防火墙地址映射与地址转换(地址转换和地址映射)

可以。 二级穿透是指NAT两次映射。很多设备都是可以。生产环境遇到过不少例子都是这样的。但是你的情况是在思科路由器上，如果将内部的系统映射出去，找相关的产品型号的设置。 防火墙的NAT映射是容易的。只要接在防火墙外网出来的网络就可以测试结果。
可以的，主要在出口的地方做映射就可以了，路由器上做转换，或者在防火墙上做转换，如果防火墙做转换的话，路由器上的地址就是公网地址，如果是路由器上做转换，防火墙就可以过滤放行，反正想怎么实现都可以在防护墙上和路由器上做，看你怎么用，像你这个要求只是PC上网太简单了，哪里做都可以实现的 很简单，把内网地址映射成外网地址就可以，当然前是路由要通
看起来你是做了port mapping，如果使用的协议不需要报文内容里修改端口，应该可以二次映射的。另外防火墙可以设置DMZ，这样防火墙不用做port mapping，明白了？

网络地址转换即NAT 正常的防火墙均支持此类功能 一般在内网访问外网，或者外网访问内网服务资源时 需要使用 具体配置操作看具体需求 如果您有网络方面不了解的可以进一步问我

ip nat inside source list 访问列表标号 pool 内部合法地址池名字 ip nat inside destination static10.106.1.16 172.1.1.15将外部局部地址转换为外部全局地址nat inside destination static tcp 10.106.1.16 21 172.1.1.11 21将外部局部端口21转换为外部全局端口21在示例中好理解，建议结合实际操作好掌握。以下网上找的。。。NAT 具体命令理解1,由内向外的转换,在路由器的inside口处发生了NAT转换行为r1-2514(config)#ip nat inside ?destinationDestination address translationsource Source address translation从上面可以看出,在inside边可以对数据包中的源地址或者目标地址进行转换.r1-2514(config)#ip nat inside source ?list Specify access list describing local addressesroute-mapSpecify route-mapstatic Specify static local->global mapping从上面可以看出,针对源地址进行转换可以使用acl 或者 route-map来表述一个本地地址,意思是数据包中源地址符合这些的都要被转换. 也可以使用static进行静态映射,指定一个静态的从本地到全局的映射.r1-2514(config)#ip nat inside source list 1 ?interfaceSpecify interface for global addresspool Name pool of global addresses从上面输出可以看出接下来要给一个全局地址,数据包中的源地址将被这个全局地址替代.对于静态映射,还可以指定协议 端口号:When translating addresses to an interface's address, outside-initiated connections to services on the inside network (like mail) will require additional configuration to send the connection to the correct inside host. This command allows the user to map certain services to certain inside hosts.ip nat inside source static { tcp | udp } Example:ip nat inside source static tcp 192.168.10.1 25 171.69.232.209 25In this example, outside-initiated connections to the SMTP port (25) will be sent to the inside host 192.168.10.1.在inside边对目标进行转换:r1-2514(config)#ip nat inside destination ?listSpecify access list describing global addresses从上面输出可以看出,路由器要求输入一个表示全局地址的ACLr1-2514(config)#ip nat inside destination list 1 ?poolName pool of local addressespoolName pool of local addresses接着要求输入一个本地地址池所以这是一个针对从outside向inside方向数据的NAT,凡是在这个方向数据包中目标地址符合ACL描述的全部被转换成POOL中的本地地址.这可以被用来进行TCP的负载均衡,即外部都请求同一个全局地址,而在路由器的inside边,这些请求的目标地址全部被转换成地址池中的地址,而且是循环使用地址池中的地址,从而达到负载均衡,但是这种方法只适合TCP流,同时不适宜用在WEB服务的负载均担上.详细解释看这里:Destination Address Rotary TranslationA dynamic form of destination translation can be configured for some outside-to-inside traffic. Once a mapping is set up, a destination address matching one of those on an access list will be replaced with an address from a rotary pool. Allocation is done in a round-robin basis, performed only when a new connection is opened from the outside to the inside. All non-TCP traffic is passed untranslated (unless other translations are in effect).This feature was designed to provide protocol translation load distribution. It is not designed nor intended to be used as a substitute technology for Cisco's LocalDirector product. Destination address rotary translation should not be used to provide web service load balancing because, like vanilla DNS, it knows nothing about service availability. As a result, if a web server were to become offline, the destination address rotary translation feature would continue to send requests to the downed server.http://www.cisco.com/warp/public/732/Tech/ipservices/natalgs.pdf2.