NAT是一种地址转换技术，可以将ipv4报文头中的地址做转换，通常情况下，利用nat技术将ipv4报文头中的私网地址转换为公网地址，或者将公网地址转换为私网地址，实现了内网设备与公网设备的互访。

从实现上来说，NAT转换设备都维护一张地址转换表。地址转换的机制分为：

内部网络主机的ip地址和端口转换为nat转换设备外部网络地址和端口

外部网络主机的ip地址和端口转换位nat转换设备内部网路地址和端口

即私有地址+端口与共有地址+端口之间互相转换。

常见的nat转化设备由路由器、防火墙等。

产生背景

ipv4地址日渐枯竭

ipv6技术不能立即大面积替换

所以各种延长ipv4寿命的技术不断出现，nat就是其中之一。

ipv4地址分为单播地址、组播地址、广播地址

单播地址中又分为私网地址和公网地址

单播地址范围

0.0.0.0-223.255.255.255

其中私网地址

10.0.0.0/8

172.16.0.0/12

192.168.0.0/24

还有一些特殊的ip地址

可用的公网地址就是在这些的间隔中。可见是比较少的。

私网地址如何访问公网地址呢？

私网地址由于是企业内部使用的，所以可能很多的企业都使用了相同的私网地址。所以在网络中，使用私网地址的设备不能唯一确定。公网路由器无法实现对这些私网地址的路由。所以需要对某个单位的私网地址映射为公网唯一的公网地址。

根本：私网地址到达公网之后不能被路由

nat技术就是实现这样的功能，将单位的很多私网设备映射为一个或者多个公网唯一的地址。

NAT分类

NAT地址池

用NAT转换时用于分配的公网IP地址范围，进行转化时，设备会从该地址池中选择一个随机地址，用于替换报文中的源IP地址。

地址池的地址是连续的吗？

可以不连续，可以进行配置。

地址池里面可以只有一个地址吗

可以的

共用地址池

使用一个地址池对内部所有主机进行地址转换。

nat address-group 1 210.1.1.11 210.1.1.12

多地址池

使用多个地址池可以对不同的用户群地址分别进行转换。

nat address-group 1 210.1.1.11 210.1.1.11nat address-group 2  210.1.1.13 210.1.1.14

选择不是随机的，是有固定的算法的。

源NAT

对报文中的源地址进行转换。通过源nat将私网ip地址转换为公网ip地址，使私网用户可以利用公网地址访问internet。

当私网用户访问公网时，报文到达fw，fw将报文的源ip地址由私网地址转换为公网地址

当回程报文返回fw时，fw再将报文的目的地址由公网地址转换位私网地址。

No-pat

只转换地址，不转换端口，实现私网到公网地址一对一转换，适用于上网人数少，公网地址多的常见使用。

分为

local no-pat：生成的server-map表项中包含了安全区域参数，只有此安全区域（流量去的那个区域）的server可以访问内网host。安全性更高。

nat address-group nopat 0mode no-pat local

global no-pat：生成的server-map表项中不包含安全区域参数，所有安全区域的server可以访问内网host。

nat address-group nopat 0mode no-pat global

具体过程

1、fw收到host发送的报文后，根据目的地址判断报文需要在trust和untrust区域之间流动，通过安全策略检查后继而查找nat策略，发现需要对报文进行地址转换。

2、fw根据轮询算法从nat地址池中选择一个空闲的公网ip地址，替换报文的源地址，并建立动态server-map表（正向流量触发，可以老化）和会话表，然后将报文发送到公网。

正向server-map表项保证了特定私网用户访问公网时，快速地址转换，提高fw处理效率。正向的有老化时间。

反向server-map表项允许公网用户主动访问私网用户，将报文进行地址转换。反向没有老化时间但是一旦正向消失，反向也会消失。本质：少配置一条NAT-Server

