该规则将不起作用。

创建用于入站流量的一对一 NAT 策略（反向）的步骤如下：

完成后，尝试使用位于公共互联网中的系统访问 Web 服务器的公用 IP 地址。您应该能够成功连接 Web 服务器。如果没有成功，请回顾本章节以及前一章节，确保已正确输入所有必需的设置。

配置一对多 NAT 负载均衡

一对多 NAT 策略可使用初始源 IP 地址作为保持持续性的关键，用于持续地对转换后的目的地进行负载均衡。例如，防火墙可以对多个 SRA 设备进行负载均衡，同时通过持续将客户端平衡到正确的目标 SRA 来保持会话的持续性。

要配置一对多 NAT 负载均衡：

接下来，转到网络 > NAT 策略页面，创建下面的 NAT 策略。

通过一对一 NAT 策略进行入站端口地址转换

这类 NAT 策略适用于需要隐藏内部服务器的真实监听端口，而在其他端口上提供对该服务器的公共访问的情况。在下面的示例中，您将修改在前一章节创建的 NAT 策略和规则，以便公共用户通过其他端口 (TCP 9000) 而不是标准的 HTTP 端口 (TCP 80)，在专用 Web 服务器的公用 IP 地址上连接该服务器。

注：确保已选择任何作为目标接口（而不是服务器所在的接口）。这可能看起来不符合直觉，但实际上是正确的操作（如果您尝试指定该接口，将会报错）。

部署此策略后，在连接请求通过 WAN 接口（默认为 X1 接口）到达时，防火墙会将服务器的公用 IP 地址转换为专用 IP 地址，并将请求的协议 (TCP 9000) 转换到服务器的实际监听端口 (TCP 80)。

完成后，尝试使用位于公共互联网中的系统，通过新的自定义端口访问 Web 服务器的公用 IP 地址（例如：
http://67.115.118.70:9000）。您应该能够成功连接 Web 服务器。如果没有成功，请回顾本章节以及前一章节，确保已正确输入所有必需的设置。

通过 WAN IP 地址进行入站端口地址转换

这是您可以在运行 SonicOS 的防火墙中创建的比较复杂的 NAT 策略之一 – 它允许您使用防火墙的 WAN IP 地址来提供对多个内部服务器的访问。它最适合您的 ISP 仅提供一个公用 IP 地址，且必须由防火墙的 WAN 接口（默认为 X1 接口）使用该 IP 地址的情况。

下面，您将制定计划，通过防火墙的 WAN IP 地址提供对两个内部 Web 服务器的公共访问；其中每个服务器都已关联至唯一的自定义端口。在下面的示例中，您将设置两个端口，但也可以创建更多个端口，只要这些端口全部都是唯一的端口即可。

在本部分，我们需要完成五项任务：

要完成此配置，请执行以下步骤：

部署这些策略后，在服务器发起流出 WAN 接口（默认为 X1 接口）的流量时，防火墙会将这些服务器的专用 IP 地址转换为公用 IP 地址。

部署这些策略后，在连接请求通过 WAN 接口（默认为 X1 接口）到达时，防火墙会将服务器的公用 IP 地址转换为专用 IP 地址。

完成后，尝试使用位于公共互联网中的系统，通过防火墙的 WAN IP 地址在新的自定义端口上访问 Web 服务器（例如： http://67.115.118.70:9100 和 http://67.115.118.70:9200）。您应该能够成功连接 Web 服务器。如果没有成功，请回顾本章节以及前一章节，确保已正确输入所有必需的设置。