• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

09-典型配置举例

目录

36-策略NAT典型配置举例

本章节下载 36-策略NAT典型配置举例  (431.96 KB)

36-策略NAT典型配置举例

策略NAT典型配置举例

本章包含如下内容:

·     简介

·     配置前提

·     使用限制

·     内网用户通过静态NAT地址访问外网配置举例

·     内网用户通过动态NAT地址访问外网配置举例

·     外网用户通过外网地址访问内网服务器配置举例

·     外网用户通过域名访问内网服务器配置举例

 

本文档介绍策略NAT功能的典型配置举例。

策略NAT用于定义一个或多个NAT转换规则,这些规则指定了报文匹配条件和转换行为。策略NAT支持的报文匹配条件包括源安全域和目的安全域、源地址和目的地址以及服务,满足所有已配置的匹配条件的报文将按指定行为转换其地址信息。

存在三种策略NAT,不同策略NAT有不同的应用场景,具体如下:

·     NAT44策略:用于IPv4网络互通的NAT地址转换。

·     NAT64策略:用于IPv4IPv6网络互通的NAT地址转换。

·     NAT66策略:用于IPv6网络互通的NAT地址转换。

策略NAT包含三种转换模式,不同转换模式有不同的转换行为,具体如下:

·     源地址转换:NAT设备只转换报文的源IP地址和源端口。

·     目的地址转换:NAT设备只转换报文的目的IP地址和目的端口。

·     双重转换:NAT设备既转换报文的源IP地址和源端口,又转换报文的目的IP地址和目的端口。

配置前提

 

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置与以下举例中的配置不冲突。

本文档假设您已了解策略NAT特性。

 

本特性不支持与接口NAT特性混用。

内网用户通过静态NAT地址访问外网配置举例

组网需求

图-1所示,Host所在网络的出口处部署了一台Device。现需要使用策略NAT源地址静态转换功能,将内网用户地址转换为固定的出口公网地址来访问外网。具体需求如下:

内部网络用户10.110.10.8/24使用外网地址202.38.1.100访问Internet中的地址为201.10.10.1/24 Server

图-1 内网用户通过静态NAT地址访问外网配置组网图

 

使用版本

本举例是在F1000-AI-55R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/2右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:202.38.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/1,配置如下。

·     安全域:Trust

·     选择“IPv4地址”页签,配置IP地址/掩码:10.110.10.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:201.10.10.1

·     掩码长度:24

·     下一跳IP地址:202.38.1.2

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:Secpolicy

·     源安全域:Trust

·     目的安全域:Untrust

·     类型:IPv4

·     动作:允许

·     IPv4地址:10.110.10.8

·     目的IPv4地址:201.10.10.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置策略NAT规则

# 选择“策略 > 策略NAT”,进入策略NAT配置页面。

# 单击<新建>按钮,新建策略NAT规则,配置如下图所示。

图-2 新建策略NAT规则

 

# 单击<确定>按钮,完成策略NAT规则配置。

验证配置

Host主机可以Ping通外部网络的服务器地址。

C:\Users\abc>ping 201.10.10.1

 

正在 Ping 201.10.10.1 具有 32 字节的数据:

来自 201.10.10.1 的回复: 字节=32 时间<1ms TTL=253

来自 201.10.10.1 的回复: 字节=32 时间<1ms TTL=253

来自 201.10.10.1 的回复: 字节=32 时间<1ms TTL=253

来自 201.10.10.1 的回复: 字节=32 时间<1ms TTL=253

 

201.10.10.1 Ping 统计信息:

    数据包: 已发送 = 4,已接收 = 4,丢失 = 0 (0% 丢失)

往返行程的估计时间(以毫秒为单位):

    最短 = 0ms,最长 = 0ms,平均 = 0ms

 

内网用户通过动态NAT地址访问外网配置举例

组网需求

图-3所示,公司内网使用的IP地址为192.168.1.0/24,并拥有202.38.1.1202.38.1.2202.38.1.3三个公网IP地址。通过配置策略NAT源地址动态转换功能,使内部网络中的主机可以访问Internet中的Server

图-3 内网用户通过动态NAT地址访问外网配置组网图

 

使用版本

本举例是在F1000-AI-55R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/2右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:202.38.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/1,配置如下。

·     安全域:Trust

·     选择“IPv4地址”页签,配置IP地址/掩码:192.168.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:200.1.1.10

·     掩码长度:24

·     下一跳IP地址:202.38.1.2

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:Secpolicy

·     源安全域:Trust

·     目的安全域:Untrust

·     类型:IPv4

·     动作:允许

·     IPv4地址:192.168.1.10192.168.1.11192.168.1.12

·     目的IPv4地址:200.1.1.10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置NAT地址组