产生server-map表有两大类：

3.1、aspf（多通道协议如ftp、stun类型如qq）

3.2、nat（no-pat、nat-server）

由aspf创建了server-map表后不需要再进行安全策略检查直接创建会话表。但是由nat创建的server-map表还需要进行向下进行匹配。

no-pat产生的server-map表是由流量触发的动态可老化表项

nat-server产生的server-mao表只有配置就产生，不会老化

3、fw收到公网回包后，匹配会话表中表项，将报文的目的地址替换为host的ip地址，然后将报文发送到私网。

4、如果地址池中地址分配光了，剩余内网主机的外网访问需求将无法满足，直到地址池中有空闲地址。

存在问题

问题1

问题2

实验一：私网用户通过NAT NO-PAT访问internet（访问明确的目的server）

需求和拓扑

某工作室在网络边界处部署了FW作为安全网关。为了使私网中10.1.1.0/24网段的用户可以正常访问Internet，需要在FW上配置源NAT策略。由于需要上网的用户少且访问明确的目的Server，FW采用NAT No-PAT的地址转换方式，将匹配上NAT策略的私网地址进行一对一转换。工作室向ISP申请了6个IP地址（1.1.1.10～1.1.1.15）作为私网地址转换后的公网地址。其中Router是ISP提供的接入网关。

配置步骤

1、配置终端设备及网络设备接口ip地址、划分安全区域

2、配置路由

fw1上配置

ip route-static 1.1.2.2 255.255.255.255 1.1.1.254

3、配置安全策略

security-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0//注意这里是nat前的地址，因为在进行源nat前要执行安全策略destination-address 1.1.2.2 mask 255.255.255.255service httpservice icmpaction permit

4、配置NAT

4.1 配置地址池

nat address-group 1
mode no-pat global//使用global不关联安全区域
section 1.1.1.10 1.1.1.15

4.2 配置NAT策略

nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 1.1.2.2 mask 255.255.255.255action source-nat address-group 1//实现私网指定网段访问非目的server时不进行源地址转换rule name 2source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address anyaction no-nat

测试和分析

在client1上ping server

ping 1.1.2.2

在fw的g1/0/0抓包

在fw的g1/0/1抓包

说明在fw对报文源地址nat前，其源地址是10.1.1.10，目的地址是1.1.2.2，经过fw源nat后，其源地址是1.1.1.10，目的地址是1.1.2.2。而回包的源地址是1.1.2.2，目的地址是1.1.1.10，回包被nat后，其源地址是1.1.2.2，而目的地址是10.1.1.10。

查看fw的会话表和sever-map表项

在client1上访问server的http服务

在fw的g1/0/0抓包

在fw的g1/0/1抓包

说明在fw对报文源地址nat前后，http的请求报文的源端口始终是随机端口2049，目的端口始终是http端口80，http的回应报文的源端口始终是http端口80，目的端口始终是随机端口2049。

查看fw的会话表和sever-map表项

可以看到no-pat默认生成reverse的表项，这在配置了粗糙的安全策略的情况下会造成安全隐患。如果配置了从untrust到trust方向的安全策略放行icmp报文，那么公网的ping包也可以直接被nat地址后被发送到私网并被响应。

local no-pat：生成的server-map表项中包含了安全区域参数，只有此安全区域的server可以访问内网host

nat address-group nopat 0mode no-pat local

global no-pat：生成的server-map表项中不包含安全区域参数，具体表现就是server-map中Zone:---。所有安全区域的server可以访问内网host

nat address-group nopat 0mode no-pat global

黑洞路由问题

根本原因：地址池的地址是不存在的地址

当NAT地址池地址与出接口地址不在同一网段

必须配置黑洞路由。

当公网用户主动访问NAT地址池中的地址时，FW收到此报文后，无法匹配到会话表，根据缺省路由转发给路由器，路由器收到报文后，查找路由表再转发给FW。此报文就会在FW和路由器之间循环转发，造成路由环路。因此需要配置黑洞路由。

