資源描述:
《華為防火墻nat配置命令》由會員上傳分享,免費在線閱讀,更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。
1、私網(wǎng)用戶通過NAPT方式訪問Internet(備注:在這種環(huán)境中,外網(wǎng)只能ping通外網(wǎng)口,公網(wǎng)沒有寫入到內(nèi)網(wǎng)的路由,所以前提是內(nèi)網(wǎng)只能ping通外網(wǎng)口,但走不到外網(wǎng)口以外的網(wǎng)絡(luò),做了NAT之后,內(nèi)網(wǎng)可以通外網(wǎng)任何網(wǎng)絡(luò),但是外網(wǎng)只能ping到本地內(nèi)網(wǎng)的外網(wǎng)口。)本例通過配置NAPT功能,實現(xiàn)對少量公網(wǎng)IP地址的復(fù)用,保證公司員工可以正常訪問Internet。組網(wǎng)需求如圖1所示,某公司內(nèi)部網(wǎng)絡(luò)通過USG9000與Internet相連,USG9000作為公司內(nèi)網(wǎng)的出口網(wǎng)關(guān)。由于該公司擁有的公網(wǎng)IP地址較少(202.169.1.21
2、~202.169.1.25),所以需要利用USG9000的NAPT功能復(fù)用公網(wǎng)IP地址,保證員工可以正常訪問Internet。圖1配置私網(wǎng)用戶通過NAPT方式訪問Internet組網(wǎng)圖配置思路1.完成設(shè)備的基礎(chǔ)配置,包括配置接口的IP地址,并將接口加入安全區(qū)域。2.配置安全策略,允許私網(wǎng)指定網(wǎng)段訪問Internet。3.配置NAT地址池和NAT策略,對指定流量進行NAT轉(zhuǎn)換,使私網(wǎng)用戶可以使用公網(wǎng)IP地址訪問Internet。4.配置黑洞路由,防止產(chǎn)生路由環(huán)路。操作步驟1.配置USG9000的接口IP地址,并將接口加入安全區(qū)域
3、。#配置接口GigabitEthernet1/0/1的IP地址。system-view[USG9000]interfaceGigabitEthernet1/0/1[USG9000-GigabitEthernet1/0/1]ipaddress10.1.1.1024[USG9000-GigabitEthernet1/0/1]quit#配置接口GigabitEthernet1/0/2的IP地址。[USG9000]interfaceGigabitEthernet1/0/2[USG9000-GigabitEtherne
4、t1/0/2]ipaddress202.169.1.124[USG9000-GigabitEthernet1/0/2]quit#將接口GigabitEthernet1/0/1加入Trust區(qū)域。[USG9000]firewallzonetrust[USG9000-zone-trust]addinterfaceGigabitEthernet1/0/1[USG9000-zone-trust]quit#將接口GigabitEthernet1/0/2加入Untrust區(qū)域。[USG9000]firewallzoneuntrust[US
5、G9000-zone-untrust]addinterfaceGigabitEthernet1/0/2[USG9000-zone-untrust]quit2.配置安全策略,允許私網(wǎng)網(wǎng)段10.1.1.0/24的用戶訪問Internet。3.[USG9000]policyinterzonetrustuntrustoutbound4.[USG9000-policy-interzone-trust-untrust-outbound]policy15.[USG9000-policy-interzone-trust-untrust-out
6、bound-1]policysource10.1.1.00.0.0.2556.[USG9000-policy-interzone-trust-untrust-outbound-1]actionpermit7.[USG9000-policy-interzone-trust-untrust-outbound-1]quit[USG9000-policy-interzone-trust-untrust-outbound]quit1.配置NAT地址池和NAT策略。#配置NAT地址池的模式為PAT,即采用NAPT功能復(fù)用公網(wǎng)IP地址,并指
7、定可用于NAT轉(zhuǎn)換的公網(wǎng)IP地址。[USG9000]nataddress-group1[USG9000-address-group-1]modepat[USG9000-address-group-1]section202.169.1.21202.169.1.25[USG9000-address-group-1]quit(注;有些低版本的防火墻不能這樣配置,配置應(yīng)為:[USG9000]nataddress-group1起始地址結(jié)束地址[USG9000-address-group-1]quit)#配置NAT策略,限定只對源地址為1
8、0.1.1.0/24網(wǎng)段的流量進行NAT轉(zhuǎn)換,并綁定NAT地址池1。[USG9000]nat-policyinterzonetrustuntrustoutbound[USG9000-nat-policy-interzone-trust-untrust-outbound]pol