華為防火墻nat配置命令

《華為防火墻nat配置命令》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。

1、私網(wǎng)用戶通過NAPT方式訪問Internet（備注：在這種環(huán)境中，外網(wǎng)只能ping通外網(wǎng)口，公網(wǎng)沒有寫入到內(nèi)網(wǎng)的路由，所以前提是內(nèi)網(wǎng)只能ping通外網(wǎng)口，但走不到外網(wǎng)口以外的網(wǎng)絡(luò)，做了NAT之后，內(nèi)網(wǎng)可以通外網(wǎng)任何網(wǎng)絡(luò)，但是外網(wǎng)只能ping到本地內(nèi)網(wǎng)的外網(wǎng)口。）本例通過配置NAPT功能，實現(xiàn)對少量公網(wǎng)IP地址的復(fù)用，保證公司員工可以正常訪問Internet。組網(wǎng)需求如圖1所示，某公司內(nèi)部網(wǎng)絡(luò)通過USG9000與Internet相連，USG9000作為公司內(nèi)網(wǎng)的出口網(wǎng)關(guān)。由于該公司擁有的公網(wǎng)IP地址較少（202.169.1.21

2、～202.169.1.25），所以需要利用USG9000的NAPT功能復(fù)用公網(wǎng)IP地址，保證員工可以正常訪問Internet。圖1配置私網(wǎng)用戶通過NAPT方式訪問Internet組網(wǎng)圖配置思路1.完成設(shè)備的基礎(chǔ)配置，包括配置接口的IP地址，并將接口加入安全區(qū)域。2.配置安全策略，允許私網(wǎng)指定網(wǎng)段訪問Internet。3.配置NAT地址池和NAT策略，對指定流量進行NAT轉(zhuǎn)換，使私網(wǎng)用戶可以使用公網(wǎng)IP地址訪問Internet。4.配置黑洞路由，防止產(chǎn)生路由環(huán)路。操作步驟1.配置USG9000的接口IP地址，并將接口加入安全區(qū)域

3、。#配置接口GigabitEthernet1/0/1的IP地址。system-view[USG9000]interfaceGigabitEthernet1/0/1[USG9000-GigabitEthernet1/0/1]ipaddress10.1.1.1024[USG9000-GigabitEthernet1/0/1]quit#配置接口GigabitEthernet1/0/2的IP地址。[USG9000]interfaceGigabitEthernet1/0/2[USG9000-GigabitEtherne

4、t1/0/2]ipaddress202.169.1.124[USG9000-GigabitEthernet1/0/2]quit#將接口GigabitEthernet1/0/1加入Trust區(qū)域。[USG9000]firewallzonetrust[USG9000-zone-trust]addinterfaceGigabitEthernet1/0/1[USG9000-zone-trust]quit#將接口GigabitEthernet1/0/2加入Untrust區(qū)域。[USG9000]firewallzoneuntrust[US

5、G9000-zone-untrust]addinterfaceGigabitEthernet1/0/2[USG9000-zone-untrust]quit2.配置安全策略，允許私網(wǎng)網(wǎng)段10.1.1.0/24的用戶訪問Internet。3.[USG9000]policyinterzonetrustuntrustoutbound4.[USG9000-policy-interzone-trust-untrust-outbound]policy15.[USG9000-policy-interzone-trust-untrust-out

6、bound-1]policysource10.1.1.00.0.0.2556.[USG9000-policy-interzone-trust-untrust-outbound-1]actionpermit7.[USG9000-policy-interzone-trust-untrust-outbound-1]quit[USG9000-policy-interzone-trust-untrust-outbound]quit1.配置NAT地址池和NAT策略。#配置NAT地址池的模式為PAT，即采用NAPT功能復(fù)用公網(wǎng)IP地址，并指

7、定可用于NAT轉(zhuǎn)換的公網(wǎng)IP地址。[USG9000]nataddress-group1[USG9000-address-group-1]modepat[USG9000-address-group-1]section202.169.1.21202.169.1.25[USG9000-address-group-1]quit（注;有些低版本的防火墻不能這樣配置，配置應(yīng)為：[USG9000]nataddress-group1起始地址結(jié)束地址[USG9000-address-group-1]quit）#配置NAT策略，限定只對源地址為1

8、0.1.1.0/24網(wǎng)段的流量進行NAT轉(zhuǎn)換，并綁定NAT地址池1。[USG9000]nat-policyinterzonetrustuntrustoutbound[USG9000-nat-policy-interzone-trust-untrust-outbound]pol