当NAT地址池地址与出接口地址在同一网段

建议配置黑洞路由。

在这种情况下，不会产生路由环路。如果恶意用户对转换后的地址发起大量访问，找不到会话表，防火墙发现该地址是直连的，就会发arp request去解析这个直连的转化后地址对应的mac地址，但是直连路由器不会有回应。FW发送的大量的ARP请求报文会消耗系统资源。因此需要配置黑洞路由，避免FW发送ARP报文请求报文，节省FW的系统资源。

可以使用ip route-static ip-address NULL 0命令手工进行配置，也可以使用route enable命令配置UNR路由。该UNR路由的作用与黑洞路由的作用相同，可以防止路由环路，同时也可以引入到OSPF等动态路由协议中发布出去。

当NAT地址池地址与出接口地址一致

不需配置黑洞路由。

FW收到公网用户的报文后，发现是访问自身的报文，这时候取决于公网接口所属安全区域和Local安全区域之间的安全策略，安全策略允许通过，就处理；安全策略不允许通过，就丢弃。不会产生路由环路，也不需配置黑洞路由。

NAPT

同时转化地址和端口，实现多个私网地址共用一个或者多个公网地址，适用于公网地址数量少，需要上网的私网用户数量大的场景。

具体过程

1、fw收到私网报文后，根据目的地址判断报文区域流向，通过安全策略检查后继而查找nat策略，发现需要对报文进行地址转换。

2、fw根据源地址 hash算法从nat地址池中选择一个公网地址，替换报文的源地址，同时使用新的端口号替换报文的源端口号，并建立会话表（没有建立server-map表），然后将报文转发到公网。

3、fw收到公网回包后，匹配会话表中表项，转换还原回包目的地址和目的端口，然后将报文转发到私网。

实验二：私网用户通过NAPT访问Internet（限制公网地址对应的私网地址数）

需求和拓扑

某公司在网络边界处部署了FW作为安全网关。为了使私网中10.1.1.0/24网段的用户可以正常访问Internet，需要在FW上配置源NAT策略。除了公网接口的IP地址外，公司还向ISP申请了6个IP地址（1.1.1.10～1.1.1.15）作为私网地址转换后的公网地址。当大量的内网用户上网时会导致NAT转换时端口冲突，因此需要限制公网地址对应的私网地址数，保证用户正常上网。其中Router是ISP提供的接入网关。

配置步骤

1、配置终端设备及网络设备接口地址

2、配置路由

ip route-static 2.2.2.2 255.255.255.255 1.1.1.254

3、配置安全策略

security-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction permit

4、配置NAT

//配置nat地址池
nat address-group 1 0mode patsection 0 1.1.1.10 1.1.1.15srcip-car-num 256//私网与公网地址比例为256：1
//配置nat策略
nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction source-nat address-group 1

测试和分析

在client1上ping server

在fw的g1/0/0口抓包（trust侧，nat前）

在fw的g1/0/1口抓包（untrust侧，nat后）

检查fw的会话表和server-map表项

在client1上访问server的ftp服务

在fw的g1/0/0口抓包（trust侧，nat前）

在fw的g1/0/1口抓包（untrust侧，nat后）

检查fw的会话表和server-map表项

发现没有生成server-map表项，并且nat前后的源端口发生了改变。

Smart NAT

no-pat和napt的结合，指定地址池中某个地址预留做napt，其余做no-pat。适用于上网用户突然激增的场景。fw优先采用no-pat的方式转换地址，当可被no-pat方式的公网地址用完时，新的用户连接将使用预留的这个ip地址做napt的转换。

区别于no-pat：如果地址池中地址分配光了，剩余内网主机的外网访问需求将无法满足，直到地址池中有空闲地址。

实验三：私网用户通过Smart NAT访问Internet

需求和拓扑

某公司在网络边界处部署了FW作为安全网关。为了使私网中10.1.1.0/24网段的用户可以正常访问Internet，需要在FW上配置源NAT策略。除了公网接口的IP地址外，公司还向ISP申请了6个IP地址（1.1.1.10～1.1.1.15）作为私网地址转换后的公网地址。网络环境如图，其中Router是ISP提供的接入网关。

