《H3C防火墙F100-C-G2的NAT配置》由会员分享，可在线阅读，更多相关《H3C防火墙F100-C-G2的NAT配置（7页珍藏版）》请在金锄头文库上搜索。
1、1. Firewall的配置#指定GigabitEthernet1/0/1端口的电口被激活，使用双绞线连接 system-viewH3C interface gigabitethernet 1/0/1H3C-GigabitEthernet1/0/1 combo enable copperH3C-GigabitEthernet1/0/1quit# 按照组网图配置各接口的 IP 地址。 system-viewSysname interface gigabitethernet1/0/1Sysname-GigabitEthernet1/0/1 port link-mode routeSysname-G
2、igabitEthernet1/0/1 ip address 10.110.10.10 255.255.255.0Sysname-GigabitEthernet1/0/1 quitSysname interface gigabitethernet1/0/2Sysname-GigabitEthernet1/0/2 port link-mode routeSysname-GigabitEthernet1/0/2 ip address 202.38.1.1 255.255.255.0Sysname-GigabitEthernet1/0/2 quit# 创建安全域，并将不同的接口加入不同的安全域。Sy
3、snamesecurity-zone name TrustSysname-security-zone-Trustimport interface gigabitethernet1/0/1Sysname-security-zone-TrustquitSysnamesecurity-zone name UntrustSysname-security-zone-Untrustimport interface gigabitethernet1/0/2Sysname-security-zone-Untrustquit# 配置访问控制列表 2001，仅允许内部网络中 10.110.10.0/24 网段的用
4、户可以访问 Internet。Sysname acl number 2001Sysname-acl-basic-2001 rule permit source 10.110.10.0 0.0.0.255Sysname-acl-basic-2001 rule denySysname-acl-basic-2001 quit# 配置域间策略，应用 ACL 2001 进行报文过滤。Sysname zone-pair security source Trust destination UntrustSysname-zone-pair-security-Trust-Untrustpacket-filter
5、 2001Sysname-zone-pair-security-Trust-Untrustquit# 配置 IP 地址池 1，包括两个公网地址 202.38.1.2 和 202.38.1.3。Sysname nat address-group 1Sysname-address-group-1 address 202.38.1.2 202.38.1.3Sysname-address-group-1 quit# 在出接口 GigabitEthernet1/0/2 上配置 ACL 2001 与 IP 地址池 1 相关联。 NO-PAT 方式：进行源地址转换，不转换源端口Sysname interfa
6、ce gigabitethernet 1/0/2Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1 no-patSysname-GigabitEthernet1/0/2 quit PAT 方式：进行源地址转换，同时转换源端口Sysname interface gigabitethernet 1/0/2Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1Sysname interface gigabitethernet 1/0/2 PAT 方式：进行源
7、地址转换，但不转换源端口Sysname-GigabitEthernet1/0/2 nat outbound 2001 address-group 1 port-preservedSysname-GigabitEthernet1/0/2 quit6.3 验证配置(1) 上述配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证上述配置成功，以 PAT 方式为例。Sysname display nat allSysname display nat session verbose display current-configuration2如果不行的话，需要如下配置ip route-
8、static 0.0.0.0 0.0.0.0 10.110.10.10H3Csecurity-zone intra-zone default permit /配置同一安全域内接口间报文处理的缺省动作为permitH3Cobject-policy ip Trust-Untrust /创建Trust到Untrst的地址对象策略H3C-object-policy-ip-Trust-Untrust rule 0 pass /规则为允许H3C-object-policy-ip-Trust-UntrustquitH3Czone-pair security source Trust destination
9、Untrust /放通Turst到Untrust的域间策略H3C-zone-pair-security-Trust-Untrustobject-policy apply ip Trust-Untrust /引用Trust到Untrst的地址对象策略H3C-object-policy-ip-Trust-UntrustquitG1/0/1192.168.88.88/24G1/0/2192.168.123.254/231. Firewall的配置(1)指定GigabitEthernet1/0/1端口的电口被激活，使用双绞线连接system-viewinterface gigabitethernet
10、1/0/1combo enable copperquit(2)按照组网图配置各接口的 IP 地址。system-viewinterface gigabitethernet1/0/1port link-mode routeip address 192.168.88.88 255.255.255.0quitinterface gigabitethernet1/0/2port link-mode routeip address 192.168.123.254 255.255.255.0quit(3)# 创建安全域，并将不同的接口加入不同的安全域。security-zone name Trustimp
11、ort interface gigabitethernet1/0/2quitsecurity-zone name Untrustimport interface gigabitethernet1/0/1quit(4)# 配置访问控制列表 2001，仅允许内部网络中 192.168.123.0/23 网段的用户可以访问 Internet。acl number 2001rule permit source 192.168.123.0 0.0.0.127quit(5)# 配置域间策略，应用 ACL 2001 进行报文过滤。zone-pair security source Trust destina
12、tion Untrustpacket-filter 2001quit(6)# 配置 IP 地址池 1，包括两个公网地址192.168.88.88 和 192.168.89。nat address-group 1address 192.168.88.88 192.168.88.89quit(7)# 在出接口 GigabitEthernet1/0/2 上配置 ACL 2001 与 IP 地址池 1 相关联。PAT 方式：进行源地址转换，同时转换源端口interface gigabitethernet 1/0/1nat outbound 2001 address-group 1 port-preservedquit6.3 验证配置(1) 上述配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证上述配置成功，以 PAT 方式为例。Sysname display nat allSysname display nat session verbose display current-configuration
