Web方式：三层旁挂部署典型配置
使用版本
本举例是在T5030的R9900版本版本上进行配置和验证的。
组网需求
Host A、Host B和Server通过接入交换机Switch、路由器Router与Internet通信。出于安全考虑，需要在路由器Router上部署Device起安全防护作用，应用需求如下：
Switch透传Host、Server与Internet之间的流量。
Router与Host、Server、Internet和Device三层对接，将上下行流量通过策略路由重定向到Device，对Device转发回来的流量查路由表转发。
Router作为Host的DHCP服务器，为Host动态分配网段为10.1.1.0/24的IP地址，DNS服务器地址为20.1.1.15，网关地址为10.1.1.1。
Router拥有20.1.1.1/24和20.1.1.2/24两个外网IP地址，内部网络中10.1.1.0/24网段的Host使用20.1.1.2/24地址访问Internet。
Server的内网IP地址是10.1.1.2，Server使用外网IP地址20.1.1.2的21端口对Internet提供FTP服务。
Device通过安全策略控制匹配的报文进行转发，对不匹配的报文丢弃处理。
Device与Router三层对接，查静态路由表转发Host、Server与Internet之间的流量。
图-1 Device三层旁挂部署组网图
配置步骤
配置Router
配置接口IP
# 配置接口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3和GigabitEthernet1/0/4的IP地址。
<Router>
system-view [Router]
interface gigabitethernet 1/0/1 [Router-GigabitEthernet1/0/1]
ip address 20.1.1.1 24 [Router-GigabitEthernet1/0/1]
quit [Router]
interface gigabitethernet 1/0/2 [Router-GigabitEthernet1/0/2]
ip address 10.1.1.1 24 [Router-GigabitEthernet1/0/2]
quit [Router]
interface gigabitethernet 1/0/3 [Router-GigabitEthernet1/0/3]
ip address 1.1.1.1 30 [Router-GigabitEthernet1/0/3]
quit [Router]
interface gigabitethernet 1/0/4 [Router-GigabitEthernet1/0/4]
ip address 1.1.1.6 30 [Router-GigabitEthernet1/0/4]
quit 配置静态路由
# 配置默认路由指导上行流量转发（此处下一跳以20.1.1.3为例，请以实际情况为准）。
[Router]
ip route-static 0.0.0.0 0 20.1.1.3 配置DHCP服务
# 配置DHCP地址池1，用来为10.1.1.0/24网段内的客户端分配IP地址和网络配置参数。
[Router]
dhcp server ip-pool 1 [Router-dhcp-pool-1]
network 10.1.1.0 24 [Router-dhcp-pool-1]
gateway-list 10.1.1.1 [Router-dhcp-pool-1]
dns-list 20.1.1.15 [Router-dhcp-pool-1]
quit # 开启DHCP服务。
[Router]
dhcp enable 配置NAT服务
# 配置地址组0，包含外网地址20.1.1.2。
[Router]
nat address-group 0 [Router-address-group-0]
address 20.1.1.2 20.1.1.2 [Router-address-group-0]
quit # 配置ACL 2000，仅允许对内部网络中10.1.1.0/24网段的用户报文进行地址转换。
[Router]
acl basic 2000 [Router-acl-ipv4-basic-2000]
rule permit source 10.1.1.0 0.0.0.255 [Router-acl-ipv4-basic-2000]
quit # 在接口GigabitEthernet1/0/1上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。
[Router]
interface gigabitethernet 1/0/1 [Router-GigabitEthernet1/0/1]
nat outbound 2000 address-group 0 # 配置内部FTP服务器，允许外网主机使用地址20.1.1.2、端口号21访问内网10.1.1.2的FTP服务器。
[Router-GigabitEthernet1/0/1]
nat server protocol tcp global 20.1.1.2 21 inside 10. 1.1.2 ftp [Router-GigabitEthernet1/0/1]
quit 配置策略路由