通常情况下，同一时刻需要访问Internet的私网用户数量很少，使用No-PAT方式即可；为了解决突发性私网用户数量增多的情况，预留一个公网IP地址进行NAPT方式的地址转换。

配置步骤

1、配置终端设备及网络设备接口地址

2、配置路由

ip route-static 2.2.2.2 255.255.255.255 1.1.1.254

3、配置安全策略

security-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction permit

4、配置NAT

//配置nat地址池
nat address-group 1 0mode no-pat globalsection 0 1.1.1.10 1.1.1.14smart-nopat 1.1.1.15
//配置nat策略
nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction source-nat address-group 1

测试和分析

使用client1-7同时登录ftp server，观察fw的server-map表和session table。

[f1]dis fire session table
2022-02-09 14:19:54.940 Current Total Sessions : 12
ftp  VPN: public --> public  10.1.1.10:2057[1.1.1.10:2057] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.20:2053[1.1.1.11:2053] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.30:2055[1.1.1.12:2055] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.40:2055[1.1.1.13:2055] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.50:2055[1.1.1.14:2055] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.60:2055[1.1.1.15:2051] +-> 2.2.2.2:21
ftp  VPN: public --> public  10.1.1.70:2050[1.1.1.15:2052] +-> 2.2.2.2:21
ftp-data  VPN: public --> public  10.1.1.10:2058[1.1.1.10:2058] --> 2.2.2.2:2072
ftp-data  VPN: public --> public  10.1.1.20:2054[1.1.1.11:2054] --> 2.2.2.2:2071
ftp-data  VPN: public --> public  10.1.1.30:2056[1.1.1.12:2056] --> 2.2.2.2:2070
ftp-data  VPN: public --> public  10.1.1.40:2056[1.1.1.13:2056] --> 2.2.2.2:2069
ftp-data  VPN: public --> public  10.1.1.50:2056[1.1.1.14:2056] --> 2.2.2.2:2068
ftp-data  VPN: public --> public  10.1.1.60:2051[1.1.1.15:2051] --> 2.2.2.2:2073
ftp-data  VPN: public --> public  10.1.1.70:2054[1.1.1.15:2052] --> 2.2.2.2:2074

[f1]dis fire server-map
2022-02-09 14:21:02.510 Current Total Server-map : 10Type: No-Pat Reverse, ANY -> 1.1.1.12[10.1.1.30],  Zone:---Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0Vpn: publicType: No-Pat Reverse, ANY -> 1.1.1.14[10.1.1.50],  Zone:---Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0Vpn: publicType: No-Pat Reverse, ANY -> 1.1.1.11[10.1.1.20],  Zone:---Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0Vpn: publicType: No-Pat Reverse, ANY -> 1.1.1.13[10.1.1.40],  Zone:---Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0Vpn: publicType: No-Pat Reverse, ANY -> 1.1.1.10[10.1.1.10],  Zone:---Protocol: ANY, TTL:---, Left-Time:---,  Pool: 0, Section: 0Vpn: publicType: No-Pat,  10.1.1.40[1.1.1.13] -> ANY,  Zone:---Protocol: ANY, TTL:360, Left-Time:359,  Pool: 0, Section: 0Vpn: publicType: No-Pat,  10.1.1.50[1.1.1.14] -> ANY,  Zone:---Protocol: ANY, TTL:360, Left-Time:356,  Pool: 0, Section: 0Vpn: publicType: No-Pat,  10.1.1.10[1.1.1.10] -> ANY,  Zone:---Protocol: ANY, TTL:360, Left-Time:357,  Pool: 0, Section: 0Vpn: publicType: No-Pat,  10.1.1.30[1.1.1.12] -> ANY,  Zone:---Protocol: ANY, TTL:360, Left-Time:358,  Pool: 0, Section: 0Vpn: publicType: No-Pat,  10.1.1.20[1.1.1.11] -> ANY,  Zone:---Protocol: ANY, TTL:360, Left-Time:359,  Pool: 0, Section: 0Vpn: public

