配置NAT后为什么要同时配置黑洞路由(2)

还有一种极端情况，我们配置源NAT时，可以直接把公网接口地址作为转换后地址（easy-ip方式），也可以把公网接口地址配置成地址池地址。这样，NAT转换使用的地址和公网接口地址就是同一个地址了。在这种情况下，需要配置黑洞路由吗？我们来分析一下整个流程：防火墙收到公网PC的报文后，发现是访问自身的报文，这时候就取决于公网接口所属安全区域和Local安全区域之间的安全策略，安全策略允许通过，就处理；安全策略不允许通过，就丢弃。不会产生路由环路，也不需要配置黑洞路由。
看到这里，聪明的小伙伴肯定会问，NAT Server有没有这个问题啊？强叔告诉大家，NAT Server也存在路由环路的问题，不过发生路由环路的前提条件比较特殊，要看NAT Server是怎样配置的。下面是一个典型的NAT Server组网环境，我们先来看一下NAT Server的Global地址和公网接口地址不在同一网段的情况。

如果我们在防火墙上配置了一条粗犷型的NAT Server，将私网Server全部发布到公网，如：
[FW] nat server global 202.1.1.20 inside 192.168.0.20
公网PC访问202.1.1.20的报文，目的地址都会被转换成192.168.0.20，然后发送给私网Server，这个时候自然不会产生路由环路。
但是如果我们配置了一条精细化的NAT Server，只把特定的端口发布到公网上，如：
[FW] nat server protocol tcp 202.1.1.20 80 inside 192.168.0.20 80
此时如果公网PC不按常理出牌，没有访问202.1.1.20的80端口，而是使用ping命令访问202.1.1.20，防火墙收到该报文后，既无法匹配Server-map表，也无法匹配会话表，就只能查找路由转发，从GE0/0/1接口送出去。而路由器收到报文后，还是要送到防火墙，这样依然会产生路由环路：

 
所以，当防火墙上配置了特定协议和端口的NAT Server并且NAT Server的Global地址和公网接口地址不在同一网段时，必须配置黑洞路由，避免在防火墙和路由器之间产生路由环路。
如果NAT Server的Global地址和公网接口地址在同一网段，防火墙收到公网PC的ping报文后，会发送ARP请求报文，这个过程就和前面讲过的NAT的情况是一样的。同理，当防火墙上配置了特定协议和端口的NAT Server并且NAT Server的Global地址和公网接口地址在同一网段时，建议也配置黑洞路由，避免防火墙发送ARP请求报文，节省防火墙的系统资源。
同样，我们配置NAT Server时，也可以把公网接口地址配置成Global地址。此时，防火墙收到公网PC的报文后，如果能匹配上Server-map表，就转换目的地址，然后转发到私网；如果不能匹配上Server-map表，就会认为是访问自身的报文，由公网接口所属安全区域和Local安全区域之间的安全策略决定如何处理。不会产生路由环路，也不需要配置黑洞路由。
讲到这里，相信大家一定明白了配置黑洞路由的原因，是不是感觉内功又提升了啊~~我们再总结一下，对于源NAT来说：
如果NAT地址池地址与公网接口地址不在同一网段，必须配置黑洞路由；
如果NAT地址池地址与公网接口地址在同一网段，建议也配置黑洞路由。