# 关闭快转负载分担功能（防止三层环路）。
[Router]
undo ip fast-forwarding load-sharing # 创建IPv4高级ACL匹配上下行流量。
[Router]
acl advanced 3000 [Router-acl-ipv4-adv-3000]
rule permit ip source 10.1.1.0 0.0.0.255 [Router-acl-ipv4-adv-3000]
quit [Router]
acl advanced 3001 [Router-acl-ipv4-adv-3001]
rule permit ip destination 10.1.1.0 0.0.0.255 [Router-acl-ipv4-adv-3001]
quit # 配置策略路由，并将策略路由绑定到接口上。
[Router]
policy-based-route host-internet permit node 10 [Router-pbr-host-internet-10]
if-match acl 3000 [Router-pbr-host-internet-10]
apply next-hop 1.1.1.5 [Router-pbr-host-internet-10]
quit [Router]
policy-based-route internet-host permit node 10 [Router-pbr-internet-host-10]
if-match acl 3001 [Router-pbr-internet-host-10]
apply next-hop 1.1.1.2 [Router-pbr-internet-host-10]
quit [Router]
interface gigabitethernet 1/0/1 [Router-GigabitEthernet1/0/1]
ip policy-based-route internet-host [Router-GigabitEthernet1/0/1]
quit [Router]
interface gigabitethernet 1/0/2 [Router-GigabitEthernet1/0/2]
ip policy-based-route host-internet [Router-GigabitEthernet1/0/2]
quit
配置Device
登录设备的Web界面：
用以太网线将PC和设备的以太网管理口相连。
修改IP地址为192.168.0.0/24（除192.168.0.1）子网内任意地址，例如192.168.0.2。
在PC上启动浏览器，在地址栏中输入IP地址“192.168.0.1”后回车，即可进入设备的Web登录页面，输入设备默认的用户名和密码（admin/admin），单击<登录>按钮即可登录。
配置接口GigabitEthernet1/0/1和GigabitEthernet1/0/2的IP地址
将GigabitEthernet1/0/1和GigabitEthernet1/0/2分别加入安全域Untrust和Trust中：
选择“网络>接口与VRF>接口”，选中GE1/0/1接口，单击GE1/0/1的编辑按钮。
选择安全域为Untrust，配置IP地址/掩码长度为1.1.1.2/255.255.255.252，单击<应用>。
图-2 编辑GE1/0/1安全域和IPv4地址
选择“网络>接口与VRF>接口”，选中GE1/0/2接口，单击GE1/0/2的编辑按钮。
选择安全域为Trust，配置IP地址/掩码长度为1.1.1.5/255.255.255.252，单击<应用>。
图-3 编辑GE1/0/2安全域和IPv4地址
配置默认路由指导上行流量转发，配置静态路由指导下行流量转发：
选择“网络>路由>静态路由”，单击<新建>，配置目的IP地址为0.0.0.0，掩码长度为0，下一跳IP地址为1.1.1.1，单击<确定>完成默认路由配置。
图-4 配置默认路由
选择“网络>路由>静态路由”，单击<新建>，配置目的IP地址为10.1.1.0，掩码长度为24，下一跳IP地址为1.1.1.6，单击<确定>完成静态路由配置。
图-5 配置静态路由
配置安全策略放通用户的业务报文：
选择“策略>安全策略”，单击“新建”，配置新建策略名称为trust-untrust，源安全域为Trust，源IPv4地址为10.1.1.0/24，目的安全域为Untrust，配置操作动作为允许，单击<确认>完成trust-untrust策略的配置。
图-6 配置安全策略trust-untrust
图-7 配置安全策略trust-untrust的动作
选择“策略>安全策略”，单击“新建”，配置新建策略名称为untrust-trust，源安全域为Untrust，目的安全域为Trust，目的IPv4地址为10.1.1.2，配置操作动作为允许，单击<确认>完成untrust-trust策略的配置。
图-8 配置安全策略untrust-trust
图-9 配置安全策略untrust-trust的动作
验证配置
在Host A上去ping测试20.1.1.3的连通性，可以ping通目的地址。
选择“监控>网络与流量>会话列表”查询IPv4会话列表：
查询IPv4会话列表，发现一条发起方源IP地址为DHCP地址池中的一个IP地址，发起方目的IP地址为20.1.1.3，发起方协议是ICMP的会话。
图-10 检查Device的IPv4会话信息
