《H3C防火墙F100-C-G2的NAT配置.docx》由会员分享，可在线阅读，更多相关《H3C防火墙F100-C-G2的NAT配置.docx（7页珍藏版）》请在三一文库上搜索。
1、.1. Firewall 的配置#指定 GigabitEthernet1/0/1 端口的电口被激活，使用双绞线连接 system-viewH3C interface gigabitethernet 1/0/1 H3C-GigabitEthernet1/0/1 combo enable copper H3C-GigabitEthernet1/0/1quit# 按照组网图配置各接口的 IP 地址。 system-viewSysname interface gigabitethernet1/0/1 Sysname-GigabitEthernet1/0/1 port link-mode routeSy
2、sname-GigabitEthernet1/0/1 ip address 10.110.10.10 255.255.255.0Sysname-GigabitEthernet1/0/1 quit Sysname interface gigabitethernet1/0/2 Sysname-GigabitEthernet1/0/2 port link-mode routeSysname-GigabitEthernet1/0/2 ip address 202.38.1.1 255.255.255.0Sysname-GigabitEthernet1/0/2 quit;.# 创建安全域，并将不同的接口
3、加入不同的安全域。Sysnamesecurity-zone name Trust Sysname-security-zone-Trustimport interface gigabitethernet1/0/1 Sysname-security-zone-TrustquitSysnamesecurity-zone name Untrust Sysname-security-zone-Untrustimport interface gigabitethernet1/0/2 Sysname-security-zone-Untrustquit# 配置访问控制列表 2001，仅允许内部网络中 10.1
4、10.10.0/24 网段的用户可以访问 Internet。Sysname acl number 2001Sysname-acl-basic-2001 rule permit source 10.110.10.0 0.0.0.255Sysname-acl-basic-2001 rule denySysname-acl-basic-2001 quit# 配置域间策略，应用 ACL 2001 进行报文过滤。Sysname zone-pair security source Trust destination Untrust Sysname-zone-pair-security-Trust-Untr
5、ustpacket-filter 2001 Sysname-zone-pair-security-Trust-Untrustquit# 配置 IP 地址池 1，包括两个公网地址 202.38.1.2 和 202.38.1.3。 Sysname nat address-group 1Sysname-address-group-1 address 202.38.1.2 202.38.1.3Sysname-address-group-1 quit# 在出接口GigabitEthernet1/0/2 上配置ACL 2001 与 IP 地址池 1;.相关联。NO-PAT 方式：进行源地址转换，不转换源端
6、口Sysname interface gigabitethernet 1/0/2Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1no-patSysname-GigabitEthernet1/0/2 quitPAT 方式：进行源地址转换，同时转换源端口 Sysname interface gigabitethernet 1/0/2 Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1 Sysname interface gigabitethernet
7、 1/0/2PAT 方式：进行源地址转换，但不转换源端口Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1port-preservedSysname-GigabitEthernet1/0/2 quit6.3 验证配置(1) 上述配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证上述配置成功，以 PAT 方式为例。Sysname display nat allSysname display nat session verbose display current-configuration;.2如果不行的
8、话，需要如下配置ip route-static 0.0.0.0 0.0.0.0 10.110.10.10H3Csecurity-zone intra-zone default permit / 配置同一安全域内接口间报文处理的缺省动作为permitH3Cobject-policy ip Trust-Untrust / 创建 Trust 到 Untrst 的地址对象策略H3C-object-policy-ip-Trust-Untrust rule 0 pass /规则为允许H3C-object-policy-ip-Trust-UntrustquitH3Czone-pair security so
9、urce Trust destination Untrust / 放通 Turst 到Untrust 的域间策略H3C-zone-pair-security-Trust-Untrustobject-policyapplyipTrust-Untrust /引用 Trust 到 Untrst 的地址对象策略H3C-object-policy-ip-Trust-Untrustquit;.G1/0/1G1/0/2192.168.88.88/24192.168.123.254/231. Firewall 的配置(1)指定 GigabitEthernet1/0/1 端口的电口被激活，使用双绞线连接syst
10、em-viewinterface gigabitethernet 1/0/1combo enable copperquit(2)按照组网图配置各接口的IP 地址。system-viewinterface gigabitethernet1/0/1port link-mode routeip address 192.168.88.88 255.255.255.0quitinterface gigabitethernet1/0/2port link-mode routeip address 192.168.123.254 255.255.255.0 quit(3)# 创建安全域，并将不同的接口加入不
11、同的安全域。;.security-zone name Trustimport interface gigabitethernet1/0/2quitsecurity-zone name Untrustimport interface gigabitethernet1/0/1quit(4)# 配置访问控制列表2001，仅允许内部网络中192.168.123.0/23网段的用户可以访问Internet。acl number 2001rule permit source 192.168.123.0 0.0.0.127 quit(5)# 配置域间策略，应用 ACL 2001 进行报文过滤。 zone-p
12、air security source Trust destination Untrust packet-filter 2001quit(6)# 配置IP 地址池1 ， 包括 两个 公网地址 192.168.88.88 和192.168.89。nat address-group 1address 192.168.88.88 192.168.88.89quit(7)# 在出接口GigabitEthernet1/0/2 上配置ACL 2001 与 IP 地址池 1 相关联。;.PAT 方式：进行源地址转换，同时转换源端口interface gigabitethernet 1/0/1nat outbound 2001 address-group 1 port-preservedquit6.3 验证配置(1) 上述配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证上述配置成功，以 PAT 方式为例。Sysname display nat allSysname display nat session verbose display current-configuration;.