• 检查 NAT 表中的重复项在“目标 NAT”、“源 NAT + 目标 NAT”或“双 NAT”方向上使用的外部 IP 地址或 DMZ 网 络中的 IP地址只能在各个指定的方向上使用一次。 • 检查 NAPT 表中的重复项：每个接口只能输入一次源端口号。 • 内部 NAPT端口的范围可在 0 到 65535 之间（含 65535）。 参见 路由设置概述 (页 522) NAT/NAPT 路由使用 NAT 进行地址转换 菜单栏中提供以下控制元素： 操作员控制元素 功能 启用 NAT 启用 NAT规则编辑器。如果编辑器已启用，相应的规则可进行组态， 并会在加载过程中传送到模块。 由于会为 NAT 规则自动生成 IP规则来启用在组态的地址转换方向上 的通信，仅当通过有效 IP 防火墙启用gaoji防火墙模式时才能启用 NAT 规则编辑器。上插规则 将规则插入到所选规则/所选规则集上方。要上插规则集，则必须选中 其第一行。 下插规则将规则插入到所选规则/所选规则集下方。要下插规则集，则必须选中 其第一行。 上移将所选规则/所选规则集上移一行。要移动规则集，则必须选中其第一 行。 下移将所选规则/所选规则集下移一行。要移动规则集，则必须选中其第一 行。操作员控制元素 功能 展开规则集 展开显示现有规则集。 折叠规则集折叠显示现有规则集。 分离 将所选行转换为单独的一条或多条规则。如果选择的是规则集的第一行，则规则集的所有规则都会转换为单独的规则。如果选择的是规则 集中包含的一个规则，则该规则会转换为一条单独的规则。规则集的以下规则也会转换为一个单独的规则集。 创建 NAT规则以后，相应的防火墙规则会在gaoji防火墙模式下生成并显示，请参见以下部 分： NAT/NAPT 路由器与防火墙之间的关系(页 537) 如果外部接口或 DMZ 接口的 PPPoE 已激活，则不能通过操作“目标 NAT”将外部接口或 DMZ接口选为朝向方向。组态操作“源 NAT”时，不能在“源转换”(Source translation) 输入框中 输入 IP地址，因为此地址会在运行期间动态获得。 可能的 NAT 地址转换 下表列出了使用 NAT 进行地址转换的输入选项。 操作“目标NAT”-“Redirect” 可在以下方向执行操作“目标 NAT”： • 外部到内部 如果安全模块（仅适用于 SCALANCES623/S627-2M）的 DMZ 接口已激活，还可以在以下 方向上执行操作“目标 NAT”： • 外部到 DMZ • DMZ到内部 • DMZ 到外部如果 SCALANCE S 模块（仅适用于 SCALANCE S612/S623/S627-2M V4及更高版本）在 VPN 组中并且启用了隧道接口，还可以在以下方向上执行“目标 NAT”(Destination NAT) 操作： •隧道到内部 • 隧道到外部 • 隧道到 DMZ（仅当 DMZ 接口激活时）例如，以下规则适用于“外部到内部”方向：检查从外部网络进入的帧，看其目标 IP 地址 是否与“目标 IP地址”(Destination IP address) 输入框中指定的 IP 地址匹配。如果匹配，则 将该帧的目标 IP地址替换为“目标转换”(Destination translation) 输入框中指定的 IP 地址，将该帧转发到内部网络。此时，可以通过外部地址从外部网络访问内部网络。 下表列出了操作“目标 NAT”所需的输入。 功能框 可能的条目含义 源 IP 地址 与此操作无关。 - 源转换 与此操作无关。 - 目标 IP 地址 源网络中的 IP 地址 源网络中的目标 IP地址，通过该地址可以访问目 标网络中的 IP 地址。目标 IP 地址不得与源网络 中安全模块的 IP 地址匹配。 如果帧中的目标 IP地址与输入的地址匹配，那么 将用目标网络中的相应 IP 地址替换该地址。 指定的目标 IP 地址将成为别名地址。这意味着， 指定的IP 地址也将注册为所选接口的 IP 地址。 确保别名地址不会在网络中引起 IP 地址冲突。安 全模块的别名 IP地址显示在相应接口的“别名 IP 地址”(Alias IP addresses) 条目下。 目标转换 目标网络中的 IP 地址 目标IP 地址由此处指定的 IP 地址替换。 编号 - STEP 7 分配的连续编号，用于引用 STEP 7 根据 NAT规则生成的防火墙规则。 操作“源 NAT”-“Masquerading” 可在以下方向执行操作“源 NAT”： •内部到外部。