可见使用no-pat的1.1.1.10-14存在server-map表而使用napt的1.1.1.15没有server-map表。

Easy IP

利用出接口的公网ip作为NAT地址，进行napt转换。适用于企业没有公网地址池，甚至公网出接口都不固定的情况（如pppoe方式获得的公网地址）。

实验四：私网用户通过NAPT访问Internet（限制公网地址对应的私网地址数）

需求和拓扑

某公司在网络边界处部署了FW作为安全网关。公司只向ISP申请了一个公网IP地址用于FW公网接口和ISP的Router互联。为了使公司私网中10.1.1.0/24网段的用户可以正常访问Internet，需要在FW上配置出接口地址方式的源NAT策略，使用私网用户直接借用FW公网接口的IP地址来访问Internet。网络环境如图，其中Router是ISP提供的接入网关。

配置步骤

1、配置终端设备及网络设备接口地址

2、配置路由

ip route-static 2.2.2.2 255.255.255.255 1.1.1.254

3、配置安全策略

security-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction permit

4、配置NAT

//不配置nat地址池//配置nat策略
nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction source-nat address-group 1

测试和分析

在client1上ping server

在fw的g1/0/0口抓包（trust侧，nat前）

在fw的g1/0/1口抓包（untrust侧，nat后）

检查fw的会话表和server-map表项

在client1上访问server的ftp服务

在fw的g1/0/0口抓包（trust侧，nat前）

在fw的g1/0/1口抓包（untrust侧，nat后）

检查fw的会话表和server-map表项

发现没有生成server-map表项，并且nat前后的源端口发生了改变。

三元组NAT

允许公网用户主动连接私网的源NAT式的NAPT。适用于基于P2P的文件共享、语音通信、视频传输等。

三元组NAT的端口不能复用，保证了内部PC对外呈现的端口的一致性，不会动态变化，但是公网地址利用率低。

支持外部设备通过转换后的地址和端口主动访问内部PC，FW即使没有配置相应的安全策略，也允许此类访问报文通过。

同时维护会话表和sever-map 表。

实验五：私网用户通过三元组NAT访问Internet

需求和拓扑

同时，要求私网用户与Internet上的主机之间能进行P2P业务交流，如文件共享、语音通信、视频传输等，Internet上的主机也能主动访问私网用户。

配置步骤

1、配置终端设备及网络设备接口地址

2、配置路由

ip route-static 2.2.2.2 255.255.255.255 1.1.1.254

3、配置安全策略

security-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction permit

4、配置NAT

//配置nat地址池
nat address-group 1 0mode full-cone globalsection 0 1.1.1.10 1.1.1.14
//配置nat策略
nat-policyrule name 1source-zone trustdestination-zone untrustsource-address 10.1.1.0 mask 255.255.255.0destination-address 2.2.2.0 mask 255.255.255.0service ftpservice icmpaction source-nat address-group 1

5、开启端点无关过滤功能

firewall endpoint-independent filter

测试和分析

[f1]dis firewall session table
2022-02-09 15:31:27.140 Current Total Sessions : 1ftp  VPN: public --> public  10.1.1.30:2059[1.1.1.12:4096] +-> 2.2.2.2:21

[f1]dis firewall server-map
2022-02-09 15:31:35.090 Current Total Server-map : 2Type: FullCone Dst,  ANY -> 1.1.1.12:4096[10.1.1.30:2059],  Zone: ---Protocol: tcp(Appro: ---),  TTL: 60,  Left-Time: 58,  Pool: 0, Section: 0Vpn: public -> public,  Hotversion: 1Type: FullCone Src,  10.1.1.30:2059[1.1.1.12:4096] -> ANY,  Zone: ---Protocol: tcp(Appro: ---),  TTL: 60,  Left-Time: 58,  Pool: 0, Section: 0Vpn: public -> public,  Hotversion: 1

