31、网络地址转换（NAT）配置与验证指南

网络地址转换（NAT）配置与验证指南

1. 满足前提条件

在添加 NAT 规则之前，需要确保理解并满足以下几点：
- 接口模式 ：参与 NAT 配置的相关接口必须处于常规防火墙模式，即路由模式或透明模式。威胁防御不支持在仅用于入侵防御系统（IPS）的接口类型（如内联、内联分路和被动接口）上进行 NAT。可选择“None”来启用支持 NAT 的常规路由器接口模式。
- IP 地址和安全区域配置 ：若之前将威胁防御用于仅 IPS 模式，要确保所有希望启用 NAT 的相关接口现在都已配置了 IP 地址和安全区域。
- 定义网络对象 ：在开始添加 NAT 规则之前，需定义可能在 NAT 规则中调用的任何网络对象。可通过“Objects > Object Management”并选择“Add Network”菜单来添加网络对象。

2. 配置 NAT

威胁防御允许通过多种方式实现地址转换，可选择任何类型（静态或动态）与任何 NAT 规则组合（自动或手动）。不过，建议使用自动 NAT 规则，因为它更易于配置和故障排除。以下将介绍如何配置自动 NAT 以在实际部署场景中伪装 IP 地址。

2.1 伪装源地址（出站连接的源 NAT）

当内部主机发起与 Internet 的连接时，威胁防御可以将内部 IP 地址转换为公共 IP 地址，即伪装出站连接的源地址。以下介绍为出站连接选择公共 IP 地址的各种方法。

2.2 配置动态 NAT 规则

管理中心提供两种类型的