目的NAT： 公网用户通过目的NAT访问内部服务器（公网地址与私网地址一对一进行映射）

目的NAT简介

目的NAT是指对报文中的目的地址和端口进行转换。

通过目的NAT技术将公网IP地址转换成私网IP地址，使公网用户可以利用私网地址访问内部Server。转换过程如图1所示。

当外网用户访问内部Server时，FW的处理过程如下：

1. 当外网用户访问内网Server的报文到达FW时，FW将报文的目的IP地址由公网地址转换为私网地址。
2. 当回程报文返回至FW时，FW再将报文的源地址由私网地址转换为公网地址。

根据转换后的目的地址是否固定，目的NAT分为静态目的NAT和动态目的NAT。

拓扑图

防火墙基本配置

<USG6000V1>system-view 
[USG6000V1]sysname FW1

[FW1]interface GigabitEthernet 1/0/1	
[FW1-GigabitEthernet1/0/1]ip address 10.2.0.1 24
[FW1-GigabitEthernet1/0/1]q

[FW1]interface GigabitEthernet 1/0/2
[FW1-GigabitEthernet1/0/2]ip address 1.1.1.1 24
[FW1-GigabitEthernet1/0/2]q

 将接口加入DMZ区域。
[FW1]firewall zone dmz	
[FW1-zone-dmz]add interface GigabitEthernet 1/0/1
[FW1-zone-dmz]q

将接口加入untrust区域。
[FW1]firewall zone untrust 	
[FW1-zone-untrust]add interface GigabitEthernet 1/0/2
[FW1-zone-untrust]q

配置安全策略，允许外部网络用户访问内部服务器。 
[FW1-policy-security]rule name untrust-2-DMZ
[FW1-policy-security-rule-untrust-2-DMZ]destination-zone dmz 
[FW1-policy-security-rule-untrust-2-DMZ]destination-address 10.2.0.0 24	
[FW1-policy-security-rule-untrust-2-DMZ]action permit 
[FW1-policy-security-rule-untrust-2-DMZ]q
[FW1-policy-security]q


配置目的NAT地址池
[FW1]destination-nat address-group bdqn
[FW1-dnat-address-group-bdqn]section 10.2.0.7 10.2.0.8
[FW1-dnat-address-group-bdqn]q


配置NAT 策略
[FW1-policy-nat]rule name  nat1	
[FW1-policy-nat-rule-nat1]source-zone untrust 	
[FW1-policy-nat-rule-nat1]destination-address range 1.1.10.10 1.1.10.11	
[FW1-policy-nat-rule-nat1]service http
[FW1-policy-nat-rule-nat1]service ftp	
[FW1-policy-nat-rule-nat1]action destination-nat static address-to-address addre
ss-group bdqn
[FW1-policy-nat-rule-nat1]q
[FW1-policy-nat]q

配置报文目的地址的黑洞路由，以防路由环路。 
[FW1]ip route-static 1.1.10.10 255.255.255.255 NULL 0
[FW1]ip route-static 1.1.10.11 32 NULL 0

开启FTP协议的NAT ALG功能。 
[FW1]firewall interzone dmz untrust 	
[FW1-interzone-dmz-untrust]detect ftp 
[FW1-interzone-dmz-untrust]q

配置缺省路由，使内网服务器对外提供的服务流量可以正常转发至ISP的路由器。 
[FW1]ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

R1基本配置
<Huawei>system-view 
[Huawei]sysname R1

[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ip address 1.1.1.254 24
[R1-GigabitEthernet0/0/0]q

[R1]interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1]ip address 172.16.1.254 24
[R1-GigabitEthernet0/0/1]q


写两条通往服务器的路由
[R1]ip route-static 1.1.10.10 32 1.1.1.1
[R1]ip route-static 1.1.10.11 32 1.1.1.1

Client1  FTP 连接成功信息

WEB 的连接成功信息

防火墙的配置结果