以上实验拓扑及完整配置已打包，关注并回复源NAT获得。

HCIE-Security Day6：5个实验深入浅出理解源NAT相关推荐

今晚8点直播 | 深入浅出理解A3C强化学习
强化学习是一种比较传统的人工智能手段,在近年来随着深度学习的发展,强化学习和深度学习逐渐结合在了一起.这种结合使得很多原来无法想象的工作有了可能,最令我们瞩目的莫过于AlphaGo战胜李世石,以及Op ...
今晚直播 | 深入浅出理解A3C强化学习
强化学习是一种比较传统的人工智能手段,在近年来随着深度学习的发展,强化学习和深度学习逐渐结合在了一起.这种结合使得很多原来无法想象的工作有了可能,最令我们瞩目的莫过于AlphaGo战胜李世石,以及Op ...
公开课报名 | 深入浅出理解A3C强化学习
强化学习是一种比较传统的人工智能手段,在近年来随着深度学习的发展,强化学习和深度学习逐渐结合在了一起.这种结合使得很多原来无法想象的工作有了可能,最令我们瞩目的莫过于AlphaGo战胜李世石,以及Op ...
深入浅出理解c++虚函数
深入浅出理解c++虚函数记得几个月前看过C++虚函数的问题,当时其实就看懂了,最近笔试中遇到了虚函数竟然不太确定,所以还是理解的不深刻,所以想通过这篇文章来巩固下. 装逼一刻: 最近,本人思想发生了 ...
计算机操作系统开启审计功能,深入浅出理解操作系统安全
原标题:深入浅出理解操作系统安全引言操作系统安全在计算机信息系统的整体安全性中具有至关重要的作用,没有操作系统提供的安全性,计算机业务系统的安全性是没有基础的. 什么是操作系统操作系统(英语:o ...
深入浅出理解索引结构
(一)深入浅出理解索引结构实际上,您可以把索引理解为一种特殊的目录.微软的SQL SERVER提供了两种索引:聚集索引(clustered index,也称聚类索引.簇集索引)和非聚集索引(nonc ...
【转】深入浅出理解有限状态机
转自:深入浅出理解有限状态机 - 知乎有限状态机是一种用来进行对象行为建模的工具,其作用主要是描述对象在它的生命周期内所经历的状态序列,以及如何响应来自外界的各种事件.在计算机科学中,有限状态机被广 ...
深入浅出强化学习_直播 | 深入浅出理解 A3C 强化学习
强化学习是一种比较传统的人工智能手段,在近年来随着深度学习的发展,强化学习和深度学习逐渐结合在了一起. 这种结合使得很多原来无法想象的工作有了可能,最令我们瞩目的莫过于 AlphaGo 战胜李世石,以 ...
20135202闫佳歆--week 8 实验：理解进程调度时机跟踪分析进程调度与进程切换的过程--实验及总结...
week 8 实验:理解进程调度时机跟踪分析进程调度与进程切换的过程 1.环境搭建: rm menu -rf git clone https://github.com/megnning/menu.gi ...
音视频开发（29）---深入浅出理解视频编码H264结构
深入浅出理解视频编码H264结构编码流程: 那么 H.264 其编解码流程是怎么样的呢?其实可以主要分为 5 部分: 帧间和帧内预测(Estimation).变换(Transform)和反变换.量化 ...

HCIE-Security Day6：5个实验深入浅出理解源NAT

产生背景

NAT分类

NAT地址池

共用地址池

多地址池

源NAT

No-pat

NAPT

Smart NAT

Easy IP

三元组NAT

HCIE-Security Day6：5个实验深入浅出理解源NAT相关推荐

最新文章

热门文章