由外向内,在OUTSIDE边发生的行为:r1-2514(config)#ip nat outside ?sourceSource address translation从上面可以看出在OUTSIDE边,只能对数据包中的源地址转换r1-2514(config)#ip nat outside source ?list Specify access list describing global addressesroute-mapSpecify route-mapstatic Specify static global->local mapping从上面可以看出接下来路由器要求给定一个全局地址的描述,可以是ACL route-map 或者 静态的.r1-2514(config)#ip nat outside source list 1 ?poolName pool of local addresses从上面可以看出,路由器接着又要求给定一个本地地址,这说明 这个命令是对从外到内的数据包,进行源地址字段的替换,它将外部全局地址转换成内部地址(内部本地或者内部全局,内部本地和内部全局可以相同也可以不同)ip nat outside source { list pool | static }The first form (list..pool..) enables dynamic translation. Packets from addresses that match those on the simple access list are translated using local addresses allocated from the named pool.The second form (static) of the command sets up a single static translation.一个例子：CONFIGURATION EXAMPLESThe following sample configuration translates between inside hosts addressed from either the 192.168.1.0 or 192.168.2.0 nets to the globally-unique 171.69.233.208/28 network.ip nat pool net-20 171.69.233.208 171.69.233.223 netmask 255.255.255.240ip nat inside source list 1 pool net-20!interface Ethernet0ip address 171.69.232.182 255.255.255.240ip nat outside!interface Ethernet1ip address 192.168.1.94 255.255.255.0ip nat inside!access-list 1 permit 192.168.1.0 0.0.0.255access-list 1 permit 192.168.2.0 0.0.0.255The next sample configuration translates between inside hosts addressed from the 9.114.11.0 net to the globally unique 171.69.233.208/28 network. Packets from outside hosts addressed from 9.114.11.0 net (the "true" 9.114.11.0 net) are translated to appear to be from net 10.0.1.0/24.ip nat pool net-20 171.69.233.208 171.69.233.223 netmask 255.255.255.240定义一个名称为 net-20的内部全局地址池ip nat pool net-10 10.0.1.0 10.0.1.255 netmask 255.255.255.0定义一个名称为net-10的外部本地地址池ip nat inside source list 1 pool net-20ip nat outside source list 1 pool net-10注意inside /outside全部调用了list 1 这说明 内外两边的源地址是重叠地址，通过将内部的源地址转换成net-20中地址和外部的9.114.11.0网络通信。将外部的源地址转换成net-10中的地址来与内部这边的9.114.11.0网络通信!interface Ethernet0ip address 171.69.232.182 255.255.255.240ip nat outside!interface Ethernet1ip address 9.114.11.39 255.255.255.0ip nat inside! access-list 1 permit 9.114.11.0 0.0.0.255
允许网络中10.1.6.0/24内的所有主机在访问外部网络时,把ip地址转换为175.1.1.3-175.1.1.64地址池中的任一地址 补:10.1.6.0是一个子网,不是一个具体地址这个子网包含10.1.6.1-10.1.6.254这么多个可分配具体地址.

在出口设备上做就行，就是在出口设备端口映射上把内网设备的IP：192.168.x.x填上，出口端口号8443，公网IP：222.x.x.x，端口号：可以填8443，也可以填其他的，前提是没被占用。上面说的是web配置，不知道你的出口设备品牌所以无法给你命令行配置。
应该是配置问题，具体要看你的配置文件和拓扑才能定位故障。

网络地址转换又有一对多，多对多，一对一转换，还有端口映射等， 现在很多国产的防火墙里面都有一项 网络地址转换，在防火墙的转换前一般都要定义好组，或者网络接口，然后用你定义的组（也就是你的服务器）你找到那一项，然后一对一的映射就好了，为了安全也可以只单独映射某个服务器的单个端口如80 端口等。具体的防火墙看看说明书就好了，再有不明白的多打厂家的电话咨询，厂家一般都有售后支持。 祝你好运。
在防火墙上做吗？我只知道路由器能用NAT做
在防火墙上做端口映射，不同厂商的设备配置方式有点出入，如思科、华为、H3C、等。所以你要说明你是什么品牌的防火墙。我可以免费帮你远程调试
防火墙是什么品牌 具体命令各有差别的 你非常急有什么用