HC防火墙FCG的NAT配置.docx

《HC防火墙FCG的NAT配置.docx》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、1.Firewall的配置#指定GigabitEthernet1/0/1端口的电口被激活，使用双绞线连接system-view[H3C]interfacegigabitethernet1/0/1[H3C-GigabitEthernet1/0/1]comboenablecopper[H3C-GigabitEthernet1/0/1]quit#按照组网图配置各接口的IP地址。system-view[Sysname]interfacegigabitethernet1/0/1[Sysname-GigabitEthernet1/0/1]portlink-moder

2、oute[Sysname-GigabitEthernet1/0/1]quit[Sysname]interfacegigabitethernet1/0/2[Sysname-GigabitEthernet1/0/2]portlink-moderoute[Sysname-GigabitEthernet1/0/2]quit#创建安全域，并将不同的接口加入不同的安全域。[Sysname]security-zonenameTrust[Sysname-security-zone-Trust]importinterfacegigabitethernet1/0/1[Sysname-security-

3、zone-Trust]quit[Sysname]security-zonenameUntrust[Sysname-security-zone-Untrust]importinterfacegigabitethernet1/0/2[Sysname-security-zone-Untrust]quit[Sysname]aclnumber20010.0.0.255[Sysname-acl-basic-2001]ruledeny[Sysname-acl-basic-2001]quit#配置域间策略，应用ACL2001进行报文过滤。[Sysname]zone-pairsecuritysour

4、ceTrustdestinationUntrust[Sysname-zone-pair-security-Trust-Untrust]packet-filter2001[Sysname-zone-pair-security-Trust-Untrust]quit[Sysname]nataddress-group1[Sysname-address-group-1]quit#在出接口GigabitEthernet1/0/2上配置ACL2001与IP地址池1相关联。NO-PAT方式：进行源地址转换，不转换源端口[Sysname]interfacegigabitethernet1/0/2[S

5、ysname-GigabitEthernet1/0/2]natoutbound2001address-group1no-pat[Sysname-GigabitEthernet1/0/2]quitPAT方式：进行源地址转换，同时转换源端口[Sysname]interfacegigabitethernet1/0/2[Sysname-GigabitEthernet1/0/2]natoutbound2001address-group1[Sysname]interfacegigabitethernet1/0/2PAT方式：进行源地址转换，但不转换源端口[Sysname-GigabitEthe

6、rnet1/0/2]natoutbound2001address-group1port-preserved[Sysname-GigabitEthernet1/0/2]quit6.3验证配置(1)上述配置完成后，内网主机可以访问外网服务器。通过查看如下显示信息，可以验证上述配置成功，以PAT方式为例。[Sysname]displaynatall[Sysname]displaynatsessionverbosedisplaycurrent-configuration2．如果不行的话，需要如下配置iproute-static0.0.0[H3C]security-zone

7、intra-zonedefaultpermit//配置同一安全域内接口间报文处理的缺省动作为permit[H3C]object-policyipTrust-Untrust//创建Trust到Untrst的地址对象策略[H3C-object-policy-ip-Trust-Untrust]rule0pass//规则为允许[H3C-object-policy-ip-Trust-Untrust]quit[H3C]zone-pairsecuritysourceTrustdes