华为防火墙：五种NAT类型以及配置NAT策略。

NAT类型：
1. NAT NO-PAT
.将源IP地址映射到公网IP地址上。
.属于多对多的映射关系。
.不会节约公网IP地址，但会保护内网IP地址。
2. NAPT
. 将源IP地址和端口号映射到公网IP地址和端口号上。
.属于多对一的映射关系。
.外网IP地址必须独立。(不能被外网使用)
3. EASY-IP
. 将源IP地址和端口号映射到防火墙外网接口上的IP地址和端口号上。
.属于多对一的映射关系。
.节约公网IP地址。
4. 智能NAT
.NAT NO-PAT 和NAT相结合实现智能NAT。
.少数用户访问互联网使用。
.过多使用NAPT连接互联网。
5. NAT　server
.将内网服务器发布到公网上。

如图所示：
实现的需求：
1.实现内网访问外网，外网不能访问内网。
2.使用nat策略控制出站流量。
3.将内网服务器发布到公网中。(以FTP为例)
对华为路由器进行简单配置：(这一步可做可不做）
Huawei:undo terminal monitor
Huaweisystem-view
[Huawei]sysname R1
[R1]user-interface console 0
[R1-ui-console0]idle-timeout 0
一.在R1上配置IP地址及静态路由。
1. 配置IP地址。
[R1]interface g 0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.200.1 24
[R1-GigabitEthernet0/0/1]undo shutdown
[R1]interface g 0/0/0
[R1-GigabitEthernet0/0/1]ip address 192.168.100.2 24
[R1-GigabitEthernet0/0/1]undo shutdown
2.配置路由条目。
[R1]ip route-static 192.168.10.0 24 192.168.100.1
二.在FW1上配置IP地址，默认路由，指定区域，安全策略。
1.配置IP地址。
[FW1]interface g 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 192.168.100.1 24
[FW1-GigabitEthernet1/0/1]undo shutdown
[FW1]interface g 1/0/0
[FW1-GigabitEthernet1/0/1]ip address 192.168.10.254 24
[FW1-GigabitEthernet1/0/1]undo shutdown
2.配置路由条目。
[FW1]ip route-static 0.0.0.0 0.0.0.0 192.168.100.2
3.将接口加入到指定区域。
[FW1]firewall zone trust
[FW1-zone-trust]add interface GigabitEthernet 1/0/0
[FW1]firewall zone untrust
[FW1-zone-untrust]add interface GigabitEthernet 1/0/1
4.配置安全策略。
[FW1]security-policy
[FW1-policy-security]rule name in_to_out
[FW1-policy-security-rule-in_to_out]source-zone trust
[FW1-policy-security-rule-in_to_out]destination-zone untrust
[FW1-policy-security-rule-in_to_out]action permit
三. 验证内网ping通外网。


四.配置NAT策略。(注：安全策略在这里没有重复配置。)
1.natnopat。
1）配置nat地址池。
[FW1]nat address-group natnopat
[FW1-address-group-natnopat]section 0 192.168.100.10 192.168.100.11
[FW1-address-group-natnopat]mode no-pat local
2）配置nat策略。
[FW1]nat-policy
[FW1-policy-nat]rule name natnopat
[FW1-policy-nat-rule-natnopat]source-zone trust
[FW1-policy-nat-rule-natnopat]destination-zone untrust
[FW1-policy-nat-rule-natnopat]action nat address-group natnopat
3）验证natnopat。（若转换后的IP地址为192.168.100.10或192.168.100.11，则验证成功。）

2.napt.
1)配置nat地址池。
[FW1]nat address-group napt
[FW1-address-group-napt]section 0 192.168.100.10 192.168.100.10
[FW1-address-group-napt]mode pat
2)配置nat策略。
[FW1]nat-policy
[FW1-policy-nat]rule name napt
[FW1-policy-nat-rule-napt]source-zone trust
[FW1-policy-nat-rule-napt]destination-zone untrust
[FW1-policy-nat-rule-napt]action nat address-group napt
3）验证napt。（若转换后的IP地址均为192.168.100.10，则验证成功。）

3.ease_nat。
1）配置nat策略。
[FW1]nat-policy
[FW1-policy-nat]rule name napt
[FW1-policy-nat-rule-napt]source-zone trust
[FW1-policy-nat-rule-napt]destination-zone untrust
[FW1-policy-nat-rule-ease_nat]action nat easy-ip
3）验证napt。（若转换后的IP地址均为接口IP：192.168.100.1，则验证成功。）

五.nat server。（注：双向通信，注意内网到外网是否有安全策略，否则只能登陆无法查看内容。）
1）模拟FTP服务器。

2)配置安全策略。(允许外网访问内网)
[FW1]security-policy
[FW1-policy-security]rule name out_to_in
[FW1-policy-security-rule-out_to_in]source-address 192.168.10.3 32
[FW1-policy-security-rule-out_to_in]destination-zone dmz
[FW1-policy-security-rule-out_to_in]service ftp
[FW1-policy-security-rule-out_to_in]action permit
3)将内网ftp映射到公网IP地址。
[FW1]nat server ftp protocol tcp global 192.168.100.10 2121 inside 192.168.10.3 21
4)验证是否是否成功。