配置内网访问外网

⃣ 配置接⼝

1、配置安全区域和接⼝ IP 地址

2 、开启接⼝的 Ping 服务【可选】

也可通过命令来配置IP地址、所属区域、服务类型

[USG6000V1]interface g1/0/0

[USG6000V1-GigabitEthernet1/0/0]ip address 192.168.1.254 24

[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit

[USG6000V1]interface g1/0/1

[USG6000V1-GigabitEthernet1/0/1]ip address 200.1.1.254 24

[USG6000V1]firewall zone trust

[USG6000V1-zone-trust]add interface g1/0/0

[USG6000V1]firewall zone untrust

[USG6000V1-zone-untrust]add interface g1/0/1

2⃣

配置安全策略，允许安全区域的互相访问

1 、配置 trust 可以访问 untrst

可以成功ping通

web 服务也可以访问

但是服务器 ping 客⼾端，不通

因为我们配置的是 trust 可以访问 untrust ，⽽ untrust 不可以访问 trust

也可⽤命令配置

[USG6000V1]security-policy

[USG6000V1-policy-security]rule name OUT

[USG6000V1-policy-security-rule-OUT]source-zone trust

[USG6000V1-policy-security-rule-OUT]destination-zone untrust

[USG6000V1-policy-security-rule-OUT]action permit

3⃣ 配置 NAT 策略

1 、配置 EasyIP

2 、抓包查看，地址发⽣了转换，转换为出接⼝地址

3 、也可以配置 NAPT ，这⾥需要配置地址池

4 、将 EasyIP 的启⽤的对勾去掉，或者之间删除

5 、抓包查看，地址转换成了地址池中的地址

[USG6000V1]nat-policy

[USG6000V1-policy-nat]rule name EasyIP

[USG6000V1-policy-nat-rule-EasyIP]source-zone trust

[USG6000V1-policy-nat-rule-EasyIP]destination-zone untrust

[USG6000V1-policy-nat-rule-EasyIP]action nat easy-ip

//1.3 版本的 eNSP 命令： action source-nat easy-ip

[USG6000V1]nat-policy

[USG6000V1-policy-nat]undo rule name EasyIP

[USG6000V1]nat address-group pool