# 选择“对象 > 对象组 > NAT地址组”。

# 单击<新建>按钮,新建NAT地址组,参数配置如下图所示。

图-4 新建地址组

 

# 单击<确定>按钮,完成NAT地址组配置。

5.     配置策略NAT规则

# 选择“策略 > 策略NAT,进入策略NAT配置页面。

# 单击<新建>按钮,新建策略NAT规则,参数配置如下图所示。

图-5 新建策略NAT规则

 

# 单击<确定>按钮,完成策略NAT规则配置。

验证配置

Host主机可以Ping通外部网络的服务器地址。

C:\Users\abc>ping 200.1.1.10

 

正在 Ping 200.1.1.10 具有 32 字节的数据:

来自 200.1.1.10 的回复: 字节=32 时间<1ms TTL=253

来自 200.1.1.10 的回复: 字节=32 时间<1ms TTL=253

来自 200.1.1.10 的回复: 字节=32 时间<1ms TTL=253

来自 200.1.1.10 的回复: 字节=32 时间<1ms TTL=253

 

200.1.1.10 Ping 统计信息:

    数据包: 已发送 = 4,已接收 = 4,丢失 = 0 (0% 丢失)

往返行程的估计时间(以毫秒为单位):

    最短 = 0ms,最长 = 0ms,平均 = 0ms

组网需求

图-6所示,公司内部部署了四台服务器,分别对外提供WebFTPSMTP服务。公司内部网络为10.110.10.0/24,并拥有202.38.1.1202.38.1.2202.38.1.3三个公网IP地址。选用202.38.1.1作为公司对外提供服务的IP地址,其中Web服务器1对外采用80端口,Web服务器2对外采用8080端口,FTP服务器对外采用21端口,SMTP服务器对外采用25端口。通过配置策略NAT目的地址转换功能,外网主机可以利用公网地址访问公司内部的服务器。

图-6 外网用户通过外网地址访问内网服务器配置组网图

 

使用版本

本举例是在F1000-AI-55R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/2右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:202.38.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/1,配置如下。

·     安全域:Trust

·     选择“IPv4地址”页签,配置IP地址/掩码:10.110.10.10/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

2.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:Secpolicy

·     源安全域:Untrust

·     目的安全域:Trust

·     类型:IPv4

·     动作:允许

·     目的IPv4地址:10.110.10.110.110.10.210.110.10.310.110.10.4

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

3.     配置策略NAT规则(以Web Server 1为例)

# 选择“策略 > 策略NAT”,进入策略NAT配置界面。

# 单击<新建>按钮,新建策略NAT规则,参数配置如下图所示。

图-7 新建策略NAT规则

 

# 单击<确定>按钮,完成策略NAT规则配置。

验证配置

Host主机可以经由地址202.38.1.1访问内部网络的Web服务器。

组网需求

图-8所示,公司有一台对外提供Web服务的Web Server,其地址为10.110.10.2/24,另有一台DNS服务器,IP地址为10.110.10.3/24,用于解析Web服务器的域名。公司拥有两个公网IP地址:202.38.1.2202.38.1.3。通过配置策略NAT双重转换功能,可以实现外网主机通过域名访问内网的Web服务器。

图-8 外网用户通过域名访问内网服务器配置组网图

 

使用版本

本举例是在F1000-AI-55R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/2右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:20.2.2.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/1,配置如下。

·     安全域:Trust

·     选择“IPv4地址”页签,配置IP地址/掩码:10.110.10.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

2.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:Secpolicy

·     源安全域:Untrust

·     目的安全域:Trust

·     类型:IPv4

·     动作:允许

·     目的IPv4地址:10.110.10.210.110.10.310.110.10.4

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

3.     配置NAT地址组

# 选择“对象 > 对象组 > NAT地址组”。

# 单击<新建>按钮,新建NAT地址组,参数配置如下图所示。

图-9 新建地址组

 

# 单击<确定>按钮,完成NAT地址组配置。

4.     配置策略NAT规则

# 选择“策略 > 策略NAT”,进入策略NAT配置界面。

# 单击<新建>按钮,新建策略NAT规则1,允许外网主机使用地址202.38.1.2访问内网DNS服务器,参数配置如下图所示。

图-10 新建策略NAT规则1

# 单击<确定>按钮,完成策略NAT规则1配置。

# 单击<新建>按钮,新建策略NAT规则2,允许使用地址组1中的地址对DNS应答报文载荷中的内网地址进行转换,并在转换过程中不使用端口信息,以及允许反向地址转换,参数配置如下图所示。

图-11 新建策略NAT规则2

 

# 单击<确定>按钮,完成策略NAT规则2配置。

验证配置

Host主机可以使用域名访问内部网络的Web服务器。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们