如果安全模块（仅适用于 SCALANCES623/S627-2M）的 DMZ 接口已激活，还可以在以下 方向上执行操作“源 NAT”： • 内部到 DMZ • 外部到 DMZ• DMZ 到外部 如果 SCALANCE S 模块（仅适用于 SCALANCE S612/S623/S627-2M V4及更高版本）在 VPN 组中并且启用了隧道接口，还可以在以下方向上执行“源 NAT”(Source NAT) 操作： • 内部到隧道• 外部到隧道 • DMZ 到隧道（仅当 DMZ 接口激活时） 例如，以下规则适用于“内部到外部”方向：检查从内部网络进入的帧，看其源IP 地址是否与 “源 IP 地址”(Source IP address) 输入框中指定的 IP 地址匹配。如果两者匹配，则将带有“源转换”(Source translation) 输入框中所指定外部 IP 地址的帧转发到外部网络，作为新的源 IP地址。在外部网络中，外部 IP 地址有效。 下表列出了操作“源 NAT”所需的输入。 功能框 可能的条目 含义 源 IP 地址源网络中的 IP 地址 指定节点的源 IP 地址由“源转换”(Source translation) 输入框中指定的 IP 地址替换。源网络中的 IP 地址范围/IP 地址段 IP 地址范围/IP 地址段的 IP 地址由“源转换”(Sourcetranslation) 输入框中指定的 IP 地址替换。 * 源网络中所有节点的 IP 地址由“源转换”(Sourcetranslation) 输入框中指定的 IP 地址替换。 源转换 目标网络中的 IP 地址 将该 IP 地址条目作为新的源 IP地址。 如果此处输入的 IP 地址不是安全模块的 IP 地址， 则会成为别名地址。这意味着，指定的地址还将注 册为所选接口的 IP地址。确保别名地址不会在网络 中引起 IP 地址冲突。安全模块的别名 IP 地址显示 在相应接口的“别名 IP 地址”(AliasIP addresses) 条 目下。 目标 IP 地址 与此操作无关。 - 目标转换 与此操作无关。 - 编号 - STEP 7分配的连续编号，用于引用 STEP 7 根据 NAT 规则生成的防火墙规则。说明 可以在目标网络中将地址转换组态为模块的 IP地址，因为所有帧都是从源网络进入目标网络。 安全模块还为每个帧分配端口号。这是一种 n:1 的 NAT 地址转换，通过此转换，源网络的多个 IP 地址将转换为目标网络的一个 IP 地址。 例如，输入以下适用于“内部到外部”方向的参数： • 操作：“源 NAT” •从：“内部” • 到“外部” • 源 IP 地址：“*” • 源转换：安全模块的外部 IP 地址 操作“源 NAT + 目标NAT”-“1:1-NAT” 可在以下方向执行操作“源 NAT + 目标 NAT”： • 内部到外部 如果安全模块（仅适用于SCALANCE S623/S627-2M）的 DMZ 接口已激活，还可以在以下 方向上执行操作“源 NAT + 目标”： • 内部到DMZ • 外部到 DMZ • DMZ 到外部 如果 SCALANCE S 模块（仅适用于 SCALANCES612/S623/S627-2M V4 及更高版本）在 VPN 组中并且启用了隧道接口，还可以在以下方向上执行“源 NAT + 目标NAT”(Source-NAT + Destination-NAT) 操作： • 外部到隧道 • 内部到隧道 • DMZ 到隧道（仅当DMZ 接口激活时） 例如，以下规则适用于“内部到外部”方向：从内部访问外部时，执行操作“源 NAT”。从外部访问内部时，执行操作“目标 NAT”。下表列出了操作“源 NAT + 目标 NAT”所需的输入: 功能框 可能的条目 含义 源IP 地址 源网络中的 IP 地址 组态始终在源 NAT 方向上指定。STEP 7 随后会 源转换 目标网络中的 IP 地址自动插入目标 NAT 方向的 IP 地址。 目标 IP 地址 与此操作无关。 目标转换 与此操作无关。 编号 - STEP 7分配的连续编号，用于引用 STEP 7 根据 NAT 规则生成的防火墙规则。 操作“双 NAT” 对于 SCALANCE S模块，可在以下方向上执行操作“双 NAT”： • 内部到外部 • 外部到内部 如果安全模块（仅适用于 SCALANCES623/S627-2M）的 DMZ 接口已激活，还可以在以下 方向上执行操作“双 NAT”： • 内部到 DMZ • 外部到 DMZ• DMZ 到内部 • DMZ 到外部 各个方向上的源和目标 NAT 始终进行。例如，以下规则适用于“外部到内部”方向：从外部访问内部时，替换外部节点的源 IP 地址 （源 NAT）。访问内部网络还使用“目标 IP地址”(Destination IP address) 输入框中指定的外 部 IP 地址（目标 NAT）。 例如，使用目标 NAT为要访问的设备输入标准路由器而非安全模块时，可以使用此操作。这时，此设备的响应帧不发送到已输入的标准路由器，而是发送到相应的安全模块接口。