实验：防火墙nat、策略实验（华为模拟器）

---

一、实验拓扑

---

---

二、实验要求

---

请完成以下需求：
1、设备互联地址如拓扑所示；
2、交行对外地址：172.16.0.0/16；
3、外联单位对内地址：182.62.201.0/24；
4、必须使用动态nat进行源转换；
5、开启telnet服务，在AR1上telnet182.62.201.X，可以登录至AR2，且必须显示为172.16.1.X。
6、开启telnet服务，在AR2上telnet172.16.1.X的地址可以登陆至AR1，且必须显示为182.62.201.20。

---

三、实验配置过程

---

1、配置AR1、FW1、AR2各设备接口ip以及静态路由（省略）

2、将防火墙接口添加进安全域
FW1:
firewall zone trust
add interface GigabitEthernet0/0/1

firewall zone trust
add interface GigabitEthernet0/0/2

3、放行域间策略以及配置nat
FW1:
3.1、配置packet-filter放通
firewall packet-filter default permit interzone trust untrust direction inbound
firewall packet-filter default permit interzone trust untrust direction outboun

3.2、完成trust→untrust的域间明细策略：
policy interzone trust untrust outbound
policy 10
action permit //动作允许
policy service service-set icmp //设置icmp服务
policy service service-set telnet //设置telnet服务`
policy source 182.62.0.0 mask 16 //配置源地址
policy destination 172.16.1.0 mask 24 //配置目的地址

3.3、配置trust→untrust的源nat:
nat address-group 1 172.16.1.20 172.16.1.25 //建立地址池1
nat-policy interzone trust untrust outbound //方向
policy 10 //序号
action source-nat //源nat
policy service service-set icmp //设置icmp服务
policy service service-set telnet //设置telnet服务
policy source 182.62.2.0 mask 24 //源地址
policy source 182.62.1.0 mask 24 //源地址
policy destination 182.62.201.0 mask 24 //目的地址
address-group 1 //调用address-group1

3.4、配置untrust→trust的源nat:
nat address-group 2 182.62.201.20 182.62.201.20 //新建地址池2
nat-policy interzone trust untrust inbound //方向
policy 10 //序号
action source-nat //源nat
policy service service-set icmp //设置icpp服务
policy service service-set telnet //设置telnet服务
policy source 172.16.1.0 mask 24 //源地址
policy source 182.62.201.0 mask 24 /***/源地址***
address-group 2 //调用address-group 2

3.5、配置nat-server
nat server 0 protocol tcp global 172.16.1.200 telnet inside 182.62.1.10 telnet

4、配置telnet远程登陆
AR1：
telnet server enable //开启telnet
4.1、开启远程账户
aaa
local-user admin password cipher admin //admin是账户，admin是密码，密码在登录的时候可以改
local-user admin service-type telnet //使账户admin支持telnet协议
local-user admin level 3 //账户权限为3

4.2、配置账户用户界面的权限：
user-interface vty 0 4 //配置用户界面，0是初始值，4是结束 值。表示可同时打开5个会话
authentication-mode password //创建本地用户并启用密码验证
set authentication password cipher admin //设置身份验证密码密码
protocol inbound telnet //配置用户支持telnet协议

AR2同理在此省略

验证：
1、在AR1上使用loopback0作为源地址telnet AR2的loopback0地址

2、在AR2上使用loopback0作为源地址telnet 172.16.1.200

在AR2上telnet172.16.1.200时分别在FW1 G0/0/2口和G0/0/1口进行抓包可发现经过防火墙后源目地址均发生nat