当前位置:   article > 正文

华为USG6000防火墙nat / nat server 配置(多出口情况)_华为防火墙usg6000配置napt

华为防火墙usg6000配置napt

基本配置:

  • 防火墙usg6000的g0/0/0口默认是管理口,配置的地址不加入路由表,如要加入路由表,则把该接口下的ip binding vpn-instance default删除
  • 配置防火墙安全策略:

[FW1] security-policy // 配置安全策略

[FW1-policy-security] rule name lyshark // 规则名称

[FW1-policy-security-rule-lyshark] source-zone trust // 原安全区域(内部)

[FW1-policy-security-rule-lyshark] destination-zone untrust // 目标安全区域(外部)

[FW1-policy-security-rule-lyshark] source-address any // 原地址区域

[FW1-policy-security-rule-lyshark] destination-address any // 目标地址区域

[FW1-policy-security-rule-lyshark] service any // 放行所有服务

[FW1-policy-security-rule-lyshark] action permit // 放行配置

[FW1-policy-security-rule-lyshark] quit

使防火墙交换机能够互ping:

security-policy

rule name 1

source-zone local //如需防火墙ping别的设备需要配置local区域的安全策略,因为防火墙接口的区域都是local

destination-zone trust service protocol icmp //从local区域放通到trust区域,放通icmp协议,local区域为防火墙本身所有接口

action permit

interface GigabitEthernet1/0/1

undo shutdown

ip address 10.1.0.14 255.255.255.252

service-manage ping permit //防火墙接口放通ping包,也可以放通http、ssh、telnet等

配置内外网接口:

[FW1] interface GigabitEthernet 1/0/2 // 选择外网接口

[FW1-GigabitEthernet1/0/2] undo shutdown // 开启外网接口

[FW1-GigabitEthernet1/0/2] ip address 10.10.10.10 255.255.255.0 // 配置IP地址

[FW1-GigabitEthernet1/0/2] gateway 10.10.10.20 // 配置网关

[FW1-GigabitEthernet1/0/2] undo service-manage enable

[FW1-GigabitEthernet1/0/2] quit

[FW1] firewall zone untrust // 选择外网区域

[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 // 将接口加入到此区域

# -------------------------------------------------------

<FW1> system-view

[FW1] interface GigabitEthernet 1/0/0

[FW1-GigabitEthernet1/0/0] ip address 192.168.1.1 255.255.255.0

[FW1-GigabitEthernet1/0/0] undo shutdown

[FW1-GigabitEthernet1/0/0] quit

[FW1] firewall zone trust // 将接口加入trust区域

[FW1-zone-trust] add interface GigabitEthernet 1/0/0

nat映射:

  • 相同区域不同出口配置nat server的情况:

[USG6000V1]nat server 1 zone untrust protocol tcp global 59.79.100.101 www inside 10.1.4.1 www no-reverse //no-reverse代表可以配置多个映射表项,但只有单向映射,只能外部网络单向发起连接

[USG6000V1]nat server 2 zone untrust protocol tcp global 202.96.100.101 www inside 10.1.4. 1 www no-reverse //设置第二个出口的映射

  • 多出口的情况通过设置多个区域的方式即可配置多条nat server
  • 建立安全区域:

[USG6000V1]firewall zonenamedianxin

[USG6000V1-zone-dianxin]set priority 5 //设置区域优先级

[USG6000V1-zone-dianxin]add interface g1/0/1

[USG6000V1]firewall zonenameliantong

[USG6000V1-zone-liantong]set priority2

[USG6000V1-zone-liantong]add interface g1/0/2

  • 别忘了汇聚或核心交换机设置默认或静态路由!!!!!
  • 地址池,内网访问外部网络:

nat address-group cernet //地址池

mode pat //可以一对多

section 0 59.79.100.100 //地址池的地址 多个出口,设置多个地址池,设置nat策略

根据不同的目的网段映射不同的地址池:

nat-policy

rule name dianxin

source-zone trust

destination-zone untrust

destination-address 202.96.200.0 mask 255.255.255.0

action source-nat address-group dianxin

rule name cernet

source-zone trust

destination-zone untrust

destination-address 59.79.200.0 mask 255.255.255.0

action source-nat address-group cernet

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/小丑西瓜9/article/detail/487649
推荐阅读
相关标签
  

闽ICP备14008679号