ENSP 防火墙USG6000V NAT 设置（全场景）

NAT

源NAT

no-pat

FW1基础配置（IP地址，接口加区域） ftpserver服务搭建略以及路由略，其他设备ip地址略
int g1/0/1
i a 192.168.1.254 24
int g1/0/0
i a 1.1.1.1 24
firewall zone trust
add int g1/0/1
firewall zone untrust
add int g1/0/0
对于防火墙作为出口需要配置出口默认路由
ip route-static 0.0.0.0 0 1.1.1.2
配置地址池
nat address-group no-pat
mode no-pat global
section 1.1.1.10
配置nat策略
nat-policy
rule name no-pat
source-zone trust
destination-zone untrust
source-address 192.168.1.0 24
action source-nat address-group no-pat
配置防火墙策略：
security-policy
rule name trust_untrust
source-zone trust
destination-zone untrust
source-address 192.168.1.0 mask 255.255.255.0
service icmp
service ftp
action permit
测试：
user1ping2.2.2.2

此时pc1在ping2.2.2.2是ping不通的，因为no-pat模式是一对一的，地址池的唯一一个地址已经被占用

但是此时user1 ftp2.2.2.2我们可以看到nat-policy是没有ftp的：


但是却ftp通了

这是因为在no-pat模式下产生的server-map表里面的协议是任意的，所以可以建立ftp

NAT-ALG（应用层网关）
命令：firewall detect ftp 默认开启的
在这里我们先关掉undo firewall detect ftp

然后建立ftp

我们发现port command内容里面的ip还是内网ip，这就导致在数据通道建立的时候建立失败
开启之后


我们发现不仅是网络层换了ip里面的内容也换了ip使得数据通道得以建立

napt

与上面no-pat不同的只是地址池在模式的不同

nat策略：
nat-policy
undo ru