本举例是在F1000-AI-55的R8860版本上进行配置和验证的。
Host A、Host B和Server通过接入交换机Switch、路由器Router与Internet通信。出于安全考虑，需要在路由器Router上部署Device起安全防护作用，应用需求如下：
Switch透传Host、Server与Internet之间的流量。
Router与Host、Server、Internet和Device三层对接，将上下行流量通过策略路由重定向到Device，对Device转发回来的流量查路由表转发。
Router作为Host的DHCP服务器，为Host动态分配网段为10.1.1.0/24的IP地址，DNS服务器地址为20.1.1.15，网关地址为10.1.1.1。
Router拥有20.1.1.1/24和20.1.1.2/24两个外网IP地址，内部网络中10.1.1.0/24网段的Host使用20.1.1.2/24地址访问Internet。
Server的内网IP地址是10.1.1.2，Server使用外网IP地址20.1.1.2的21端口对Internet提供FTP服务。
Device通过安全策略控制匹配的报文进行转发，对不匹配的报文丢弃处理。
Device与Router三层对接，查静态路由表转发Host、Server与Internet之间的流量。
图-1 Device三层旁挂部署组网图
配置接口IP
# 配置接口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3和GigabitEthernet1/0/4的IP地址。
<Router> system-view
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] ip address 20.1.1.1 24
[Router-GigabitEthernet1/0/1] quit
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip address 10.1.1.1 24
[Router-GigabitEthernet1/0/2] quit
[Router] interface gigabitethernet 1/0/3
[Router-GigabitEthernet1/0/3] ip address 1.1.1.1 30
[Router-GigabitEthernet1/0/3] quit
[Router] interface gigabitethernet 1/0/4
[Router-GigabitEthernet1/0/4] ip address 1.1.1.6 30
[Router-GigabitEthernet1/0/4] quit
配置静态路由
# 配置默认路由指导上行流量转发（此处下一跳以20.1.1.3为例，请以实际情况为准）。
[Router] ip route-static 0.0.0.0 0 20.1.1.3
配置DHCP服务
# 配置DHCP地址池1，用来为10.1.1.0/24网段内的客户端分配IP地址和网络配置参数。
[Router] dhcp server ip-pool 1
[Router-dhcp-pool-1] network 10.1.1.0 24
[Router-dhcp-pool-1] gateway-list 10.1.1.1
[Router-dhcp-pool-1] dns-list 20.1.1.15
[Router-dhcp-pool-1] quit
# 开启DHCP服务。
[Router] dhcp enable
配置NAT服务
# 配置地址组0，包含外网地址20.1.1.2。
[Router] nat address-group 0
[Router-address-group-0] address 20.1.1.2 20.1.1.2
[Router-address-group-0] quit
# 配置ACL 2000，仅允许对内部网络中10.1.1.0/24网段的用户报文进行地址转换。
[Router] acl basic 2000
[Router-acl-ipv4-basic-2000] rule permit source 10.1.1.0 0.0.0.255
[Router-acl-ipv4-basic-2000] quit
# 在接口GigabitEthernet1/0/1上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] nat outbound 2000 address-group 0
# 配置内部FTP服务器，允许外网主机使用地址20.1.1.2、端口号21访问内网10.1.1.2的FTP服务器。
[Router-GigabitEthernet1/0/1] nat server protocol tcp global 20.1.1.2 21 inside 10.1.1.2 ftp
[Router-GigabitEthernet1/0/1] quit
配置策略路由
# 关闭快转负载分担功能（防止三层环路）。
[Router] undo ip fast-forwarding load-sharing
# 创建IPv4高级ACL匹配上下行流量。
[Router] acl advanced 3000
[Router-acl-ipv4-adv-3000] rule permit ip source 10.1.1.0 0.0.0.255
[Router-acl-ipv4-adv-3000] quit
[Router] acl advanced 3001
[Router-acl-ipv4-adv-3001] rule permit ip destination 10.1.1.0 0.0.0.255
[Router-acl-ipv4-adv-3001] quit
# 配置策略路由，并将策略路由绑定到接口上。
[Router] policy-based-route host-internet permit node 10
[Router-pbr-host-internet-10] if-match acl 3000
[Router-pbr-host-internet-10] apply next-hop 1.1.1.5
[Router-pbr-host-internet-10] quit
[Router] policy-based-route internet-host permit node 10
[Router-pbr-internet-host-10] if-match acl 3001
[Router-pbr-internet-host-10] apply next-hop 1.1.1.2
[Router-pbr-internet-host-10] quit
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] ip policy-based-route internet-host
[Router-GigabitEthernet1/0/1] quit
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip policy-based-route host-internet
[Router-GigabitEthernet1/0/2] quit
登录设备的Web界面：
用以太网线将PC和设备的以太网管理口相连。
修改IP地址为192.168.0.0/24（除192.168.0.1）子网内任意地址，例如192.168.0.2。
在PC上启动浏览器，在地址栏中输入IP地址“192.168.0.1”后回车，即可进入设备的Web登录页面，输入设备默认的用户名和密码（admin/admin），单击<登录>按钮即可登录。
配置接口GigabitEthernet1/0/1和GigabitEthernet1/0/2的IP地址，并将GigabitEthernet1/0/1和GigabitEthernet1/0/2分别加入安全域Untrust和Trust中：
选择“网络>接口>接口”，选中GE1/0/1接口，单击GE1/0/1的编辑按钮。
选择安全域为Untrust，配置IP地址/掩码长度为1.1.1.2/255.255.255.252，单击<应用>。
图-2 编辑GE1/0/1安全域和IPv4地址
选择“网络>接口>接口”，选中GE1/0/2接口，单击GE1/0/2的编辑按钮。
选择安全域为Trust，配置IP地址/掩码长度为1.1.1.5/255.255.255.252，单击<应用>。
图-3 编辑GE1/0/2安全域和IPv4地址
配置默认路由指导上行流量转发，配置静态路由指导下行流量转发：
选择“网络>路由>静态路由”，单击<新建>，配置目的IP地址为0.0.0.0，掩码长度为0，下一跳IP地址为1.1.1.1，单击<确定>完成默认路由配置。
图-4 配置默认路由
选择“网络>路由>静态路由”，单击<新建>，配置目的IP地址为10.1.1.0，掩码长度为24，下一跳IP地址为1.1.1.6，单击<确定>完成静态路由配置。
图-5 配置静态路由
配置安全策略放通用户的业务报文：
选择“策略>安全策略”，单击“新建>新建策略”，配置新建策略名称为trust-untrust，源安全域为Trust，源IPv4地址为10.1.1.0/24，目的安全域为Untrust，配置操作动作为允许，单击<确认>完成trust-untrust策略的配置。
图-6 配置安全策略trust-untrust
图-7 配置安全策略trust-untrust的动作
选择“策略>安全策略”，单击“新建>新建策略”，配置新建策略名称为untrust-trust，源安全域为Untrust，目的安全域为Trust，目的IPv4地址为10.1.1.2，配置操作动作为允许，单击<确认>完成untrust-trust策略的配置。
图-8 配置安全策略untrust-trust
图-9 配置安全策略untrust-trust的动作
在Host A上去ping测试20.1.1.3的连通性，可以ping通目的地址。
选择“监控>会话列表”查询IPv4会话列表：
查询IPv4会话列表，发现一条发起方源IP地址为DHCP地址池中的一个IP地址，发起方目的IP地址为20.1.1.3，发起方协议是ICMP的会话。
图-10 检查Device的IPv4会话信息
